Quebra de sigilo dos consumidores

Atualmente é comum a prática, por empresas, da coleta e armazenamento de dados pessoais, e mesmo a sua cessão a terceiros. Em vários países, notadamente da Europa, existem regras estritas que limitam as hipóteses de coleta e guarda dessas informações, além de estabelecer a obrigação de transparência, segurança e garantia de acesso aos titulares das informações, que as desejam conhecer, ou mesmo, retificar. Legislações análogas já estão em vigor em países da América do Sul, como Argentina, Uruguai e Chile.

Sob o modelo europeu, foram criadas agências nacionais independentes da administração pública e do empresariado, com dotação orçamentária própria, incumbidas da vigilância e supervisão da aplicação das regras que protegem os cidadãos, podendo impor sanções pecuniárias e pedir a cessação de suas atividades.

Somente agora, passados mais de 30 anos das primeiras legislações aprovadas na França, Suécia e outros países europeus, vemos o interesse do governo brasileiro na aprovação de uma norma análoga, tendo, o Ministério da Justiça apresentado para críticas e sugestões o seu anteprojeto de lei.

Apesar de carecermos de lei específica, o próprio Código de Defesa do Consumidor (CDC) prevê a existência de cadastros ou bancos de dados de consumidores, classificando-os como “entidades de caráter público” (artigo 43, parágrafo 4º do CDC).

E como tal, estão sujeitos às regras do artigo 22 do CDC que prevê a obrigação de fornecimento de serviços adequados, eficientes e seguros, e a consequente reparação integral do dano que possam causar aos consumidores.

Tal previsão legal, por si só, já obriga a empresa que mantém os bancos de dados a responder pelas falhas na sua armazenagem e eventual vazamento de informações pessoais. Enquanto o anteprojeto de lei referido prevê a obrigação de manutenção de sistemas de segurança no “estado da arte”, também reconhece que tal atividade é de risco e que aquele que a pratica deverá responder pelos danos materiais e morais, individuais e coletivos, a que der causa.

Em julgamentos recentes, o Tribunal de Justiça de São Paulo (TJ-SP) entendeu ser aplicável à espécie não apenas as regras do CDC, mas também do Código Civil, especialmente quanto à “Teoria do Risco Criado”. Segundo o artigo 927 do Código Civil, as empresas responderão, independentemente de culpa, pelos danos que causarem no exercício de suas atividades normais (cf. Apelação Cível nº 1.221.137-0/1 – 26ª Câm. de Dir. Privado – Rel. Des. Alberto Gabi, j. 04.02.2009).

O tribunal paulista julgou recentemente casos de vazamento de dados pessoais obtidos junto ao consumidor na realização de compras pela internet, bem como situações de invasão de sistemas por hackers que se apossaram de dados pessoais. Em ambos os casos, os responsáveis pelos bancos de dados foram sancionados à base de R$ 4 mil por vítima ou evento (cf. Apelação Civel nº 9165664-86.2007.8.26.00 – 34ª. Câm. De Dir. Privado – Rel. Des. Gomes Varjão, j. 21.03.2011 e Apelação Cível n. 990.10.311139-7 – 14ª Câm. Dir. Privado – Rel. Des. Melo Colombi, j. 01.09.2010).

Também houve caso, julgado pelo mesmo tribunal, em que uma empresa se viu obrigada a excluir de seu contrato padrão, cláusula que lhe autorizava o uso dos dados pessoais de consumidores, inclusive, para os transferir a outras empresas, sob pena de multa diária de R$ 100 mil. (Apelação Cível nº 71515542-1 – 12ª Cam. Dir. Privado – Rel. Des. José Reynaldo, j. 07.10.2009).

No caso de violação de direitos causada isoladamente por empresa domiciliada no exterior – o que não é corriqueiro, pois normalmente existe algum parceiro nacional que lhe dá acesso a essa base de dados -, a pessoa lesada teria de demandar contra a empresa estrangeira. Todavia, o juiz brasileiro, por força das regras de competência previstas no CDC, será competente para conhecer da demanda quando presente uma relação de consumo na origem da coleta/fornecimento dos dados. E, talvez, a melhor forma de se executar uma sentença condenatória proferida contra uma empresa estrangeira seja a penhora de créditos que esta possa possuir junto a administradoras de cartão de crédito no Brasil.

Por fim, as empresas que coletam e processam dados pessoais devem estar atentas a todos esses riscos, pois o eventual uso inadequado, ou mesmo a quebra do sigilo dos dados, pode implicar grave responsabilidade, resultando em penas pecuniárias importantes. Nesse sentido, a importância de tais empresas limitarem-se à coleta e uso das informações pessoais de seus consumidores na forma estritamente necessárias para as atividades lícitas que desempenhem, zelando por seu sigilo e guarda com os mais elevados padrões físicos e lógicos.

* por Luiz Fernando Martins Castro, sócio do escritório Martins Castro Monteiro Advogados, doutor em direito e informática pela Universidade de Montpellier (França) e membro da Comissão de Informática do Conselho Federal da OAB / artigo publcado no jornal Valor Econômico.