DA NÃO PROTEÇÃO AOS DADOS PESSOAIS NO CAMPO CIBERNÉTICO E DO
LIMBO LEGISLATIVO BRASILEIROS
THE NON-PROTECTION OF PERSONAL DATA IN THE CYBERNETIC FIELD AND
THE BRAZILIAN LEGISLATIVE LIMBO
Diogo Calasans Melo Andrade Mauro Guimarães Santos Amado
RESUMO: Não há lei brasileira satisfatória sobre regulação cibernética do tratamento e armazenamento de dados pessoais. A importância do tema pode ser evidenciada no número de notícias jornalísticas diárias referentes à principal consequência da não regulação, o vazamento de dados pessoais. Identificar o limbo será fruto de mera constatação de que as leis vigentes não suprem ou são inócuas à pretendida e almejada proteção de dados. Discorrerá, acerca das leis em vigor, apresentará um comparativo com o trâmite legal de leis de mesmo tema em diversos países além da União Europeia e finalizará apresentando um estudo publicado por uma ONG dedicada à temática com o objetivo de nortear a discussão. A pesquisa fora realizada de maneira exploratória com uso de artigos científicos e sites governamentais oficiais, além de métodos empíricos não metódicos.
Palavras-chaves: Proteção; armazenamento; dados pessoais; internet; lacuna.
ABSTRACT: There is no satisfactory brazilian law on cybernetic regulation of the processing and storage of personal data. The importance of the subject can be evidenced in the number of daily news referring to the main consequence of the non-regulation, the leakage of personal data. Identifying the limbo will be the result of a mere confirmation that the laws in force do not supply or are innocuous to the intended data protection. It will discuss the laws in force, show a comparison with the legal process of laws of the same subject in several countries beyond the European Union and finalize presenting a study published by an NGO dedicated to the subject with the purpose of guiding the discussion. The research was conducted in an exploratory manner using scientific articles and government official sites, as well as non-methodical empirical methods.
Keywords: Protection. Storage. Personal Data. Internet. Gap.
SUMÁRIO: Introdução. 2. Das leis em vigor sobre dados pessoais no mundo e no Brasil 3. Dos pontos a serem observados quando da implantação de uma lei para proteção aos dados pessoais na internet 4. Os projetos de lei brasileiros perdidos no limbo legislativo. Considerações Finais. Referências.
Recebido em: 23/05/2018.
Aprovado em: 26/10/2018.
Doutor em direito pela Mackenzie, mestre em direito pela UFS, pesquisador e professor do mestrado em direitos humanos da UNIT.
INTRODUÇÃO
Hoje já amplamente desacreditada no ideário contemporâneo da Igreja Católica, o limbo consistia num local para onde eram enviadas as almas das crianças não batizadas e dos mentalmente enfermos que, por alguma razão, vinham a falecer sem cometer outro pecado senão o pecado originário. Numa espécie de “andar intermediário”, tais almas nem sofriam as amarguras e punições da descida ao inferno como também nem usufruíam das benesses daqueles que aos céus conseguiam adentrar. Imersas em indefinição, quase que esquecidas, aguardavam a vinda do seu salvador que decidiria acerca dos seus respectivos destinos (VAZ, 2015).
Com certas similaridades pode ser comparada a situação vigente no Brasil quanto à não proteção dos dados pessoais no mundo cibernético brasileiro com a ideia do limbo religioso. O limbo, aqui legislativo, é no tocante ao tema de proteção aos dados pessoais e à lentidão da discussão que 3 (três) projetos de lei existentes já acarretam nas mais diversas consequências aos cidadãos brasileiros. Não raro vê-se notícia sobre tais consequências nos jornais televisivos, impressos e digitais (ARTIGO 19, 2017).
O cidadão brasileiro, mesmo aquele que não faça uso da Internet em seu cotidiano, não fica alheio ao cenário citado e está igualmente sujeito ao fácil e incoerente acesso público aos seus dados e documentos pessoais, por exemplo.
São incontáveis as possíveis consequências que a disponibilização de tais dados em meio público pode acarretar. A título exemplificativo, acesso aos números de documentos oficiais, aos números de telefone, aos sistemas de rastreamento, à identificação de perfis político-ideológicos e de consumo, aos identificadores eletrônicos e biométricos et cetera são ações e atos que podem ser realizados com a simples usufruto dos dados “minerados” da Internet. São alarmantes as quantidades e as magnitudes das consequências possíveis, limitadas, hoje, no Brasil, apenas pela mera criatividade e pelo objetivo do “minerador” de tais dados.
