L E TRAITEMENT DES EPISODES NEIGEUX EN E SPAGNE ( REGION DE M ADRID )
1 - L’EXPOSITION AU RISQUE NEIGEUX ET L’ORGANISATION DES POUVOIRS PUBLICS POUR Y FAIRE FACE
A Lei Geral de Proteção de Dados Pessoais, por ser amplamente inspirada na evolução da doutrina europeia, insiste em uma autorregulação e na aplicação de práticas de compliance.
Para além da evolução doutrinária da proteção de dados pessoais, é preciso destacar que nos moldes sociais atuais a tecnologia é também vetor de regulação. Esta, conforme o caso, pode mitigar ou neutralizar a regulação jurídica e decisões judiciais.
Como explicado no subitem anterior, a dinâmica da inteligência artificial por vezes não é passível de compreensão e explicação. Além disso, a dinâmica de comunicações criptografadas, por vezes, não pode ser desvendada facilmente, tanto por questões da política de privacidade dos usuários de determinada rede quanto por barreiras na própria tecnologia. Como exemplo, estão as reiteradas decisões de retirada do aplicativo WhatsApp do ar no Brasil.585
585 Ocorreram, até o momento, quatro bloqueios do aplicativo de mensagens do grupo do Facebook. O primeiro, de fevereiro de 2015, não foi cumprido antes da liminar ser revogada; o segundo, em dezembro de 2015,
A tecnologia, em seu estado da arte, pode ser uma barreira quase intransponível à regulação jurídica, já que a escolha desta não é necessariamente neutra e pode ser criada para prejudicar direitos dos titulares sob um pretexto de sua inteligibilidade.
Neste contexto social e tecnológico, uma autoridade de proteção de dados pessoais é medida essencial para que a proteção deste ramo do direito seja resguardada de forma administrativa. Um órgão isento e independente garante aos titulares dos dados pessoais a efetiva proteção de seus direitos, que são, entre outros, os incisos do art. 18 da LGPD:
I - confirmação da existência de tratamento; II - acesso aos dados;
III - correção de dados incompletos, inexatos ou desatualizados;
IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;
V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;
VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
VIII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
IX - revogação do consentimento
Assim, uma autoridade de proteção de dados é essencial para que a lei seja interpretada de forma sistemática e unitária, já que hoje desde a coleta ao descarte há o tratamento de dados pessoais.
A criação de uma autoridade se deu de forma complexa no Brasil. No primeiro projeto apresentado, Projeto de Lei n.º 4060/2012, a única menção a qualquer autoridade se dava em seu art. 24,586 que informava que os direitos previstos na lei não excluía outros de outras leis ou regulamentos de outras autoridades. Já no Projeto de Lei n.º 5276/2016, citava- se a necessidade de um órgão competente, bem como a criação de um Conselho Nacional de Proteção de Dados Pessoais.
A partir da evolução da discussão legislativa, bem como da análise dos parâmetros europeus para transferência internacional de dados pessoais, denotou-se que seria necessária
ocorreu em um processo criminal que corria em segredo de justiça e o aplicativo ficou fora do ar por 14 horas; a terceira vez, em maio de 2016, também por um processo criminal, ficando o aplicativo fora do ar por 24 horas e a quarta vez, em julho de 2016, em outro processo criminal, com a ordem do aplicativo interceptar mensagens de crimes na região. WHATSAPP bloqueado: Relembre todos os casos de suspensão do app. Portal G1. São Paulo, jul. 2016. Disponível em: <http://g1.globo.com/tecnologia/noticia/2016/07/whatsapp-bloqueado- relembre-todos-os-casos-de-suspensao-do-app.html>. Acesso em: 24 nov. 2019.
586 Art. 24. Os direitos e obrigações previstos nesta lei não excluem outros, decorrentes de tratados ou convenções internacionais de que o Brasil seja ou venha a ser signatário, da legislação interna ordinária, bem como de regulamentos expedidos pelas autoridades administrativas competentes.
uma Autoridade de Proteção forte e independente. Com isso, a LGPD foi aprovada pelo Congresso Nacional contendo em seus artigos 55 a 57 as disposições da Autoridade Nacional de Proteção de Dados (ANPD). A legislação, contudo, não foi aprovada sem vetos.
