Geral
- 22 abril 2020
-
Artigo: Breve Análise da Medida Provisória n.º 954/20 que trata do compartilhamento de dados pessoais por empresas de telecomunicações com o IBGE
Foi publicada no dia 17 de abril de 2020 a Medida Provisória nº 954 (“MP 954/2020”), que dispõe sobre o compartilhamento de dados pessoais por empresas de telecomunicações prestadoras de serviços de telefonia fixa e móvel com a Fundação Instituto Brasileiro de Geografia e Estatística – IBGE, para fins de suporte à produção estatística oficial durante a situação de emergência de saúde pública de importância internacional decorrente do coronavírus (COVID-19).
De acordo com MP 954/2020, as operadoras de telecomunicações deverão disponibilizar ao IBGE, em meio eletrônico, a relação dos nomes, dos números de telefone e dos endereços de seus consumidores, pessoas físicas ou jurídicas. Considerando as medidas de isolamento e distanciamento social, o compartilhamento desses dados permitiria ao IBGE produzir estatística oficial durante a pandemia por meio entrevistas telefônicas.
Contexto da MP 954/2020 e riscos para a privacidade
Temos observado a intensificação de medidas governamentais visando ao aumento da vigilância e monitoramento da população, de modo a controlar os avanços da pandemia do COVID-19. Acordos com operadoras de telefonia e startups têm sido anunciados por governos estaduais para monitorar deslocamentos e controlar aglomerações, especialmente nas localidades mais afetadas pela contaminação. A nova MP 954/2020 poderia ser vislumbrada como mais uma medida nesse contexto por parte do governo federal, muito embora seu objetivo diferente: permitir que o IBGE produza estatística oficial durante o período de isolamento social.
É fato que pairam dúvidas sobre a legalidade da MP 954/2020, tanto em relação aos seus aspectos formais quanto materiais (de mérito), incluindo em relação à inviolabilidade da intimidade e da privacidade, conforme garantida pelo art. 5º, X, da Constituição Federal. Não foi por outro motivo que algumas Ações Diretas de Inconstitucionalidade (ADIs) já foram propostas no Supremo Tribunal Federal (STF) para buscar a declaração de inconstitucionalidade da referida MP.
De qualquer forma, é possível observar que a MP 954/2020 procurou estabelecer algumas medidas para limitar o tratamento dos dados pessoais compartilhados pelas operadoras. Há, inclusive, referência expressa à Lei n.º 13.709/18 (Lei Geral de Proteção de Dados Pessoais – “LGPD”), que ainda não entrou em vigor.
Passaremos a abordar os principais pontos da MP 954/2020 em relação ao tratamento de dados pessoais. Nesta breve análise, faremos referência aos princípios LGPD, dada a proximidade de sua entrada em vigor e também pelo fato de a própria MP lhe fazer referência expressa.
Limitações ao tratamento dos dados
A MP 954/2020 estabelece limitações ao tratamento dos dados pessoais coletados, os quais
- terão caráter sigiloso (art. 3º, I) e não poderão ser disponibilizados a quaisquer empresas públicas ou privadas ou a órgãos ou entidades da administração pública direta ou indireta de quaisquer dos entes federativos (art. 3º, § 1º);
- serão utilizados exclusivamente pelo IBGE para a finalidade de produção de estatística oficial (art. 3º, II);
- somente serão tratados durante a situação de emergência de saúde pública de importância internacional decorrente do COVID-19 (art. 1º, parágrafo único);
- não serão utilizados como objeto de certidão ou meio de prova em processo administrativo, fiscal ou judicial (art. 3º, III); e
- superada a situação de emergência decorrente do COVID-19, deverão ser eliminados das bases de dados da Fundação IBGE (art. 4º);
Ao afirmar que os dados serão tratados exclusivamente para a finalidade de produção de estatística oficial, percebe-se que a MP buscou atender ao princípio da finalidade previsto na LGPD (art. 6º, I), no sentido de que dados pessoais devem ser tratados para propósitos legítimos, específicos, explícitos e informados ao titular dos dados (no caso, os consumidores de serviços de telefonia).
Contudo, apesar do esforço em delimitar a finalidade do tratamento, a MP 954/2020 parece ampla e vaga a esse respeito ao simplesmente afirmar que os dados serão utilizados exclusivamente produção estatística oficial, sem apresentar maiores detalhes a esse respeito.
