RESPONSABILIDADE EXTRACONTRATUAL DO AGENTE DE TRATAMENTO DE DADOS
(artigos 42 a 45 da LGPD)
Fernão Justen de Oliveira Doutor e mestre em Direito pela UFPR Sócio de Justen, Pereira, Oliveira e Talamini fernao@justen.com.br 1. Conclusão: limite jurídico à rastreabilidade do indivíduo
Esta análise sobre a responsabilidade do controlador e do operador (art. 42), os dispositivos sobre processo civill (parágrafos do art. 42), as hipóteses de não-incidência de responsabilidade (art. 43), o tratamento de dados “irregular” (art. 44) e a autonomia do regime consumerista (art. 45) conduziu às seguintes conclusões:
a. A LGPD impõe limite jurídico ao acesso e disposição, por terceiros, dos dados pessoais que permitem a rastreabilidade do indivíduo.
b. O regime de responsabilidade subjetiva da LGPD protege direitos fundamentais da personalidade: tanto a privacidade e intimidade do indivíduo, quanto a sua disposição privativa sobre os atributos que compõem o patrimônio material e imaterial próprio.
c. Para haver dano indenizável, não basta que o ato seja lesivo ao titular dos dados: é preciso que seja também ilícito. A ilicitude é premissa do dano, que por sua vez é condição da indenização.
d. Em juízo, a LGPD incorpora parcialmente a disciplina do Código de Defesa do Consumidor sobre solidariedade passiva para indenizar, inversão do ônus da prova, ação por dano coletivo e direito de regresso.
e. Não incide responsabilidade do agente de dados que provar que o dano decorreu de conduta não praticada por si, ou de conduta lícita sua, ou de culpa exclusiva alheia.
f. O tratamento de dados irregular induz ao dever de indenizar por ato ilícito ou por fato do serviço prestado sem segurança razoável ou compulsória.
g. A responsabilidade do agente de tratamento dispensa a existência de relação de consumo, que permanece tutelada por legislação própria.
2. Artigo 42—A responsabilidade do controlador e do operador Art. 42. O controlador ou o operador que,
O Capítulo VI da LGPD versa sobre a responsabilidade civil dos agentes de tratamento de dados pessoais, com três Seções dispondo sobre condutas do controlador, do operados e do encarregado, bem como sobre o ressarcimento de eventual dano por eles causado. A expressão “extracontratual” consagrou-se
como equivalente ao gênero da responsabilidade civil, quando não se cogitar de responsabilidade contratual.
A LGPD identifica os agentes de tratamento como o controlador e o operador, (art. 5°, inc. IX), o que exclui o encarregado de responsabilidade pelos atos de que tenha participado na condição de mero canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados—ANPD (art. 5º, inc. VIII).
Identicamente, o art. 42, caput, incide somente sobre as duas categorias de agentes de tratamento, ambas abrangendo indistintamente pessoa natural ou jurídica, de direito público ou privado: ao controlador competem as decisões referentes ao tratamento de dados pessoais (art. 5º, inc. VI); o operador realiza o tratamento em nome do controlador (art. 5º, inc. VII).
2.1 Tratamento: ato jurídico típico do art. 5°, inc. X em razão do exercício de atividade de tratamento de dados pessoais,
Os agentes de tratamento praticam ato jurídico típico, que a LGPD designa de “tratamento” de dados pessoais.
Tratar dados é administrar profissionalmente um universo conhecido e detido de informações individuais de terceiros. Esses dados referentes à pessoa recebem proteção constitucional (e agora da LGPD) por integrarem o rol de direitos da personalidade.
A lei qualifica o tratamento como “atividade” consistente em toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração (art. 5º, inc. X).
A responsabilização do agente de tratamento decorrerá da transgressão de deveres inerentes ao tratamento que resultem em dano indenizável.
2.2 O dano como premissa da indenização causar a outrem dano patrimonial,
moral, individual ou coletivo,
Os dados pessoais integram o patrimônio individual, o que os torna cobertos pela privacidade, intimidade e privativa disposição dos próprios bens materiais e imateriais.
A LGPD dispõe múltiplos deveres aos agentes de tratamento, cujo descumprimento consistirá em ato ilícito: manter registro das operações (art. 37), elaborar relatório de impacto à proteção de dados pessoais, preservar segredos comercial e industrial (art. 38), adotar medidas, salvaguardas e mecanismos de mitigação de risco (art. 38, par. único), o operador seguir as instruções fornecidas pelo controlador, o controlador fiscalizar o operador (art. 39), seguir os padrões da autoridade nacional sobre interoperabilidade, livre acesso, segurança e tempo de guarda (art. 40).
A LGPD atribui à parte inocente o direito a reparação ampla e na medida da ofensa, por isso alude a danos materiais e imateriais, inclusive coletivos. Tais danos atingem direito fundamental do indivíduo consistente em dispor livremente sobre os atributos da sua personalidade—inclusive para não expô-los, quanto menos sem autorização ou mesmo conhecimento.
