1. INTRODUÇÃO

O presente estudo tem como tema a responsabilidade civil na Lei Geral de Proteção de Dados. Por assim ser, insere-se no contexto moderno da sociedade digital e tecnológica e com a questão da responsabilidade civil, que atualmente se inspira na Constituição Cidadã, colocando a pessoa da vítima como centro nuclear de sua proteção, não mais mantendo o foco na punição advinda da visão patrimonialista de outrora.

Compreender a responsabilidade civil e sua aplicação junto à proteção dos dados requer o zelo de conhecer bem a Lei Geral de Proteção de Dados, Lei nº 13.709, promulgada em 14 de agosto de 2018, cuja finalidade foi a de disciplinar a concepção de dados, os sujeitos, os tipos de dados, o uso, o tratamento e a proteção de dados no Brasil.

O chamado para que o Brasil criasse e aprovasse uma lei de proteção de dados nasceu de fatos ocorridos na sociedade, pois que o direito se relaciona diretamente com o que acontece no cotidiano e acaba se transformando em demandas. Deste modo, em alguns momentos novas leis são criadas e leis existentes são alteradas, pois que fatos e acontecimentos diversos vão moldando o ordenamento jurídico.

A Lei Geral de Proteção dos Dados tem seu ponto de partida relacionado com alguns acontecimentos, como o caso concreto de violação da privacidade envolvendo a atriz Carolina Dieckmann, que resultou criação do tipo penal de invasão de dispositivo informático (art. 154-A, do Código Penal) por meio da Lei Carolina Dieckmann (Lei nº 12.737/2012), e com a aprovação do Marco Civil da Internet (Lei nº 12.965/2014).

A nível internacional, destaca-se a influência exercida pela normativa correspondente na União Europeia, o General Data Protection Regulation, publicada em abril de 2016 e com vigência a partir de maio de 2018. Trata-se de uma normativa que serviu de referência para o Brasil e diversos outros países.

Esses acontecimentos foram importantes para que houvesse uma mobilização por parte do Congresso Nacional para disciplinar no país a proteção dos dados por meio de uma lei específica.

Saber quais as principais características da responsabilidade civil e da Lei Geral de Proteção de Dados foi o principal questionamento que motivou este estudo, passando a situar-se como situação problema, sobre a qual se buscam possíveis respostas por meio de diferentes contribuições teóricas.

A responsabilidade civil pelo uso inadequado de dados passou a ser efetivada no ordenamento jurídico após a vigência da Lei Geral de Proteção de Dados promulgada no ano de 2018, o que antes era impossível por faltar disciplina legal que norteasse as inúmeras situações de violações.

O objetivo maior deste estudo é o de analisar a responsabilidade civil pelo uso inadequado dos dados. Assim, buscou-se investigar sobre o que significa a proteção de dados e seu histórico de uma forma geral, para, em seguida, se debruçar sobre a Lei Geral de Proteção de Dados. Por fim, foi necessário discorrer sobre o instituto da responsabilidade civil, mesmo que de forma sucinta, para então analisar a responsabilidade civil específica no descumprimento da Lei Geral de Proteção de Dados.

A relevância do presente estudo alicerça-se no fato de que a Lei Geral de Proteção de Dados é ainda recente e sua implementação dentro do ordenamento jurídico brasileiro requer amplo conhecimento sobre como a responsabilidade civil incide junto a situações de violações de direitos estabelecidos na supracitada legislação.

Outro fator que justifica o tema para a sociedade é a de que tal conhecimento pode contribuir para trazer luz diante de situações em que os cidadãos têm seus direitos violados e dados vazados ou tratados de maneira inadequada e ou irregular, principalmente se for levado em conta o quanto o uso de dados se compara a moeda de grande valor para o mundo do consumo e de grande competitividade entre as pessoas e empresas, cuja apropriação de dados pode representar inúmeras mudanças no cenário econômico.

2. A RESPONSABILIDADE CIVIL PELO USO INDEVIDO DOS DADOS

 2.1. O histórico da proteção de dados pessoais

A proteção constitucional dos dados pessoais era amparada por dispositivos esparsos tais como o direito à intimidade (art. 5º, X, da CF), direito à informação (art. 5º, XIV, da CF), direito ao sigilo de comunicação e dados (art. 5º, XII) e o habeas data (art. 5º LXXII, da CF).