Entre os vetos presidenciais, o mais sensível se deu em relação à Autoridade Nacional de Dados Pessoais, em que houve a completa fragilização do sistema sancionatório da Lei, deixando a legislação sem efetividade prática, já que a lei precisaria ser largamente regulamentada pela autoridade para possuir uma aplicabilidade razoável. Na comparação de Rafael Zanatta em entrevista: “É como se a vigilância sanitária não pudesse fechar um restaurante com coliformes fecais na cozinha”.587 As razões do veto foram vício de iniciativa, já que o Poder Legislativo propôs a criação de despesa ao Poder Executivo, em que a autoridade permaneceria vinculada.
Quatro meses após os vetos, a ANPD finalmente foi criada por meio da Medida Provisória n.º 869/2018, convertida na Lei n.º 13.853/2019 que altera a LGPD. O conselho diretor, órgão máximo de direção, será composto de cinco diretores, incluído o diretor- presidente. Foi criado ainda o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade composto de 23 representantes. Suas prerrogativas, entre outras, são as de sugerir ações a serem realizadas pela Autoridade, elaborar relatórios e estudos sobre privacidade e proteção de dados, propor diretrizes e fornecer subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade. Foram indicados até o momento, na vaga da Câmara dos Deputados, a indicação de Danilo Doneda e Fernando Santiago nas posições de representante titular e suplente.588
Assim, a Autoridade foi criada sem aumento de despesa, órgão da administração pública federal e integrante da Presidência da República. Sua natureza jurídica é transitória e, consoante o §1º do art. 55-A, “poderá ser transformada pelo Poder Executivo em entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República”.
Entre críticas, sugere-se que a ANPD deveria ser vinculada ao Ministério de Justiça, e não à Presidência da República, eis que se pretende que a sua atuação seja nos mesmos moldes técnicos do Conselho Administrativo da Defesa Econômica (CADE).
587 PAYÃO, Felipe. Michel Temer, finalmente, cria Autoridade de Proteção de Dados. Tecmundo. São Paulo, dez. 2018. Disponível em: <https://www.tecmundo.com.br/seguranca/137510-michel-temer-cria-autoridade- protecao-dados-brasileiros.htm>. Acesso em: 24 nov. 2019.
588 BRASIL. Câmara dos Deputados. Ato da Presidência de 15/10/2019. Diário Oficial da Câmara dos
A necessidade de independência da autoridade reflete sua própria razão de ser e, consoante Danilo Doneda, é realizada:
por meio de mecanismos que afastem o máximo possível a sua atuação da influência dos poderes estatais constituídos. [...] Outro mecanismo para operar sua independência é a ausência de ingerência governamental sobre seus atos, que se pode obter situando tais órgãos fora de uma posição hierárquica em relação ao governo.589 Uma situação crítica à independência da Autoridade Nacional de Dados Pessoais se dá pela sua demasiada proximidade ao Poder Executivo. O interesse estatal nos dados dos seus cidadãos tanto para fins de políticas públicas, mas também com outros fins de vigilância e de fiscalização, foi a base do desenvolvimento da doutrina de proteção de dados, a exemplo da decisão alemã contra um censo invasivo, criando o direito à autodeterminação informativa.
Apesar da LGPD, em seu art. 4º, III, expressamente limitar o alcance da lei e não tratar de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais, ainda existem diversas formas de utilização e tratamento de dados em âmbito estatal que podem se pautar pela legislação.
O papel da autoridade no tratamento de dados pelo Poder Público se revela diversas disposições da Lei Geral, destacando-se o art. 32 em que estabelece que a Autoridade Nacional poderá solicitar às entidades do Poder Público informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado, bem como no art. 29 que indica que “A autoridade nacional poderá solicitar a agentes do Poder Público a publicação de relatórios de impacto à proteção de dados pessoais e sugerir a adoção de padrões e de boas práticas para os tratamentos de dados pessoais pelo Poder Público”.
