A Lei Geral de Proteção de Dados Pessoais
(Lei 13.709/18) tem sido objeto de contínuo e necessário estudo, seja pela
importância da proteção de dados pessoais e da privacidade, seja por
representar uma legislação que está inserida em todas as áreas do Direito,
notadamente se relacionando com o Direito do Consumidor, uma vez que os
titulares de dados, em inúmeras situações e relações jurídicas, serão também
consumidores.
Além disso, o Código de Defesa do
Consumidor (Lei 8.078/90) foi importante fonte de inspiração para os autores do
anteprojeto da LGPD, cujo texto guarda semelhanças na estrutura normativa e em
alguns de seus dispositivos [1].
É o caso do artigo 64 da Lei Geral de
Proteção de Dados Pessoais em consonância com o artigo 7º do CDC. Ambos trazem
uma abertura para aplicação simultânea de outros diplomas legais, em um mesmo
caso concreto sob orientação da Constituição Federal, especificamente para
concretização de um ou mais direitos fundamentais envolvidos [2]. Como o
direito fundamental de promoção da defesa do consumidor (artigo 5º, XXXII, CF)
e o direito fundamental à proteção de dados pessoais (artigo 5º, LXXIX, CF).
Trata-se do diálogo das fontes [3].
Outra semelhança está na prevenção de
danos. Enquanto o Código de Defesa do Consumidor estabelece a prevenção efetiva
de danos como direito básico do consumidor (artigo 6º, VI), a Lei Geral de
Proteção de Dados Pessoais a disciplina como princípio (artigo 6º, VIII). Seja
princípio, seja direito básico, tem-se na prevenção um dever para o agente de tratamento
ou para o fornecedor.
Referido dever do sujeito superavitário da
relação jurídica exige um comportamento compatível com o comando normativo, ou
seja, um agir que evite a ocorrência de danos aos sujeitos deficitários, aos
vulneráveis (sejam titulares de dados pessoais, sejam consumidores).
De acordo com a LGPD, esse comportamento é
descrito como a "adoção
de medidas para prevenir a ocorrência de danos em virtude do tratamento de
dados pessoais" (artigo 6º, VIII). Ou seja, o agente de
tratamento de dados tem (ou deve ter, pois dele é exigido) informações e
mecanismos de oferecer e prestar serviços com segurança e adequado controle de
qualidade, a fim de evitar acidentes de consumo, tais quais potenciais
vazamentos de dados. Não basta ao agente que ele próprio não cause o vazamento.
Mais do que isso, é exigida a adoção prévia de medidas que sejam efetivamente
capazes de evitar a ocorrência de danos.
Esta noção é complementada por outro
princípio da LGPD, qual seja, o estipulado no inciso X do mesmo artigo
6º: "responsabilização
e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes
e capazes de comprovar a observância e o cumprimento das normas de proteção de
dados pessoais e, inclusive, da eficácia dessas medidas".
Como alhures mencionado, a estrutura
normativa da LGPD também recebeu inspirações do CDC. Nesse sentido, ao lado dos
princípios da Lei Geral, a sua estrutura normativa fomenta constante diálogo de
um princípio com um fundamento e/ou outros dispositivos legais. Constrói-se uma
teia interconectada para fortalecimento da efetividade dos propósitos
normativos. Seara em que se insere a prevenção de danos presente no dever
imposto ao agente de tratamento para adotar medidas de segurança aptas à
proteção dos dados contra tratamentos ilícitos ou inadequados de dados,
inclusive quando ainda se está diante da concepção do produto ou serviço, nos
termos do artigo 46, § 2º, somando-se aos incisos VIII e X do artigo 6º da
mesma lei.
A par dessa teia interconectada, tal qual
antes citado, a LGPD abre-se para além de suas fronteiras. Reconhece sua
insuficiência para o escopo normativo e textualmente liga-se a diversas normas.
De forma que, ao prever o diálogo das fontes, a LGPD permite (e até estimula)
ao intérprete que não se resuma na própria Lei Geral, uma vez que a melhor
solução para o caso concreto pode estar na construção conjunta de aplicação de
duas ou mais leis.
Pode-se afirmar que é o caso de danos
causados a titulares de dados que, ao mesmo tempo, se revestem da condição de
consumidores (sejam em sentido estrito, sejam por equiparação, como é o caso do
previsto no artigo 17 do CDC, ou seja, das vítimas do evento danoso).
Destarte, ao se verificar situação jurídica
em que, a despeito de ausência de contratações anteriores, sejam expostos dados
pessoais de consumidores de forma indevida (e a tal ponto de macular imagem ou
de violar outros direitos da personalidade de consumidores/titulares da dados)
causando danos, se estará diante da responsabilidade civil.
