Responsabilidade Civil na Proteção de Dados Pessoais: Análise da LGPD e Código de Defesa do Consumidor

Aluno Felipe do Nascimento Alencar 2142056 Responsabilidade civil na proteção de dados pessoais Construindo de pontes entre a Lei Geral de proteção de Dados Pessoas e o Código de Defesa do consumidor Bruno Bioni Daniel Dias O impacto desse tipo de reconfiguração do sistema jurídico tem sido comparado à repactuação do próprio contrato social3 Afinal atualmente as pessoas são julgadas e avaliadas com base no que seus dados pessoas dizem em todos os âmbitos da sua vida Do acesso a programa de transferência de renda ao de linha de crédito essas oportunidades sociais são filtradas pelo processamento de seus dados p2 Diante dos riscos que todo esse impacto representa aos indivíduos um dos objetivos da lei foi justamente delimitar as obrigações dos agentes de tratamento de dados e com isso fixar regime jurídico para sua responsabilização4 É inevitável que nesse admirável novo mundo cheio de riscos5 experimentarseá efeitos colaterais que p2 A hipótese deste trabalho considera que há uma espécie de gradiente que pode ser um filtro ou um catalisador da culpa enquanto um dos pressupostos da responsabilidade civilDessa forma a principal contribuição do artigo é mapear quais são tais elementos normativos e com isso extrapolar uma falsa dualidade entre regimes de responsabilidade civil subjetiva ou objetiva como sendo o cerne da dogmática do regime jurídico de responsabilidade civil formatado na LGPD p40 Foram quase dez anos de debate para que se chegasse à redação atual da LGPD12 Permeados por ricos debates públicos e algumas disputas de poder eles deixaram pistas hermenêuticas valiosas e possibilidades analíticas a partir dos trabalhos preparatórios da lei Nesse sentido merece destaque a forte disputa em torno da definição do modelo de regime de reponsabilidade civil tanto em torno da seção diretamente dedicada ao tema como também de outros elementos normativos que indiretamente calibram o regime jurídico da reponsabilidade no tratamento de dados pessoais 13 Quanto a esse primeiro caso é importante destacar a o abandono deliberado do regime de responsabilidade civil objetiva e b a adoção de técnica legislativa mais prescritiva quanto às excludentes de reponsabilidade civil p45 Tanto a primeira versão do anteprojeto da lei de proteção de dados pessoais como a proposta legislativa do Senado Federal expressamente adotavam um regime de reponsabilidade civil objetiva A partir da segunda versão do anteprojeto de lei ganhou força a opção por um regime de reponsabilidade civil subjetiva Apesar de ter sido amplamente criticada ao longo do segundo processo de consulta pública16 e em audiência pública realizada na Câmara dos Deputados 1718 essa escolha foi a que prevaleceu no Congresso p5 Em vez de simplesmente espelhar as excludentes do CDC o legislador optou por eximir a responsabilização dos agentes de tratamento de dados caso comprovem que embora tenham realizado o tratamento de dados pessoais que lhes é atribuído não houve violação à legislação de proteção de dados art 43 II relatórios de impacto à proteção de dados pessoais21 e de forma mais ampla e geral o estímulo e reforço à capacidade dos agentes de tratamento de dados pessoais de auto organização Ao longo dos trabalhos preparatórios da LGPD foi dedicada uma seção específica sobre Boas Práticas e da Governançap78 Além do próprio nomen iuris do referido princípio a sua definição aponta para que haja juízo de valor em torno da conduta do agente de tratamento de dados para a sua responsabilização Nesse sentido aliás há conexão expressa entre este princípio e o mencionado elemento de responsabilidade civil mais voltado a um sistema de natureza subjetiva p8 Enquanto na segunda versão do anteprojeto da lei havia sido referido uma única vez passa a ser mencionado oito vezes no desenho final da LGPD Além disso o texto aprovado ressalta que tal ferramenta deveria ser ativada para os casos em que as atividades de tratamento de dados fossem de alto risco É uma gramática que mais uma vez não nivela toda e qualquer atividade de tratamento de dados como sendo de risco exacerbado afastandose um regime de natureza objetiva p8 Mais uma vez há uma estrutura normativa que prioriza um juízo de valor em torno da conduta do lesante p9 Há outros elementos normativos que direta ou indiretamente convergem para que haja um juízo de valor em torno da culpa do lesante Algo que não está apenas cristalizado no rol de excludentes de responsabilidade mas também na principiologia e em outras partes importantes e integrantes do texto da LGPDp9 A LGPD estabelece duas hipóteses para a configuração da responsabilidade civil dos agentes de tratamento de dados a violação à legislação