Danos decorrentes de violação à LGPD por profissional liberal em relação de consumo

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/18) tem sido objeto de contínuo e necessário estudo, seja pela importância da proteção de dados pessoais e da privacidade, seja por representar uma legislação que está inserida em todas as áreas do Direito, notadamente se relacionando com o Direito do Consumidor, uma vez que os titulares de dados, em inúmeras situações e relações jurídicas, serão também consumidores.

É o caso do artigo 64 da Lei Geral de Proteção de Dados Pessoais em consonância com o artigo 7º do CDC. Ambos trazem uma abertura para aplicação simultânea de outros diplomas legais, em um mesmo caso concreto sob orientação da Constituição Federal, especificamente para concretização de um ou mais direitos fundamentais envolvidos [2]. Como o direito fundamental de promoção da defesa do consumidor (artigo 5º, XXXII, CF) e o direito fundamental à proteção de dados pessoais (artigo 5º, LXXIX, CF). Trata-se do diálogo das fontes [3].

Outra semelhança está na prevenção de danos. Enquanto o Código de Defesa do Consumidor estabelece a prevenção efetiva de danos como direito básico do consumidor (artigo 6º, VI), a Lei Geral de Proteção de Dados Pessoais a disciplina como princípio (artigo 6º, VIII). Seja princípio, seja direito básico, tem-se na prevenção um dever para o agente de tratamento ou para o fornecedor.

Referido dever do sujeito superavitário da relação jurídica exige um comportamento compatível com o comando normativo, ou seja, um agir que evite a ocorrência de danos aos sujeitos deficitários, aos vulneráveis (sejam titulares de dados pessoais, sejam consumidores).

De acordo com a LGPD, esse comportamento é descrito como a "adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais" (artigo 6º, VIII). Ou seja, o agente de tratamento de dados tem (ou deve ter, pois dele é exigido) informações e mecanismos de oferecer e prestar serviços com segurança e adequado controle de qualidade, a fim de evitar acidentes de consumo, tais quais potenciais vazamentos de dados. Não basta ao agente que ele próprio não cause o vazamento. Mais do que isso, é exigida a adoção prévia de medidas que sejam efetivamente capazes de evitar a ocorrência de danos.

Esta noção é complementada por outro princípio da LGPD, qual seja, o estipulado no inciso X do mesmo artigo 6º: "responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas".

Como alhures mencionado, a estrutura normativa da LGPD também recebeu inspirações do CDC. Nesse sentido, ao lado dos princípios da Lei Geral, a sua estrutura normativa fomenta constante diálogo de um princípio com um fundamento e/ou outros dispositivos legais. Constrói-se uma teia interconectada para fortalecimento da efetividade dos propósitos normativos. Seara em que se insere a prevenção de danos presente no dever imposto ao agente de tratamento para adotar medidas de segurança aptas à proteção dos dados contra tratamentos ilícitos ou inadequados de dados, inclusive quando ainda se está diante da concepção do produto ou serviço, nos termos do artigo 46, § 2º, somando-se aos incisos VIII e X do artigo 6º da mesma lei.

A par dessa teia interconectada, tal qual antes citado, a LGPD abre-se para além de suas fronteiras. Reconhece sua insuficiência para o escopo normativo e textualmente liga-se a diversas normas. De forma que, ao prever o diálogo das fontes, a LGPD permite (e até estimula) ao intérprete que não se resuma na própria Lei Geral, uma vez que a melhor solução para o caso concreto pode estar na construção conjunta de aplicação de duas ou mais leis.

Pode-se afirmar que é o caso de danos causados a titulares de dados que, ao mesmo tempo, se revestem da condição de consumidores (sejam em sentido estrito, sejam por equiparação, como é o caso do previsto no artigo 17 do CDC, ou seja, das vítimas do evento danoso).

Destarte, ao se verificar situação jurídica em que, a despeito de ausência de contratações anteriores, sejam expostos dados pessoais de consumidores de forma indevida (e a tal ponto de macular imagem ou de violar outros direitos da personalidade de consumidores/titulares da dados) causando danos, se estará diante da responsabilidade civil.

Quando se fala em responsabilidade civil na LGPD, tem-se diversidade de posicionamentos acerca de seu regime [4]. Caso se entenda que o regime é o da responsabilidade objetiva [5] e se tendo presente a disposição do artigo 45 que remete aplicação ao CDC, pode-se ter um novo dilema. E se um profissional liberal, como um médico, contratado na forma privada, expuser dados sensíveis de consumidores titulares de dados?

A LGPD estabelece a responsabilidade civil objetiva. O CDC, igualmente, dispõe que há dever de responder independentemente de culpa, à exceção de danos causados por profissionais liberais, que somente respondem caso se verifique culpa (artigo 14, § 4º, CDC).

No exemplo aqui imaginado, o médico que cause danos por erro médico deverá ter sua culpa investigada e demonstrada para ser responsabilizado. Todavia, se este mesmo médico além deste erro ainda expuser dados sensíveis do paciente como será a sua responsabilização? Será necessária a aferição de culpa para responsabilização dos danos decorrentes dessa exposição de dados?

Para responder à questão sobre o regime jurídico da responsabilidade civil de médico/agente de tratamento de dados em uma relação de consumo, defendemos a submissão da situação ao diálogo das fontes.

Com efeito, CDC e LGPD estatuem o dever de prevenção de danos fortalecendo, ao menos em casos sob a égide de tais normas, a função preventiva da responsabilidade civil. Portanto, para nortear a resposta, em diálogo das fontes, deve-se ter em mente a prevenção de danos, que é princípio e direito básico. Neste, ao lado do termo prevenção tem-se outro: efetiva. É necessária, por conseguinte, seja construída a efetiva prevenção de danos.

Em uma relação de consumo com potenciais danos decorrentes de tratamento ilícito ou inadequado de dados pessoais, há o dever de efetiva prevenção de danos (CDC), com a "adoção de medidas" (LGPD) aptas à referida prevenção.

Acresça-se que o guia interpretativo da aplicação do método do diálogo das fontes deve ser o respeito ao direito fundamental envolvido.

No exemplo dado, estamos diante de (ao menos) dois direitos fundamentais como já rememorado.

Devemos, portanto, interpretar o regime jurídico de responsabilidade civil para o fim de oferecer efetividade à proteção dos direitos fundamentais envolvidos, para o fim de impor ao médico que é agente de tratamento de dados sensíveis um dever de adoção de medidas aptas e capazes de garantir, com segurança, a prevenção da ocorrência de danos.

Então, como chegar à resposta? Talvez seja o caso de buscarmos a resposta, ainda em diálogo das fontes, com auxílio de outro princípio, o da isonomia.

No CDC, o fator de discrímen eleito pelo legislador para excepcionar o profissional liberal, que responde somente mediante culpa, parece guardar relação com a própria natureza de suas atividades (de risco) que, em geral, podem configurar uma obrigação de meio, da qual pode acontecer dano. Justifica-se a exigência do elemento subjetivo para determinar o dever de ressarcimento. Na investigação proposta, todavia, o dano não decorre da atividade fim do profissional liberal, mas de atividade de tratamento de dados pessoais, como de qualquer outro agente de tratamento.

Sem este fator de discrímen a autorizar um tratamento normativo diferenciado, poderia um profissional liberal responder independentemente de culpa quando causar danos a consumidores decorrentes de violação à LGPD?

Algo a se investigar, mas parece ser através da teoria do diálogo das fontes o caminho para uma resposta adequada à indagação proposta.