Especula-se que o IBGE pretende utilizar essas informações pessoais para a realização da Pesquisa Nacional por Amostra de Domicílios (PNAD) de maneira remota, por meio de entrevistas realizadas por telefone – daí a suposta necessidade do compartilhamento dos dados pessoais pelas operadoras de telefonia. Conforme se pode observar no website do IBGE (www.ibge.gov.br), o PNAD é uma pesquisa trimestral que “visa acompanhar as flutuações trimestrais e a evolução, no curto, médio e longo prazos, da força de trabalho, e outras informações necessárias para o estudo do desenvolvimento socioeconômico do País”.
A despeito das especulações, não há informações oficiais sobre quais pesquisas serão realizadas, e nem detalhamento sobre como os dados pessoais compartilhados seriam utilizados.
Ademais, pelo princípio da adequação, conforme previsto na LGPD (art. 6º, II), deve haver compatibilidade do tratamento com as finalidades informadas ao titular dos dados, conforme o contexto do tratamento. Entretanto, dado o caráter amplo da finalidade informada pela MP 954/2020, não é possível avaliar se o tratamento será adequado para a finalidade pretendida.
Da mesma forma, não está claro se esses dados pessoais são realmente necessários para a finalidade pretendida, na medida em que poderiam existir outros meios menos invasivos para que o IBGE realize as pesquisas. O princípio da necessidade, conforme definido pela LGPD (art. 6º, III), exige que o tratamento dos dados seja limitado “ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”.
De fato, é difícil sustentar a proporcionalidade de uma medida que busque o compartilhamento de dados pessoais da totalidade dos consumidores de serviços de telefonia fixa e móvel – cerca de 260 milhões de pessoas –, enquanto se sabe que o IBGE normalmente realiza suas pesquisas apenas por amostragem. Esse compartilhamento realmente parece desproporcional e excessivo, considerando para a finalidade pretendida pelo IBGE.
Portanto, o compartilhamento dos dados previsto na MP 954/2020 parece não atender aos princípios da finalidade, adequação e necessidade, conforme previstos na LGPD, o que pode gerar insegurança jurídica aos titulares dos dados pessoais. É esperado que o ato normativo a ser exarado pelo Presidente do IBGE traga maior detalhamento sobre tratamento dos dados para fins de produção estatística oficial.
Por outro lado, merece destaque a proibição expressa de disponibilização pública ou compartilhamento dos dados com outras entidades públicas ou privadas. Essa vedação decorre do próprio caráter sigiloso dos dados. Embora essa limitação seja importante, não há indicação de quais medidas deverão ser adotadas para proteger a confidencialidade dos dados, nem sequer menção aos controles de segurança da informação a serem adotados para a proteção dos dados contra acessos não autorizados, vazamentos e incidentes, o que seria indispensável para atender aos princípios da prevenção e segurança, conforme previstos na LGPD. É esperado, contudo, que o ato normativo do Presidente do IBGE venha a trazer esses detalhamentos.
Outra limitação importante diz respeito ao período de retenção dos dados pessoais, que deverão ser eliminados após o término da situação de emergência decorrente da pandemia COVID-19 (art. 4º). A MP ainda prevê que na hipótese de necessidade de conclusão de produção estatística oficial, o IBGE poderá utilizar os dados pelo prazo de 30 (trinta dias), contado do fim da situação de emergência de saúde pública de importância internacional.
Desse modo, após o atendimento da finalidade pretendida, a base de dados formada a partir do compartilhamento das informações pelas operadoras de telecomunicações deverá ser eliminada. Todavia, não há quaisquer informações na MP sobre como se dará essa eliminação.
Transparência e publicação de relatório de impacto
A MP 954/2020 ainda estabelece um dever de transparência ao determinar que o IBGE publique em seu sítio eletrônico, as situações em que os dados pessoais foram utilizados (art. 3º, § 2º). Essa disposição está em linha com o princípio da transparência previsto na LGPD (art. 6º, VI) e com o direito dos titulares dos dados de obterem acesso facilitado às informações sobre o tratamento de seus dados, nos termos do art. 9º da Lei.
Contudo, não há detalhamento sobre como se dará essa publicação e quais informações deverão ser fornecidas. De qualquer modo, é esperado que o IBGE publique uma política de privacidade em seu website, descrevendo em maiores detalhes as operações de tratamento de dados. Nesse sentido, caberá ao IBGE observar o disposto no art. 9º da LGPD, que estabelece o mínimo de informações que deverão ser disponibilizadas aos titulares, que deverão ser disponibilizadas de forma clara, adequada e ostensiva.
