Para além do consentimento na LGPD

Um consumidor, prestes a contratar determinado produto ou serviço, recebe documentos e formulários, tais como contratos de adesão e fichas cadastrais. Com o advento da Lei Geral de Proteção de Dados — LGPD (Lei Federal nº 13.709, de 14 de agosto de 2018), tornou-se frequente a inclusão de termos ou autorizações para o uso de dados pessoais. Trata-se de uma situação relativamente comum, seja no ambiente físico ou digital.

Nesses casos, a utilização de dados pessoais é, em sua maioria, necessária e engloba uma infinidade de razões. Entrega de produtos, escrituração contábil, registro de operações, realização de exames e a identificação do consumidor são apenas alguns exemplos de situações que justificam o tratamento de dados pessoais.

A prática, porém, vem demonstrando que esses termos e autorizações são utilizadas de forma indiscriminada, como uma panaceia da LGPD. Em outras palavras, um "remédio" geral para todas as obrigações e responsabilidades legais.

Questionamentos sobre a validade e eficácia desses termos e se seria essa a forma adequada ao conduzir as operações, vêm sendo levantados. O fato de esses termos se mostrarem, com frequência, genéricos e pouco informativos, corrobora com a controvérsia.

Segundo a LGPD, todo tratamento de dados pessoais deve ser revestido de uma das chamadas "bases legais de tratamento". São situações que autorizam o tratamento de dados pessoais, as quais incluem, dentre outras, o cumprimento de obrigações legais, execução de deveres contratuais, exercício de regular de direitos em processo, entre outras.

Entre essas bases legais está o "fornecimento de consentimento pelo titular" (artigo 7º, inciso I). Ainda, para o tratamento dos dados pessoais sensíveis, a lei estipula que o consentimento deve ser concedido "(…) de forma específica e destacada, para finalidades específicas" (Art. 11, inc. I).

As bases legais, inclusive o consentimento, devem ser utilizadas e interpretadas conforme os princípios e disposições da própria lei, em especial diante do respeito da autodeterminação informativa (artigo 2º, inciso II, LGPD). Isso significa conceder aos titulares a possibilidade de determinar e controlar quando, quem, como e em que medida as suas informações são utilizadas. A noção de controle da pessoa sobre o fluxo de seus próprios dados se fortalece em face de uma concepção mais tradicional de privacidade.

Consequentemente, o consentimento demandado pela LGPD exige o exercício da plena autonomia dos titulares, isto é, a liberdade em determinar como seus dados serão utilizados.

Em uma sociedade moderna, as relações jurídicas e sociais importam em desigualdades. Relações trabalhistas, consumeristas ou com gigantes do mercado são naturalmente desiguais. Não por outro motivo, a legislação, visando equilibrar essas relações, impõe parâmetros e limitações às partes.

Segundo o entendimento e interpretação do Regulamento Geral de Proteção de Dados (RGPD/GDPR-UE), por meio do Recital 32, o consentimento deve consistir em um ato afirmativo estabelecido de forma livre, específica, informada e inequívoca.

O consentimento deve empoderar os titulares dos dados pessoais, dando-lhes efetiva oportunidade de escolha e subsídios para tomar uma decisão adequada.

Durante a contratação de um empregado, existe plena igualdade entre as partes? Na contratação de um serviço de telefonia ou internet, o contratante tem a possibilidade de interferir significativamente no tratamento de dados pessoais? Em ambos os casos, assim como em diversos outros, a resposta é negativa. Situações em que os titulares não possuem força, formação ou informação suficiente para fundamentar ou exercer sua autonomia podem descaracterizar o seu consentimento.

A utilização do consentimento como base legal demanda uma avaliação quanto a sua adequação e cuidado. Inclusive, essa base legal importa em obrigações adicionais, tais como a capacidade de demonstrar a sua coleta regular (artigo 8º, §2º) e, caso solicitado, possuir meios de eliminação dos dados (artigo 18, inciso VI).

Nos termos do Regulamento Geral de Proteção de Dados da União Europeia (RGPD/GDPR-EU), a coleta de deve ser prévia e "(…) deverá ser fornecida de uma forma inteligível e de fácil acesso, numa linguagem clara e simples e sem cláusulas abusivas. Para que o consentimento seja dado com conhecimento de causa, o titular dos dados deverá conhecer, pelo menos, a identidade do responsável pelo tratamento e as finalidades a que o tratamento se destina".

Em certa medida, houve uma banalização da referida base legal, desvirtuando o seu propósito diante dos próprios princípios da lei. A lei buscou proteger a privacidade dos titulares dos dados, emponderando-os. A sua utilização indiscriminada não leva a uma efetivação dos princípios almejados pela LGPD.

Isso não significa que o tratamento de dados pessoais não pode ser realizado. Significa apenas que deve ser realizado de acordo com uma base legal mais apropriada. Todas elas justificam as operações de tratamento e, conforme entendimento doutrinário, não existe qualquer hierarquia entre elas. Sobre o tema, o Conselho da Justiça Federal aprovou enunciado na IX Jornada de Direito Civil, segundo o qual "(n)ão há hierarquia entre as bases legais estabelecidas nos artigos 7º e 11 da Lei Geral de Proteção de Dados (Lei nº 13.709/2018)".

Em todos os casos, destaca-se, é igualmente necessário que o agente realize o tratamento de forma transparente (artigo 6º, inciso VI), inclusive como forma para que os titulares realizem decisões informadas. Mas isso não se confunde com o consentimento. Termos de consentimento são diferentes de termos de ciência.

Segundo o manifesto Privacy 2030: A New Vision for Europe, as "primeiras impressões do RGPD indicaram grandes investimentos em conformidade legal mas poucas mudanças visíveis praticas envolvendo dados. A experiência compartilhada demonstrou a predominância de e-mails e pop-ups requerendo a aceitação de novos termos e condições". (Tradução livre).

Em uma sociedade moderna, a utilização de dados tem crescente importância e valor econômico, com o potencial de interferir na vida das pessoas. Como parte da maturidade da legislação, é necessário compreender e divulgar o seu verdadeiro propósito, empoderando os titulares para agirem ativamente.