Assim, a exceção prevista no §4º do art. 7º mostra-se como uma potencial válvula de escape aos controladores sujeitos à LGPD e que atuam com modelos baseados na “gestão de consentimentos”. Não obstante, ainda assim a atividade de tratamento de dados dispensados de prévia autorização do titular deve respeitar os limites principiológicos e legais previsto em nossa recente lei, limites estes que, neste momento, ainda são um tanto disformes e nebulosos.
Somente o tempo nos permitirá compreender a verdadeira utilidade da exceção tratada, mas não tenho dúvida de que o §4º do art. 7º da LGPD será uma das principais ferramentas utilizadas por aqueles que defendem uma fluidez maior para o ambiente de tratamento de dados pessoais.
(2) Deve ficar claro que as regulamentações relacionadas à proteção de dados pessoais não são, na sua maior parte, voltadas apenas ao âmbito digital, mas é nesse ambiente aterritorial e ubíquo em que o fluxo e a troca de dados é muito mais intensa e, consequentemente, é onde encontramos o terreno fértil para avaliar as questões jurídicas relacionadas à exploração de dados pessoais.
(4) Artigos “A nova Lei Geral de Proteção de Dados Pessoais (Parte I a XVII)”, de Ana Frazão (disponível em <http://anafrazao.com.br/pt/publicacoes/tipo:5>); Artigo “Lei Geral de Proteção de Dados do Brasil: análise contextual detalhada”, de Renato Leite Monteiro (disponível em <https://www.jota.info/opiniao-e-analise/...da.../lgpd-analise-detalhada-14072018>); Livro “Proteção de dados pessoais. Comentários à Lei n. 13.709/2018” de Patrícia Peck Pinheiro;
(5) Termo utilizado na LGPD para referir-se a qualquer forma de uso de dados, conforme inciso X do art. 5º: “toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração”.
(6) Não resta dúvida de que a hipótese autorizadora do inciso IX do art. 7º, que permite o tratamento de dados “quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais”, é possivelmente aquela com a melhor fluidez prática para que um controlador exercite suas atividades comerciais. Contudo, neste atual momento, não podemos ignorar que essa regra é dotada de considerável incerteza e abstração em face à concepção do “legítimo interesse”, sendo a obtenção de consentimento, ainda, uma forma mais segura de justificar o tratamento de dados.
O art. 10 da LGPD até auxilia um pouco nessa questão, mas ainda assim deixa expresso que o interesse legítimo dever ser aferido em cada caso concreto:
Art. 10. O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a
(7) Nos termos do art. 5º, incisi VI da LGPD, controlador é: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
(8) Art. 8º O consentimento previsto no inciso I do art. 7º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
(9) A GDPR, em seu art. 9º, que trata do processamento de dados sensíveis, determina em seu parágrafo 1º que o tratamento de tais dados é vedado, salvo nas hipóteses excepcionais previstas no parágrafo 2º, no qual, no item (e), encontramos uma exceção cuja construção é muito similar àquela do §4º do art. 7º da LGPD, como se vê:
(11) Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos.
(13) Art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as disposições legais em contrário.
(15) “Seja como for, entende-se que dados de acesso público são dados cuja divulgação pública é obrigatória por lei – o fato de alguém ser proprietário de um imóvel, ou sócio de uma empresa, por exemplo, ou os dados acerca das atividades de órgãos públicos, nos termos da Lei de Acesso a Informações”. Comentários publicados no blog InternetLab, disponível em <http://www.internetlab.org.br/pt/opiniao/o-que-sao-dados-publicos/> acesso em 28/12/2018.
(16) “Nesses cenários, a justificativa para o tratamento desses dados de acesso público pode ser facilitada – notadamente, por exemplo, no caso do tratamento desses dados com base no legítimo interesse. Mas isso não altera o fato de que o tratamento deve da mesma forma se enquadrar em uma das modalidades que autorizam esse tratamento – o que, como mencionado anteriormente, pode ocorrer com o consentimento, englobando também, entre outras modalidades de autorização, o cumprimento de uma obrigação legal pelo responsável; a execução de um contrato ou os procedimentos preliminares relacionados a um contrato; o exercício regular de direitos em processo judicial ou administrativo, e a já mencionada existência de legítimo interesse do responsável ou de terceiro” Comentários publicados no blog InternetLab, disponível em <http://www.internetlab.org.br/pt/opiniao/o-que-sao-dados-publicos/> acesso em 28/12/2018.
(17) Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
(18) Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição: