Após a aprovação do marco civil da internet, instaurou-se um novo debate sobre o anteprojeto de lei (APL) para a proteção de dados pessoais. Recentemente, em 19 de outubro de 2015, o Ministério da Justiça finalizou uma nova versão do anteprojeto, o que ocorreu depois de mais de 1300 colaborações no site da consulta pública.[3]
Como deixamos claro nos nossos últimos dois textos sobre o marco civil da internet, acreditamos que o recurso às legislações nacionais é insuficiente para garantir a proteção dos direitos fundamentais violados por aquilo que denominamos surveillance. Em que pese essa limitação da discussão no âmbito do Estado-nação, não se pode desconsiderar a importância, ainda que simbólica, dessas legislações.
Tendo sempre em vista os limites e as possibilidades da lei para tratar de problemas eminentemente desterritorializados, o referido anteprojeto é de imensa importância para inaugurar o debate sobre a surveillance no cenário legislativo brasileiro. Quando aprovada, essa legislação irá servir como fundamento para a formação imaginário dos juristas, especialmente da compreensão sobre a relação entre violação dos direitos fundamentais e os fluxos de dados.
Um dos maiores problemas na atual versão do anteprojeto é considerar que ainda estamos lidando somente com dados pessoais. Isso torna-se evidente já no artigo 1º, onde é estabelecido que “esta Lei dispõe sobre o tratamento de dados pessoais, com o objetivo de proteger os direitos fundamentais de liberdade, intimidade e privacidade da pessoa natural.”.
Com uma definição desse tipo, o APL esquece um dos direitos fundamentais mais importantes e que é colocado em risco pelo big data: a igualdade. O senso comum presente no APL tende a associar o problema da surveillance à privacidade e à liberdade. Obviamente, não se trata de um erro, pois, realmente, existe uma ligação óbvia e forte entre surveillance e privacidade. No entanto, é uma abordagem limitada, porque, embora esses problemas continuem a ser relevantes, é cada vez mais claro que eles não contam a história completa. Isso porque a surveillance, nos dias de hoje, classifica pessoas em categorias de interesse ou risco com consequências reais nas suas vidas. Logo, a surveillance torna-se um instrumento de estratificação da discriminação, o que faz com que deixe de ser apenas um problema de privacidade individual, mas, especialmente, de justiça social.[4]
Ainda que a omissão do artigo 1º do APL fosse considerada um mero “esquecimento”, suas consequências para a proteção dos direitos fundamentais seriam igualmente prejudiciais, especialmente quando percebemos que a coleta massiva de dados é capaz de categorizar pessoas em grupos de risco ou de (des)interesse econômico e social. No entanto, o APL vai mais fundo ao ignorar a igualdade e fazer a equivocada distinção entre três categorias de dados: pessoais, sensíveis e anônimos.
O dado pessoal, conforme art. 5º, inciso I, é aquele “[…] relacionado à pessoa natural identificada ou identificável, inclusive a partir de números identificativos, dados locacionais ou identificadores eletrônicos”.
Os dados sensíveis, de acordo com o inciso III do mesmo artigo, são um tipo especial de dados pessoais, ou seja, são “[…] dados pessoais que revelem a origem racial ou étnica, as convicções religiosas, filosóficas ou morais, as opiniões políticas, a filiação a sindicatos ou organizações de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, bem como dados genéticos”.
Por fim, os dados anônimos, conforme inciso IV do artigo 5º do APL, seriam aqueles “[…] dados relativos a um titular que não possa ser identificado, nem pelo responsável pelo tratamento nem por qualquer outra pessoa, tendo em conta o conjunto de meios suscetíveis de serem razoavelmente utilizados para identificar o referido titular”. Trata-se de uma classificação que cria três níveis de proteção distintos: os dados sensíveis gozariam da maior proteção dentre todos, seguidos pelos dados pessoais e, por fim, pelos dados anônimos. Estes últimos gozam de menor privilégio, uma vez que, supostamente, não seriam capazes de identificar os indivíduos aos quais se referem.
Contudo, trata-se de uma classificação fantasiosa, especialmente dentro do contexto dos avançados algoritmos de extração (data mining) e análise massiva de dados e, especialmente, de metadados (big data). Para clarificar um pouco, metadados são informações a respeito de outras informações. De modo grosseiro, é possível utilizar a metáfora de uma carta ordinária. Assim, enquanto os dados seriam o conteúdo da correspondência – e, portanto, protegidos contra violação –, os metadados seriam informações sobre aquela carta: tipo do papel utilizado, tamanho do envelope, dados do remetente e destinatário, data e local de postagem, traços de DNA e impressões digital encontrados na carta, tipo e cor da tinta utilizada para escrever a carta, tamanho da correspondência, número de letras e palavras, peso da carta, traços de substâncias impregnadas no papel, informações sobre quaisquer outras correspondências similares no sistema postal, nome do carteiro que fez a entrega etc.
Esses metadados (que, dependendo do contexto, podem ser classificados pelo APL como dados pessoais ou até mesmo como dados anônimos) são de grande importância para a compreensão da falha dessa classificação. Por exemplo, com uma abordagem estatística adequada, informações como remetente, destinatário, assunto, horário de envio e endereço IP podem ser tão ou mais valiosas que o conteúdo dos e-mails.