Segundo um estudo realizado pela Organização não governamental, Artigo 19: A proteção à privacidade é, sem dúvidas, um direito chave que sustenta valores como liberdade de opinião e expressão e a dignidade humana. Ainda, a proteção aos dados pessoais é reconhecida como parte fundamental da privacidade pelo art. 17 do Pacto Internacional sobre Direitos Civis e Políticos, assinado e ratificado pelo Brasil (ARTIGO 19, 2017, p. 13)
Tal ratificação analisada concomitantemente com as possibilidades consequenciais que o mal manejo de dados pessoais pode acarretar mostram não apenas a importância do tema, como também a necessidade de haver algum tipo de regulação desta importante área cível e tecnológica. Hoje, do jeito que se encontra a matéria regulada – ou não regulada – acarreta diretamente na maculação de direito fundamentais constitucionais e de direitos de personalidade civis-constitucionais. Latente resta, assim, a necessidade de elaboração, discussão e implantação de lei com o fito de se ver tal abusividade cessada e ter os cidadãos brasileiros, usuários ou não da Internet, os seus direitos e dados preservados.
Existem, de fato, nas Casas Legislativas, 3 (três) projetos de lei que tratam do tema: PL 5.276/16, PL 4.060/12 e o PLS 330/13. Engavetados e com sucessivos requerimentos de prorrogação, aguardam, tal qual as almas das crianças não batizadas, num limbo legislativo pela vinda daquele que o levará para análise parlamentar e sua posterior e necessária ascensão à Internet e à sociedade que o clama.
1. O CONCEITO DE DADOS PESSOAIS
De início, faz-se necessária a definição do que seriam os “dados pessoais”, objeto principal da presente dissertação e, também, objeto principal de todos os projetos de Lei que serão tratados ao discorrer do presente artigo.
O Projeto de Lei nº 5.276/2016, hoje apensado ao P.L. nº 4.060/2012, dispõe em seu art. 5º, inciso I, que dado pessoal é o “dado relacionado à pessoa natural identificada ou identificável, inclusive números identificativos, dados locacionais ou identificadores eletrônicos quando estes estiverem relacionados a uma pessoa”. Aproveita e define também, mas em seu inciso III do mesmo artigo, que dado sensível é “aquele sobre a origem racial ou étnica de um indivíduo; suas convicções religiosas; filiação a sindicatos ou a organizações de caráter religioso, filosófico ou político; sobre sua saúde ou vida sexual; e dados genéticos e biométricos”, são, sobretudo, dados que, por se tornarem públicos, podem vir a ser propulsores de algum tipo de discriminação (INTERNETLAB, 2017).
Tal significado mostra-se em sintonia mas mais abrangente que a proteção a dados pessoais mencionada na Diretiva 95/46/CE do Parlamento Europeu e do Conselho, lei de referência do assunto na União Europeia. Para Alessandro Hirata (2014, p. 06) a Diretiva é o “texto referencial em tal matéria [refere-se à proteção à privacidade] e que procura
estabelecer um equilíbrio entre a proteção da vida privada e a livre circulação de dados pessoais na União Europeia”.
Ato contínuo, de acordo com Alessandro Hirata:
Tal Diretiva definia em seu art. 2º dados pessoais como qualquer informação relativa a uma pessoa singular identificada ou identificável. Tal definição é propositadamente ampla, a fim de abranger o maior número de situações possíveis. Desse modo, mesmo que a pessoa não possa determina-los, tais dados são bens a serem protegidos (HIRATA, 2014, p. 06).
“Definia” pois a Diretiva, adotada na União Europeia em 1995, “(...) foi revisada em 2015 e unificada na lei hoje conhecida como General Data Protection Regulation (GDPR)” (BOTHA, 2017, p.01)1. Essa lei, por sua vez, apesar de já estar vigente desde maio de 2016,
ainda não está “operando” em força total, evento que ocorrerá em 25 de maio de 20182.
Inclusive, tamanha é a importância de tal lei, sites como Facebook, AirBnb e Microsoft, por exemplo, estão notificando seus respectivos usuários acerca da mudança nos “Termos de Serviço e Política de Privacidade”.
A definição brasileira também está em consonância com a definição trazida pelo jornalista francês, Pierre Bellanger, estudioso e escritor na área cibernética, que definiu que: Os dados pessoais são as informações que informam, diretamente ou indiretamente, sobre um indivíduo identificado. Essa definição estabelece um direito singular de natureza pessoais do indivíduo no que concerne sobre seus dados, direito destinado a proteger, notadamente, sua vida privada (BELLANGER, 2015, p. 02, tradução livre)3.
Assim, percebe-se que a definição do objeto alvo da pretendida norma reguladora que está em discussão - morna mas existente - no Congresso Nacional está atualizado e dentro dos conceitos mais globalizados e de vanguarda do mundo. A ONG Artigo 19 (2017, p. 11) foi precisa ao pontuar em seu estudo acerca das diversas normas reguladoras
1Texto original como “[…]has been revised in 2015 and unified into a law known as the General Data Protection
Regulation (GDPR)” (BOTHA, 2017, p.01).
2A homepage da GDPR oferece, além de todo o trâmite da regulação, um relógio contando o tempo restante para entrar a lei em vigor total. Diponível em: <http://www.eugdpr.org/>.
