Após uma jornada particularmente conturbada, finalmente a Lei Geral de Proteção de Dados (LGPD) entrou em vigor no Brasil no dia 18 de Setembro de 2020, envolta ainda em uma série de questionamentos de eficácia e formas de aplicação, assinalada sua inovação, sobretudo no que tange seu bem jurídico tutelado – dados pessoais.
Os contornos de sua aplicação, contudo, não tardaram a aparecer: em menos de uma semana de seu vigor já podemos vislumbrar a primeira utilização da legislação por parte de um órgão público, qual seja Ação Civil Pública ajuizada pelo Ministério Público do Distrito Federal; em face desta exordial, nossa equipe desenvolveu uma análise acerca das primeiras impressões e tratativas dadas pelo poder público na aplicação prática da LGPD.
O primeiro ponto relevante na propositura da ação é justamente a forma adotada e o titular em exercício: Ação Civil Pública e Ministério Público Estadual. Ao longo dos debates acerca da titularidade do direito de ação em casos envolvendo privacidade, iniciados desde 2014 com o advento do Marco Civil da Internet, dois pontos focais foram abertos: usuários, assumindo que os dados pessoais são oriundos da matriz de direitos de personalidade, e poder público, em razão de um caráter regulamentador, em atuação de fiscalização e inibição.
No que toca os elementos relativos ao Estado, o debate se afunilou com as indicações de atuação administrativa, por meio da criação de agência especializada neste setor; com efeito, embora não incluída no texto original, a Agência Nacional de Proteção de Dados foi criada por força da MP 869/2018, passando a ser, em princípio, a ponta da lança do poder público na atuação para consecução da LGPD no Brasil.
O protagonismo do Ministério Público, em exercício de procedimento judicial, pode ser encarado, em princípio, à luz da vacância de atuação na ANPD até 2021; todavia, chama atenção que a atuação da Agência possuir um escopo de atuação federal, num modelo de controle concentrado, ao passo que um Ministério Público Estadual uma Unidade Especial de Proteção de Dados e Inteligência Artificial, tornando a atuação do poder público mais difusa e capilarizada.
Outro ponto a ser observado é o exercício do Ministério Público em favor de uma coletividade de sujeitos – 500 mil pessoas, segundo a exordial – cujos dados eram comercializados pela empresa ré, o que abre uma base de leitura que os direitos que emanam da LGPD possuem uma natureza transindividual, aproximando sua tratativa de legislações como o Código de Defesa do Consumidor (CDC).
Não por acaso o CDC foi utilizado como plano de fundo para compor a legitimidade do MP-DF, que trouxe a possibilidade de demandas coletivas em hipótese de atuação da LGPD – Art. 42, parágrafo terceiro – a combinando com a proteção de direitos difusos enquanto dimensão de atuação do Ministério Público – Art. 129 Inciso III da Constituição Federal.
Interessante notar, noutra mão, que a demanda não se presta a apreciar danos morais coletivos, estando frisado que sua função é preparatória para eventual ACP futura neste sentido, se prestando unicamente à eliminação dos dados pessoais em posse da empresa ré. Fica claro, com isso, que além do fato do MP-DF estar atuando de modo a provocar a jurisdição e assentar sua legitimidade, estrategicamente busca o reconhecimento da antijuridicidade da conduta da ré, antes de adentrar qualquer escopo reparatório. Trata-se de uma demanda em princípio legítima, mas que tem por função operar como um laboratório.
Insta ressaltar que a atuação do MP-DF não afasta o direito de acesso à jurisdição de qualquer particular cujo dado tenha sido tratado indevidamente pela empresa ré, mesmo em caso de condenação futura em por danos morais coletivos, hipótese em que será possível ao particular o acionamento do fundo originado pela condenação da empresa ré;
No tocante ao conjunto fático, chama a atenção a simplicidade da composição probatória apresentada, visto que a conduta da empresa ré está claramente explicita em seu site, posto que sua atividade principal, efetivamente, é a venda de dados pessoais; assim, as provas apresentadas foram, basicamente, printscreens, organizadas de modo que remete à um procedimento investigatório – Conclusão 1, Conclusão 2… – para identificar a autoria. Trata-se de uma atuação de investigação prévia. Em princípio não se indicou necessidade de ofício à órgãos ou particulares para identificação da autoria, embora a dilação probatória nos pedidos deixe a possibilidade em aberto.
O caso em tela mostra-se, até onde podemos notar, o modelo mais simples para a atuação de ente público em caso envolvendo a LGPD: autoria facilmente identificada, em razão do site da ré possuir registro .br e a conduta potencialmente lesiva bastante explicitada, indicando, inclusive, quais os dados comercializados; vale notar, contudo, que esta é uma realidade bastante distinta da observada no cenário digital brasileiro, onde tipos de tratamento, como o armazenamento, demandarão perícia, assim como a identificação demandará ofícios e/ou ordens judiciais para quebra de sigilo telemático.
Nestes casos em que uma investigação prévia não seja exauriente para identificar autoria e/ou compor um conjunto probatório robusto, poderá o ente público ou o particular de Ação para Produção Antecipada de Provas, em compasso com o Art. 381 do CPC, o que se mostra especialmente precioso em matéria digital, quando a dilação probatória pode ser morosa dentro de processo de conhecimento que se preste à analise de danos, tempo em que dados podem facilmente ser eliminados.
Em síntese, trata-se de um caso introdutório, com função de teste, mas longe de se tornar materialmente paradigmático, em razão de estar distante da realidade dos dados no Brasil; em nível formal, contudo, tem potencial de pavimentar o início da legitimidade dos Ministérios Públicos Estaduais lançarem mão de Ação Civil Pública em matéria de proteção de dados.
Esta é uma tendência que, em certos ângulos, vai de encontro com a linha de tratativa administrativa da questão de dados no Brasil, expressa na criação da ANPD; impossível dizer, neste momento, se a atuação do Ministério Público será no centro da questão ou de modo residual à ANPD, agindo casuisticamente e sob a lente da especificidade local, embora esteja claro, já neste caso, que os lesados não estavam apenas na área de atuação do MP-DF.
Um primeiro caso que abre mais uma série de questionamentos. Oportunamente atualizaremos este e outros casos emblemáticos envolvendo a matéria de proteção de dados.
Sócio-fundador da Martinelli & Guimarães Advocacia. Head de Direito Digital, LGPD, Consumidor e Entretenimento. Mestre em Direito pela Pontifícia Universidade Católica do Paraná. Vencedor da Global Legal Hackaton - OAB/PR 2018.
