O desafio do tratamento de dados pessoais para fins publicitários

Desde a aprovação da Lei nº 13.709 de 2018 (Lei Geral de Proteção de Dados — LGPD), passou-se a discutir todos os seus efeitos para adequação das empresas, entidades da sociedade civil e governamentais. A lei impôs diversas mudanças para adaptação e passou a desafiar a forma como a publicidade vinha operando no meio digital, dada a sua inadequação às normas de proteção de dados. Em um ambiente em que o marketing digital e a publicidade são bastante agressivos, como no Brasil [1], até o momento coibidos pelo viés do assédio moral e da publicidade abusiva, é provável que a prática passe a ser controlada também sob o ponto de vista da proteção dos dados pessoais do consumidor, como tem ocorrido na Europa, gerando alta judicialização da questão perante os tribunais brasileiros e representando uma nova contingência para as empresas.

No entanto, tal visão é equivocada, dado que, no próprio texto da lei, o legislador destacou os limites dessa base de tratamento e os requisitos para o seu uso, que perpassam necessariamente por uma análise detida do seu impacto sobre os direitos titular. Por outro lado, isso não significa que o consentimento seja então a base legal "coringa" para a publicidade. A experiência europeia na aplicação da General Data Protection Regulation (GDPR) tem acendido alertas importantes para os controladores brasileiros mostrando que, mais do que uma base legal melhor ou pior, a avaliação das autoridades competentes tem focado no processo percorrido pelo controlador para escolhê-la, assim como na sua implementação, para avaliá-la.

Primeiramente há de se destacar que na LGPD não há uma hierarquia entre as hipóteses de tratamento de dados. Todas serão igualmente validadas pelas autoridades, desde que atendam aos requisitos estabelecidos na lei. Segundo a LGPD, para que o consentimento seja válido, ele deve ser uma manifestação expressa, livre, informada, inequívoca para uma finalidade determinada [2]. Já para o uso do legítimo interesse, ele só poderá fundamentar o tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, tais como o exercício regular de direitos e o apoio e promoção de atividades do controlador [3]. Nesse caso, apenas os dados pessoais estritamente necessários poderão ser tratados com fundamento no legitimo interesse do controlador, vedado o tratamento de dados pessoais sensíveis.

Dessa forma, pela simples leitura do texto legal, percebe-se que a interpretação de que o legítimo interesse seria uma base legal que exigiria menor esforço do controlador é incorreta. Nota-se que, em verdade, é possível alegar que seja justamente o contrário, dada a indeterminação do conceito. Para usar o legítimo interesse como base legal, a LGPD prescreve que o controlador deve fazer uma análise detida sobre cada finalidade para a qual deseja tratar os dados, a partir de situações concretas, e contrastá-las com a legítima expectativa e os direitos fundamentais do titular. Ou seja, o controlador deverá fazer um exercício de análise de risco a partir do uso que deseja fazer e verificar, caso a caso, se é razoável concluir que o tratamento dos dados para o seu legítimo interesse não fere os direitos fundamentais do seu titular, nem se afasta daquilo que ele poderia esperar do tratamento dos referidos dados.

Ainda que o tema seja incipiente e comporte amplo debate e reflexão no contexto nacional, fácil notar que o uso do legítimo interesse enquanto base legal exige análise cuidadosa e documentada do seu impacto, bem como a adoção de medidas adicionais de proteção aos dados tratados. Dessa forma, não pode e nem deve ser aplicado automaticamente, sem a adoção de nenhuma precaução ou reflexão, sob o risco de ser considerado inadequado, ensejando a aplicação das penalidades previstas na lei.

A reflexão sobre o uso das bases legais para fundamentar o tratamento de dados pessoais para fins publicitários se mostra ainda mais importante quando avaliado o cenário atual de aplicação da GDPR. Isso porque as maiores penas aplicadas até o momento pelos órgãos europeus envolvem a ausência de base legal válida para tratamento de dados pessoais em ações de marketing, como o caso do Google, condenado em 50 milhões de euros pela autoridade francesa por não obter um consentimento válido de seus consumidores para a publicidade direcionada [4].

A experiência europeia também sugere que a adequação da publicidade à LGPD deve considerar não só o a base legal que permitirá o tratamento, mas também a forma pela qual esse tratamento ocorre, ou seja, como as ações de marketing serão conduzidas. Um marketing muito agressivo e invasivo, por exemplo, pode fazer como que o equilíbrio entre o legítimo interesse do controlador versus os direitos do titular penda para a proteção dos direitos do titular, inviabilizando o uso dessa base legal. Não só, uma estratégia de marketing muito agressiva pode levar à violação dos direitos dos titulares, para além da existência ou não de uma base legal adequada. Exemplo disso foi a condenação da Tim pela autoridade italiana de proteção de dados [5]. A denúncia de diversos cidadãos que estavam incomodados com a persistência das ações de marketing da empresa levou à sua investigação pela autoridade italiana, culminando na descoberta de diversas violações da GDPR. A autoridade italiana identificou que empresas de call center contratadas pela Tim realizaram milhões de ligações para consumidores e não consumidores sem ter uma base legal adequada de tratamento dos seus dados pessoais e sem atender ao pedido de revogação do consentimento da parte deles. Alguns números chegaram a receber 155 ligações de oferta de produtos por mês em nome da empresa de telefonia.

Na mesma esteira, outras duas empresas, Wind e AOK Baden-Wurttemberg, baseavam-se no consentimento para o tratamento de dados pessoais para fins publicitários, mas falharam no controle sobre esse consentimento e na implementação do direito dos seus consumidores de revogação para não serem mais incomodados [6]. Juntas, Tim, Wind e AOK Baden-Wurttemberg foram condenadas ao pagamento de multas que ultrapassam o valor de 40 milhões de euros.

Fácil notar, portanto, que as ações de marketing merecem especial atenção quando olhadas sob o prisma da proteção dos dados pessoais dos consumidores, afastando-se a ideia da existência de atalhos ou caminhos mais fáceis a serem seguidos quando da adequação da publicidade à LGPD. O processo de adaptação, para que seja efetivo e de fato proteja a empresa visada, exige a realização de auditoria especializada sobre todos os seus processos internos. Primeiro, porque até mesmo o primeiro passo, de identificação das bases legais para o tratamento dos dados, requer análise e reflexão técnica e documentada. Depois, porque ainda que haja uma base legal válida, a forma como a empresa opera no dia a dia também será determinante para verificar a sua adequação, não sendo suficiente apenas uma política de privacidade, mas, sim, uma mudança global de comportamento e a revisão constante das suas práticas, revendo procedimentos, readequando operações e viabilizando, sobretudo, a proteção e o exercício dos direitos dos titulares durante todo o processo.