Notícias e Artigos
150 milhões de brasileiros versus Serasa: a suspensão do compartilhamento de dados à luz da Lei Geral de Proteção de Dados Pessoais
01 de
Dezembro,
2020
Por Marcela Macedo Féder
Desde a entrada em vigor da Lei Geral de Proteção de Dados Pessoais – LGPD, em 18 de setembro de 2020, muito se espera pelas primeiras repercussões da norma no âmbito jurisprudencial.
Recentemente, no último dia 20, foi prolatada decisão que determinou a suspensão da comercialização de dados pessoais cadastrados na plataforma da Serasa Experian, reconhecidamente um dos maiores órgãos de proteção ao crédito em território nacional. A operação foi identificada pela Unidade Especial de Proteção de Dados e Inteligência Artificial, vinculada ao Ministério Público do Distrito Federal e Territórios, levando ao ajuizamento de Ação Civil Pública em face da empresa.
Em seu arrazoado, o Ministério Público demonstrou sua inconformidade em relação às operações realizadas pela Serasa. Mais especificamente, a empresa viabilizou e incentivou a compra de dados pessoais (nome, endereço, CPF, 3 números de telefone, localização, perfil financeiro, poder aquisitivo e classe social) de mais de 150 milhões de cidadãos brasileiros, para fins de publicidade e captação de novos clientes.
Por meio dos serviços denominados “Lista Online” e “Prospecção de Clientes”, e pelo valor irrisório de R$ 0,98 por pessoa natural identificada, qualquer empresa poderia ter acesso à base de dados da Serasa. Destaque-se que os serviços oferecidos eram totalmente personalizados, sendo possível selecionar a categoria de público-alvo por meio da utilização de filtros.
Neste ponto, é imprescindível frisar que toda a operação foi articulada de maneira a tornar os dados extremamente acessíveis e atrativos aos interessados, fator este que aumenta a exposição e o risco de danos aos seus titulares.
Diante disso, o Ministério Público argumentou que tal prática viola dispositivos da Constituição Federal (art. 5º, inc. X), bem como regras infraconstitucionais, previstas no Código Civil (arts. 11 e 20), Código de Defesa do Consumidor (art. 43, § 2º), Marco Civil da Internet (art. 3º, incs. II e III) e Lei Geral de Proteção de Dados Pessoais (art. 2º, inc. I).
Especificamente sobre a LGPD, defendeu-se que a operação estaria em desacordo com o art. 44, no sentido de que o tratamento de dados pessoais é considerado irregular quando não fornecer a segurança que o titular dele pode esperar, relacionadas ao modo pelo qual é executado, ao resultado e riscos que razoavelmente dele se esperam e às técnicas de tratamento disponíveis à época em que foi realizado. Observe-se que a LGPD traz um conceito amplo de tratamento de dados (art. 5º, inc. X), de forma a enquadrar a operação realizada pela Serasa.
Ainda, considerando que a comercialização de dados foi realizada sem o conhecimento ou a anuência de seus titulares, haveria violação ao art. 8º do mesmo dispositivo legal, o qual dispõe que “o consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas” (§ 4º).
Em outras palavras, ao ceder seus dados para a Serasa com a finalidade de proteção ao crédito, o titular não dá consentimento com a finalidade de tratamento relacionada a publicidade e prospecção de clientes, que é oriunda diretamente da comercialização.
Face aos graves indícios de irregularidades praticadas pela Serasa, o Ministério Público, em sua Exordial, fala em “grande incidente de segurança monetizável” e “vazamentos de dados”.
Em decisão de 1º grau, o Juiz da 5ª Vara Cível de Brasília indeferiu o pedido de concessão da tutela de urgência, sob o fundamento de que a operação estaria amparada pelas bases legais do legítimo interesse e da proteção do crédito (art. 7º, incs. IX e X da LGPD).
Assim, entendeu que a Lei permite a utilização desses dados para atender aos legítimos interesses do controlador ou de terceiro e que, neste caso, em tese não haveria lesão aos direitos e às liberdades fundamentais do titular. Destacou, também, que não estão sendo comercializados dados sensíveis (aqueles que podem resultar em discriminação do titular) e que tais informações “são habitualmente fornecidas pelos sujeitos de direitos nas suas relações negociais e empresariais”, tornando desnecessário o expresso consentimento do titular.