de proteção de dados pessoais e a violação da segurança dos dados Ambos são calibrados pela noção de tratamento irregular previsto no artigo 44 o qual procura sistematizar critérios para aferição da culpa dos agentes de tratamento de dados a esse respeitop9 O art 44 prevê que o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar consideradas as circunstâncias relevantes entre as quais I o modo pelo qual é realizado II o resultado e os riscos que razoavelmente dele se esperam III as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado p910 Se a figura do tratamento irregular conectase igualmente com ambas as hipóteses de responsabilidade melhor seria prevêla em dispositivo autônomo permitindo a essa regra ficar equidistante das duas hipóteses de violação de normas da LGPD p9 A segurança que o consumidor dele pode esperar levandose em consideração as circunstâncias relevantes entre as quais I o modo de seu fornecimento II o resultado e os riscos que razoavelmente dele se esperam III a época em que foi fornecido É exatamente o conteúdo que foi espelhado nos incisos do artigo 44 da LGPD p11 Como vimos tratamento irregular não é noção autônoma e o não fornecimento da segurança que o titular pode esperar art 44 caput deve coincidir com deixar de adotar as medidas de segurança aptas a proteger os dados pessoais art 44 parágrafo único cc art 46 caput p12 Isso se deve em primeiro lugar pelo fato de o critério da adoção de tratamentos aptos a proteger os dados pessoais ser demasiadamente amplo Contudo o universo de medidas aptas é demasiadamente amplo Por exemplo a rigor poderiam ser consideradas medidas aptas a proteger os dados pessoais p12 Um exemplo que ilustra bem os desdobramentos práticos de tal dogmática proposta é o que se testemunhou recentemente no campo da criptografia p13 Retornando ao referencial do direito do consumidor como bem coloca Guilherme Reinig referindose às expectativas de segurança no CDC para tal concretização importa antes de tudo especificar a perspectiva a partir da qual o juiz deve identificar as expectativas de segurança Tratase em outros termos da determinação da titularidade da legítima expectativa de segurança 14p No direito do consumidor uma vez que o CDC trabalha com noção parecida o produto ou serviço é defeituoso quando não oferece a segurança que o consumidor dele pode esperar art 14 1º A doutrina contudo conclui pelo critério objetivop14 A análise da expectativa deverá sempre ser realizada sobre um caso concreto utilizando a noção que se espera do homemmédio em relação a determinado tratamento de seus dados p15 No artigo 44 da LGPD o legislador elencou três exemplos não exaustivos de circunstâncias relevantes para a determinação da segurança que o titular médio pode esperar do tratamento de dados e de potencial violação à legislação p15 Um possível caminho para dar densidade normativa a tais incisos é colálos ao que preceitua o artigo 50 em especial os 1º e 2º Ao considerar que os agentes de tratamento de dados devem estabelecer mecanismos de mitigação de riscos p15 A estrutura normativa da LGPD parte do pressuposto de que haverá uma alta variação do potencial lesivo entre as mais diferentes atividades de tratamento de dados o que tornará determinante avaliarse a maneira pela qual estas devem ser executadas e os riscos que delas derivam p15 Alguns exemplos e considerações podem ser elucidativos De um lado é notório que dados de cartão de crédito detêm um risco maior diante do interesse de terceiros fraudadores do que em relação a endereços de email p16 Os agentes devem assim ajustar suas medidas de segurança para corresponder à probabilidade e à gravidade que violações podem assumir em face do impacto a direitos e liberdades dos titulares dos dados É então vital separar e estimar esses riscos variados e em seguida aplicar medidas de segurança correspondentes p16 Outro critério de análise da noção de tratamento irregular são as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado p16 A questão a se responder contudo diz respeito à cognoscibilidade e exigibilidade de adoção das medidas de segurança para que elas sejam consideradas como disponíveis à época em que foi realizado o tratamento de dados p17 Em relação a essa questão Márcio Cots e Ricardo Oliveira pontuam que a LGPD dispõe que as técnicas de tratamento disponíveis à época devem ser consideradas A regra é importante especialmente porque utiliza a palavra disponíveis não existentes o que são coisas completamente diferentes Os autores propõem então dois exemplos Imagine por exemplo que na Noruega esteja sendo testado um sistema de segurança extremamente eficiente mas que ainda não está sendo comercializado fora do âmbito daquele país p17 A palavra disponíveis precisa levar em consideração a