No entanto, foi com o advento da Emenda Constitucional nº 115/2022 que o direito expresso à proteção de dados pessoais foi inserido no rol do art. 5º, que garante proteção também nos meios digitais. Essa recente inclusão foi fruto de uma série de fatos históricos nacionais, bem como da influência de normativas internacionais sobre o tema conforme analisado a seguir.

No ano de 2012, após uma invasão cibernética realizada no computador pessoal da atriz Carolina Dieckmann, foi criada a Lei nº 12.737/2012, a qual tipificou o crime de invasão de dispositivo informático (art. 154-A, do Código Penal).

Uma publicação da Defensoria do Ceará esclarece que, no ano de 2011, a atriz Carolina Dieckmann teve sua intimidade violada após um grupo de hackers invadir seu computador pessoal e divulgar sem autorização 36 imagens íntimas pelas redes sociais. Informa que além das fotos roubadas, a atriz chegou a receber ameaças e extorsões para evitar a exposição.

Foi assim que, diante do caso que foi um escândalo no país, não demorou muito para que o caso ganhasse a atenção do público e da justiça. Assim, em menos de um ano após o caso, a lei nº 12.737/2012, apelidada de Lei Carolina Dieckmann, foi sancionada no dia 30 de novembro de 2012. A criação da lei se deu em virtude do caso da atriz que, na época do crime, não recebeu amparo de uma legislação específica para a devida penalização dos criminosos.

Dois anos depois foi editada a Lei do Marco Civil, nº 12.965/2014, a qual estabeleceu princípios, garantias, direitos e deveres para o uso da internet no Brasil.

Com relação ao Marco Civil da Internet, Junior (2014) in Henrique (2022), comenta a legislação, a relaciona com o Código de Defesa do Consumidor e que dentre os vários direitos a serem garantidos aos usuários, o maior deles é a proteção da vida privada.

O Marco Civil declarou que o acesso à Internet é essencial ao pleno exercício da cidadania. Assim, sendo considerado serviço essencial, enquadra-se na regra do art. 22 do Código de Defesa do Consumidor, devendo ser fornecido de maneira contínua, sem interrupções de conexão, salvo por débito diretamente decorrente de sua utilização. Vários direitos são garantidos ao usuário da Internet no texto do Marco Civil, dentre eles a garantia de que sua vida privada não será violada; a garantia de que a qualidade da conexão estará alinhada com o que foi contratado e de que seus dados só serão repassados a terceiros com sua expressa anuência, salvo em casos judiciais. (JUNIOR, 2014 in HENRIQUE, 2022, p.7-8))

 Freire (2020) explica que a preocupação com o uso de dados pessoais, seja pelo poder público ou para fins econômicos de empresas privadas, é tema de debate na Europa há muitos anos. Com o transcorrer dos tempos, a União Europeia percebeu a necessidade de criar um regulamento específico sobre o tema, que deveria ser implementado completamente por todos os estados-membro. Assim, o GDPR, General Data Protection Regulation, ou Regulamento Geral sobre a Proteção de Dados, publicado em 2016, entrou em vigor em maio de 2018.

Já no Brasil, o Marco Civil da Internet, de 2014, trouxe alguns aspectos referentes à proteção de dados pessoais no ambiente digital, porém faltava uma legislação específica sobre o tema, dada à complexidade e ao volume considerável de dados pessoais coletados. Por assim ser, Freire (2020) explica que a Lei de Proteção de Dados criada no Brasil recebeu forte inspiração do GDPR.

No entanto, cumpre ressaltar que a proteção em torno dos dados, devidamente disciplinada pela Lei Geral de Proteção de Dados, somente veio a ocorrer no Brasil no ano de 2018. Muitos autores consideram que a aprovação da lei no país foi tardia, pois que outros países já haviam se organizado legalmente no quesito da proteção dos dados.

De acordo com a LGPD, dado pessoal é qualquer informação que permite identificar, direta ou indiretamente, um indivíduo. Os dados pessoais mais comuns são o nome, CPF, e-mail e número de telefone, dentre outros.

O tratamento de dados pessoais não é de todo negativo. Ele permite a personalização de serviços ao usuário, o que torna a experiência muito mais agradável e significativa. Afinal, quem não quer receber um cupom de desconto justamente para aquele produto que está pensando em comprar há meses? Para as empresas, a análise de dados permite centrar esforços em ações de marketing mais assertivas, que falam diretamente com consumidores com maior potencial de conversão.