Além disso, consignou que as informações relativas ao perfil financeiro e padrão de consumo dos titulares “interessam ao desenvolvimento econômico, à livre iniciativa, à livre concorrência e, portanto, à própria defesa do consumidor”, conforme art. 2º, incs. V e VI da LGPD. Ou seja, na ponderação do magistrado, entre atingir os legítimos interesses das empresas e proteger a privacidade do titular de dados, deve prevalecer o legítimo interesse – justificando o tratamento.
Irresignado, o Ministério Público interpôs Agravo de Instrumento e, em decisão proferida pelo Des. César Loyola, obteve a concessão da tutela de urgência para suspensão imediata da comercialização dos dados pela Serasa.
Nesta oportunidade, aduziu que “para que o tratamento de dados seja fundamentado no legítimo interesse do controlador é necessário que seus propósitos sejam legítimos, específicos, explícitos e informados ao titular do dado, sendo que as finalidades do tratamento devem ser compatíveis com aquelas informadas ao titular, bem como que o tratamento seja limitado ao mínimo necessário à realização de suas finalidades, trazendo clara obediência aos princípios da finalidade, da adequação e da necessidade preconizados na Lei Geral de Proteção de Dados” (art. 6º, incs. I, II e III).
Além disso, ressaltou um dos fundamentos da LGPD, a autodeterminação informativa (art. 2º, inc. II), que garante ao titular o poder sobre qualquer tipo de uso ou de tratamento de seus próprios dados.
Concluiu, então, que ainda que fosse reconhecido o legítimo interesse do controlador, a operação deveria ser descontinuada, visto que os direitos e liberdades fundamentais de mais de 150 milhões de brasileiros estão claramente sendo violados. Deste modo, considerando as circunstâncias, “o interesse comercial e lucrativo da empresa ré não pode se sobrepor ao interesse dos titulares dos dados”.
Da mesma forma, o Tribunal de Justiça do Distrito Federal e dos Territórios reconheceu a irregularidade da operação, trazendo especial destaque ao § 5º do art. 7º da LGPD, o qual prevê expressamente que o controlador que obtiver o consentimento do titular para tratar seus dados deverá solicitar consentimento específico para compartilhar tais dados com outros controladores, ressalvadas as hipóteses de dispensa de consentimento previstas na Lei – que não é o caso.
Não é o caso porque, em seu entendimento, há a incidência da exceção admitida pelo art. 7º, inc. IX, que prevê a base legal do legítimo interesse do controlador, mas, na parte final, aponta para uma possível prevalência de “direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais”.
Sob tais fundamentos, deferiu a antecipação de tutela requerida pelo Ministério Público e fixou multa no valor de R$ 5.000,00 por cada venda efetuada em desconformidade com a decisão.
Portanto, no caso em análise, percebe-se que a aplicação da LGPD deu origem a um embate principalmente entre a hipótese de tratamento de dados do legítimo interesse do controlador e de terceiro (art. 7º, inc. IX) e o fundamento legal do respeito à privacidade (art. 2º, inc. I e art. 7º, inc. IX, parte final).
Assim, de um lado encontram-se as prerrogativas de liberdade econômica, livre iniciativa, concorrência e desenvolvimento econômico. De outro, o princípio da dignidade da pessoa humana, o direito fundamental à privacidade e a autodeterminação informativa.
Em termos concretos, trata-se de um sopesamento, que requer uma análise cautelosa dos fatos e, sobretudo, do novo regramento nacional acerca da proteção de dados – a LGPD. Destaca-se que estas decisões pioneiras relacionadas à aplicação da LGPD são de extrema importância, porquanto ainda não há diretrizes jurisprudenciais consolidadas sobre o assunto.
O mérito desta ação ainda não foi julgado. Por ora, após a concessão da liminar, prevalece o empoderamento dos titulares de dados. Face às discussões trazidas pelo feito e diante da ampla repercussão na comunidade jurídica, certamente há grande expectativa entre os operadores do direito acerca dos novos desdobramentos do caso.
Artigos Relacionados
Fale Conosco
Entre em contato pelo telefone (41) 3252-1052 ou envie sua mensagem através do formulário