possibilidade ou não de o controlador ter acesso a determinado sistema não o simples fato de ele existir ou ser comercializado fora dos padrões econômicos do controlador sob análise p17 Contudo o legislador previu que a responsabilidade do fornecedor seria independentemente de culpa O critério não é portanto o da diligência média do próprio fornecedor nem a diligência de um fornecedor médiop18 Na LGPD não há previsão de exclusão da culpa análoga a essa do CDC independentemente da existência de culpap18 A LGPD prevê também a possibilidade de o juiz inverter o ônus da prova a favor do titular dos dados quando a alegação for verossímil quando houver hipossuficiência ou quando a produção de provas for excessivamente onerosa art 42 2ºp18 O art 43 implica a presunção automática de alguns elementos da responsabilidade civil mas não de todos não sendo necessário provar que foi realizado pelo réu ii o dano sofrido e iii o nexo causal entre o tratamento de dados realizado e o danop18 Como observam Tarcisio Teixeira e Ruth Armelin essa hipossuficiência tornase facilmente constatável quando se tem uma sociedade permeada pela cultura do Big Data em que há uma coleta massiva de dados muitas vezes até desnecessáriap19 É possível concluir assim que o regime jurídico da responsabilidade civil estabelecido pela LGPD traz uma erosão bastante significativa dos filtros da responsabilidade civil em favor do titular dos dadosp19 Finalmente cabe considerar se as obrigações atribuídas aos agentes de tratamento de dados na LGPD são de meio ou resultado Tal discussão relacionase diretamente ao tema aqui proposta pois na prática no caso de uma obrigação de resultado a não consecução do resultado almejado implica uma presunção de culpa em relação ao inadimplementop19 O princípio da responsabilidade e prestação de contas prescreve que deve haver pelos agentes de tratamento de dados pessoais a demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e inclusive da eficácia dessas medidasp20 Tais adjetivos abrem margem interpretativa para considerar que a LGPD atribuiu uma obrigação de resultado na medida em que indica normativamente que não basta apenas adotar para usar o verbo de ambos os dispositivos medidas a evitar o tratamento inadequado de dados mas tais ações devem ser eficientes20p O artigo 46 da Lei prevê que os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição20p Esses outros dois dispositivos parecem prescrever uma norma de conduta que encerra uma obrigação de meiop20 Um olhar mais focado nos adjetivos trazidos pelo princípio da responsabilidade e prestação de contas abre caminho para uma possível obrigação de resultado enquanto os dispositivos relacionados a privacy by design e boas práticas indicam uma obrigação de meio que poderia em última análise modular o referido termo eficiência contido no referido princípiop21 Agora entraremos no tópicos encontrado na Internet A proteção de dados pessoais assim como a privacidade são prerrogativas garantidas na Constituição da República Federativa do Brasil A proteção dos dados pessoais públicos ou privados sensíveis ou não está relacionada à tutela da intimidade e da vida privada dos indivíduos RAMINELLI RODEGHERI 2016p 13 Seu estudo é de suma importância tendo em vista que dentre os objetivos e fundamentos está a tutela de interesses públicos e transindividuais Através de princípios e regras regulamenta o tratamento de dados no território nacional e internacional no âmbito público ou privado p14 A LGPD expõe disposições preliminares a respeito da forma de subsunção de suas normas ao tratamento de dados pessoais estabelecendo os parâmetros norteadores de incidência de seus dispositivosp14 O amplo e novo cenário atingido pela LGPD não poderia ser contemplado pelo normativo em sua totalidade de maneira taxativa sendo necessário utilizar os princípios jurídicos especificados para adotálos em conjunto com outros consagrados princípios da ordem jurídica para afastar dúvidas e conflitos que as pessoas naturais jurídicas órgãos e entidades poderão ter ao aplicar em concreto a LGPD em situações envolvendo a coleta e tratamento de dados PESTANA 2020p22 O princípio da necessidade art 6º III da LGPD por sua vez consubstanciase na limitação do tratamento de dados pessoais ao mínimo necessário para a realização da finalidade objetiva com abrangência dos dados pertinentes e proporcionaisp22 Com o viés de proteger esses direitos fundamentais temse como objeto principal da lei a proteção dos dados pessoais de pessoas naturais ou seja pessoas físicas A Lei Geral de Proteção da Dados não tem como escopo os dados das pessoas jurídicas mas sim aqueles que estas têm das pessoas físicasp15 O direito à privacidade é constitucionalmente assegurado art 5º X da CRFB em decorrência da