Do comércio de dados à vulnerabilidade algorítmica do consumidor

No Brasil, a LGPD - Lei Geral de Proteção de Dados, lei 13.709/18, demorou um tempo considerável para ser aprovada. A origem dela é o PL 4.060/12, que tramitou na Câmara dos Deputados. Seis anos após sua apresentação, foi enviado ao Senado Federal como PLC 53/18. Em 14 de agosto de 2018, a mesma foi sancionada, sendo que a grande parte da LGPD somente passou a viger após um período de adaptação de vinte e quatro meses, o que na prática representa oito anos entre criação e validade.

Evidentemente, o tema é complexo, sendo crucial definir os papéis de empresas e órgãos públicos na coleta, armazenamento, uso e compartilhamento de dados pessoais. Havia interesses diferentes e opiniões distintas entres empresas, governo e organizações da sociedade civil sobre o nível de proteção e as obrigações que deveriam existir e recair sobre os players do mercado digital. Houve discussões importantes sobre quem fiscalizaria a lei e quais seriam as penalidades para quem não a observasse. E esse arcabouçou de ideias redundara em um emaranhado de vários projetos de lei sobre proteção de dados, emendas e etc, e que precisaram ser discutidos e conciliados.

Destaca-se, também, a Influência internacional, em especial, de leis como o GDPR - General Data Protection Regulation, ou Regulamento Geral de Proteção de Dados, da União Europeia, aprovado em 2016 e aplicado a partir de 2018, que aumentou a pressão sobre o  Brasil, para que este tivesse uma legislação própria de proteção de dados compatível com padrões internacionais. Não há dúvida de que a guinada cibernética, influenciada pelo covid-19, que colocara o mundo num ambiente cada vez mais digital, aumentou a preocupação dos organismos estatais acerca do uso de dados pessoais pelas redes sociais, e hoje, pela inteligência artificial.

Na prática, então, o Brasil convive com uma lei de proteção de dados há seis anos, havendo uma série de camadas nesse setor ainda não superadas e que são necessárias para gerar um nível de proteção minimamente desejável.

Nesse período, quatro cenários merecem destaque, a nosso ver, e que de certa forma vemos como influência da LGPD, senão de seu texto, mas de sua criação. Um deles é a EC 115/22, com a qual se confere à proteção de dados pessoais, inclusive nos meios digitais, um status constitucional de direito fundamental. O art. 5º, inciso LXXIX da Constituição Federal de 1.988, passa a apresentar a seguinte redação: “é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais. Primeiro adveio o reconhecimento normativo ordinário, para depois imigrar para a cata maior.

Outro cenário é a criação da ANPD - Autoridade Nacional de Proteção de Dados, sendo o órgão responsável por zelar pela proteção de dados pessoais e fiscalizar o cumprimento da LGPD no Brasil, competindo-lhe aplicar sanções administrativas diante de infrações, receber e analisar denúncias e reclamações, entre outros. A ANPD foi prevista pela própria LGPD, sendo criada formalmente pela lei 13.853/19. Somente em 6 de novembro de 2020 é que seus diretores tomaram posse, passando existir efetivamente. Em 1º de agosto de 2021 é que começaram a valer as sanções administrativas da LGPD, permitindo-se à ANPD aplicar as penalidades previstas, e, em 2022, a ANPD foi transformada em autarquia de natureza especial, o que aumentou a sua autonomia.

Por último, no que se considera também uma influência, no mínimo ideológica, da LGPD, acerca do espírito protetivo de dados pessoais, tem-se o julgamento proferido pelo STF em torno do art. 19 do Marco Civil da Internet, lei 12.965/14, dispositivo este que trata da responsabilidade das plataformas por conteúdos publicados por terceiros. Se não se trata propriamente de proteção de dados, ao menos serve como mecanismo de proteção digital.

Originariamente, a interpretação do referido artigo apontava ao fato de que uma plataforma digital somente poderia ser responsabilizada civilmente se, depois de receber uma ordem judicial específica, ainda assim não retirasse o conteúdo um considerado ilícito.

Sob essa perspectiva, protegia-se a liberdade de expressão e evitava-se que as plataformas fossem obrigadas a fiscalizar previamente tudo o que seus usuários publicassem. Mas, em 26 de junho de 2025, o STF decidiu que o art. 19 é parcialmente inconstitucional, porque a exigência de ordem judicial prévia, como regra geral, não oferecia proteção suficiente a direitos fundamentais e à democracia.

Assim, diante da ausência de novel norma advinda do Congresso Nacional sobre o tema, o STF estabeleceu um novo regime de responsabilização das plataformas, apontando que, em determinadas situações, a plataforma poderia ser responsabilizada mesmo sem uma ordem judicial prévia, especialmente quando fosse notificada e nada fizesse.

