150 milhões de brasileiros versus Serasa: a suspensão do compartilhamento de dados à luz da Lei Geral de Proteção de Dados Pessoais

Por Marcela Macedo Féder

Desde a entrada em vigor da Lei Geral de Proteção de Dados Pessoais – LGPD, em 18 de setembro de 2020, muito se espera pelas primeiras repercussões da norma no âmbito jurisprudencial.

Recentemente, no último dia 20, foi prolatada decisão que determinou a suspensão da comercialização de dados pessoais cadastrados na plataforma da Serasa Experian, reconhecidamente um dos maiores órgãos de proteção ao crédito em território nacional. A operação foi identificada pela Unidade Especial de Proteção de Dados e Inteligência Artificial, vinculada ao Ministério Público do Distrito Federal e Territórios, levando ao ajuizamento de Ação Civil Pública em face da empresa.

Em seu arrazoado, o Ministério Público demonstrou sua inconformidade em relação às operações realizadas pela Serasa. Mais especificamente, a empresa viabilizou e incentivou a compra de dados pessoais (nome, endereço, CPF, 3 números de telefone, localização, perfil financeiro, poder aquisitivo e classe social) de mais de 150 milhões de cidadãos brasileiros, para fins de publicidade e captação de novos clientes. 

Por meio dos serviços denominados “Lista Online” e “Prospecção de Clientes”, e pelo valor irrisório de R$ 0,98 por pessoa natural identificada, qualquer empresa poderia ter acesso à base de dados da Serasa. Destaque-se que os serviços oferecidos eram totalmente personalizados, sendo possível selecionar a categoria de público-alvo por meio da utilização de filtros. 

Neste ponto, é imprescindível frisar que toda a operação foi articulada de maneira a tornar os dados extremamente acessíveis e atrativos aos interessados, fator este que aumenta a exposição e o risco de danos aos seus titulares.

Diante disso, o Ministério Público argumentou que tal prática viola dispositivos da Constituição Federal (art. 5º, inc. X), bem como regras infraconstitucionais, previstas no Código Civil (arts. 11 e 20), Código de Defesa do Consumidor (art. 43, § 2º), Marco Civil da Internet (art. 3º, incs. II e III) e Lei Geral de Proteção de Dados Pessoais (art. 2º, inc. I).

Especificamente sobre a LGPD, defendeu-se que a operação estaria em desacordo com o art. 44, no sentido de que o tratamento de dados pessoais é considerado irregular quando não fornecer a segurança que o titular dele pode esperar, relacionadas ao modo pelo qual é executado, ao resultado e riscos que razoavelmente dele se esperam e às técnicas de tratamento disponíveis à época em que foi realizado. Observe-se que a LGPD traz um conceito amplo de tratamento de dados (art. 5º, inc. X), de forma a enquadrar a operação realizada pela Serasa.

Ainda, considerando que a comercialização de dados foi realizada sem o conhecimento ou a anuência de seus titulares, haveria violação ao art. 8º do mesmo dispositivo legal, o qual dispõe que “o consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas” (§ 4º). 

Em outras palavras, ao ceder seus dados para a Serasa com a finalidade de proteção ao crédito, o titular não dá consentimento com a finalidade de tratamento relacionada a publicidade e prospecção de clientes, que é oriunda diretamente da comercialização. 

Face aos graves indícios de irregularidades praticadas pela Serasa, o Ministério Público, em sua Exordial, fala em “grande incidente de segurança monetizável” e “vazamentos de dados”. 

Em decisão de 1º grau, o Juiz da 5ª Vara Cível de Brasília indeferiu o pedido de concessão da tutela de urgência, sob o fundamento de que a operação estaria amparada pelas bases legais do legítimo interesse e da proteção do crédito (art. 7º, incs. IX e X da LGPD).

Assim, entendeu que a Lei permite a utilização desses dados para atender aos legítimos interesses do controlador ou de terceiro e que, neste caso, em tese não haveria lesão aos direitos e às liberdades fundamentais do titular. Destacou, também, que não estão sendo comercializados dados sensíveis (aqueles que podem resultar em discriminação do titular) e que tais informações “são habitualmente fornecidas pelos sujeitos de direitos nas suas relações negociais e empresariais”, tornando desnecessário o expresso consentimento do titular.