Contudo, em descompasso com a discussão de proteção de dados no Brasil, o Decreto n.º 10.046/2019 foi publicado e já está vigente, dispondo sobre a governança no compartilhamento de dados no âmbito da administração pública federal e instituindo o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados. Neste decreto, os direitos dos titulares são mencionados como meros limites, sem uma real legitimidade a esse sistema de tratamento.590 O decreto aparenta ainda estar em descompasso com a LGPD pelo seu art. 26:
“O uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades
589 DONEDA, Danilo. Da privacidade à proteção de dados pessoais. Rio de Janeiro: Renovar, 2006. p. 393. 590 Danilo Doneda em entrevista à Cristina De Luca. DE LUCA, Cristina. Decreto de Bolsonaro aproxima uso de
nossos dados a países como China. Blog Porta 23. Uol. Rio de janeiro, outubro de 2019. Disponível em: <https://porta23.blogosfera.uol.com.br/2019/10/13/governo-tem-nossos-dados-mas-nao-deve-trata-los-como- se-fosse-o-dono-deles> Acesso em: 24 nov. 2019.
específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º desta Lei”. Ademais, o mais problemático deste decreto é a criação de uma base integradora, que na definição é uma base de dados que integra os atributos biográficos ou biométricos das bases temáticas.591 Ainda, os dados biométricos comportamentais são citados pela primeira vez
em uma legislação brasileira, chegando-se à definição destes como: “características biológicas e comportamentais mensuráveis da pessoa natural que podem ser coletadas para reconhecimento automatizado, tais como a palma da mão, as digitais dos dedos, a retina ou a íris dos olhos, o formato da face, a voz e a maneira de andar;” 592
A criação de uma base única do cidadão vai de encontro aos princípios elencados na disciplina de proteção de dados pessoais brasileira e amplamente debatido pela sociedade nos últimos oito anos. Enquanto a LGPD elenca hipóteses restritas de tratamento de dados e, consequentemente, a minimização dos dados, o decreto busca a maximização da coleta de dados, inobservados os princípios da finalidade593 e da necessidade. No mesmo mês em que foi emitido,
há movimentações na Câmara dos Deputados para sustar efeitos do decreto presidencial.594
O tratamento de dados pessoais está na essência dos estados modernos, contudo isto deve ser realizado de forma cautelosa e amplamente estudada, propiciando, principalmente, o desenvolvimento da segurança da informação.
Destaque-se que os dados de 70 milhões de brasileiros foram vazados, em outubro de 2019, pelo Detran (RN), em que foi possível acessar as bases de dados de todos os Detrans do país. Diversos dados sensíveis como endereço residencial, telefone, dados da CNH - como categoria, validade, emissão, restrição, registro.595
Vale destacar, ainda, que entre os maiores vazamentos de uma base de dados estatal está o da base do governo indiano, Aadhaar, que continha tanto informações demográficas como informações biométricas. As informações básicas eram disponibilizadas a quem pagasse o valor de $8,00 (oito dólares). O próprio cartão de identificação poderia ser disponibilizado
591 Bases temáticas, na definição do art. 2º, VII: “base temática - base de dados de determinada política pública que contenha dados biográficos ou biométricos que possam compor a base integradora;”
592 Art. 2º, II.
593 O princípio da finalidade abrange situações em que o agente de tratamento deve ter uma finalidade específica para a coleta e tratamento de dados, não podendo esta finalidade ser genérica ou utilizados os dados para finalidade distinta.
594 SOPRANA, Paula. Deputados tentam derrubar decreto de Bolsonaro que cria cadastro base do cidadão. Folha
de São Paulo. 2019. Disponível em: <https://www1.folha.uol.com.br/tec/2019/10/deputados-tentam-derrubar-
decreto-de-bolsonaro-que-cria-cadastro-do-cidadao.shtml>. Acesso em: 29 nov. 2019.
595 GAVIOLI, Alan. Falha no sistema do Detran-RN causa vazamento de dados de 70 milhões de brasileiros.
Infomoney. 2019. Disponível em: <https://www.infomoney.com.br/minhas-financas/falha-no-sistema-do-
para impressão mediante o pagamento de $5,00 (cinco dólares).596 A fragilidade da junção de
uma base de dados única dos cidadãos, portanto, revela-se. Imagine-se a possibilidade de vazamento desses cadastros biométricos brasileiros que contivessem a forma de andar, ou ainda, a forma de segurar um celular?