Por outro lado, isso não está a indicar que todo conteúdo denunciado deva ser removido automaticamente. O STF estabeleceu regras diferentes conforme o tipo de conteúdo, a atuação da plataforma e a gravidade da situação. O julgamento, no caso, corresponde aos Temas 533 e 987 de repercussão geral.

E por último, em termos de avanço tanto de proteção de dados, quanto de exposição em meios eletrônicos, temos o chamado “ECA DIGITAL”. O ECA Digital é o Estatuto Digital da Criança e do Adolescente, criado pela lei 15.211/25, e que prevê regras específicas de proteção de crianças e adolescentes no ambiente digital, o que engloba redes sociais, jogos eletrônicos, lojas de aplicativos, sistemas operacionais, e demais serviços digitais acessíveis por crianças e adolescentes. Destaca-se, na referida regra, o dever de aferição da idade da criança e/ou adolescente quando do acesso a determinados conteúdos e a supervisão parental.

No que tange ao funcionamento da inteligência artificial, o Brasil ainda não possui lei específica, havendo o PL 2.333/23, como tentativa de equilíbrio do uso desta tecnologia com os direitos fundamentais. Diversamente, a União Europeia criou o AI Act (Regulamento Europeu de Inteligência Artificial), considerado o principal marco regulatório de IA da do bloco, sendo o regulamento 2024/1689.

Uma coisa é certa, em termos de tecnologia, o Brasil tradicionalmente sempre chega atrasado na sua regulação, se comparado a certos blocos econômicos. E a questão que se propõe é saber quão necessário é partirmos para uma regulação do uso da IA - inteligência artificial no Brasil, sendo que ainda estamos em reduzidíssima velocidade no que tange a uma fase anterior, e que se trata da proteção de dados. E como consequência disso, questionamos se, caso houvesse um avanço significativo, entre nós, na proteção de dados, isso já seria um bom começo para se controlar o uso ilícito da IA, em especial, no mercado de consumo.

Sobre fragilidades na proteção de dados no Brasil, um tema contínuo, sem solução de continuidade, é o caso dos chamados “descontos de farmácia pelo CPF”. Determinados medicamentos de uso controlado, podem exigir, por lei, a identificação do consumidor, de forma que a farmácia é obrigada a exigir dados pessoais do cliente, o que torna obrigatória a informação, sob pena de não ser efetivada a compra. Por outro lado, cenários como programas de descontos, em que o CPF identifica o cadastro do cliente e isso viabiliza preços promocionais ou benefícios de fidelidade, são situações optativas do consumidor. O mesmo informa seu CPF se quiser, assim como se pretender que este conste de documento na nota fiscal e assim possa participar de programas fiscais do Estado em que realiza a compra.

Dos aspectos acima relacionados, destaca-se que a farmácia não deveria condicionar indiscriminadamente a venda à entrega do CPF apenas para oferecer um desconto ao consumidor. Cada vez que mesma vincula o CPF do cliente a uma compra, estará abastecendo um histórico de dados sobre preferência desse cliente, para lhe enviar mais promoções. Mas um outro problema pode surgir no sentido de que este banco de dados possa estar sendo compartilhado com outras empresas parceiras desta rede de farmácias, como laboratórios e outros, ou simplesmente sendo alienado como informação.

Em fevereiro de 2025, houve um caso concreto no Brasil, em que a ANPD concluiu uma fiscalização envolvendo uma empresa DrogaRaia-Drogasil. Em agosto de 2026, a Justiça do Maranhão, por meio do juiz Douglas de Melo Martins, titular da Vara de Interesses Difusos e Coletivos de São Luís, atendeu ao pedido do Centro de Promoção da Cidadania e Defesa dos Direitos Humanos Padre Josimo e do Instituto de Comunicação e Educação em Defesa dos Consumidores e Investidores condenou em 10 milhões de reais por danos morais coletivos a referida rede de farmácias por exigir CPF ou outro dado pessoal como condição para o consumidor poder acessar determinados descontos. Na decisão judicial, constou que o preço promocional fosse acessível sem essa exigência.¹

Entendeu-se ocorrer, no caso, uma "venda casada" indireta, com vantagem excessiva ao fornecedor, conduta vetada pelo CDC (art. 39, inciso I). Destacou o magistrado que a rede de farmácias abusou do seu direito de venda ao utilizar a necessidade básica de acesso à saúde e a sensibilidade do preço dos medicamentos do consumidor como ferramentas de pressão para inflar seu banco de dados, o que compromete também a da boa-fé objetiva.

