Em harmonia com as legislações em todo o mundo, a Lei Federal nº 13.709/18, desde sua edição, visa regulamentar a forma como pessoas naturais e jurídicas de direito público e privado tratam dados pessoais, trazendo responsabilização e estipulando hipóteses de infrações, caso seja descumprida a legislação.
Ao menos em relação a maioria de seus artigos, passou a viger somente após 24 (vinte e quatro) meses contados de sua publicação, mas mesmo antes de produzir efeitos já influenciava comportamentos empresariais em todo o país.
É que referida legislação trouxe uma série de adequações necessárias aquelas pessoas naturais e jurídicas que detém, pelo exercício de suas atividades empresariais ou públicas, dados pessoais de clientes/cidadãos.
O art. 5º inc. X da Constituição Federal já dispõe que “são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação;”
O Código Civil em seu art. 21, nos mesmos moldes constitucionais também realça a proteção da “vida privada da pessoa natural”, ainda prevendo a possibilidade da intervenção judicial para “impedir ou fazer cessar ato contrário a esta norma.”
Portanto, conclui-se que referida legislação de proteção de dados pessoais é em verdade um desdobramento das garantias constitucionais previstas no art. 5º, bem como um tratamento infraconstitucional especializado que não aquele já contido no art. 21 do Código Civil.
Mas é possível refletir que, apesar da especialidade acerca da maneira com que trata o tema (segurança e proibição de exposição indevida de dados pessoais), os dados pessoais são elementos da personalidade da pessoa natural, conforme a positivação entregue pelo Código Civil, culminando, sua violação, na responsabilização por danos morais.
Neste sentido a Lei Federal nº 13.709/18 – LGPD – trouxe, em seu art. 42, que “O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.”
O controlador e o operador, conforme define a própria LGPD em seu art. 5º, são respectivamente:
- Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
- Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
Como podemos observar, a LGPD trouxe, como sanção ao infrator (controlador ou operador), a possibilidade de responsabilização, denunciando suas matrizes normativas constitucional, bem como civilista, que tratam das consequências pelo dano causado.
Ainda em seu art. 46 a LGPD preceitua que:
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Além das sanções administrativas, a responsabilidade civil dos “agentes de tratamento”, como denomina a legislação, se revela como meio de coerção para que as pessoas naturais e jurídicas adotem as medidas necessárias para se evitar a violação de dados pessoais.
Neste contexto se insere o conceito de dano in re ipsa, que segundo Antonio Jeová Santos[1]
“[…] repousa na consideração de que a concretização do prejuízo anímico suficiente para responsabilizar o praticante do ato ofensivo, ocorre por força do simples fato da violação de modo a tornar-se desnecessária a prova do prejuízo em concreto. A prova in re ipsa é decorrência natural da realização do ilícito, isto é, surge imediatamente da análise dos fatos e a forma como aconteceram.”
O dano moral, como aquele contra a imagem de uma pessoa, em geral, é considerado in re ipsa, porquanto da própria prova do fato se presumi a ocorrência do dano.
Neste sentido também dispõe a Súmula 403 do STJ:
Independe de prova do prejuízo a indenização pela publicação não autorizada de imagem de pessoa com fins econômicos ou comerciais.
Daí se conclui que o direito à inviolabilidade de dados pessoais (à privacidade), como direito atrelado à personalidade protegido pelo art. 21 do Código Civil e 5º, X da Constituição Federal, poderá ensejar, quando de sua violação o dano moral in re ipsa.
Uma vez violada a esfera privada do indivíduo, não havendo consentimento, não há que se falar em prova de dano, sendo este presumido.