Já foi noticiado por diversas vezes a utilização inadequada de dados dos cidadãos detidos pelo Poder Público no Brasil, como o oferecimento pelo prefeito de São Paulo de dados do Bilhete Único à iniciativa privada,597 aplicativos de e-gov que não se alinham sequer ao
consentimento e coletam mais do que o necessário,598 suspeita de venda de dados pelo
Serpro,599 entre outros casos.
Danilo Doneda já aduzia que:
O escopo da tutela a qual visa este órgão supõe uma neutralidade frente às próprias razões de Estado, que seria inatingível sem esta independência. Note-se que o Estado, -- e, em particular, o poder executivo – apresenta demasiado interesse na coleta e processamento de dados pessoais para que esta sua atividade possa harmonizar-se com a proteção destes mesmos dados, ao menos com a isenção necessária.600
Também, para Stefano Rodotà, a independência da Autoridade de Proteção de Dados deve ser assegurada principalmente em relação ao Poder Executivo, pois entre as funções mais delicadas de controle estão em intervir em bancos de dados diretamente ligados com a ação estatal.601
Assim, há um dilema no tratamento de dados pelo Poder Público, já que entre os pontos positivos do tratamento desses dados estão a criação de políticas públicas baseadas em evidências; a melhoria na eficiência e consequentemente desburocratização do serviço público e o desenvolvimento de inovação no governo.
596 DOSHI, Vidhi. A security breach in India has left a billion people at risk of identity theft. Washington Post. Disponível em: <https://www.washingtonpost.com/news/worldviews/wp/2018/01/04/a-security-breach-in- india-has-left-a-billion-people-at-risk-of-identity-theft/?noredirect=on>. Acesso em: 15 mar. 2019.
597 LEMOS, Ronaldo. Proposta de Doria de vender os dados do Bilhete Único é ilegal. Folha de São Paulo. São Paulo, fevereiro 2017. Disponível em: <https://www1.folha.uol.com.br/colunas/ro naldolemos/2017/02/18 60214-proposta-de-doria-de-vender-os-dados-do-bilhete-unico-e-ilegal.shtml> Acesso em: 24 nov. 2019. 598 ABREU, Jacqueline; LAGO, Lucas e MASSARO, Heloisa. Por que se preocupar com o que o Estado faz com
nossos dados pessoais? Internetlab. São Paulo, maio 2018. Disponível em: <http://www.internet lab.org.br/pt/privacidade-e-vigilancia/especial-apps-do-governo/>. Acesso em: 24 nov. 2019.
599 DELGADO, Márcia. Serpro é suspeito de vender dados pessoais para administração pública. Metrópoles. Distrito Federal, maio 2018. Disponível em: <https://www.metropoles.com/distrito-federal/serpro-e-suspeito- de-vender-dados-pessoais-para-administracao-publica>. Acesso em: 24 nov. 2019.
600 DONEDA, Danilo. Da privacidade à proteção de dados pessoais. Rio de Janeiro: Renovar, 2006. p. 401. 601 RODOTÀ, Stefano. A vida na sociedade de vigilância: A privacidade hoje. Rio de Janeiro: Renovar, 2008. p.
A necessidade de um governo movido a dados se faz cada vez mais presente e o Governo federal vem se alinhando a ser mais digitalizado, como se vê pelo o estabelecimento de Estratégia de Governança Digital602 e da análise da OCDE do Governo Digital no Brasil.603
Por outro lado, existem grandes riscos como o cruzamento de bases de dados públicas formadas em contextos distintos, como a formação de perfis biométricos e comportamentais; o compartilhamento proposital, ou não, com o setor privado e os riscos de segurança cibernética. Já que a relação cidadão-Estado é formada pelo pacto social, o Estado estaria sujeito a obrigações mais elevadas de transparência.
O Estado na LGPD é tratado de diversas formas: Administração Pública, 604 Pessoa Jurídica de Direito Público,605 Poder Público606 e Entidades Públicas.607 Aparenta-se uma leve confusão entre os conceitos anteriores que não necessariamente abrangem as mesmas competências.
