O Brasil precisa de uma autoridade de proteção de dados?

Em momento no qual são constantemente criadas modalidades de dispositivos conectados à Internet com capacidade para coletar grandes volumes de dados (como é o caso das tecnologias de IoT) e a análise de dados é substrato para diversas atividades da vida contemporânea¹, a proteção a eles está em pauta. Mais ainda considerando que são muitos os relatos de ataques a bases de dados e os episódios de vazamentos e usos indevidos de dados pessoais.

O atual regime de proteção à privacidade no país não conta ainda com uma lei de proteção de dados pessoais que atenda a dois princípios essenciais: a proteção a direitos fundamentais relacionados à internet e o fomento a atividades econômicas baseadas em análises de dados. E a falta de uma legislação geral sobre o assunto gera insegurança e incertezas.

Mais do que isso, a observância (enforcement) quanto a questões de proteção de dados é também incerta, sendo de responsabilidade de múltiplos agentes simultaneamente. Diferentemente de outros países, não há no Brasil uma autoridade responsável por centralizar o tratamento dessa questão.²

Dentre essas múltiplas entidades responsáveis pelo enforcement da proteção de dados encontram-se a SENACON, sediada no Ministério da Justiça, o Ministério Público Federal, os Ministérios Públicos Estaduais, os Procons e as entidades de defesa do consumidor. Todos acabam tratando do tema de forma concomitante e difusa, sem que haja clareza sobre quais papéis deve ser desempenhado por quais entidades. Isso leva à duplicidade (ou até triplicidade) de esforços em alguns casos, e lacunas e omissões em vários outros.

Nesse panorama, um dos consensos que emergiram do processo de consulta e elaboração do estudo do Plano Nacional de Internet das Coisas, inclusive com relação aos debates realizados na Câmara Setorial de IoT, diz respeito à necessidade de edição de uma lei geral de proteção de dados³, bem como do estabelecimento de uma autoridade específica capaz de lidar com a questão de forma contínua. Essa autoridade deve estar preparada para opinar de forma técnica sobre a proteção da privacidade em diferentes segmentos de mercado, atuar em regime multissetorial, além de ter a capacidade de realizar operações de enforcement unificadas.

O que mostram as experiências internacionais. Os Estados Unidos e a União Europeia, exemplos de relevância em matéria de proteção à privacidade, possuem arranjos institucionais bastante diferentes entre si para lidar com o assunto.

O cenário regulatório dos Estados Unidos caracteriza-se por ser descentralizado: não há legislação federal específica. Quanto aos órgãos que possuem atuação em privacidade e proteção de dados, a autonomia dos estados (destaque para a Califórnia, que promulgou as primeiras e mais dinâmicas leis na área) convive com as atribuições federais. Apesar disso, há abertura para autorregulação, com a criação e adoção de códigos de conduta, regulamentos e certificações. No âmbito federal, quem exerce autoridade sobre questões de privacidade são instâncias independentes com competência para assegurar o cumprimento de normas setoriais (como aquelas de saúde, por parte do Department of Health and Human Services). Por fim, a Federal Trade Commissionparticipa ativamente da regulação e cumprimento das normas sobre privacidade, pois lhe cabe garantir a proteção do consumidor em situações injustas ou enganosas.⁴

Já na Europa foi adotado o modelo de Autoridade de Proteção de Dados⁵ centralizada em cada país, que congrega as competências de supervisão e consulta em matéria de proteção de dados, sendo responsável por assegurar que as instituições e órgãos de países da União Europeia respeitem as obrigações estabelecidas. Importante lembrar que a partir de maio de 2018 começa a vigorar no território europeu a General Data Protection Regulation (GDPR), que traz novas regras sobre proteção de dados pessoais com impacto para todas as organizações que atuem na coleta de dados envolvendo cidadãos da União Europeia, ainda que fora de seu território geográfico.

O Uruguai é destaque no contexto latino-americano. A Constituição do país garante aos seus cidadãos a proteção de dados pessoais como um direito humano. De forma semelhante ao modelo europeu, o Uruguai possui autoridade na área, a Unidad Reguladora y de Control de Datos Personales.⁶ A essa autoridade cabe também o cumprimento da Ley de Protección de Datos Personales y Acción de Habeas Data, estatuto específico que, dentre outras provisões, garante ao titular dos dados o direito de controlar o seu uso, estejam eles armazenados em meios físicos ou digitais.

