Oferecido por
Em 2018, a imprensa de todo o mundo divulgava dados assustadores: a Cambridge Analytica (CA), por meio do aplicativo “thisisyourdigitallife”, desenvolvido por Aleksandr Kogan, um pesquisador de Cambridge, registrava os resultados de questionários, coletava dados da conta do Facebook do respondente — como informações pessoais e atividade no Facebook (por exemplo, o que conteúdo foi “curtido”) —, bem como seus amigos do Facebook, levando à coleta de dados de cerca de 87 milhões de perfis nessa rede social. O pesquisador então passou esses dados para CA, que, por meio de um algoritmo, traçava perfil psicográfico dos eleitores, de forma a direcionar propaganda política para influenciar as eleições presidenciais norte-americanas.
A mesma empresa usou a tal estratégia para influenciar também o resultado do Brexit e já se preparava para adotar a mesma estratégia em eleições de outros países, inclusive no Brasil. Tudo isso sem autorização dos titulares dos dados.
Depois desse escândalo, vários países criaram suas legislações de proteção de dados pessoais, inclusive o Brasil, com a Lei Geral de Proteção de Dados (Lei 13.709/2018 – LGPD). Pensando no uso de dados pessoais em ano de eleições, a Autoridade Nacional de Proteção de Dados (ANPD) e o Tribunal Superior Eleitoral (TSE) lançaram o Guia Orientativo para aplicação da LGPD por agentes de tratamento no contexto eleitoral. Segundo a ANPD, o “objetivo central do guia é garantir a proteção de dados, a privacidade das pessoas titulares e a integridade do processo eleitoral, sem dificultar a comunicação entre candidato e cidadão, necessária ao processo democrático.”
Agentes de tratamento no contexto político-eleitoral
Agentes de tratamento de dados pessoais são o controlador — o agente responsável por tomar as principais decisões referentes ao tratamento de dados pessoais e por definir a finalidade desse tratamento — e o operador — responsável por realizar o tratamento de dados em nome do controlador e conforme a finalidade por este delimitada.
No contexto político-eleitoral, segundo o guia, partidos políticos, coligações, candidatas e candidatos poderão ser considerados agentes de tratamento, bem como empresas contratadas para a realização de campanhas envolvendo o tratamento de dados pessoais. Quando há necessidade de contratação de um operador — uma boa prática, embora não explicitada na LGPD —, ocorre a formalização de um contrato entre o controlador e o operador, delimitando ações e responsabilidades de cada parte quanto ao tratamento dos dados pessoais.
O controlador deve se preocupar, especialmente, com a definição da finalidade, objetivos e base legal, natureza e duração para o tratamento dos dados pessoais. Obviamente, após o prazo estabelecido para o tratamento, os dados devem ser eliminados conforme previsto na LGPD, especialmente no art. 16.
O guia destaca situações em que haverá controladoria conjunta, somente em caso concreto, com responsabilidade solidária (art. 42, § 1º, II):
(i) quando há mais de um controlador com poder de decisão sobre o tratamento dos dados pessoais; (ii) quando há interesse mútuo de dois ou mais controladores, com finalidades próprias sobre um mesmo tratamento;
(iii) quando dois ou mais controladores tomam decisões comuns ou convergentes sobre as finalidades e elementos essenciais do tratamento.
Como é sabido, o tratamento de dados pessoais só pode ser realizado se possuir uma base legal autorizativa dentre as previstas na LGPD, nos artigos 7º (dados pessoais) e 11 (dados pessoais sensíveis). O guia aborda as principais bases legais que se relacionam com o contexto político-eleitoral: consentimento, obrigação legal e legítimo interesse.