3Texto original como “Les données personnelles sont les informations qui renseignent, directement ou indirectement, sur um individu identifié. Cette définition établit um droit singulier de nature personelle de l’individu concerne sur ses données, droit destiné à proteger, notamment, sa vie privée” (BELLANGER, 2015, p. 02).
brasileiras em discussão que “(...) com a instabilidade política e o diagnóstico dos congressistas de eu a matéria mereceria maior tempo de discussão, o regime de urgência [refere-se ao PL 5.276/16]”.
2. DAS LEIS EM VIGOR SOBRE DADOS PESSOAIS NO MUNDO E NO BRASIL
Desde o surgimento da Internet e, agora, acentuado pela crescente integração de plataformas digitais, evidenciou-se, no mundo, um significativo crescimento do risco e ocorrências de vazamento de dados pessoais (BOTHA, 2017). E, infelizmente, muitas vezes esses vazamentos são intencionais e feitos deliberadamente por grandes empresas detentoras de tais dados, vide o mais recente caso4 do facebook que resultou em vários
pedidos de desculpas por seu fundados, Mark Zuckerberg.
Pierre Bellanger complementa o panorama apresentado por Botha ao apresentar que:
Nossa vida passar sobre a rede. Nosso passado, até nossas lembranças numéricas estão sobre a rede. Nosso presente transita de mais em mais pela rede que, sem cessar, orienta nossas decisões. Nosso futuro depende da rede porque as informações coletadas sobre nós, hoje, determinam as escolhas que a nós serão propostas amanhã. Nossos amigos, nosso universo relacional passam igualmente pela rede, até agora inacessível sem essa intermediação digital (BELLANGER, 2015, p. 01, tradução livre)5.
E não é apenas a qualidade da informação pessoal e, por ser informação, também devem ser contados os dados identificadores, que estão dispostos hoje em rede nos mais diversos dispositivos e aplicativos. Há um alarmante crescimento da quantidade de dados. Finaliza Bellanger que:
O volume de dados coletados dobra a cada 28 a 24 meses. Os dados, antigamente discretos e então isoláveis, tornaram-se um fluxo contínuo de informações captadas e quantificadas a cada instante,
4Refere-se ao caso do Facebook com a Cambridge Analytica que eclodiu em abr/2018 e desmascarou uma ferramenta de propaganda eleitoral extremamente personalizada e eficaz que pôde ter impactado as eleições americanas para presidência em 2016.
5Texto original como “Notre vie migre sur le reseau. Notre passé, par nos souvenirs numérisés, est sur le réseau. Notre présent transite de plus en plus par le réseau qui, sans cesse, oriente nos décisions. Notre futur dépend du reseau car les informations collectées sur nous, aujourd’hui, déterminent les choix qui nous seront proposés demain. Nos amis, notre univers relationnel passent également par le réseau, jusqu’à être désormais inaccessibles sans cette intermédiation numérique” (BELLANGER, 2015, p. 01).
vinculando em tempo real os dados de fontes individuais (BELLANGER, 2015, p. 05, tradução livre)6.
E foi pensando nesse alarmante e assustador crescimento exponencial de informações dispostas em rede que, visando a proteção de direitos como a privacidade e a liberdade de expressão que um número significativo de leis assecuratórias e protetivas estão sendo deliberadas internacionalmente. Pontua Botha que:
Globalmente mais de 100 (cem) países, independentes jurisdições e territórios adotaram leis concernentes à proteção/privacidade de dados em poder por governos e companhias privadas (BOTHA, 2017, p. 02, tradução livre)7.
A União Europeia, por exemplo, conforme já citado, já adotava em 1995 a Diretiva 95/46/CE do Parlamento Europeu e do Conselho. Na mesma medida o Reino Unido já apresentava em 1998 o Data Protection Act que passaria a ser utilizado em concomitância com o já utilizado no âmbito europeu. Os Estados Unidos da América, por sua vez, apesar de não possuir uma legislação específica acerca de proteção de dados, possui inúmeras leis sobre privacidade desde 2011 (BOTHA, 2017).
FIGURA 1 – TRÂMITE MUNDIAL NO TOCANTE À PROTEÇÃO DE PROTEÇÃO DE DADOS EM 2016
Fonte: David Banisar (2016)
6Texto original como “Le volume de données collectées double tous les dix-huit à vingt-quatre mois. Les données, jadis discrètes et donc isolables, deviennent des flux continus d’informations captées et quantifiées à chaque instant, liant em temps réel les données de sources individuelles” (BELLANGER, 2015, p. 05). 7Texto original como “Globally more than 100 countries, independent jurisdictions and territories have adopted comprehensive data protection/privacy laws to protect data held by governments and private companies (BOTHA, 2017, p. 02).”
Para demonstrar o quão dissonante está o Brasil e seu Congresso Nacional quanto à importância do tema, dos dez países que hoje lideram o ranking nominal do PIB (Produto Interno Bruto)8, apenas a Índia9 figura ao nosso lado ao não dispor de lei abrangente no
tocante à proteção aos dados pessoais na Internet (AWATASHI, 2017).