universalidade dos direitos fundamentais a qual garante ao indivíduo sob a perspectiva informacional o controle de suas próprias informações pessoaisp16 Nessa linha na Sociedade de Informação a privacidade recebeu novas feições para contextualizar elementos referentes a necessidades diversas como por exemplo a busca da igualdade da liberdade de escolha e do anseio em não ser discriminadop17 A Convenção 108 do Conselho da Europa para a Proteção das Pessoas Singulares no que diz respeito ao Tratamento Automatizado de Dados Pessoais de 28 de janeiro de 1981 primeiro instrumento internacional juridicamente vinculativo adotado no domínio da proteção de dados foi emendada em 2018 para incluir a proteção de direitos fundamentais dos indivíduos no processamento de dados pessoaisp20 Desse modo a violação de dados pessoas é uma das situações que colocam em elevado risco os direitos dos titulares de forma permanentep24 Ao prever no art 6º inciso X a responsabilização e prestação de contas como princípio a LGPD demonstra a intenção de alertar os agentes que deverão durante todo o ciclo de vida do tratamento de dados sob sua responsabilidade analisar a conformidade legal e implementar os procedimentos de proteção dos dados pessoais de acordo com a sua própria ponderação de riscosp24 A própria norma no art 5º ao longo de dezenove incisos garante a explicação dos termos para facilitar a verificação dos elementos a serem demonstradosp24 Nos primeiros três incisos do art 5º temse a definição de três modalidades de dados pessoais Primeiro o dado pessoal inciso I é qualquer informação relacionada a pessoa natural identificada ou identificável É oportuno que tenha um componente da identidade de uma pessoa natural envolvendo inclusive atributos fatos comportamentos e padrões para caracterizar o dado pessoal MALDONADO BLUM 2019p25 Os dados pessoais sensíveis implicam riscos e vulnerabilidade potencialmente mais gravosa aos direitos e liberdades fundamentais dos titulares titular é a pessoa natural a quem se referem os dados pessoais que são objeto de tratamento DONEDA 2020p25 Quando praticado de forma abusiva e sem observar os requisitos para seu tratamento acabam por fragilizar a autonomia e liberdade do consumidor assim como a privacidade do titular dos dados PANEK 2019p25 São excluídos a princípio do escopo da aplicação da LGPD conforme o art 12 da referida lei visto que não há como identificar o titular dos dados não tendo potencial de lhe causar danos A LGPD apenas protegerá os dados anonimizados quando estes possuírem possibilidade de serem revertidos e identificado assim o titular dos dados MALDONADO BLUM 2019 O controlador VI é aquele que toma as decisões referentes ao tratamento de dados pessoais e que disponibiliza as informações necessárias à ANPD órgão da administração pública responsável por zelar implementar e fiscalizar o cumprimento desta Lei em todo o território nacional ou ao usuário titular dos dadosp26 O art 7º da referida lei disponibiliza dez hipóteses de forma taxativa que legitimam o tratamento dos dados pessoais Destacase que é suficiente o atendimento de uma dessas bases legais para o tratamento e coleta de dados ser considerado legitimo Conjuntamente com o consentimento deve ser observado o requisito da transparência que se constitui como demonstração de boafé do controladorp27 Devese identificar ainda o agente de tratamento de dados as responsabilidades deste e os direitos pertencentes ao titular dos dados bem como os possíveis riscos a que este possa estar sujeitop27 A vista disso no presente capítulo verificase que a LGPD estabelece nomenclaturas e conceitos específicos necessários para a compreensão do bem jurídico protegido pela norma e a sua aplicação Para entender melhor a problemática e discussões oriundas da proteção de dados pessoais é substancial conhecer seus aspectos basilares na qual fundamentam as circunstâncias provenientes desta relação jurídicap28 A responsabilidade civil é um instituto relativo ao ramo do direito obrigacional que decorre do reconhecimento dos direitos pessoais Orienta a relação entre as pessoas de forma a impedir que os direitos pessoais sejam violados p29 O dano causado pelo ilícito é objeto de estudo há muito tempo no entanto a forma de demanda contra os danos sofridos em decorrência de um ato praticado em descumprimento a um dever de conduta é que se modificou ao longo da história do Direito Civil Ademais origem do instituto da responsabilidade está calcada na concepção de vingança privada GAGLIANO PAMPLONA FILHO 2017 Era a denominada autotutela A principal função da responsabilidade civil não era de ressarcir o ofendido mas a de punir o responsável pela lesão Pretendiase a reparação de danos reagindo com ódio ao culpado alterando a sua situação