Outro cuidado que os agentes de tratamento devem ter é quanto aos princípios da finalidade (art. 6º, I), adequação (art. 6º, II), necessidade (art. 6º, III), responsabilização e prestação de contas (art. 6º, X). O guia destaca que a finalidade deve atender a quatro requisitos:
(i) ser legítima, ou seja, lícita e compatível com o ordenamento jurídico, com a definição de uma base legal que ampare o tratamento de dados pessoais;
(ii) ser específica, ou seja, ter um escopo de tratamento bem definido e com todas as salvaguardas necessárias para a proteção dos dados pessoais;
(iii) ser explícita, clara e precisa;
(iv) ser informada, ou seja, com utilização de uma linguagem simples, de fácil compreensão para o titular dos dados.
O princípio da adequação deve garantir que o tratamento será feito de acordo com a finalidade definida pelos controladores. E o princípio da necessidade preconiza que o tratamento deve se restringir ao mínimo necessário para o atendimento à finalidade pretendida, inclusive com a minimização da coleta de dados ao estritamente necessário. Quanto à responsabilização e prestação de contas, o guia destaca a importância de se implantar um Programa de Governança em Privacidade – previsto no art. 50, § 2º, I – tanto para o controlador, quanto para o operador. Esse programa deve buscar evidenciar que o agente de tratamento adota processos e políticas, administrativas e tecnológicas, que garantam o cumprimento de normas e boas práticas relativas à proteção de dados. Uma boa prática destacada nesse contexto é o inventário de dados pessoais, que é um dos primeiros passos para atender às demandas dos titulares de dados pessoais, conforme já abordei no artigo “Sua empresa está preparada para responder as requisições dos titulares de dados pessoais?”.
O titular dos dados pessoais, seus direitos e o papel do encarregado
E por falar em direitos dos titulares, essa é outra preocupação tratada em um capítulo no guia. Os controladores devem fornecer ao titular canais de comunicação para que ele possa exercer seus direitos. Sobre o tema, vale a leitura do artigo “LGPD: conheça seus direitos como titular de dados pessoais”, que detalha os direitos que estão no art. 18 da LGPD, a título exemplificativo. Cabe lembrar, inclusive, que é mandatória a definição do Encarregado de Dados, conforme definido no art. 41 da LGPD, que é o responsável pelas comunicações entre controlador, titular de dados e a ANPD, sendo um canal interativo entre esses atores. O § 2º desse mesmo artigo define, de forma não exaustiva, as principais responsabilidades do encarregado de dados.
O § 1º do artigo 41 da LGPD exige que a identidade e as informações de contato do encarregado sejam publicadas no sítio eletrônico do controlador, para que ele possa ser facilmente encontrado, tanto pela ANPD quanto pelos titulares dos dados e demais interessados, atendendo ao princípio da transparência. Isso é importante pois os “direitos dos titulares são, em regra, exercidos perante o controlador, a quem compete, entre outras providências, fornecer informações relativas ao tratamento, assegurar a correção e a eliminação de dados pessoais, receber requerimento de oposição a tratamento”.
Assim, as requisições do titular devem ser enviadas para o encarregado de dados do controlador, por meio de canais disponibilizados publicamente no site da organização. De acordo com Viviane Maldonado, “o que se impõe ao controlador é que sempre processe a requisição que lhe é formulada, não sendo admissível ignorá-la, ainda que possa se mostrar ilegítima ou despropositada”. Outros autores defendem que tais direitos atribuem a cada pessoa a prerrogativa de “controlar a circulação de seus próprios dados, por meio de uma série de medidas e procedimentos”. Ou seja, mesmo que nem todas as solicitações sejam atendidas, é importante receber e tratar todas as requisições, sendo que, em caso de negativa, o controlador deverá sustentar razões relevantes, destacando a base legal do tratamento e justificar sua perfeita e regular continuidade. Cabe destacar que o encarregado não precisa ser necessariamente um funcionário da organização: é possível contratar os serviços de uma pessoa jurídica ou física.
