O consentimento parental e o tratamento de dados pessoais de crianças

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018 — LGPD) criou um regime jurídico cujo objetivo precípuo consiste na proteção da privacidade dos indivíduos, mediante a instituição de princípios e regras que permeiam as atividades que tratem dados pessoais, sejam elas desenvolvidas por organizações privadas, como também por parte da Administração Pública.

No que tange aos titulares de dados, a LGPD conferiu especial proteção às crianças e aos adolescentes [4], exigindo, para o tratamento de dados das primeiras, o consentimento específico, e em destaque, dado por pelo menos um dos pais ou pelo responsável legal [5], exceto quando "a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento" [6].

Em outras palavras, uma interpretação literal da LGPD poderia conduzir ao entendimento de que, exceto na hipótese expressamente ressalvada acima, o tratamento de dados de crianças somente poderia ser realizado com o consentimento parental ou do responsável legal [7], ainda que o interesse da coletividade pudesse ser ameaçado.

Vale ressaltar que o presente trabalho não propõe qualquer interpretação que vise a diminuir quaisquer salvaguardas conferidas em prol da criança — e nem o poderia, haja vista a especial proteção conferida pela própria Constituição Federal [8] e pela legislação pátria [9] — mas, sim, promover uma avaliação crítica da proporcionalidade na exigência do consentimento para a quase totalidade de tratamentos que envolva seus dados.

Nesse sentido, importa primeiramente ressaltar que, embora a LGPD tenha sido fortemente inspirada no General Data Protection Regulation (GDPR) da União Europeia, é certo que, em matéria de tratamento de dados de crianças e adolescentes, diferenças sensíveis podem ser observadas entre os referidos diplomas legais.

Isso porque, enquanto a LGPD traz regras específicas para o tratamento de dados de crianças e adolescentes independente do meio e da finalidade, o GDPR instituiu um sistema diferenciado de proteção no que concerne somente aos "serviços da sociedade da informação" [10], os quais são entendidos como aqueles prestados "normalmente mediante remuneração, à distância, por via eletrônica e mediante pedido individual de um destinatário de serviços" [11].

É compreensível a posição adotada pelo GDPR ao restringir seu âmbito de atuação, na medida em que é possível afirmar que as crianças, além da vulnerabilidade decorrente da ausência de maturidade própria da idade, se encontram ainda mais expostas quando interagem com outros indivíduos e empresas à distância, mediante a adoção de tecnologias da informação. Nesse caso, parte-se da premissa de que a criança faz uso dessas tecnologias, em regra, desacompanhadas de seus pais ou responsável legal, sendo possível, com relativa facilidade, a ocultação de sua idade real ao agente de tratamento de dados.

Assim como fez o Children’s Online Privacy Protect Act (COPPA) dos Estados Unidos [12], o GDPR pretendeu conferir ao pais e responsáveis legais maior controle sobre as atividades realizadas por seus filhos no âmbito, principalmente, da internet, conferindo àqueles a prerrogativa exclusiva de consentir com o uso dos dados pessoais da criança.

Por sua vez, ao contrário da LGPD, o GDPR institui a obrigatoriedade do consentimento parental somente para as hipóteses em que a operação de tratamento, considerada de forma genérica, tenha como base legal o consentimento do titular dos dados pessoais [13], sendo as demais atividades, portanto, dispensadas desse tipo de aceite.

Assim, por exemplo, caso a atividade de tratamento seja realizada para cumprimento de uma "obrigação jurídica a que o responsável pelo tratamento esteja sujeito" [14] ou ainda para o "exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento" [15], o consentimento parental é dispensado.

E é justamente nesse ponto em que reside a maior crítica à LGPD, uma vez que a sua interpretação literal conduz ao absurdo e desproporcional raciocínio de que um pai ou responsável legal, sem qualquer justo motivo, possa obstar o tratamento de dados pessoais de seu filho ou tutelado menor, ainda que em contrariedade à lei ou ao manifesto interesse público.

Sob o ponto de vista prático a situação ganha contornos ainda mais preocupantes. Nesse caso, a título de exemplo, podemos imaginar a hipótese em que um médico, diante de um diagnóstico de doença de notificação compulsória à autoridade sanitária (uma enfermidade infecciosa, por exemplo), fique obstado de agir diante da falta de consentimento do pai ou do responsável legal, caso se trate de um paciente com idade inferior a 12 anos de idade, embora a própria lei obrigue tal conduta e garanta o caráter sigiloso à referida comunicação [16].

Nesse caso, estaria o profissional da Medicina, inclusive, sujeito à sanção prevista no artigo 269 do Código Penal, a qual estipula a pena de detenção, de seis meses a dois anos, ao médico que deixar de denunciar à autoridade pública doença cuja notificação é compulsória.

Em outra situação, seria possível admitir, como hipótese, que o Fisco estaria impedido, caso inexista o consentimento parental, de realizar auditorias e lançamentos tributários relativos a fatos geradores vinculados a renda ou patrimônio de menores de 12 anos [17], visto que, para tanto, precisaria tratar os dados desses indivíduos, tais como o nome, CPF, dados bancários etc.

Tal interpretação, além de evidentemente desproporcional, subverte a própria lógica do ordenamento jurídico, ao conferir à vontade — que, inclusive, tampouco precisa de motivação — maior relevância do que às leis e ao interesse público.

Dessa forma, temos para nós que a necessidade do consentimento parental deveria ser restrita somente às hipóteses em que o tratamento dos dados seja realizado com base no consentimento, como consequência natural da ausência de capacidade civil dos menores, frente ao que dispõe o artigo 3º do Código Civil [18].

Nesse aspecto, andou mal a LGPD não só ao deixar de ressalvar expressamente as demais bases legais passíveis de utilização e que, em tese, dispensariam o assentimento dos pais, a teor do que fez o GDPR, mas também ao não estender tal obrigatoriedade aos menores de 16 anos (e não de 12), de forma a se adequar ao que prevê o Código Civil.

Em suma, percebe-se que, ao tentar proteger os menores, a LGPD acaba por fazer mais do que o razoável ao prever que o consentimento é, como regra, a única base legal a legitimar o tratamento de dados de crianças, mas, ao mesmo tempo, menos do que o necessário, ao não estender o necessário consentimento aos maiores de 12 e menores de 16 anos, os quais são considerados absolutamente incapazes, segundo a Lei Civil.

Portanto, cabe ao legislador — ou ao Poder Judiciário, em sua omissão — corrigir tal distorção, determinando as corretas balizas que devam permear o tratamento de dados pessoais de crianças e adolescentes, sempre considerando o seu melhor interesse, mas sem que isso represente um sacrifício à lógica da ordem jurídica ou à supremacia do interesse público.