pessoal ou patrimonial aplicando penas pública e privada O poder público neste período permanecia inerte muitas vezes intervindo apenas para declarar 29 quando e como a vítima poderia ter o direito de retaliação para produzir no ofensor um dano idêntico ao que experimentou DINIZ 2021p2930 É vedado à vítima fazer justiça pelas próprias mãos A composição econômica de voluntária passa a ser obrigatória e tarifada na qual era vigente à época o Código de UrNammu o Código de Manu e da Lei das XII Tábuas GONÇALVES 2017p30 Com a Lei Aquília se esboça o princípio geral regulador da reparação do dano surgindo a ação de indenização no momento em que a ação repressiva de punir passou para o Estado Puniase por uma conduta que viesse ocasionar danos Em princípio a culpa é punível traduzida pela imprudência negligência ou imperícia ou pelo dano VENOSA 2021p30 A teoria clássica da culpa não satisfazia as necessidades da vida em comum na hipótese de casos concretos em que os danos se perpetuavam sem reparação pela impossibilidade de comprovação do elemento anímicop30 No ordenamento jurídico brasileiro a responsabilidade civil passou por vários estágios de desenvolvimento Inicialmente a reparação civil era condicionada à condenação criminal Com o desenvolvimento industrial e a multiplicação dos danos surgiram novas teorias tendentes a proporcionar maior proteção às vítimasp3031 O agente no caso será exonerado se provar que adotou as medidas idôneas para evitar o dano GONÇALVES 2017 A culpa continua a ser o fundamento da responsabilidade civil juntamente com o risco na teoria objetivap31 Não há uma unificação doutrinária acerca da classificação desses pressupostos Porém ao verificar o conceito de ato ilícito previsto no art 186 do Código Civil base fundamental da responsabilidade civil e que contempla o princípio de que a ninguém é dado causar prejuízo a outrem P31 A conduta humana é o ato humano comissivo prática de um ato que ano deveria ser efetivado ou omissivo inobservância de um dever de agir ou a não prática de um ato que deveria ser realizado ilícito baseado na ideia de culpa ou lícito ato fundamentado na teoria do risco voluntário controlável pela vontade e objetivamente imputável possibilidade de atribuir a uma pessoa a responsabilidade por algum fato ou atoP32 A conduta dolosa do agente consiste na vontade de cometer uma violação de direito deliberada consciente e intencional do dever jurídico Há hipóteses específicas de responsabilidade sem culpa sendo esta a responsabilidade civil objetiva com base na teoria do risco GONÇALVES 2017 p32 Haverá responsabilidade civil se houver um dano a ser reparado Não há que se falar em indenização ou ressarcimento se não houver o dano O dano é a lesão a um interesse jurídico tutelado patrimonial ou não causado por ação ou omissão do agente infrator TARTUCE 2021 p32 O dano ainda pode ser patrimonial ou material atingindo os bens integrantes do patrimônio da vítima ou seja o conjunto de relações jurídicas de uma pessoa apreciáveis em dinheiro Nem sempre o dano patrimonial resulta da lesão de bens ou interesses patrimoniais 32 pode haver violação de bens personalíssimos como o bom nome a reputação a saúde a imagem e a própria honra Seria o dano extrapatrimonial do qual o dano moral é apenas uma das espécies visto a existência de outras como o dano estético lucros cessantes e dano emergente FACCHINI NETO 2010 p33 Apesar da responsabilidade objetiva dispensar a comprovação da culpa o nexo causal não será dispensável VENOSA 2021p33 Há três teorias principais que explicam o nexo de causalidade da equivalência de condições da causalidade adequada e a teoria da causalidade direta ou imediatap33 A teoria da equivalência das condições não diferencia os antecedentes do resultado danoso de forma que tudo aquilo que concorra para o evento será considerada causap33 Na teoria da causalidade adequada considerase como causadora do dano a condição apta a produzilo Ocorrendo certo dano temse que o fato que originou era capaz de lhe dar causap33 A terceira e última teoria a da causalidade direta ou imediata ou como também chamada teoria da interrupção do nexo causal tem como causa o antecedente fático que ligado por um vínculo de necessidade ao resultado danosop34 A responsabilidade pode apresentarse sob várias espécies formas tipos e aspectos Essa classificação devese às diferentes perspectivas que servem como base de estudo científico da responsabilidade civilp34 A responsabilidade civil subjetiva pressupõe a culpa como fundamento Nessa concepção a responsabilidade do causador do dano se configura se agiu na hipótese de agir com dolo ou culpa na doutrina subjetiva é o princípio segundo o qual cada um responde pela própria culpa Por se caracterizar em fato constitutivo do