2.3 A ilicitude como premissa do dano
em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
O dano se configura pelo impacto negativo causado ao patrimônio por conduta alheia violadora da lei. Será indenizável, por configurar dano, a lesão que resulte de ato ilícito. Não será indenizável o decréscimo patrimonial que decorra de ato lícito praticado por outrem.
A ilicitude é condição para haver dano, portanto indenizável. Não será dano, na estrita acepção jurídica, uma diminuição de patrimônio material ou infringência a patrimônio imaterial que não tenha origem em ato ilícito—aquele que necessariamente ofende a lei. “Dano injusto” é uma expressão redundante: só será dano o decréscimo patrimonial ou ofensa extrapatrimonial oriundo de uma conduta oposta ao direito.
Recorde-se que a indenização possui dupla função: de reparação, que restitui ao estado anterior o patrimônio da parte inocente, e de sanção desestimuladora da conduta reprovável praticada pela parte culpada. No caso da LGPD, a menção genérica a “reparação” estaria incompleta não fosse a suplementação por meio da alusão a “indenização” por outros dispositivos da lei, como ocorre no § 1º do art. 42.
3. Dispositivos sobre processo civil
Os quatro parágrafos do art. 42 dispõem sobre solidariedade passiva para indenizar, inversão do ônus da prova em juízo, ação por dano coletivo e sobre direito de regresso.
3.1 Solidariedade passiva para indenizar
§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:
I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei; II - os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei.
A solidariedade entre os agentes de tratamento consta do § 1º do art. 42 como providência apta a assegurar a efetiva indenização ao titular lesado.
controladores para indenizar o titular lesado. O envolvimento apenas indireto no tratamento exclui a solidariedade do controlador do dado pessoal, assim como as hipóteses de não-incidência de responsabilidade dispostas no art. 43.
O inc. I do § 1º estabelece a solidariedade do operador, por equiparação com o controlador, quando não seguir as instruções lícitas deste ou quando descumprir os próprios deveres legais.
3.2 Inversão do ônus da prova em juízo
§ 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.
A previsão da LGPD sobre inversão do ônus da prova em juízo segue disciplina similar à do art. 6°, inv. VI, do Código de Defesa do Consumidor (Lei 8.78/90): São direitos básicos do consumidor: VIII – a facilitação da defesa de seus direitos, inclusive com a inversão do ônus da prova, a seu favor, no processo civil, quando, a critério do juiz, for verossímil a alegação ou quando for ele hipossuficiente, segundo as regras ordinárias de experiências.
Assim como o CDC, a LGPD mantém o ônus da prova por quem alega o direito, reservando a inversão para circunstância excepcional. Mas diversamente ao CDC, a LGPD restringiu a hipossuficiência —reconhecida por ponderação do juiz— à sua dimensão jurídica (sem estendê-la à econômica): para a produção da prova inviável para o titular dos dados ou excessivamente onerosa para ele. 3.3 Ação por dano coletivo
§ 3º As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.
A regra do § 3º do art. 42 também se inspira no direito do consumidor— especificamente na tutela dos direitos coletivos, contida no art. 81 e parágrafo único do CDC, cujos três incisos distinguem os direitos difusos, os direitos coletivos stricto sensu e os direitos individuais homogêneos.
A doutrina e a jurisprudência reputam a disciplina do CDC como aplicável a qualquer ação coletiva, não apenas às que versem sobre relação de consumo. Essa orientação compreende haver um microssistema de processo coletivo formado pela interação das leis de processo coletivo, regulamentando por igual a ação civil pública, a ação popular e o e mandado de segurança coletivo—como, agora, a LGPD.
Esse microssistema aproveita inclusive o art. 94 do CDC, pelo qual os interessados poderão intervir no processo como litisconsortes, após publicação do ajuizamento em edital ou mesmo sua divulgação por órgãos de comunicação social.
3.4 Regresso
§ 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.
A LGPD garante o exercício do direito de regresso pelo agente de tratamento cujo patrimônio seja, por solidariedade, alcançado pela indenização. Nesse caso, o agente solidário poderá ajuizar ação para ressarcir-se perante o agente de tratamento que praticou materialmente o ato lesivo.
A solidariedade entre agentes de tratamento restringe-se ao dever de indenizar—situação diversa da culpa concorrente na prática do ato ilícito que causou dano ao titular.
A lei incorpora a disciplina corrente sobre o regresso ao estabelecer a proporcionalidade entre o esforço do patrimônio de cada agente com a respectiva participação no evento danoso, conforme o grau de culpa de cada qual, conforme apurada no anterior processo judicial que originou a ação de regresso.
4. Artigo 43—Não-incidência de responsabilidade Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem:
As hipóteses reconhecidas pela LGPD de não-incidência da responsabilidade extracontratual do agente de tratamento são a conduta não praticada, a conduta lícita e a culpa alheia
A não-incidência não se confunde com exclusão de responsabilidade. No primeiro caso, nem chegou a existir o dever de indenizar porque faltaram os elementos configuradores da responsabilidade; no segundo, supostamente esses elementos teriam chegado a existir e, supervenientemente, desaparecido. As hipóteses de não-incidência são anteriores à própria cogitação da responsabilização, não posteriores (como seria uma excludente) à identificação da culpa.
