Valor econômico, v.19, n.4704, 08/03/2019. Legislação & Tributos, p. E2

Tratamento de dados sem consentimento 

Ricardo Oliveira 

08/03/2019

A contagem regressiva para início da vigência da Lei Geral de Proteção de Dados Pessoais (LGPD) segue inexorável e imperturbável: se considerarmos a Medida Provisória 869/2018, que ainda precisa ser votada, no dia 16 de agosto de 2020 o tratamento de dados pessoais terá que ser realizado nos termos de seu marco regulatório, tornando-se ilícito o tratamento realizado fora dos termos da LGPD.

Isso quer dizer, na prática, que o tratamento de dados pessoais (armazenamento, utilização, compartilhamento, distribuição ou qualquer outra ação com tais dados) existente nas empresas só poderá se dar mediante a satisfação de uma hipótese legal, que vem sendo chamada de base legal ou jurídica. Segundo o artigo 7º da LGPD, são dez as hipóteses legais, entre as quais se destaca o consentimento e o legítimo interesse.

Não fosse pela figura do legítimo interesse da empresa, que dispensa a coleta de consentimento por parte do titular, as hipóteses legais engessariam a atividade empresarial. Pensemos, por exemplo, no tratamento de dados realizados mediante consentimento, muito utilizado para justificar a criação de mailing para disparo de mala direta e propaganda.

Neste caso, o consentimento do titular, ou seja, sua manifestação de vontade no sentido de receber e-mails da empresa, é forma segura para tratamento dos dados pessoais do mesmo, porém, se o mesmo se arrepende e revoga o consentimento, a empresa fica impedida de prosseguir com a manutenção dos dados da pessoa. Sem consentimento a empresa teria que encaixar o tratamento de dados em outra base jurídica, e isso nem sempre é possível.

Sendo assim, a criação do legítimo interesse foi uma grande abertura que o legislador deixou na LGPD, a fim de impedir o referido engessamento. Mas o que é, afinal de contas, o legítimo interesse de uma empresa no que toca o tratamento de dados pessoais? Para auxiliar os jurisdicionados, o legislador descreveu na LGPD dois exemplos de legítimo interesse (art. 10): ações de apoio e promoção das atividades da empresa ou proteção dos direitos do titular dos dados. O rol de exemplos não é exaustivo, possibilitando a inclusão de outras hipóteses além das já citadas. Entretanto, ainda com os exemplos dados, a questão da subjetividade não é superada, o que torna essencial a análise caso a caso.

A União Europeia (UE), por já dispor de lei de proteção de dados muito antes do Brasil, avançou bastante na melhor interpretação do legítimo interesse, e tal interpretação foi incorporada pelo legislador e será, certamente, adotada pela doutrina e jurisprudência. Para melhor entender se o interesse é legítimo ou não, a análise passa pelo que chamamos de teste de ponderação, no qual o interesse da empresa é confrontado com outros elementos, a fim de se estabelecer o equilíbrio entre seus direitos e os direitos do titular dos dados pessoais.

Inicialmente, o interesse da empresa não pode conflitar com as expectativas comuns do titular. Uma pessoa, por exemplo, que tem interesse em baixar um e-book disponível em um site, em regra, não tem a expectativa de que seus dados serão compartilhados com provedores de internet para oferecimento de pacotes de serviços.

Outro exemplo neste sentido é o titular dos dados que aceita o cartão de fidelidade de uma rede de supermercados para obtenção de descontos. Não sabia ele que a rede de supermercados compartilhava seus dados e hábitos de consumo com empresas de plano de saúde, que poderiam auferir, se quisessem, se o titular ingere muitos alimentos processados, salgados ou doces.

Nos dois exemplos acima, verifica-se que, se o tratamento de dados que a empresa realizou, ainda que não conte com o consentimento expresso do titular, não infringiu as legítimas expectativas desde último, o tratamento poderá ser encaixado no legítimo interesse.

O teste de ponderação considera outras variáveis, entre as quais o tempo de tratamento de dados. O tratamento deve ser imediato, contemplando começo, meio e fim do mesmo, dando, assim, previsibilidade e maior segurança jurídica ao titular dos dados pessoais.

Outra grande questão a ser debatida no Brasil é se o tratamento de dados por legítimo interesse comporta oposição do titular dos dados ou não. A dúvida se originou no artigo 7º, que permite a aplicação do legítimo interesse "exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais". Novamente a LGPD mergulhou em termos subjetivos, causando sérias dificuldades e a necessidade de análises individuais. Na UE o entendimento é o de que o titular dos dados poderá se opor se houver violação à sua legítima expectativa, ou seja, não se trata de todos os casos.

Pelo que expomos acima, o legítimo interesse poderá ser essencial em duas situações: a primeira, para que as empresas justifiquem o tratamento de dados durante o período de transição de eficácia da LGPD. Se a base de dados antiga não se encaixar em nenhuma base jurídica, pensar em "situações concretas" para utilizar os dados pessoais pode ser a salvação antes que o banco irregular se perca; a segunda, para que as empresas consigam inovar e desenvolver novos produtos ou serviços, pois, na economia digital, torna-se essencial o uso de dados pessoais.