direito à pretensão reparatória caberá ao autor o ônus da prova a respeito da culpa do réu GAGLIANO PAMPLONA FILHO 2017 Na teoria clássica da culpa a vítima tem que demonstrar a existência dos elementos fundamentais de sua pretensão sobressaindo o comportamento culposo do demandadop36 Já na culpa presumida ocorre uma inversão do ônus probandi Em certas circunstâncias presumese o comportamento culposo do causador do dano cabendo lhe demonstrar a ausência de culpa para se eximir do dever de indenizarp36 em determinadas situações a lei estabelece a reparação de um dano independentemente de culpap36 Os casos de culpa presumida são hipóteses de responsabilidade subjetiva pois se fundam ainda na culpa mesmo que presumida GONÇALVES 2017p36 Quando a lesão decorre do descumprimento de uma obrigação espontaneamente assumida pelo infrator em função da celebração de um negócio jurídico é oportuno contextualizar no próximo tópico a responsabilidade civil contratual e a extracontratualp37 Como causas excludentes de responsabilidade civil devem ser entendidas as circunstâncias que por atacar um dos elementos ou pressupostos gerais da responsabilidade civil rompendo o nexo causal encerram a pretensão indenizatóriap38 Em regra ato ilícito é indenizável A exceção a essa regra geral está prevista no artigo 188 do Código Civil que excepciona os praticados em legítima defesa no exercício regular de um direito reconhecido e a deterioração ou destruição da coisa alheia de modo a remover perigo iminentep38 O estado de necessidade segundo o parágrafo único do dispositivo legal supramencionado será considerado legitimo quando as circunstâncias o tornarem absolutamente necessário não excedendo os limites do indispensável para a remoção do perigo GAGLIANO PAMPLONA FILHO 2017p38 A legítima defesa real pressupõe a reação proporcional a uma injusta agressão atual ou iminente utilizandose moderadamente dos meios de defesa postos à disposição do ofendido A legítima defesa putativa não exime o agente de indenizar o dano pois exclui a culpabilidade e não a antijuridicidade do ato GONÇALVES 2017p39 O abuso de direito é o contraponto do seu exercício regular Para o reconhecimento do abuso do direito que o agente tenha a intenção de prejudicar terceiro é suficiente que exceda manifestamente os limites da finalidade econômica ou social pela boafé ou pelos bons costumes RODRIGUES 2009p39 Não há liame de causalidade entre o seu ato e o prejuízo da vítima Há casos em que a culpa da vítima é apenas parcial ou concorrente com a do agente causador do dano na hipótese em que o autor e vítima contribuem simultaneamente para a produção de um mesmo fato danosop40 Caberá ação regressiva contra o terceiro que criou a situação de perigo para reaver a importância despendida no ressarcimento ao dono da coisa O autor do dano responde pelo prejuízo que causou ainda que o seu procedimento venha legitimado pelo estado de necessidadep40 Assim o Código Consumerista aumenta as possibilidades de o consumidor buscar reparação de eventuais danos maneira que a legislação fixa o entendimento de que todos aqueles que concorreram para a prestação do serviço são responsáveis pelas eventuais consequências negativas VENOSA 2021p40 Novas leis e hipóteses de responsabilidade devem ser analisadas à luz da releitura dos institutos tradicionais da responsabilidade civil cabendo essas estabelecerem regras de conduta no espaço 4contemporâneo de maneira a prever deveres aos agentes dessa nova relação jurídica bem como critérios de escolha daquele que ressarcirá por eventual dano provocado GODOY 2019pg4041 Como ramo do direito obrigacional segundo a qual a conduta humana vinculase a seu fim surgindo na eventualidade do descumprimento de uma obrigação o dever de compensar o dano causado por meio de uma indenizaçãop41 A relevância do presente capítulo para o tema diz respeito a importância em compreender os pressupostos e modalidades da responsabilidade civil para apresentar embasamento com às disposições acerca de responsabilidade civil trazidas pela LGPDp41 Como tratado anteriormente a responsabilidade civil decorre do reconhecimento dos direitos pessoaisp41 A violação dos princípios trazidos pela LGPD coloca em risco os direitos dos titulares dos dadosp42 Estes deverão durante o ciclo de vida do tratamento de dados sob sua responsabilidade analisar a conformidade legal e implementar os procedimentos de proteção de dados pessoais de acordo com a sua própria ponderação de riscosp42 O conceito e as atribuições dos agentes de proteção de dados estipulados na LGPD de forma a compreender a modalidade de responsabilidade civil a ser aplicada a estes quanto a sua responsabilidade com relação aos titulares de dados bem como demonstrar o posicionamento doutrinário e jurisprudencial