Entretanto algumas decisões do Tribunal de Justiça do Estado de São Paulo têm se firmado em sentido contrário, senão vejamos:
“LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD) E DIREITO DO CONSUMIDOR. AÇÃO COM PRECEITOS CONDENATÓRIOS. Sentença de improcedência dos pedidos. Recurso de apelação do autor. Vazamento de pessoais não sensíveis do autor (nome completo, números de RG e CPF, endereço, endereço de e-mail e telefone), sob responsabilidade da ré. LGPD. Responsabilidade civil ativa ou proativa. Doutrina. Código de Defesa do Consumidor. Responsabilidade civil objetiva. Ausência de provas, todavia, de violação à dignidade humana do autor e seus substratos, isto é, liberdade, igualdade, solidariedade e integridade psicofísica. Autor que não demonstrou, a partir do exame do caso concreto, que, da violação a seus dados pessoais, houve a ocorrência de danos morais. Dados que não são sensíveis e são de fácil acesso a qualquer pessoa. Precedentes. Ampla divulgação da violação já realizada. Recolhimento dos dados. Inviabilidade, considerando-se a ausência de finalização das investigações. Pedidos julgados parcialmente procedentes, todavia, com o reconhecimento da ocorrência de vazamento dos dados pessoais não sensíveis do autor e condenando-se a ré na apresentação de informação das entidades públicas e privadas com as quais realizou o uso compartilhado dos dados, fornecendo declaração completa que indique sua origem, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, assim como a cópia exata de todos os dados referentes ao titular constantes em seus bancos de dados, conforme o art. 19, II, da LGPD. Determinação para envio de cópia dos autos à Autoridade Nacional de Proteção de Danos (art. 55-A da LGPD).RECURSO PARCIALMENTE PROVIDO.”[2]
Da transcrição da ementa acima, deduz-se que, no caso concreto, o tribunal considerou que pelo motivo de não se tratarem de “dados sensíveis”, a indenização por danos morais (in re ipsa – decorrente do ilícito de expor dados pessoais do autor) não era cabível.
Ainda interpretou que era necessário a demonstração da existência do dano moral, destoando do entendimento de que esta prova é dispensável quando da violação de demais direitos da personalidade civil, como, por exemplo, o direito à imagem.
Os “dados sensíveis”, conforme art. 5º da LGPD são aqueles sobre “[…] origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico […]”;
Entretanto a simples violação de dados pessoais, estes como elementos da personalidade ligados à privacidade, são protegidos e quando expostos sem consentimento, apenas pelo ilícito já deveriam acarretar o dano moral e a reparação mediante indenização.
Podemos extrair o mesmo raciocínio em outro julgamento semelhante:
“Apelação. Responsabilidade civil. Prestação de serviços. Energia elétrica. Vazamento de dados do sistema da prestadora do serviço. Ação de reparação por danos morais. Sentença de improcedência. Invasão de sistema da concessionária. Responsabilidade objetiva da empresa no tratamento de dados (art. 42 da LGPD). Falha na prestação de serviços (art. 14 do CDC). Dados que não se relacionam à intimidade e não envolve dado pessoal sensível (art. 5º, II, da LGPD). Dados básicos informados com frequência em diversas situações, muitos constantes em simples folha de cheque. Ausente utilização dos dados vazados e efetivo dano. Impossibilidade de indenizar expectativa de dano. Sentença mantida. Honorários majorados. RECURSO DESPROVIDO.” [3]
Desta maneira, nota-se, também no julgado acima, que apesar da ampla disseminação dos conceitos abordados pela LGPD, bem como pela inovação teórica como os institutos da “Responsabilidade civil ativa ou proativa” citada na ementa do primeiro julgado citado, os tribunais não estão considerando, por si só, os dados pessoais como elementos da personalidade civil, atrelados, por sua natureza, ao direito à privacidade, do que decorreria o dano moral pela simples exposição desconsentida.
É necessário que os dados expostos sejam “sensíveis”, interpretação que se distingue daquela que já está pacífica quando da violação de outros direitos da personalidade civil, como o direito à imagem.
REFERÊNCIAS:
JEOVÁ SANTOS, Antônio. Dano moral indenizável. Salvador: Juspodivm, 2015, p.
[1] Dano moral indenizável. Salvador: Juspodivm, 2015, p. 606
[2] Apelação Cível nº 1000331-24.2021.8.26.0003, 27ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo Relator ALFREDO ATTIÉ, Data de Julgamento: 16 de novembro de 2021.
[3] Apelação Cível 1024481-61.2020.8.26.0405; Relator (a): L. G. Costa Wagner; Órgão Julgador: 34ª Câmara de Direito Privado; Data do Julgamento: 23/08/2021;