Simplificando: imagine que um determinado sistema coleta, durante alguns meses, informações sobre todos os contatos realizados – não o conteúdo das comunicações – por um indivíduo – frequência, duração, destinatário, horário –, além de todas as suas movimentações no espaço – com rotas percorridas, velocidade, etc. Qualquer pessoa poderia extrair conclusões interessantes desses dados: quem são as pessoas importantes para esse indivíduo? Quais os meios de transporte que ele utiliza? Qual a sua profissão provável? Afinal, se todos os dias às 03:00 da madrugada ele está no hospital, possivelmente é um profissional da saúde. Se isso ocorre apenas excepcionalmente, provavelmente está doente.
Obviamente, um sistema pode tirar conclusões muito mais avançadas com esses dados no atacado: esse indivíduo chama-se João, é médico, número de CPF tal, possui uma esposa e quatro filhos, dirige um veículo de marca tal e, por isso, tem 85% de probabilidade de votar no partido X, possui determinados traços de personalidade e, portanto, tem um risco 75% maior de desenvolver demência na velhice. A concatenação de dados é quase infinita e pode parecer absurda, mas é utilizada diariamente no mundo do big data para determinar riscos, preferências e hábitos das pessoas. A sofisticação desses sistema (vide, por todos, KOSINSKI et al, 2013)[5] parece retirada de filmes de ficção científica.
Assim, os dados não são, como quer a lei, “essencialmente” pessoais, sensíveis ou anônimos. São apenas dados, cujo sentido é atribuído no momento da aplicação do algoritmo. Como resultado, dados que foram “anonimizados” podem sofrer o processo inverso e tornarem-se identificáveis, revelando informações sensíveis sobre um indivíduo ou grupo de indivíduos. Quanto mais fontes anônimas de dados forem concatenadas, menos anônimos esses dados serão. Assim, a classificação proposta pelo APL permite que seja dada baixa proteção ao conjunto de informações que podem ser utilizadas para afetar diretamente a vida das pessoas, violando a igualdade.
A classificação equivocada entre dados pessoais, sensíveis e anônimos coloca em risco os direitos fundamentais, em especial a igualdade, uma vez que possibilitará a proteção deficiente de dados potencialmente sensíveis e de extrema relevância para a vida das pessoas.[6]
É preciso, portando, cautela na hora de utilizar mecanismos rígidos para tentar controlar eventos extremamente fluidos. Embora tenhamos plena consciência de que a lei não é capaz de proteger integralmente os direitos fundamentais violados pela surveillance, reconhecemos que ela pode ser um instrumento benéfico. Para isso, contudo, precisa estar minimamente adequada às tecnologias existentes, sob o risco de ser ainda mais prejudicial que a sua própria inexistência. Esse é o desafio de uma legislação brasileira de proteção de dados pessoais.
Por Jose Luis Bolzan de Morais
Bacharel em Direito (UFSM). Mestre em Direito (PUC-RIO). Doutor em Direito (UFSC). Bolsista de Produtividade em Pesquisa do CNPq. Professor do Programa de Pós-Graduação em Direito da UNISINOS – Mestrado e Doutorado. Procurador do Estado do Rio Grande do Sul. Contato: bolzan@hotmail.com
E Elias Jacob Neto
Bacharel em Direito (UFRN). Mestre em Direito (UNISINOS). Doutorando em Direito (UNISINOS). Pesquisador global da Surveillance Studies Network, Queen’s University (Canadá). Advogado. Contato: contato@eliasjacob.com.br
[3] http://agenciabrasil.ebc.com.br/geral/noticia/2015-10/mj-finaliza-nova-versao-de-anteprojeto-sobre-protecao-de-dados-na-internet
[4] LYON, David (org.). Surveillance as Social Sorting: Privacy, risk and digital discrimination. London: Routledge, 2003. 287 p.
[5] KOSINSKI, Michal; STILLWELL, David; GRAEPEL, Thore. Private traits and attributes are predictable from digital records of human behavior. Proceedings of the National Academy of Sciences of the United States of America, Washington, v. 110, n. 15, p. 5802-5805, 9 abr. 2013. Disponível em <http://www.pnas.org/content/110/15/5802>.
[6] Existem outros problemas com a legislação, como a ausência de criação de uma autoridade federal competente para fiscalizar a aplicação da lei. A criação dessas autoridades é uma tendência mundial nas legislações semelhantes, mas este debate ficará para um próximo artigo.
Elias Jacob possui graduação em Direito pela Universidade Federal do Rio Grande do Norte (UFRN), mestrado e doutorado em Direito Público pela Universidade do Vale do Rio dos Sinos (UNISINOS). Tem experiência na área de Direito Público, com ênfase em novas tecnologias da informação, atuando principalmente nos seguintes temas: direitos humanos, governança pública, compliance, teoria do Estado, surveillance, big data, dados abertos e democracia. Professor efetivo da Universidade Federal do Rio Grande do Norte, em Caicó/RN. Coordenador do Núcleo de Prática Jurídica em Caicó e do Laboratório de Governança Pública, ambos da UFRN.. Advogado inscrito na OAB/RN sob o nº 898.