acerca do tratamento de dados pessoais e a responsabilidade civil de seus agentes de proteçãop42 Não pode haver dúvidas para o titular ou para a ANPD visto que a responsabilidade de cada agente de proteção em caso de violação à Lei Geral de Proteção de dados é diferentep42 Não são considerados controladores ou operadores os indivíduos subordinados como funcionários servidores públicos ou as equipes de trabalho de uma organização já que atuam sob o poder diretivo do agente de tratamentop43 LGPD já que é esta que estabelece as regras para o tratamento de dados pessoais a serem executadas por seus representantes ou prepostos BRUNO 2020p43 Tanto o controlador como o operador são responsáveis pelo tratamento de dados porém é necessário distinguir estesp43 Por outro lado o operador é aquele que realiza o tratamento de dados pessoais em nome do controlador Este não poderá tratar dados pessoais salvo determinações do controlador ou de previsão legal art 5º VII e art 39 da LGPDp43 Serão controladoras quando atuarem de acordo com os próprios interesses com poder de decisão sobre as finalidades e os elementos essenciais de tratamento Serão operadoras quando atuarem de acordo com os interesses do controlador sendolhes facultada apenas a definição de elementos não essenciais à finalidade do tratamento43 No referido dispositivo não há menção se este encarregado deverá ser pessoa física ou pessoa jurídica o que permite interpretaçõesp44 O art 41 3º da LGPD possibilita que a Autoridade Nacional em norma complementar estabeleça hipóteses de dispensa da necessidade da indicação do encarregado de acordo com a natureza da entidade ou a quantidade de operações de tratamento de dadosp44 A LGPD determina no art 37 que o controlador e operador devem manter registro das operações de tratamento de dados pessoais que realizarem especialmente quando baseado no legítimo interessep44 A iniciativa de elaboração do relatório de impacto deve partir do responsável pela operação de tratamento de dados pessoais sob análise que deverá solicitar o parecer do encarregado pelo tratamento de dados pessoais quando designadop45 Deverá também formular e empregar regras de boas práticas e governança em proteção de dados pessoais levando em consideração em relação ao tratamento e aos dados a natureza o escopo a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular art 50 caput da LGPD respeitando os princípios legais PRINHEIRO 2020p45 O controlador segundo o art 5º inciso VI da LGPD é o responsável pela tomada de decisões sobre o tratamento de dados pessoais possuindo maiores encargos e responsabilidades em relação ao operadorp45 Outrossim compete ao controlador avaliar o enquadramento de ao menos uma das bases legais para a realização de cada tratamento de dados pessoais art 7º e 11 da LGPD bem como cabe a este comunicar a ANPD e ao titular sobre a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares art 48 caput da LGPDp46 Este deverá realizar o tratamento segundo as instruções fornecidas pelo controlador que verificará a observância das próprias instruções e das normas sobre a matéria Essa atuação em nome do controlador não exime o operador de adotar independentemente das instruções do controlador medidas para conformidade com a legislação de proteção de dados bem como medidas técnicas e organizacionais de segurança BRUNO 2020p46 Deve atuar em conformidade com o princípio da segurança abordado pelo art 6º inciso VII da referida Lei demandando aos agentes a adoção de medidas de segurança como forma de antever a possibilidade de acessos não autorizados ou alguma forma de violação PINHEIRO 2020p46 Este segundo o art 41 2º da LGPD possui como atribuições aceitar reclamações e comunicações dos titulares e da autoridade nacional prestando esclarecimento e adotando providências além de orientar os funcionários e os controladores da entidade a respeito das praticas a serem tomadas em relação à proteção de dados pessoaisp46 Este segundo o art 41 2º da LGPD possui como atribuições aceitar reclamações e comunicações dos titulares e da autoridade nacional prestando esclarecimento e adotando providências além de orientar os funcionários e os controladores da entidade a respeito das praticas a serem tomadas em relação à proteção de dados pessoaisp46 Importante pontuar que mesmo que não haja uma designação de encarregado pelo tratamento de dados pessoais a organização que realizar a coleta e tratamento não fica desobrigada do cumprimento das demais obrigações previstas na LGPDp47 Como citado anteriormente a Autoridade Nacional de Proteção de Dados ANPD fiscaliza a aplicação da LGPD de forma a zelar pela proteção dos dados pessoaisp47 A ANPD deverá fiscalizar o tratamento realizado pelos agentes de proteção de dados de forma a