De acordo com o especialista em Proteção de Dados e Privacidade, Renato Monteiro, Proteção de Dados e Segurança da Informação são duas faces da mesma moeda, uma vez que não há proteção de dados sem segurança, e não há segurança adequada sem regras de proteção de dados pessoais. 

Desde 2010, o Brasil discute a aprovação de uma lei de proteção de dados pessoais, ou seja, uma diretriz que regulamente a maneira como empresas e governos coletam e utilizam informações dos cidadãos e empresas. O debate vem se intensificando no país. Os atuais projetos de leis gerais de proteção de dados já passaram por diversos foros de discussão, inclusive audiências e consultas públicas. O destaque vai para o PL 5276/2016, de autoria do Poder Executivo, que recebeu mais de 2000 contribuições dos mais diversos setores.

Renato Monteiro, que além de especialista, é também professor de Direito Digital e Internacional da Universidade Presbiteriana Mackenzie, observa que se aprovada este ano, a nova lei impactará o mercado de tecnologia da informação e comunicação. Especialmente, no que tange aos custos operacionais, já que as empresas de todos os tamanhos terão um período pré-determinado para se adaptarem. Ao mesmo tempo, haverá uma miríade de novas oportunidades, principalmente para as empresas que saírem na frente nos procedimentos de adaptação e as que já empregam princípios universais de proteção de dados pessoais.

Confira aqui, uma entrevista exclusiva com o especialista.

DatacenterDynamics: Gostaria que começasse falando um pouco, em que pé está o conceito de privacidade hoje, considerando a circulação tão abrangente, com ou sem o consentimento do cidadão de informações pessoais.  

Renato Monteiro: Não existe um conceito de privacidade fechado. Este pode variar de acordo com contexto em que o sujeito de direito se encontra, com o tempo e, principalmente, com o avanço da tecnologia. Privacidade é quase que como um sentimento, e cabe a cada indivíduo determinar a sua elasticidade. Nesta seara, no contexto da pergunta, é importante diferenciar privacidade de proteção de dados pessoais, pois são direitos autônomos. Privacidade está diretamente relacionado à direitos subjetivos, como intimidade, vida privada, honra e imagem. Ao passo que a proteção de dados pessoais, ou seja, o controle sobre o que é feito sobre informações que dizem respeito a um indivíduo, visa proteger não só a privacidade, mas também outras liberdades fundamentais, como liberdade de expressão, pleno emprego, saúde, ir e vir etc..

Numa época em se prega a quase que livre circulação de informações pessoais, ao ponto de alguns afirmarem que a privacidade chegou ao seu fim, é que devem ser implementadas ferramentas mais adequadas que garantam ao indivíduo um efetivo controle sobre o que é feito com seus dados, ao mesmo tempo em que estabelecem regras que visem garantir segurança jurídica às atividades de processamento de dados e a circulação destes sem entraves legais e técnicos desnecessários.

DCD: Se aprovada, a lei de proteção de dados pessoais garantirá segurança jurídica? Por quê?

R.M.: Sim, ela poderá conferir uma maior segurança jurídica se compararmos com o atual contexto regulatório pantanoso em voga no país. Hoje, o cenário regulatório de proteção de dados pessoais no Brasil é setorial. Isso significa que há regras distintas para setores diferentes da sociedade, umas mais rígidas, outras mais flexíveis. Todavia, grande parte das diferentes áreas não podem ser tratadas de forma isolada. Por exemplo, como dissociar serviços de saúde com serviços oferecidos através da internet? Uma lei geral de proteção de dados pessoais terá aplicação transversal, conferindo regras e princípios que devem ser interpretados e implementados de forma abrangente e clara em todas as searas da sociedade. Tanto que um dos motivos para se ter uma lei dessa natureza é o desenvolvimento econômico e tecnológico de um país, além da proteção de direitos individuais, como o da privacidade. A título de exemplo, o arcabouço normativo de proteção de dados da União Europeia acabou de passar por um longo processo de reforma, que visou, principalmente, uniformizar as regras entre os diferentes países, estabelecendo um regime jurídico único para todo o bloco econômico, facilitando o livre fluxo de dados, fomentando a economia baseada no uso de dados, característica maior da sociedade da informação.

DCD: O Brasil perde dinheiro sem uma lei de proteção de dados pessoais? 

R.M.: Provavelmente. A ausência de regras abrangentes e claras relativas à proteção de dados, que poderiam ser determinadas por meio de uma lei geral, significa que, aos olhos de vários países, como os do bloco europeu, o Brasil não garante um nível adequado de proteção. 