Prevenção e segurança
A Lei Geral de Proteção de Dados define, em seu art. 46, que os agentes de tratamento devem “adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito”. Ou seja, as organizações devem implementar soluções tecnológicas e administrativas para garantir disponibilidade, integridade e autenticidade dos dados, pilares da segurança da informação. O Guia Orientativo para aplicação da LGPD por agentes de tratamento no contexto eleitoral destaca algumas medidas de segurança da informação que devem ser observadas por agentes de tratamento para atender ao previsto no art. 46:
(i) estabelecer uma política de segurança da informação, que contemple controles relacionados ao tratamento de dados pessoais;
(ii) criar um programa de conscientização e treinamento para os colaboradores;
(iii) dar atenção e realizar ajustes em relação à contratos e aquisições, incluindo termos de confidencialidade — inclusive para funcionários —, e inclusão de cláusulas que definam claramente segregação de funções e responsabilidades, relações entre controlador e operador, regras sobre compartilhamento de dados e orientações sobre o tratamento a ser realizado, incluindo eventuais proibições;
(iv) estabelecer controle de acesso e gerenciamento de senhas, incluindo senhas fortes e uso de múltiplos fatores de autenticação;
(v) implementar medidas tecnológicas adequadas para a segurança dos dados pessoais armazenados, incluindo criptografia e pseudonimização e não usar dispositivos de armazenamento externo;
(vi) usar protocolos seguros em sistemas, aplicativos e sites, além de equipamentos de proteção de redes e computadores, como firewall e anti-malware;
(vii) implantar e manter um programa de gerenciamento de vulnerabilidades, de modo a monitorar e aplicar correções de sistemas e aplicativos lançadas pelos servidores;
(ix) criar e manter medidas de proteção para dispositivos móveis;
(x) definir medidas relacionadas ao serviço em nuvem.
Todas essas precauções e delimitações, que estão detalhadas no Guia Segurança da Informação para Agentes de Tratamento de Pequeno Porte da ANPD, foram tratadas em meu artigo “LGPD: as recomendações para Micro e Pequenas Empresas”.
Impulsionamento de conteúdo
O impulsionamento de conteúdo é uma forma de publicar e promover um anúncio na Internet, especialmente em redes sociais e serviços de busca, como o Google. Além das regras já previstas na legislação eleitoral, os partidos políticos, coligações, candidatas e candidatos devem se atentar as disposições da LGPD, especialmente a identificação da base legal aplicável, que deve ser feita sobre caso concreto, com o registro de todo tratamento efetuado. Segundo o guia, de forma geral, o impulsionamento poderá ser feito com base no consentimento ou no legítimo interesse. Outro ponto a ser considerado é a transparência do tratamento, com a disponibilização em local de fácil identificação, de políticas e avisos de privacidade.
Há um destaque no guia quanto à formação e utilização de perfil comportamental, como foi feito pela Cambridge Analytica, descrito no início deste texto. Aqui vale a pena citar o texto do guia, na íntegra: “caso a criação desses perfis seja realizada a partir da tomada de decisões baseadas unicamente em tratamento automatizado de dados pessoais, a pessoa titular de dados terá direito a solicitar a revisão dessas decisões (art. 20 da LGPD). Além disso, sempre que solicitado, o controlador deverá fornecer informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados o segredo comercial e o industrial. Caso esses segredos sejam alegados como fundamentação de recusa em fornecer as informações solicitadas, a ANPD poderá realizar auditoria para verificação de aspectos discriminatórios no tratamento automatizado de dados pessoais (art. 20, § 2º, da LGPD).”
A celebração da democracia
O voto, mais que um dever cívico, é um direito do cidadão. Assim como a LGPD tem como um de seus fundamentos a garantia da autodeterminação informativa, o voto deve manifestar a vontade do eleitor, sem direcionamentos ou manipulação por meio do tratamento inadequado e/ou ilegal de dados pessoais. O voto é um momento importante para o regime democrático e esse guia vem trazer orientações importantes para que os atores envolvidos no pleito possam atuar com boa-fé na preservação dos direitos dos eleitores — que também são titulares dos dados pessoais.
Este artigo foi produzido por Fabio Correa Xavier, Diretor do Departamento de Tecnologia da Informação do TCESP, Mestre em Ciência da Computação, Professor e Colunista da MIT Technology Review.
Fabio Correa Xavier
