No dia 26 de maio, a 2ª Turma Cível do Tribunal de Justiça do Distrito Federal e dos Territórios (TJDFT) manteve, de forma unânime, a decisão liminar concedida anteriormente que suspende a comercialização de dados pessoais pelo Serasa Experian por violação à Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD).
Trata-se de ação civil pública ajuizada pela Unidade Especial de Proteção de Dados e Inteligência Artificial do Ministério Público do Distrito Federal e dos Territórios (MPDFT), após a Unidade ter identificado em investigações que o Serasa vendia, pelo preço de R$ 0,98, por pessoa cadastrada, dados pessoais como nome, endereço, CPF, número de telefone, localização, perfil financeiro, poder aquisitivo e classe social de mais de 150 milhões de brasileiros para empresas interessadas na captação de novos clientes e para fins de publicidade.
Em novembro de 2020, em caráter liminar, o desembargador César Loyola concedeu a antecipação de tutela requerida pelo MPDFT para determinar a suspensão da comercialização de dados pelo Serasa, cominando, para o caso de descumprimento da decisão, multa diária no valor de R$ 5 mil reais por venda efetuada. A empresa recorreu da decisão; contudo, no julgamento do recurso, o colegiado confirmou a tutela recursal anteriormente concedida e manteve, por unanimidade, a suspensão.
Em sua defesa, o Serasa alegou que a venda de dados é inerente às suas atividades e que o tratamento de dados realizado pela empresa consistiria tão somente na reunião de dados de natureza meramente cadastral, ou seja, dados disponibilizados pelos próprios consumidores durante práticas de atos cotidianos. Assim, segundo a empresa, a comercialização dos dados prescindiria do consentimento do titular, uma vez que, nos termos do art. 7º, § 4º, da LGPD, é dispensada a exigência do consentimento para o tratamento de dados tornados manifestamente públicos pelo titular.
Em sentido diametralmente oposto, na fundamentação da decisão que manteve a suspensão, o desembargador relator César Loyola aduziu ser pouco crível que o monumental banco de dados titularizado pelo Serasa, com informações de mais de 150 milhões de brasileiros, tenha sido obtido apenas com informações tornadas manifestamente públicas por seus titulares e, ainda que assim o fosse, não se pode extrair que tais dados tenham sido tornados públicos de forma ampla e irrestrita a ponto de poderem ser comercializados. Dessa forma, no entender do relator, o compartilhamento remunerado de dados somente seria possível mediante o consentimento dos titulares.
Esclarece-se que a decisão não é definitiva, tendo havido apenas a antecipação dos efeitos da tutela de forma provisória, sendo que o mérito da questão ainda será analisado de forma mais aprofundada pelo Juízo de primeiro grau.
Com o advento da LGPD, o tratamento de dados pessoais – o que inclui, dentre outras operações, a coleta, o armazenamento, o compartilhamento e até a eliminação – passa a ser autorizado apenas quando lastreado em uma das hipóteses expressa e taxativamente elencadas nos artigos 7º e 11 da lei. A esse propósito, cumpre esclarecer que o consentimento é apenas uma das bases legais previstas pela LGPD, sendo dispensado, por exemplo, quando o tratamento de dados for necessário para o cumprimento de uma obrigação legal ou regulatória pelo controlador.
Nesse sentido, é premente que a definição da base legal mais adequada a justificar uma operação de tratamento de dados pessoais seja feita casuisticamente, tendo em vista a operação específica em concreto e considerando, dentre outros fatores, os agentes envolvidos na operação, a base legal e regulatória a qual estes estão submetidos e, primordialmente, as finalidades específicas do tratamento de dados.
Fábio Santos Pimenta
E-mail: fabio.pimenta@brasilsalomao.com.br
Verônica Marques
E-mail: veronica.marques@brasilsalomao.com.br