O que dizem os Projetos de Lei. No Brasil, modelos regulatórios vêm sendo examinados no Congresso Nacional por meio de três projetos de lei relacionados à proteção de dados pessoais, que buscam regulamentar a necessidade de consentimento para a coleta, tratamento e uso de dados, e estabelecer regras sobre o compartilhamento, exclusão e transferência de dados.

O PL nº 5.276/2016 faz referência a órgão competente para garantir a proteção de dados pessoais, sem especificar sua vinculação, composição e orçamento. A proposta estipula a criação de Conselho Nacional de Proteção de Dados Pessoais, de caráter consultivo e composto majoritariamente por representantes do governo – o que significa poucos assentos para representantes da sociedade civil e da iniciativa privada.

De forma similar, o PL nº 330/2013 prevê órgão com competências para a regulamentação, fiscalização e sanção relacionadas à coleta, tratamento e uso de dados pessoais, não delimitando, assim como o PL anterior, a estrutura dessa entidade.

Em sentido oposto, o PL nº 4.060/2012 não prevê qualquer autoridade central e reconhece a capacidade de “autoridades competentes” em editar normativos. O projeto também propõe a instituição de Conselho de Auto-Regulamentação, destinado a elaborar balizas para o tratamento de dados pessoais.

Qual modelo regulatório adotar? Com base nas contribuições apresentadas nas audiências públicas realizadas pelo Congresso Nacional e nas consultas públicas lançadas pelo Ministério da Justiça⁷–⁸, um dos modelos que vem sendo debatidos é a co-regulação, cujo desenho pressupõe o compartilhamento de responsabilidades entre governo e agentes privados e setoriais. Esse modelo mostra-se vantajoso pois, de um lado, instâncias puramente governamentais podem não possuir grau adequado de know-how técnico, e, de outro, regras advindas de modelo de auto-regulação não são cogentes, possuindo capacidade sancionamento limitadas.

Entretanto, enquanto não aprovada legislação específica para a proteção de dados pessoais e instituída autoridade competente em modelo de co-regulação, práticas transitórias de auto-regulação podem ser estimuladas para que o próprio setor privado proponha, por exemplo, códigos de conduta e regras setoriais.

Caso o país caminhe para a adoção de uma autoridade de proteção de dados, esta deve ser multissetorial. Esse é o modelo institucional do Grupo de Trabalho do Artigo 29 instituído pelo Parlamento Europeu.⁹ Válido observar que o Conselho Nacional de Proteção de Dados Pessoais previsto no PL nº 5.276/2016 não pode ser considerado uma iniciativa multissetorial, já que seus membros seriam majoritariamente representantes do governo, dispensada a exigência de conhecimentos técnicos específicos para lidar com tema tão complexo.

Com relação às competências que essa autoridade deve possuir, consideramos que elas deverão girar em torno especialmente da capacidade de editar normas cogentes e da possibilidade de fiscalização e enforcement de regras. Os PLs em debate no Congresso Nacional preveem a possibilidade de a autoridade editar normas complementares à legislação federal, realizar auditoria no tratamento de dados pessoais, promover ações de educação sobre proteção de dados, adotar providências quanto a incidentes de segurança, gerir a transferência de dados pessoais para o exterior e, ainda, impor diferentes sanções.

Para além desse conjunto de competências, consideramos proveitosas as possibilidades de a autoridade brasileira de proteção de dados atuar como ombudsman ou ouvidoria, recebendo e investigando reclamações individuais contra a má-administração de dados pessoais por entidades públicas e privadas. Nesse ponto, é essencial que a proteção de dados se aplique tanto ao setor público quanto aos demais setores da sociedade. O poder público não deve ser dispensado das obrigações com relação ao tema, ainda que possa gozar de exceções, quando reguladas especificamente por meio de lei. A esse respeito, não há qualquer distinção na Constituição Federal entre atores públicos e privados quanto à proteção da privacidade.

Infelizmente, a situação atual no país é de incerteza regulatória relativa ao tema da proteção da privacidade. A prolongada indefinição do país quanto ao tema tem gerado muito mais custos do que benefícios.

No próximo artigo da série sobre Direito e Internet das Coisas, continuaremos a apresentar discussões regulatórias sobre soluções de IoT, dessa vez com relação à mobilidade urbana. Até lá!

——————————————