Há de ser justo com o Legislativo brasileiro. Em que pese não haja, hoje, nenhuma lei abrangente e específica quanto à proteção dos dados, há leis marcantes e memoráveis em vigor. A Lei de Acesso à Informação (Lei nº 12.527/11) e o Marco Civil da Internet (Lei nº 12.965/14) regulamentado pelo Decreto nº 8.771/16 são os maiores exemplos que possuímos hoje na norma positiva de proteção cibernética aos dados pessoais.
A Lei de Acesso à Informação possui como objetivo a garantia do direito fundamental de acesso à informação e trata de assuntos de interesse da União, dos Estados, do Distrito Federal e também dos municípios. Parte do pressuposto constitucional de que todos têm direito a receber dos órgãos públicos tanto informações de seu interesse particular, quanto de interesse coletivo ou geral (BRASIL, 2011).
A referida lei segue os princípios básicos da administração pública e possui a publicidade como princípio geral, o sigilo como exceção e visa estimular o desenvolvimento da cultura de transparência na administração pública. A lei atribuiu seção própria para tratar das informações pessoais mas não vai muito além disso. A relevância da presente temática com a respectiva lei resume-se ao seu art. 31, caput, que diz que “o tratamento das informações pessoais deve ser feito de forma transparente e com respeito à intimidade, vida privada, honra e imagem das pessoas, bem como às liberdades e garantias individuais”.
Já o Marco Civil da Internet, em vigor desde 2014, é muito mais abrangente na temática de proteção de dados do que a Lei de Acesso à Informação. A Lei 12.965/14 é responsável por estabelecer “princípios, garantias, direitos e deveres do uso de Internet no Brasil e determina as diretrizes para a atuação da União, dos Estados, do Distrito Federal e dos municípios em relação à matéria”. Em seus 32 (trinta e dois) artigos, discorre desde fundamentos básicos da Internet brasileira como o respeito à liberdade de expressão a
8O ranking do PIB está vastamente disponibilizado na Internet. O utilizado para o presente artigo está disponível em: < https://pt.tradingeconomics.com/country-list/gdp>.
9A China, por exemplo, em razão da fluidez, velocidade e contemporaneidade acintosas do tema de proteção aos dados pessoais, aprovara e colocara em vigor, em 01 de junho de 2017, a China’s Cybersecurity and Data Protection Law (XIA, 2017). Logo, o mapa anteriormente apresentado já se encontra desatualizado mas ainda apropriado para fins didáticos.
garantias dos usuários e da provisão de conexão de Internet. Aqui, o ponto de maior interesse dentro do marco será no que diz respeito diretamente ao armazenamento de dados.
O Marco Civil determinou que os provedores devem guardar registros de conexão por 12 (doze) meses e os de aplicação por 6 (seis) meses. “Muitas empresas, porém, guardam também dados cadastrais, como filiação, endereço e qualificação pessoal (nome, estado civil e profissão do usuário)” (REVISTA .BR, 2017, p. 45) . A regulamentação serviu para definir regras para a requisição de dados cadastrais pelas autoridades administrativas competentes. O Decreto nº 8.771/16 prescreve que “a administração pública não poderá solicitar dados genéricos ou coletivos e precisará publicar, anualmente, relatórios de quantas requisições cadastrais fez, para onde e o número de usuários afetados, além de dizer quais são os padrões de utiliza para proteger esses dados” (REVISTA .BR, 2017, p. 46).”
Especialistas, porém, ressaltam que “embora o decreto tenha avançado na proteção aos dados pessoais, como ao prever inventário detalhado dos acessos aos registros de conexão e de acesso a aplicações, contendo o momento, a duração, a identidade do funcionário ou do responsável pelo acesso designado pela empresa e o arquivo acessado”, ele não anula a necessidade de uma lei específica sobre o assunto” (REVISTA .BR, 2017, p. 46).
Segundo Carlos Affonso Souza, diretor do Instituto de Tecnologia e Sociedade do Rio (ITS-Rio), organização cuja uma das missões é a análise das dimensões legais, sociais, econômicas e culturais da tecnologia ao tempo em que promove melhores práticas de regulação que protejam a privacidade, a liberdade de expressão e o acesso ao conhecimento, uma lei protetiva aos dados pessoais “é uma demanda que ainda precisa ser atendida, uma vez que nela serão tratados temas de grande relevância, como as regras sobre coleta e tratamento de dados pessoais, dados sensíveis, anonimização de dados, responsabilidade por vazamentos e transferência internacional de dados” (REVISTA .BR, 2017. p. 46).
