Concretamente, o que havia no Brasil antes da LGPD em termos normativos eram apenas legislações esparsas que não disciplinavam precisamente a proteção de dados pessoais, como o Código Civil e o Código de Defesa do Consumidor. Daí a capital importância da LGPD como diploma normativo autônomo na tutela do livre desenvolvimento de todas as expressões sociais da personalidade.
Todavia, apesar da ampla rede protetiva de direitos fundamentais criada pela LGPD, o marco normativo, como toda e qualquer legislação que nasce datada num tempo histórico sob a marca de determinadas impressões valorativas, apresenta alguns problemas e falhas que podem ter o condão de desnaturar os nobres objetivos que o legislador pretendeu implementar.
Eis adiante algumas prognoses ou potenciais externalidades negativas realizadas a partir da análise de atos legislativos abstratos que ainda não se realizaram concretamente, passíveis de confirmação na realidade prática que se desenrolará nos próximos anos.
Pois bem. O art. 2º da LGPD elenca textualmente os 7 (sete) fundamentos da proteção de dados pessoais. Embora os incisos do art. 2º utilize expressões como "desenvolvimento econômico e tecnológico e a inovação", "livre iniciativa e livre concorrência", a leitura sistemática da lei demonstra que esses objetivos correm um sério risco de não serem efetivamente cumpridos.
Basta ver que o art. 52, II, da LGPD, dispositivo que trata das sanções administrativas aplicadas em razão das infrações à proteção de dados pessoais, se aplicado literalmente, pode causar um forte desestímulo à "inovação" e à "livre iniciativa", fundamentos esses que norteiam a própria Lei Geral de Proteção de Dados. Diz o art. 52, II, da LGPD:
II - multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração".
"Feita a leitura atenta do dispositivo, vale pensar em uma situação hipotética - mas, contudo, absolutamente verossímil. Digamos que uma empresa de informática, com faturamento anual de R$ 5 milhões (e patrimônio de uns R$ 2 milhões, repleto de bens intangíveis, fundados em direito autoral), preste serviços de tratamento de dados para uma parceira comercial, em um contrato de R$ 200 mil por ano. Importante: não estou falando de lucro, mas, sim, de faturamento (ou seja, receita bruta).
Durante a execução desse contrato de prestação de serviços, que visa o tratamento de dados sensíveis de 100 pessoas, ocorre um problema de segurança causado por um hacker. Diante disso, os dados de 100 indivíduos ficam expostos. Friso, nesse passo, uma obviedade que passou ao largo da definição de "segurança" no glossário da LGPD e do seu artigo sobre a garantia respectiva: não existe computador 100% seguro, principalmente os que estão conectados à internet.
Pois bem. Seguindo a lei à risca, na hipótese, teríamos uma multa de 2% sobre o faturamento de R$ 5 milhões, o que seria igual a R$ 100 mil. Os leitores afoitos diriam: "ora, nada demais. Isso é muito barulho por nada". Contudo, a leitura atenta do inciso II acima transcrito termina com uma indexação alarmante, "por infração". Desta feita, in casu, se houve vazamento dos dados das 100 pessoas objeto do contrato de prestação de serviços, a multa seria de R$ 10 milhões! Oito vezes o patrimônio da empresa! Não é difícil imaginar a consequência: bancarrota! Ressalte-se, por oportuno, que não considerei os montantes de indenizações pessoais aos indivíduos, resultantes de ações individuais. Não vislumbrei, também, os valores astronômicos que poderiam advir de uma ação civil pública sobre o fato.".
Veja-se, portanto, que o art. 52, II, da LGPD, se aplicado sem razoabilidade pode colocar um entrave ao desenvolvimento econômico do país e, sobretudo, aos pequenos e médio empresários, que gozam de proteção constitucional diferenciada (CF, art. art.170, IX).
Estes pequenos e médios empresários serão compelidos a elevarem seus preços em razão do incremento no risco do negócio. Como se sabe, elevação do preço reduz a competitividade dos produtos por elas produzidos e induz a concentração de mercado.
Uma pequena e média empresa, além de não conseguir suportar os elevados custos financeiros que a regulação da proteção de dados causará sobre ela, ainda perderá a competitividade no nicho de mercado em que atua. Afinal, para o consumidor final não haverá um atrativo ou estímulo comercial para que ele deixe de comprar de um agente de grande porte para comprar com o de menor.
Isto quer dizer, portanto, que a própria lei que incentiva a inovação cria barreiras à entrada de novos players. Exigir, por exemplo, de uma empresa de pequeno porte uma série de medidas administrativas em pé de igualdade com empresas de grande porte, com capital financeiro e humano suficiente à cobertura dos custos de operação, incrementará sobremaneira os custos de transação, reduzindo a competitividade.
Não se trata de um simples incremento burocrático, mas de uma vasta teia de controles e protocolos a serem seguidos que encarecerá largamente os custos de operação, os quais, inevitavelmente, importarão em elevação dos preços dos produtos e serviços prestados por essas empresas. Empresas essas que, não raro, atuam em segmentos de mercado caracterizados pela baixa "elasticidade" na formação de seus preços, em que não há margem para a negociação no custo de operação ou mesmo na venda de um determinado serviço para consumidores finais.
Ao fim e ao cabo, é o próprio consumidor, objeto de maior tutela da LGPD, quem acaba suportando o preço mais elevado dos serviços a serem prestados pelos agentes econômicos privados que devem se submeter ao escrutínio da lei.
Esses perigos que a própria lei cria ao estímulo à "inovação" podem ser maiores se vistos sobre o ponto de vista da técnica de redação e o modo como a própria lei é construída. Isso porque, a LGPD é, em grande medida, principiológica, de "textura aberta". Utiliza diversos conceitos jurídicos indeterminados e abstratos que, na prática, abrem ampla margem de discricionariedade para quem interpreta a lei.
Veja-se, neste particular, que o § 1º do art. 52 da LGPD, apesar de estabelecer algumas balizas para que os agentes de tratamento de dados realizem a dosimetria das penas cominadas nos nove incisos do caput (do art. 52), traz alguns conceitos jurídicos indeterminados para aplicação das reprimendas aos infratores da lei. São exemplos: "a boa-fé do infrator" (inc. II), "a vantagem auferida ou pretendida pelo infrator" (inc. III) e "a adoção de política de boas práticas e governança" (inc. IX).