Ano foi marcado por reflexos da LGPD nas relações de consumo

Nesta retrospectiva de 2020, é fundamental abordar o impacto da Lei Geral de Proteção de Dados (LGPD) nas relações de consumo. Desde o início, o ano foi tomado por incertezas sobre a entrada em vigor da Lei nº 13.709/2018. Atualmente, a lei está em vigor. Porém, as sanções administrativas previstas na LGPD começarão a valer apenas em agosto de 2021.

Além de as sanções previstas na LGPD no artigo 52 só entrarem em vigor em 2021, há que se dizer que o §2º do mesmo artigo assevera que tal previsão "não substitui a aplicação de sanções administrativas, civis ou penais definidas na Lei nº 8.078, de 11 de setembro de 1990, e em legislação específica". Com isso, questões atinentes à disciplina da proteção de dados pessoais fundamentadas na defesa do consumidor, assim como o fato de o titular dos dados pessoais poder exercer os seus direitos perante os organismos de defesa do consumidor, levaram órgãos de proteção e defesa do consumidor a iniciarem várias investigações, com possibilidade de sanção com base no artigo 56, CDC.

A título exemplificativo, a Fundação Procon São Paulo já noticiou as seguintes notificações: 1) Tik Tok envolvendo regras de privacidade para crianças (14/5) [1]; 2) Facebook em relação aos dados de usuários (20/10) [2]; 3) Enel sobre vazamento de dados (11/11) [3]; e 4) Hospital Albert Einstein sobre vazamento de lista de pacientes testados, diagnosticados e internados por Covid-19 (30/11) [4], entre outros.

Na mesma linha, a Secretaria Nacional do Consumidor, com base nas disposições do Código Civil referentes aos direitos da personalidade, aplicou multa no valor de R$ 58.767, à Cia. Hering por entender violado o dever de informação, bem como por considerar prática abusiva as medidas envolvendo reconhecimento facial em razão de coleta de dados de consumidores sem conhecimento prévio (14/8) [5].

Em 29 de setembro, a juíza Tonia Yuka Koroku condenou [6] a Cyrella a se abster de repassar ou conceder a terceiros, a título gratuito ou oneroso, dados pessoais, financeiros ou sensíveis, sob pena de multa de R$ 300 por contato indevido, bem como indenização a título de dano moral no importe de R$ 10 mil. Entre os argumentos, a magistrada destacou que "os dados independentemente de sensíveis ou pessoais (artigo 5º, I e II, LGPD) foram tratados em violação aos fundamentos de sua proteção (artigo 2º, LGPD) e à finalidade específica, explícita e informada ao seu titular (artigo 6º, I, LGPD)". Ainda enfatizou que "informação adequada e clara dos conteúdos do serviço e a proteção à saúde e segurança (inclusive a integridade psicológica) do consumidor são objeto de prescrição normativa antes mesmos da LGPD, seja pelo regime de direitos fundamentais decorrentes da CF/88, como também pelas normas do Código Civil e CDC".

Em 26 de novembro, também foi noticiada a propositura de ação civil pública pelo Ministério Público de Goiás (MP-GO) contra a Serasa S.A., sob o argumento de "captação irregular de dados de executados, em desacordo com o Código de Defesa do Consumidor e com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018)" [7].

Sem prejuízo da atuação dos órgãos de proteção e defesa do consumidor no que se refere à fiscalização em relação à proteção de dados, com a entrada em vigor da lei, alguns consumidores, durante o decorrer do ano, solicitaram às empresas diretamente ou por meio dos órgãos de proteção e defesa do consumidor ou plataformas de reclamações a exclusão de dados, por exemplo. Em uma rápida pesquisa na plataforma consumidor.gov.br com o termo "LGPD", foi possível encontrar 160 resultados em reclamações envolvendo o tema desde 18 de agosto [8].

Para quem questionava se a lei "pegaria" ou não, fácil identificar que, independentemente de as sanções da LGPD ainda não estarem em vigor, o ano foi marcado por atuações dos órgãos de proteção e defesa do consumidor, por demandas judiciais e por exigência de direitos por parte dos consumidores com base tanto na LGPD, CDC e até fundamentos do CC. Nesses termos, em meio às incertezas, encerra-se o ano com a certeza de que a conformidade do mercado à lei. Portanto, a garantia dos direitos dos titulares de dados é medida imediata e não depende das sanções do artigo 52 ainda não estarem em vigor.