Matéria legal relevante sobre a importância dos dados pessoais é, também, aquela aprovada na V Jornada de Direito Civil, em 2012, quando, numa tentativa de melhor tratar essa tutela, aprovou-se os enunciados que servirão de norte à interpretação do art. 21 do Código Civil brasileiro. Segue, assim, os referidos enunciados:
Enunciado 404 Art. 21: A tutela da privacidade da pessoa humana compreende os controles espacial, contextual e temporal dos
próprios dados, sendo necessário seu expresso consentimento para tratamento de informações que versem especialmente o estado de saúde, a condição sexual, a origem racial ou étnica, as convicções religiosas, filosóficas e políticas. (V JORNADA DE DIREITO CIVIL, 2012, p. 132)
Enunciado 405 Art. 21: As informações genéticas são parte da vida privada e não podem ser utilizadas para fins diversos daqueles que motivaram seu armazenamento, registro ou uso, salvo com autorização do titular. (V JORNADA DE DIREITO CIVIL, 2012, p. 132) Tão importante quanto a publicação dos referidos enunciados é a justificativa de terem sido eles discutidos.
Enunciado: Compreendem-se, na tutela da privacidade da pessoa humana, os controles espacial, contextual e temporal de seus dados, sendo necessário seu expresso consentimento para tratamento de informações que versem, ou potencialmente possam versar, sobre estado de saúde, condição sexual, origem racial ou étnica, convicções religiosas, filosóficas e políticas, ou de qualquer outro gênero que importe em estigmatização do indivíduo. Justificativa: Para nortear a tutela da privacidade, é necessário explicitar a existência de, ao menos, três nuances de controle de dados pela pessoa humana, que venham a tocar, sobretudo, as escolhas existenciais (dados/informações sensíveis). O controle espacial de dados importa na ciência quanto aos locais em que as informações da pessoa serão utilizadas; o controle contextual compreende o conhecimento da razão e do contexto em que serão tratados os dados; e o controle temporal (também já conhecido como direito ao esquecimento) significa conceder à pessoa a faculdade de obstar o uso de seus dados após o transcurso de certo tempo (art. 43, §1º, do Código de Defesa do Consumidor). É importante notar que o controle deve ser exercido por meio da ciência e do consentimento a ser outorgado pela pessoa, sendo que tais requisitos podem ser supridos mediante a incidência, no caso concreto, de outros interesses constitucionalmente tutelados e que venham a prevalecer sobre a autonomia existencial após a aplicação da técnica de ponderação (como exemplo, Enunciado 279 da IV Jornada de Direito Civil). (V JORNADA DE DIREITO CIVIL, 2012, p. 92)
3. DOS PONTOS A SEREM OBSERVADOS QUANDO DA IMPLANTAÇÃO DE UMA LEI PARA PROTEÇÃO AOS DADOS PESSOAIS NA INTERNET
Num contexto de pressão constante por informações, incluindo as informações pessoais, é imperativo que os Estados adotem boas e eficazes leis de proteção de dados dos cidadãos, e que respeitem direitos humanos como o da liberdade de expressão. O armazenamento e tratamento de dados pessoais é feito para os mais diversos fins, por atores
privados e públicos, online ou off-line, com interesses econômicos, políticos, jornalísticos, culturais e até de segurança.
No Brasil constantemente são noticiados casos de vazamento de dados pessoais, tratamentos sem consentimento, coleta de dados excessiva, entre outras ameaças que podem atingir diretamente o direito à privacidade. A lacuna legislativa na proteção de dados pessoais é, portanto, um problema já presente na sociedade brasileira que necessita de uma regulação adequada urgentemente.
Mas, em que pese a urgência, deve o legislador ater-se a questões de suma importância como a liberdade de expressão, a privacidade e a dignidade humana, questões discutidas e ratificadas pelo Brasil quando da assinatura do Pacto Internacional sobre Direitos Civis e Políticos. Uma observância displicente ou omissa dessas questões poderá ferir de morte ou pretendida legislação ou o Estado Democrático de Direito.
A Artigo 19 é uma organização internacional não-governamental (ONG) de direitos humanos com a missão de defender e promover o direito à liberdade de expressão e de acesso à informação em todo o mundo e com atuação, no Brasil, nas áreas de acesso à informação, Centro de Referência Legal, Direitos Digitais e Proteção e Segurança. Num estudo dedicado à temática objeto deste artigo, a ONG selecionou aspectos relacionados à liberdade de expressão e à garantia de outros direitos fundamentais que deveriam estar presentes nos projetos de lei em trâmite nas Casas Legislativas a fim de estabelecer o correto equilíbrio entre os vários direitos concorrentes.
Pontos, então, como menção expressa à proteção da liberdade de expressão, menção à Lei de Acesso à Informação, direito ao esquecimento, criação de órgão Regulatório, proteção aos dados sensíveis, graus de consentimento, consentimento do titular para compartilhamento de terceiros, proteção contra a transferência internacional, adoção de medidas de segurança e de manuseios dos dados pessoais, aplicação a todo o setor público, delimitação de pesquisa estatística, entre outros são essenciais e devem ser observados quando feitura e implantação de uma norma reguladora no tema (ARTIGO 19, 2017).