4.1 Conduta não praticada
I - que não realizaram o tratamento de dados pessoais que lhes é atribuído;
A negativa de autoria do inc. I impede a responsabilização porque consiste na ausência da prática do próprio ato de tratamento de dados pessoais que tenha causado o dano ao titular.
4.2 Conduta lícita
II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou
O inc. II confirma o regime de responsabilidade subjetiva ao subordinar o dever de indenizar ao cometimento de ato ilícito. Para configurar dano e conduzir à obrigação de indenizar, o ato de tratamento de dados deve incidir em violação direta da lei.
4.3 Culpa exclusiva alheia
III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro.
Exime-se de responsabilidade o agente de tratamento que provar culpa exclusiva alheia. Ressalte-se que a LGPD atribui o ônus da prova dessas três hipóteses de não-incidência ao agente de tratamento. Não se trata de inversão do ônus da prova, cabível em circunstâncias diversas para desonerar o titular dos dados, mas de atribuição direta de ônus da prova ao agente de tratamento especificamente nesses três fatos de defesa.
5. Artigo 44—O tratamento de dados “irregular” Art. 44. O tratamento de dados pessoais será irregular quando
A categoria de ato “irregular” é afeta ao direito público, muito frequentemente ao direito administrativo.
Nas relações de direito privado, sobre o qual incide genericamente a LGPD, a imputação de “irregular” exige interpretação conforme para ser aplicada.
A adoção da expressão “irregular” pelo art. 44, caput, parece justificar-se pela segunda parte do caput, que não descreve propriamente ato ilícito, mas ato desprovido de segurança razoável conforme critérios.
5.1 Ato ilícito: responsabilidade subjetiva deixar de observar a legislação ou
A primeira parte do caput do art. 44 refere-se sem equívoco a responsabilidade subjetiva, dependente da prática de ato ilícito para conduzir ao dever de indenizar.
5.2 Segurança razoável: responsabilidade por fato do serviço quando não fornecer a segurança que o titular dele pode
esperar, consideradas as circunstâncias relevantes, entre as quais:
I – o modo pelo qual é realizado;
II – o resultado e os riscos que razoavelmente dele se esperam;
III – as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado.
Já a segunda parte do caput do art. 44 aproxima-se da responsabilidade pelo “fato do produto ou do serviço” consagrada no direito do consumidor, especificamente no art. 12, § 3º, do CDC—em contraposição ao vício ou defeito do produto ou do serviço.
Os três incisos do art. 44 da LGPD discriminam parâmetros (exemplificativos) pelos quais a funcionalidade natural do serviço será regular— ainda que potencialmente danosos. Caso o tratamento de dados não se contenha dentro desses limites, não haverá ainda ato ilícito indenizável, mas irregularidade indutora de responsabilidade pelo mero fato do serviço estar em
desacordo com as regras de segurança razoável.
Caso o serviço esteja irregular (no termo da LGPD) porque dissonante dos critérios dos três incisos, o dano decorrente da mera prestação será indenizável pelo agente de tratamento. Nesse caso, o dever de indenizar não terá origem em anomalia do tratamento de dados, mas em violação dos parâmetros de segurança razoável dispostos em lei.
Ou seja, a responsabilidade permanecerá subjetiva (não objetiva), apenas reconduzida por lei a condição pela qual não é preciso que o serviço tenha sido prestado de modo equivocado—bastará que a sua funcionalidade natural seja potencialmente danosa para que o agente de tratamento sujeite-se a indenizar. 5.3 Segurança compulsória: responsabilidade por omissão
Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano.
O parágrafo único do art. 44 confirma a responsabilidade do agente de tratamento que omitir medidas compulsórias de segurança de dados pessoais, com resultado dano.
O art. 46 alude a proteção sobre o acesso com efeito, culposo ou danoso (aos quais refere-se imprecisamente a acidental e ilícito), de qualquer forma de tratamento inadequado ou ilícito.
Haverá incidência do princípio do art. 6º, inc. X, sobre o tratamento de dados pessoais, relacionado à responsabilização e prestação de contas pelo agente de tratamento, por meio da demonstração de que adotou medidas eficazes para proteção de dados pessoais.
6. Artigo 45—Autonomia do regime consumerista Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente.
A LGPD ressalva a manutenção da vigência do Código de Defesa do Consumidor, ao reconhecer tacitamente que o tratamento de dados não configura relação de consumo, necessariamente.
Bastará o acesso e gestão de dados pessoais alheios, nos termos da conceituação do art. 5º, inc. X, para que o agente de tratamento sujeite-se à responsabilização nos termos da LGPD—para isso prescindindo de relação de consumo subjacente a esse tratamento.
Informação bibliográfica do texto:
OLIVEIRA, Fernão Justen de. Responsabilidade extracontratual do agente de tratamento de dados (artigos 42 a 45 da LGPD). Informativo Justen, Pereira, Oliveira e Talamini, Curitiba, nº 163, setembro de 2020, disponível em http://www.justen.com.br, acesso em [data].