Ademais, a MP exige que o IBGE divulgue Relatório de Impacto à Proteção de Dados Pessoais (RIPD), nos termos do disposto na LGPD. O RIPD é definido pela LGPD como “a documentação do controlador [responsável pelo tratamento] que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco” (art. 5º, XVII, LGPD).
Embora a LGPD ainda não tenha entrado em vigor, é curioso observar que a MP reconhece o RIPD como instrumento de mitigação dos riscos decorrentes das operações de tratamento dos dados compartilhados, além de conferir transparência aos seus respectivos titulares.
O ideal seria que tal RIPD fosse elaborado e publicado antes do compartilhamento dos dados pessoais, de modo a identificar os riscos e as medidas aptas a mitigá-los antes do efetivo tratamento dos dados. A obrigação de elaboração e publicação do RIPD posteriormente ao compartilhamento pode acabar revelando-se instrumento ineficaz para o objetivo pretendido.
Prazos para o compartilhamento dos dados e suas possíveis consequências
No prazo de 03 (três) dias, contado da data de publicação da MP, ouvida a Agência Nacional de Telecomunicações (Anatel), o Presidente do IBGE deverá publicar ato normativo regulamentando os procedimentos para a disponibilização dos dados (art. 2º, § 2º).
Após a publicação desse ato normativo pelo IBGE, os dados deverão ser compartilhados pelas operadoras no prazo no prazo de até 07 (sete) dias contados da publicação, ouvida a Anatel (art. 2º, § 3º, I). Em caso de solicitações subsequentes, o prazo será de 14 (quatorze) dias (art. 2º, § 3º, II).
Vale destacar que, como os prazos são bastante curtos, o compartilhamento ocorrerá antes da apreciação da MP pelo Congresso Nacional, o que certamente tornaria ineficaz sua apreciação pelo Poder Legislativo e eventual rejeição.
Com efeito, mesmo na hipótese de não conversão em lei, a Constituição Federal (art. 62, § 3º) determina que as medidas provisórias que não sejam convertidas em lei perdem a eficácia desde a edição. Nesse caso, caberá ao Congresso Nacional disciplinar, por decreto legislativo, as relações jurídicas delas decorrentes, de modo que se tal decreto não for editado em até 60 dias após a rejeição ou perda de eficácia de medida provisória, “as relações jurídicas constituídas e decorrentes de atos praticados durante sua vigência conservar-se-ão por ela regidas”.
Considerações finais
A publicação da MP 954/2020 constitui mais um capítulo do polêmico debate envolvendo, de um lado, a intensificação das medidas governamentais de vigilância e monitoramento como forma de controlar a pandemia do COVID-19 e, de outro lado, a proteção da privacidade e dos dados pessoais da população.
Nesse contexto, a Ordem dos Advogados do Brasil (OAB) ingressou com uma Ação Direta de Inconstitucionalidade (ADI), com pedido de liminar, requerendo ao Supremo Tribunal Federal (STF) que suspenda os efeitos da MP 954/2020 e reconheça a inconstitucionalidade da integralidade dos dispositivos da MP 954/2020, por violação dos artigos 1º, inciso III e 5º, inciso X e XII da Constituição Federal, que asseguram, respectivamente: (i) a dignidade da pessoa humana; (ii) a inviolabilidade da intimidade, da vida privada, da honra e da imagem das pessoas; e (iii) o sigilo dos dados e a autodeterminação informativa.
Basicamente, a OAB questiona aspectos formais e materiais da MP, que além de supostamente violar o caráter sigiloso dos dados pessoais compartilhados, não apresenta mecanismos de segurança para minimizar os riscos de acesso não autorizado e uso indevido desses dados.
Alguns partidos políticos também ingressaram com ADIs com pedido semelhante, de modo que é esperado que o STF aprecie os respectivos pedidos de liminar nos próximos dias.
Seja como for, o fato é que enquanto o Congresso Nacional discute uma possível prorrogação da vigência da LGPD, novas medidas de vigilância e monitoramento, como as que temos observado durante a pandemia do CIVID-19 vem sendo estabelecidas quase que diariamente, contribuindo com um cenário de incerteza e insegurança jurídica quanto à proteção da privacidade e dos dados pessoais dos cidadãos.
Para mais informações, contate:
Paulo Lilla
paulo.lilla@lefosse.com
Tel.: (+55) 11 3024 6490
Eduardo Carvalhaes
eduardo.carvalhaes@lefosse.com
Tel.: (+55) 11 3024 6310