Para a ONG, a menção expressa à proteção da liberdade de expressão, por exemplo, deve:
[...] garantir o equilíbrio entre o direito à privacidade e o direito à liberdade de expressão. A privacidade é um termo amplo
relacionado à proteção da autonomia individual e do relacionamento do indivíduo e sociedade com outros indivíduos. O direito à privacidade é comumente reconhecido como um direito chave que sustenta a dignidade humana e outros valores, como a liberdade de associação e a liberdade de opinião. (ARTIGO 19, 2017, p 13)
Ainda de acordo com o estudo realizado pela ONG Artigo 19, o projeto de lei:
[...] deve criar e determinar competência e atribuições do órgão regulatório que ficará responsável por sua aplicação e implementação, assim como agir com mandato fiscalizador. Esse órgão regulatório deve ser independente tanto do ponto de vista administrativo quanto orçamentário. (ARTIGO 19, 2017, p. 19). No tocante à proteção aos dados sensíveis, já tratado anteriormente, o estudo finaliza pontuando que:
[...] a lei de proteção de dados pessoais deve criar um regime de tratamento diferenciado a esses dados, requerendo o consentimento expresso para o seu tratamento, pois o seu vazamento pode gerar graves consequências aos titulares e pessoas próximas, podendo, inclusive, causar restrições ao exercício da liberdade de expressão. (ARTIGO 19, 2017, p. 19).
Os graus de consentimento têm natureza de proporcionar ao titular dos dados um momento do qual ele pode expressar a sua vontade íntima. O estudo pontua que o consentimento não deve ser tratado pela lei como uma mera autorização mas sim com hierarquias diferentes (ARTIGO 19, 2017).
O projeto de lei também não deve permitir o compartilhamento de dados pessoais com terceiros sem o devido e claro consentimento do titular, a não ser nos casos de exceções previstas em lei e dispostas, em mero rol exemplificativo, naqueles constantes no art. 31 da Lei de Acesso à Informação.
Por fim, o último ponto a ser analisado deve ser o vacatio legis. A não proteção de dados pessoais é um problema já presente na sociedade brasileira que necessita de uma regulação adequada urgentemente. Mas, identificar a sua urgência não deve ser entendido como fazer uma lei às pressas. Muito pelo contrário. Uma elaboração displicente e irresponsável, sem as devidas observâncias a questões como liberdade de expressão, privacidade ou algum dos pontos elencados pela ONG Artigo 19 pode chegar a atentar à manutenção do Estado Democrático de Direito brasileiro.
4. OS PROJETOS DE LEI BRASILEIROS PERDIDOS NO LIMBO LEGISLATIVO
Em que pese o lento ritmo que os legisladores brasileiros estão frente à importância do tema, o Congresso Nacional, de fato, possui 3 (três) diferentes projetos de lei em trâmite legislativo: 1 (um) da Câmara dos Deputados, 1 (um) do Senado Federal e 1 (um) do Poder Executivo. Cada um dos Projetos de Lei possui suas próprias especificidades e estão em diferentes etapas do trâmite legislativo legal.
O PLS 330/13, de autoria do senador sergipano Antônio Carlos Valadares, após tramitar pela Comissão de Meio Ambiente e pela Comissão de Ciência, Tecnologia, Inovação, Comunicação e Informática, hoje encontra-se, desde de maio de 2016, na Comissão de Assuntos Econômicos aguardando parecer do relator e consequente deliberação e votação. O PL 5.276/16 é considerado pela ONG “Artigo 19”, apesar de algumas ressalvas, como o mais amplo e se encontra apensado desde outubro de 2016 ao PL 4.060/12 e, assim, aguarda em Comissão Especial a elaboração de parecer acerca da matéria. Para tanto estão sendo realizados frequentes e inúmeros requerimentos por Audiências Públicas a pedido dos deputados que à Comissão fazem parte.
Visando uma apresentação mais didática do que cada um dos projetos de lei ofereceria frente aos pontos considerados cruciais pela ONG, no estudo elaborou-se uma tabela onde foram dadas classificações a cada uma das leis no tocante a uma questão de suma importância. Os campos foram marcados com satisfatório(S), parcialmente satisfatório(PS), ausente(A) e insatisfatório(I).
QUADRO 1 – ASPECTOS DAS LEIS BRASILEIRAS EM TRÂMITE
Aspecto da Lei PL 5.276/16 PLS 330/13 PL 4.060/12 Menção expressa à proteção da liberdade de
expressão S A PS
Menção expressa à Lei de Acesso à Informação
(LAI) S A A
Direito ao esquecimento I I I
Proteção aos dados sensíveis S S PS
Graus de consentimento S S I
Consentimento do titular para
compartilhamento a terceiros S S I
Proteção contra transferência internacional de
dados S S A
Adoção de medidas de segurança e de manuseio
de dados S S PS
Aplicação a todo o setor público PS A I
Delimitação de pesquisa estatística A A A
Vacatio Legis 180 dias 120 dias 90 dias Fonte: Adaptado de Artigo 19 (2017, p.23).