Em que pese a brilhante decisão, a prática e contínua em várias redes de farmácias, nada indicando que desejam suspender a mesma. Para piorar, nada é informado previamente sobre o destino conferido aos dados do cliente, do seu CPF, em especial, pronunciado a cada compra, que tipo de banco de dados está alimentando, com quem está sendo compartilhado, e assim, um direito fundamental segue sendo cedido por parcos descontos de poucos reais e centavos sobre fármacos, produtos de beleza e demais produtos oferecidos por esses estabelecimentos, tudo ao arrepio da LGPD.

O caso acima demonstra uma falha séria no sistema de proteção de dados, e que ocorre que momento presencial do consumidor, fora do âmbito digital, salvo eventual compra on line, mas sendo mais comum de ser observado no balcão da farmácia.

E, não vencidos os diversos desafios da proteção de dados, temos também que focar as preocupações aos avanços da inteligência artificial, que, em versão bastante simplificada, representa uma tecnologia que permite que computadores realizem tarefas próximas às promovidas por habilidades humanas, com aptidão de aprender, raciocinar, reconhecer padrões e tomar decisões com base em informações.

Quando a IA passa a ser utilizada pelo mercado, pelos fornecedores, turbinando técnicas de marketing e captação de clientes, o contexto tradicional de vulnerabilidade que afeta o consumidor passa a ser reescrito, e ingressa-se num plano diferente daqueles locais já conhecidos. Acessando-se o CDC, por exemplo, lei 8.078/1990, em seu art. 37 observam-se vedações às chamadas publicidades enganosas e abusivas. Até hoje bastante úteis, tais ferramentas foram concebidas na década de oitenta, quando ainda nem se pensava em internet no Brasil, menos ainda em e-commerce. Redes sociais era algo tão impensável, assim como a IA. O CDC aportou num país onde se poderia encontrar ainda a chamada venda de “porta a porta”, muito bem exemplificada com os vetustos vendedores de enciclopédias. Com o arcabouço de informações acessível por um smartphone, até mesmo uma enciclopédia tornara-se um produto obsoleto, o que se dizer, então, de uma venda presencial junto à residência do consumidor.

O fato é que agora, nos vinte e seis anos do século XXI, tem-se uma inteligência artificial incrementada e sofisticada, com ampla robustez para manipular um mercado de consumidores e convencer estes a consumirem.

O modelo de mercado operante e atual baseia-se na coleta de dados. As operações realizadas pela internet são como pegadas na areia, que permitem uma leitura do consumidor, de seus desejos, de criação de perfis personalizados, etc. Redes sociais como Facebook, Instagram, e outros, onde as pessoas relatam suas preferências, sua rotina, expõe a família, viagens, gostos, ganhos, patrimônio e etc, alimentam bancos de dados variados que permitem às plataformas conhecer estes indivíduos talvez mais do que eles próprios se conhecem. 

Em termos práticos, o consumidor, o usuário da plataforma talvez nem saiba que dados variados estão sendo coletados, como são valorados, e para quais finalidades são captados. Se no modelo de mercado tradicional, a vulnerabilidade reconhecida no CDC, no art. 4º, inciso I, como uma qualidade inseparável do consumidor, voltava-se a compreender que o consumidor desconhecia o processo de fabricação de um produto, a qualidade da matéria prima que o compõe o mesmo, hoje, no mundo digital, essa fragilidade se transpõe para uma desvantagem diante de sistemas automatizados que coletam, cruzam, classificam e utilizam dados para produzir decisões ou previsões sobre ela.

Assim, a IA é naturalmente, no mercado, uma geradora de assimetria de poder e de informação, pois o consumidor normalmente não conhece quais dados estão sendo utilizados, como são processados, quais inferências são produzidas e de que maneira essas inferências influenciam sua decisão. Um algoritmo, que representa uma dada IA, entendendo que um consumidor esteja em uma situação de tristeza, por exemplo, pode entender que seja o caso de passar a oferecer a esse sujeito produtos e serviços geradores de autoestima, ou dopamina, como produtos de beleza, apostas em Bets, etc.

A publicidade não é mais genérica, é personalizada e o consumidor não domina o algoritmo. Se tradicionalmente, os players do mercado eram consumidor e fornecedor, hoje são estes, mais a plataforma e o algoritmo que captam e transformam as informações do consumidor em dados. Portanto, é evidente que convivem, hoje, o estado de vulnerabilidade tradicional do consumidor com uma outra segmentação e evolução desse conceito, compatível com um mundo digital dirigido pela inteligência artificial, e que se trata da vulnerabilidade algorítmica. Para esse novo estado da arte, conceitos como abuso de direito, boa-fé objetiva, dano moral, devem passar por urgente e eficaz adaptação, de forma a manter a proteção do consumidor face aos novos cyber desafios à manipulação algorítmica do mercado.

_______

1 Vide: https://noticias.uol.com.br/cotidiano/ultimas-noticias/2026/06/03/rede-farmacias-condenacao-tjma.ghtm. Acesso em 07.09.26.