garantir a simplicidade a clareza a acessibilidade e a devida adequação do tratamento dos dados pessoais resignando aos agentes de tratamento para eliminar irregularidades incertezas e situações de risco relacionados ao tratamento e à privacidade de dados pessoais Aplicase sanções a estes em casos de descumprimento à lei dentro de seus limites PINHEIRO 2020p47 prestígio ao princípio da publicidade previsto no art 37 da Constituição da República Federativa do Brasil e do princípio da transparência previsto no art 6º inciso VI da LGPDp47 a segurança dos dados pessoais de modo a expôlos a acessos não autorizados e a situações acidentais ou ilícitas de distribuição perda alteração comunicação ou qualquer forma de tratamento inadequado ou ilícito É associado dessa forma a uma ameaça à segurança da informação MALDONADO BLUM 2019p47 Por isso apenas com a correta gestão de dados concomitantemente com o adequado acesso a informação há garantia da segurança e da devida proteção dos dados pessoais dos titulares BRUNO 2020p48 Por isso apenas com a correta gestão de dados concomitantemente com o adequado acesso a informação há garantia da segurança e da devida proteção dos dados pessoais dos titulares BRUNO 2020p48 Tendo em vista as lacunas decorrentes das mudanças no âmbito jurídico em relação ao direito digital e aos dados pessoais conjuntamente com o crescimento da utilização e comercialização destes observouse a necessidade de legislar visando à tutela da proteção de dados pessoais VAINZOF 2020p49 Tem por foco garantir que os seus direitos fundamentais e a sua dignidade sejam respeitados ao decorrer do processo de coleta e tratamento de seus dados Para isso é necessário cumprir certos requisitos limites de aplicação e as vedações expressas na leip49 o controlador sendo aquele que toma as decisões referentes ao tratamento de dados pessoais e o operador que realiza o tratamento de dados pessoais em nome do controlador Ambos são responsáveis pelo cumprimento das exigências legais de forma a garantir os objetivos e princípios estabelecidos na LGPD PINHEIRO 2020p49 LGPD Atentase entre as suas atribuições a observância do princípio do livre acesso transparência e segurança uma vez que deve informar seu contato para a disposição dos titulares de dados e da ANPD quando necessários para prestar esclarecimentos e informações BIONI DIAS 2020p50 A responsabilidade civil tem como objetivo estabelecer deveres para as condutas externas dos indivíduos de modo a não ofender causar dano ou prejuízo a outrem CAVALIERI FILHO 2020p50 A Lei Geral de Proteção de Dados regulamenta sobre a responsabilidade e ressarcimento de danos na Seção III do capítulo VI Os agentes de proteção de dados estão submetidos as responsabilidades nos artigos 42 a 45 da referida norma porém a aplicação destas dependerá da relação jurídica existente MALDONADO BLUM 2019p50 De proteção de dados pessoais é obrigado a reparálo BRASIL 2018 Esse dispositivo restringe a responsabilidade ao utilizar a conjunção alternativa ou estabelecendo a alternância entre o controlador ou o operador afastando de certa forma a possibilidade de uma responsabilidade solidáriaP51 Como primeira hipótese o operador responderá solidariamente com o controlador quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador art 42 1º I da LGPDP51 Dessa forma o art 42 aborda a regra geral de responsabilidade nos casos de violação à LGPD especificando quais agentes poderão ser responsabilizados Exclui neste caso o encarregado e ainda traz quatro espécies de danos que podem ser ocasionados com a violação dos dados pessoais sendo o dano patrimonial moral individual ou coletivoP52 Esta pode ser afastada caso demonstrado a observação do regramento de conduta esperado empregando medidas idôneas para evitar o dano GUEDES TEPEDINO TERRA 2020 O art 43 prevê três hipóteses de exclusão de responsabilidadeP52 visto que o princípio da responsabilidade e prestação de contas disposto no art 6º XV da LGPD possibilita uma obrigação de resultado ao passo que os dispositivos relacionados a adoção de medidas de segurança e boas práticas art 46 e seguintes indicam uma obrigação de meio desde o início do ciclo de tratamento de dados BIONI DIAS 2020P55 Nesse contexto importante mencionar a primeira decisão que tratou a respeito da responsabilização civil em razão de tratamento indevido de dados pessoais proferida pela Juíza Tonia Yuka Koroku da 13ª Vara Cível do Tribunal de Justiça do Estado de São Paulo no processo nº 10802339420198260100 publicada em 29 de setembro do ano de 2020 Referências httpsrepositorioanimaeducacaocombrbitstreamANIMA194271Lei20Geral2 0de20ProtecCCA7aCC83o20de20Dados20e20a20Responsabili dade20Civil20dos20Agentes20de20ProtecCCA7aCC83o20de 20Dados2020Giovana20Raulino20Cunha20pdf