Além disso, consignou que as informações relativas ao perfil financeiro e padrão de consumo dos titulares “interessam ao desenvolvimento econômico, à livre iniciativa, à livre concorrência e, portanto, à própria defesa do consumidor”, conforme art. 2º, incs. V e VI da LGPD. Ou seja, na ponderação do magistrado, entre atingir os legítimos interesses das empresas e proteger a privacidade do titular de dados, deve prevalecer o legítimo interesse – justificando o tratamento. 

Irresignado, o Ministério Público interpôs Agravo de Instrumento e, em decisão proferida pelo Des. César Loyola, obteve a concessão da tutela de urgência para suspensão imediata da comercialização dos dados pela Serasa.

Nesta oportunidade, aduziu que “para que o tratamento de dados seja fundamentado no legítimo interesse do controlador é necessário que seus propósitos sejam legítimos, específicos, explícitos e informados ao titular do dado, sendo que as finalidades do tratamento devem ser compatíveis com aquelas informadas ao titular, bem como que o tratamento seja limitado ao mínimo necessário à realização de suas finalidades, trazendo clara obediência aos princípios da finalidade, da adequação e da necessidade preconizados na Lei Geral de Proteção de Dados” (art. 6º, incs. I, II e III).

Além disso, ressaltou um dos fundamentos da LGPD, a autodeterminação informativa (art. 2º, inc. II), que garante ao titular o poder sobre qualquer tipo de uso ou de tratamento de seus próprios dados.

Concluiu, então, que ainda que fosse reconhecido o legítimo interesse do controlador, a operação deveria ser descontinuada, visto que os direitos e liberdades fundamentais de mais de 150 milhões de brasileiros estão claramente sendo violados. Deste modo, considerando as circunstâncias, “o interesse comercial e lucrativo da empresa ré não pode se sobrepor ao interesse dos titulares dos dados”.

Da mesma forma, o Tribunal de Justiça do Distrito Federal e dos Territórios reconheceu a irregularidade da operação, trazendo especial destaque ao § 5º do art. 7º da LGPD, o qual prevê expressamente que o controlador que obtiver o consentimento do titular para tratar seus dados deverá solicitar consentimento específico para compartilhar tais dados com outros controladores, ressalvadas as hipóteses de dispensa de consentimento previstas na Lei – que não é o caso. 

Não é o caso porque, em seu entendimento, há a incidência da exceção admitida pelo art. 7º, inc. IX, que prevê a base legal do legítimo interesse do controlador, mas, na parte final, aponta para uma possível prevalência de “direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais”.

Sob tais fundamentos, deferiu a antecipação de tutela requerida pelo Ministério Público e fixou multa no valor de R$ 5.000,00 por cada venda efetuada em desconformidade com a decisão.

Portanto, no caso em análise, percebe-se que a aplicação da LGPD deu origem a um embate principalmente entre a hipótese de tratamento de dados do legítimo interesse do controlador e de terceiro (art. 7º, inc. IX) e o fundamento legal do respeito à privacidade (art. 2º, inc. I e art. 7º, inc. IX, parte final).

Assim, de um lado encontram-se as prerrogativas de liberdade econômica, livre iniciativa, concorrência e desenvolvimento econômico. De outro, o princípio da dignidade da pessoa humana, o direito fundamental à privacidade e a autodeterminação informativa.

Em termos concretos, trata-se de um sopesamento, que requer uma análise cautelosa dos fatos e, sobretudo, do novo regramento nacional acerca da proteção de dados – a LGPD. Destaca-se que estas decisões pioneiras relacionadas à aplicação da LGPD são de extrema importância, porquanto ainda não há diretrizes jurisprudenciais consolidadas sobre o assunto.

O mérito desta ação ainda não foi julgado. Por ora, após a concessão da liminar, prevalece o empoderamento dos titulares de dados. Face às discussões trazidas pelo feito e diante da ampla repercussão na comunidade jurídica, certamente há grande expectativa entre os operadores do direito acerca dos novos desdobramentos do caso.