O estudo da ONG discorre ainda, quanto ao PL.5.276/16, que:
[...] a construção do PL 5.276/16 deu-se no interior do Ministério da Justiça, no âmbito da Secretaria Nacional de Defesa do Consumidor a partir de diversas consultas públicas online que envolveram empresas, governos e a sociedade civil. Foi também o que contou com maior participação social. A plataforma de consulta pública do Poder Legislativo, o e-democracia, proporcionou um amplo debate de ideias dos mais diversos atores e que, ao final, resultou num projeto ao nível do debate internacional moderno sobre o tema. (ARTIGO 19, 2017, p. 25)
Assim, não há qualquer dúvida quanto à importância da temática de proteção de dados pessoais no Brasil e no mundo. Assunto em voga, com diversas legislações internacionais sendo implantadas em todo mundo, o Brasil parece “andar parado”. O ritmo lento com que os legisladores brasileiros vêm adotando ao tema já acarreta em muitos prejuízos, tanto de ordem patrimonial como de ordem criminal, a toda a sociedade que anseia por tal proteção.
Por tudo que foi exposto, infelizmente a legislação brasileira não abarca todas as medidas assecuratórias e protetivas de direitos ao que diz respeito ao tratamento e armazenamento de dados pessoais no campo cibernético brasileiro. A Lei de Acesso à Informação e o Marco Civil da Internet e seu decreto regulador, apesar da indiscutível importância para a sociedade, não são plenos e não satisfazem os anseios dos cidadãos brasileiros e sua inegável necessidade de proteção cibernética.
Desse modo, inegável é o reconhecimento de que há, de fato, um limbo legislativo brasileiro. A inércia e apatia que os legisladores brasileiros conferem à temática coloca deixa em risco toda a sociedade que a eles confiou a tarefa de legislar. Deve haver, portanto, urgência para deliberação da questão.
Tal urgência, contudo, não deve ser dada como justificativa para a implantação de uma lei considerada ruim. A lei deve respeitar, ao menos, parâmetros básicos, direitos fundamentais e ferramentas de autocontrole que mantenham ou incrementem o nível democrático da Internet brasileira. Respeito a princípios como democracia, privacidade, direito ao esquecimento e liberdade de expressão, por exemplo, devem balizar, a todo o momento, a discussão do tema.
Os cidadãos e seus legisladores, portanto, possuem em mãos uma faca de dois gumes. Se por um lado há a urgência de que se implante uma lei que vise regulamentar o tratamento e armazenamento dos dados pessoais, por outro lado uma implantação displicente e irresponsável, mas célere, sem a devida observância de princípios fundamentais, pode, inclusive, chegar a ferir de morte o Estado Democrático de Direito brasileiro.
Conforme as definições de “dados pessoais” e as legislações internacionais já em vigor, a discussão do tema aqui no Brasil está ao “nível do debate internacional moderno sobre o tema” (ARTIGO 19, 2017, p. 25). Os projetos de lei são, cada um à sua medida, importantes no sentido de fomentar o diálogo e caminhar para um futuro com uma regulamentação adequada aos anseios da sociedade.
O projeto de lei 5.276/16, por todas as suas características e aspectos abarcados, é considerado pela ONG Artigo 19, como o mais adequado, apesar de algumas ressalvas apresentadas. Liberdade de expressão, privacidade, consentimento, criação de órgão regulador independente são trunfos que o projeto possui frente aos outros dois também
analisados. E, por felicidade nossa e dos nossos legisladores, subsídios cognitivos não faltam para a adequada discussão temática. ONG’s, Fundações, especialistas no assunto e cidadãos comuns estão dispostos a compartilhar seus conhecimentos a fim de que, possamos, enfim, a proteção necessária e fundamental para o livre e democrático acesso à Internet.
REFERÊNCIAS
ARTIGO 19. Proteção de dados pessoais no brasil: Análise dos projetos de lei em tramitação no Congresso Nacional. São Paulo, 2017. Disponível em: <http://artigo19.org/?p=11329/>. Acesso em: 13 set. 2017.
AWATASHI, Sonakshi. Data privacy: Where is India when it comes to legislation?. Indian
Express, New Delhi, 24 ago. 2017. Disponível em:
<http://indianexpress.com/article/india/what-is-india-data-privacy-laws-4811291/>. Acesso em: 06 nov. 2017.
BANISAR, David. National comprehensive data protection/privacy laws and bills 2016 Map.
Privacy Laws and Bills. Disponível em:
<https://papers.ssrn.com/sol3/papers.cfm?abstract_id=1951416>. Acesso em 01 nov. 2017. BELLANGER, Pierre. Les données personnelles: une question de souveraineté. Le Débat, Paris, ano 2015/1, nº 183, p. 14-25. Disponível em: <https://www.cairn.info/revue-le-debat-2015-1-page-14.htm>. Acesso em: 01 nov. 2017.