Como exemplo está no art. 23608 da LGPD que discorre sobre o tratamento de dados pessoais pelas pessoas jurídicas de direito público, citando diretamente que estas pessoas serão as referidas no parágrafo único609 do art. 1º da Lei de Acesso à Informação (Lei n.º 12.527/2011). Contudo, neste parágrafo único são citadas diversas pessoas jurídicas de direito privado, como fundações públicas, empresas públicas e sociedades de economia mista. Assim, deve haver um esforço interpretativo para analisar cada situação citada pela legislação.
Este Estado amplamente citado deve alinhar seus clássicos princípios como o princípio da impessoalidade, da moralidade e da publicidade, com os novos princípios
602 BRASIL. Ministério do Planejamento, Desenvolvimento e Gestão. Estratégia de Governança Digital:
Transformação Digital – cidadania e governo. Brasília: MP, 2018. Disponível em:
<https://www.governodigital.gov.br/EGD/documentos/revisao-da-estrategia-de-governanca-digital-2016- 2019.pdf> Acesso em: 25 nov. 2019.
603 ORGANIZAÇÃO PARA A COOPERAÇÃO E DESENVOLVIMENTO ECONÔMICO - OCDE. Digital Government Review of Brazil. OECD Digital Government Studies, [s.l.]. p.1-146, 28 nov. 2018. OECD. http://dx.doi.org/10.1787/9789264307636-en. Disponível em: <http://www.oecd.org/governance/digital- government-review-of-brazil-9789264307636-en.htm>. Acesso em: 06 nov. 2019.
604 Art. 5º (órgão de pesquisa), Art. 7º e Art. 11.
605 Art. 3º, Art. 4º, § 2º, Art. 23, Art. 27 e Art. 33, parágrafo único. 606 Art. 4º, § 4º, Art. 23, §§ 3º e 4º, Art. 26, Art. 29 e Art. 32.
607 Art. 5º, XVI; Art. 11, § 2º, Art. 26, Art. 31 (órgãos públicos), Art. 33 e Art. 52, § 3º.
608 Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei n.º 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação) , deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, desde que: [...] (grifos nossos) 609 Parágrafo único. Subordinam-se ao regime desta Lei: I - os órgãos públicos integrantes da administração direta
dos Poderes Executivo, Legislativo, incluindo as Cortes de Contas, e Judiciário e do Ministério Público; II - as autarquias, as fundações públicas, as empresas públicas, as sociedades de economia mista e demais entidades controladas direta ou indiretamente pela União, Estados, Distrito Federal e Municípios. [...]
elencados na legislação, como o princípio da finalidade,610 da necessidade611 e da adequação612 dos usos dos dados. Destaque-se, ainda, que algumas sanções instituídas pela legislação são aplicáveis aplicado às entidades e aos órgãos públicos.
Questão sensível no tocante à Autoridade foram as sanções administrativas impostas pela legislação em seu art. 52,613 principalmente do seu inciso II, que prevê multa
simples de até 2% do faturamento da empresa ou grupo, limitada à R$ 50.000.000,00 (cinquenta milhões de reais) por infração. Tal disposição que tornou a LGPD tão conhecida nos meios midiáticos,614 geralmente não é analisada contextualmente. Para que uma multa de até 2%
chegue à cifra supracitada, o faturamento da empresa, excluídos os impostos, deve ser de R$ 2 bilhões e 500 milhões de reais, o que não é a realidade da maioria das empresas brasileiras.
Em verdade, a previsão dessa multa se alinha à presença de poucas big techs dominantes e que objetivam ser monopolistas na atuação na rede. Ademais, a aplicação de uma multa desse porte certamente ocorreria após reiteradas ocorrências e aplicação de sanções mais leves, já que esta necessidade está concretamente positivada no §1º do art. 52.615
610 Os dados devem ser tratados de acordo com a finalidade para a qual foram coletados inicialmente. 611 Os dados não devem ser tratados para além daquilo necessário para alcançar a finalidade almejada. 612 Os dados devem ser tratados de maneira apropriada ao contexto que justificou sua coleta.
613 Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei,