A entrada em vigor da Lei 13.709 (Lei Geral de Proteção de Dados, ou LGPD) colocou o Brasil na vanguarda da proteção de dados pessoais, em sintonia com demais países desenvolvidos e, em especial, com o Regulamento Geral de Proteção de Dados (General Data Protection Regulation, ou GDPR) da União Europeia, no qual a LGPD foi inspirada.
Entretanto, no intuito de protegerem suas informações e estarem em conformidade com a nova legislação, diversas empresas estão utilizando a norma de forma indevida, desatentas ao seu artigo primeiro, que é claro em determinar que a "lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural".
Enquanto pessoas jurídicas — de direito público ou privado — podem figurar como controladoras ou operadoras de dados pessoais, é certo que o dado pessoal é a informação relacionada a pessoa natural identificada ou identificável, conforme definição prevista no artigo 5º, inciso I, da lei. Diante disso, dados e informações de pessoas jurídicas não podem ser confundidos com os dados pessoais previstos e protegidos pela LGPD. Assim, a inserção de proteções típicas de dados pessoais em contratos empresariais, inclusive com menção a dispositivos da LGPD, mostra-se equivocada.
Embora a autonomia nas relações contratuais privadas seja regra, a inserção de proteções tipicamente destinadas à pessoa natural nos negócios jurídicos empresariais pode causar confusão e tumultuar relações em que tais direitos não estão tutelados pela lei brasileira de proteção de dados. Isso porque a proteção de informações empresariais pode e deve ser regulada de maneira específica, a exemplo de acordos de confidencialidade ou cláusulas de sigilo e/ou proteção das informações compartilhadas no âmbito da relação contratual negociada entre as partes. Além disso, ainda existem casos de dever legal de sigilo das informações, a exemplo do sigilo bancário, regulado pela Lei Complementar n° 105/01 (Lei do Sigilo Bancário), ou da violação de sigilo empresarial, prevista no artigo 169 da Lei n° 11.101/05 (Lei de Recuperação Judicial e Falências) [1].
Nesse contexto, por mais que as partes tenham liberdade em pactuar suas obrigações, e que a LGPD contenha relevantes diretrizes para proteção de dados, importa sublinhar que a lei destina-se à proteção de dados da pessoa natural, e que a natureza dos dados empresariais é bastante distinta dos dados das pessoas físicas. É necessário que as empresas compreendam que mencionar a LGPD em seus contratos como forma de buscar a proteção de seus dados poderá não produzir os efeitos desejados, especialmente porque essa lei não se destina a proteger informações empresariais. A Autoridade Nacional de Proteção de Dados (ANPD), por exemplo, não poderá arbitrar conflito decorrente de eventual vazamento de dados empresariais pelo simples fato de que a LGPD não delegou a ela essa competência, assim como uma informação contábil, fiscal ou financeira de uma empresa não pode ser equiparada a dados pessoais.
Dessa maneira, podemos antever elevada insegurança jurídica caso algumas empresas persistam buscando regular a proteção de seus dados empresariais com base na nova legislação de dados. Portanto, embora a LGPD possa ser tomada como referência, principalmente no que diz respeito à forma como determinados dados devem ser tratados, as informações sigilosas entre empresas devem ser reguladas entre as partes, por meio de cláusulas ou instrumentos próprios, que são as maneiras mais adequadas de garantir a integridade das informações compartilhadas e a segurança jurídica nessas relações contratuais.
[1] "Artigo 169 — Violar, explorar ou divulgar, sem justa causa, sigilo empresarial ou dados confidenciais sobre operações ou serviços, contribuindo para a condução do devedor a estado de inviabilidade econômica ou financeira: Pena — reclusão, de dois a quatro anos, e multa".