BOTHA, J.; GLOBER, M.M.; HAHN, J.; ELOFF, M.M. A High-Level Comparison between the South African Protection of Personal Information Act and International Data Protection Laws. In THE 12TH INTERNATIONAL CONFERENCE ON CYBER WARFARE AND SECURITY (ICCWS), 12, 2017, Dayton. [S. l. : s. n.], 2017,12 p.
BRASIL. Decreto nº 8.771, de 11 de maio de 2016. Regulamenta a Lei no 12.965, de 23 de abril de 2014, para tratar das hipóteses admitidas de discriminação de pacotes de dados na internet e de degradação de tráfego, indicar procedimentos para guarda e proteção de dados por provedores de conexão e de aplicações, apontar medidas de transparência na requisição de dados cadastrais pela administração pública e estabelecer parâmetros para fiscalização e apuração de infrações. Diário Oficial da União, Brasília, 11 mai. 2016. Disponível em: <http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2016/decreto/D8771.htm>. Acesso em: 07 nov. 2017.
______. Lei nº 12.527, de 18 de novembro de 2011. Regula o acesso a informações previsto no inciso XXXIII do art. 5o, no inciso II do § 3o do art. 37 e no § 2o do art. 216 da Constituição Federal; altera a Lei no 8.112, de 11 de dezembro de 1990; revoga a Lei no 11.111, de 5 de maio de 2005, e dispositivos da Lei no 8.159, de 8 de janeiro de 1991; e dá outras providências. Diário Oficial da União, Brasília, 18 nov. 2011. Disponível em: <http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12527.htm>. Acesso em: 07 nov. 2017.
______. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil. Diário Oficial da União, Brasília, 23 abr. 2014. Disponível em: <http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm>. Acesso em: 07 nov. 2017.
CARVALHO, Igor Chagas de. A tensão entre o direito à informação e o direito à privacidade e o acesso aos arquivos sensíveis. Revista de Informação Legislativa, Brasília, ano 21, nº 202,
abr./jun. 2014. Disponível em: <
https://www12.senado.leg.br/ril/edicoes/51/202/ril_v51_n202_p115.pdf>. Acesso em: 06 nov. 2017.
HIRATA, Alessandro. O Facebook e o direito à privacidade. Revista de Informação Legislativa, Brasília, ano 51, nº 201, jan./mar. 2014. Disponível em: < https://www2.senado.leg.br/bdsf/bitstream/handle/id/502950/001002775.pdf?sequence= 1>. Acesso em: 06 nov. 2017.
Jornada de Direito Civil/Organização Ministro Ruy Rosado de Aguiar Jr., 5, 2012, Brasília. V Jornada de Direito Civil. Brasília: CJF, 2012. 388p. Disponível em: <http://www.cjf.jus.br/cjf/corregedoria-da-justica-federal/centro-de-estudos-judiciarios-1/publicacoes-1/jornadas-cej/vjornadadireitocivil2012.pdf>. Acesso em: 22 mai. 2018. O que são dados pessoais?. InternetLab, São Paulo, 11 jul. 2016. Disponível em: <http://www.internetlab.org.br/pt/opiniao/especial-o-que-sao-dados-pessoais/>. Acesso em: 06 nov. 2017.
PARLAMENTO EUROPEU, Directiva 95/46/CE do Parlamento e do Conselho de 24 de Outubro de 1995: Relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, In: Jornal Oficial das
Comunidades Europeias de 23 nov. 1995. Disponível em:
<http://ec.europa.eu/justice/policies/privacy/docs/95-46-ce/dir1995-46_part1_pt.pdf>. Acesso em 06 nov. 2017.
Qual a situação do Brasil no mapa de proteção de dados pessoais no mundo. Nexo Jornal,
São Paulo, 28 nov. 2016. Disponível em:
<https://www.nexojornal.com.br/expresso/2016/11/28/Qual-a-situa%C3%A7%C3%A3o-do-Brasil-no-mapa-de-prote%C3%A7%C3%A3o-de-dados-pessoais-no-mundo>. Acesso em: 13 set. 2017.
RIMBERT, Pierre. Données personnelles, une affaire politique. Le Monde Diplomatique,
Paris, set. 2016. Disponível em:
<https://www.monde-diplomatique.fr/2016/09/RIMBERT/56226>. Acesso em: 08 nov. 2017.
SILVA, Carolina. Como fica na prática. Revista .br: Publicação do Comitê Gestor da Internet no Brasil, São Paulo, ano 08, ed. 12, p.43-47, 2017.
VAZ, Phil. Pais da Igreja e o Pecado Original. Apologistas Católicos. Disponível em: <http://apologistascatolicos.com.br/index.php/patristica/estudos-patristicos/809-pais-da-igreja-e-o-pecado-original >. Acesso em 01 nov. 2017.
XIA, Sara. China Cybersecurity and Data Protection Laws: Change is Coming. China Law Blog, Beijing, 10 mai. 2017. Disponível em: < https://www.chinalawblog.com/2017/05/china-cybersecurity-and-data-protection-laws-change-is-coming.html>. Acesso em 06 nov. 2017.