Quando se fala em responsabilidade civil na
LGPD, tem-se diversidade de posicionamentos acerca de seu regime [4]. Caso
se entenda que o regime é o da responsabilidade objetiva [5] e se
tendo presente a disposição do artigo 45 que remete aplicação ao CDC, pode-se
ter um novo dilema. E se um profissional liberal, como um médico, contratado na
forma privada, expuser dados sensíveis de consumidores titulares de dados?
A LGPD estabelece a responsabilidade civil
objetiva. O CDC, igualmente, dispõe que há dever de responder independentemente
de culpa, à exceção de danos causados por profissionais liberais, que somente
respondem caso se verifique culpa (artigo 14, § 4º, CDC).
No exemplo aqui imaginado, o médico que
cause danos por erro médico deverá ter sua culpa investigada e demonstrada para
ser responsabilizado. Todavia, se este mesmo médico além deste erro ainda
expuser dados sensíveis do paciente como será a sua responsabilização?
Será
necessária a aferição de culpa para responsabilização dos danos decorrentes
dessa exposição de dados?
Para responder à questão sobre o regime
jurídico da responsabilidade civil de médico/agente de tratamento de dados em
uma relação de consumo, defendemos a submissão da situação ao diálogo das
fontes.
Com efeito, CDC e LGPD estatuem o dever de
prevenção de danos fortalecendo, ao menos em casos sob a égide de tais normas,
a função preventiva da responsabilidade civil. Portanto, para nortear a
resposta, em diálogo das fontes, deve-se ter em mente a prevenção de danos, que
é princípio e direito básico. Neste, ao lado do termo prevenção tem-se
outro: efetiva.
É necessária, por conseguinte, seja construída a efetiva prevenção de danos.
Em uma relação de consumo com potenciais
danos decorrentes de tratamento ilícito ou inadequado de dados pessoais, há o
dever de efetiva prevenção de danos (CDC), com a "adoção de medidas"
(LGPD) aptas à referida prevenção.
Acresça-se que o guia interpretativo da
aplicação do método do diálogo das fontes deve ser o respeito ao direito
fundamental envolvido.
No exemplo dado, estamos diante de (ao
menos) dois direitos fundamentais como já rememorado.
Devemos, portanto, interpretar o regime
jurídico de responsabilidade civil para o fim de oferecer efetividade à
proteção dos direitos fundamentais envolvidos, para o fim de impor ao médico
que é agente de tratamento de dados sensíveis um dever de adoção de medidas
aptas e capazes de garantir, com segurança, a prevenção da ocorrência de danos.
Então, como chegar à resposta? Talvez seja
o caso de buscarmos a resposta, ainda em diálogo das fontes, com auxílio de
outro princípio, o da isonomia.
No CDC, o fator de discrímen eleito pelo
legislador para excepcionar o profissional liberal, que responde somente
mediante culpa, parece guardar relação com a própria natureza de suas
atividades (de risco) que, em geral, podem configurar uma obrigação de meio, da
qual pode acontecer dano. Justifica-se a exigência do elemento subjetivo para
determinar o dever de ressarcimento. Na investigação proposta, todavia, o dano
não decorre da atividade fim do profissional liberal, mas de atividade de
tratamento de dados pessoais, como de qualquer outro agente de tratamento.
Sem este fator de discrímen a autorizar um
tratamento normativo diferenciado, poderia um profissional liberal responder
independentemente de culpa quando causar danos a consumidores decorrentes de
violação à LGPD?
Algo a se investigar, mas parece ser
através da teoria do diálogo das fontes o caminho para uma resposta adequada à
indagação proposta.
[5] As
diferentes compreensões do tema são enfrentadas na obra acima referida: Responsabilidade
civil na LGPD: Efetividade na proteção de dados pessoais, publicada pela Editora
Foco. Podem, ainda, ser visitadas no artigo: https://www.migalhas.com.br/coluna/migalhas-de-responsabilidade
civil/368236/responsabilidade-civil-por-tratamento-inadequado-de-dados-pessoais
Autores:
Flávio
Henrique Caetano de Paula Maimone é doutorando e mestre em Direito
Negocial pela Universidade Estadual de Londrina, diretor do Brasilcon,
associado titular do Iberc e advogado.
Bruno Ponich Ruzon é mestre em Direito Negocial pela Universidade Estadual
de Londrina, associado do Idec e advogado.
Fonte: Revista Consultor Jurídico