Resultado: dados de cidadãos europeus, de acordo com as leis europeias, não podem ser processados em território nacional, nem por serviços que sigam apenas as atuais leis brasileiras. Todavia, países vizinhos como Argentina e Uruguai, por disporem de tais leis, tiveram reconhecidos o nível adequado de proteção. Desta feita, mesmo que o Brasil ofereça serviços mais baratos, perderá para nossos vizinhos do cone sul puramente por questões regulatórias.

Ademais, algumas das regras de processamento de dados no país podem ser consideradas inflexíveis ao ponto de inviabilizarem algumas das novas formas de uso de dados pessoais, principalmente àquelas relacionadas à Big Data, Inteligência Artificial e Internet das Coisas. Uma lei geral poderia estabelecer um cenário mais fluído e harmônico, em consonância com os objetivos de desenvolvimento econômico e tecnológico, sem deixar de implementar ferramentas para garantir proteção aos direitos individuais.

DCD: Big Data é um dos cenários mais afetados por conta do Brasil não dispor de uma regulamentação de dados pessoais? 

R.M.: Sim. Big Data é um conceito técnico utilizado para o processamento de grandes volumes de dados, de forma rápida e iterada. Muitas vezes, os usos futuros de tais dados ainda não são conhecidos no momento da coleta, serão descobertos quando combinados e agregados com outros dados. Todavia, de acordo, por exemplo, com o Marco Civil da Internet,  dentro do contexto do uso de dados em ambientes de internet, o processamento destes somente é possível com o consentimento expresso do seu titular, sem exceção. Isso significa que caso sejam descobertas novas finalidades para o uso dos dados, mesmo que tais usos sejam benéficos para o seu titular, tal processamento poderá ser vedado. Os projetos de leis gerais atualmente em discussão incorporaram ao seu arcabouço regulatório a figura dos legítimos interesses, que autoriza novos usos dos dados sem que seja necessário um novo consentimento do titular, desde que haja um interesse justificável por parte de quem realizará o processamento e os direitos individuais do titular sejam garantidos. Sem tal figura, as reais vantagens na utilização de metodologias de Big Data podem ser altamente limitadas. Além disso, o consentimento passa a ser apenas uma das dez hipóteses autorizativas para o processamento legítimo de dados pessoais. Dentre elas está o interesse público subjacente, que pode ser colocado em prática, tanto por entidades públicas quanto privadas, apenas deste último cenário ainda não estar claro nos projetos em discussão, em dissonância com as mais avançadas regras europeias.

DCD: Pensando um pouco na tão falada Internet das Coisas, ela vai ampliar a utilização de dados pessoais de forma indiscriminada?

R.M.: A Internet das Coisas, ou seja, a comunicação e a troca de dados entre máquinas, sem a necessidade de intervenção humana, apenas permitirá o uso indiscriminado de dados pessoais se questões pertinentes à proteção destes não forem respeitadas. Metodologias conhecidas como privacy by design, data protection by design e privacy by default visam estabelecer padrões protetivos que devem ser observados desde o momento da concepção de um serviço ou produto, passando pelo seu desenvolvimento e oferecimento ao mercado. A obrigatoriedade da aplicação destas metodologias pode se dar através de uma lei geral de proteção de dados pessoais, e abrangerá equipamentos e serviços classificados dentro do guarda-chuva da Internet das Coisas.

DCD: O Marco Civil é meramente principiológico ou ele abrange boa parte das questões que envolvem a proteção de dados pessoais?

R.M.: O Marco Civil da Internet é uma lei setorial. Ele se aplica à serviços oferecidos através da internet. Ele não se aplica, por exemplo, ao processamento de dados médicos feitos dentro de sistemas fechados de hospitais ou informações trabalhistas de RH. No âmbito dos serviços de internet, a lei incorporou princípios basais, como o da finalidade, necessidade e limitação de propósito, além da obrigatoriedade de um consentimento livre, expresso e informado do titular autorizando o processamento de seus dados. Todavia, o Marco Civil deixou de trazer seu texto figuras como de legítimos interesses ou outras hipóteses autorizativas do processamento de dados pessoais, o que pode tornar menos fluído e mais burocrático o desenvolvimento de serviços que usam os dados para finalidades diferentes daquelas que deram ensejo a coleta inicial. Neste contexto, uma lei geral de proteção de dados pessoais mais harmônica poderia colaborar com o florescimento ainda maior do mercado de serviços de internet e fomentar a economia nacional.