Miragem (2019) traz rica contribuição ao explicar sobre a importância, a utilização e proteção dos dados. O autor afirma em seu estudo que o acesso e a utilização dos dados pessoais, compreende um dos principais ativos empresariais na sociedade contemporânea e, ao mesmo tempo expressão dos riscos à privacidade frente às novas tecnologias da informação.

Destaca que a questão dos dados repercute intensamente no mercado de consumo e, consequentemente, sobre o direito do consumidor. Chama a atenção para o desenvolvimento da tecnologia da informação e a capacidade de processamento de imenso volume de dados variados, o que permite o refinamento das informações de modo a permitir uma série de utilidades, como a segmentação dos consumidores para quem se dirige uma oferta, maior precisão na análise dos riscos de contratação (seleção de risco), formação de bancos de dados com maior exatidão e eficiência do uso das informações coletadas, de modo a tornar a capacidade de acesso a tratamento de dados um dos valores mais relevantes atualmente.

Com relação a capacidade de tratamento dos dados, o autor indica que o fato de que tais dados permitem a identificação de tendências aumenta a precisão e as possibilidades de resultados a serem obtidos, permitindo, dentre outros resultados, identificar padrões de consumo conforme o comportamento de compra dos consumidores, sua localização, a interação em redes sociais, ou a personalização da negociação com consumidores mediante uso de regras pré-determinadas ou de inteligência artificial. Além de todos os aspectos já destacados que podem se servir da coleta de dados, o acesso e o tratamento de dados pessoais da população em geral podem dar causa a repercussões não apenas econômicas, mas afeta também, profundamente, relações sociais e políticas, “dado suas interações com temas aparentemente distintos entre si, com a qualidade do debate público, a liberdade de manifestação, a proteção da reserva pessoal e da privacidade, dentre outros temas fundamentais para o desenvolvimento humano.” (MIRAGEM, 2019, p.2)

 2.2. Lei Geral de Proteção aos dados

O Brasil juntou-se ao esforço de disciplinar legalmente a proteção de dados pessoais com a edição, no ano de 2018, da Lei nº 13.709, de 14 de agosto de 2018 (LGL\2018\7222) – denominada Lei Geral de Proteção de Dados (LGPD). De acordo com Miragem (2019), a Lei Geral de Proteção aos dados (LGPD), com o objetivo de oferecer garantia dos direitos do cidadão, oferece bases para o desenvolvimento econômico a partir da definição de marcos para utilização econômica da informação decorrente dos dados pessoais. O autor supracitado destaca que são reconhecidas diferentes influências à LGPD, dentre as quais tem especial relevância as normas que definem o modelo europeu de proteção de dados, em especial o Regulamento Geral de Proteção de Dados (Regulamento 2016/679), que substituiu a Diretiva 46/95/CE, sobre tratamento de dados pessoais, e a Convenção 108, do Conselho da Europa, que já em 1981 buscava dispor sobre a proteção das pessoas relativamente ao tratamento automatizado de dados de caráter pessoal. Isso ainda, sem prejuízo da influência reconhecida de outros sistemas jurídicos, e mesmo de outras leis brasileiras. Um dos fundamentos da LGPD está relacionado à defesa do consumidor (art. 2º, VI), que também prevê, expressamente, a competência dos órgãos de defesa do consumidor para atuar, mediante requerimento do titular dos dados, no caso de infração aos seus direitos pelo controlador (art. 18, § 8º). Há também o dever de articulação entre a Autoridade Nacional de Proteção de Dados e outros órgãos titulares de competência relacionados à proteção e dados, como é o caso dos órgãos de defesa do consumidor (art. 55-K, parágrafo único).

A Lei Geral de Proteção de Dados tem a função de proteger a privacidade dos usuários e estabelece que empresas, órgãos do governo federal, estados e municípios podem armazenar e tratar dados pessoais se o cidadão assim o permitir. De acordo com a lei, o cidadão deve ser informado pelo governo ou pela empresa sobre a finalidade e o modo de utilização dos dados.

A lei exige, ainda, uma proteção especial para os dados de crianças e adolescentes e os considerados sensíveis, incluindo origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dados genéticos, biométricos ou sobre a saúde e vida sexual do cidadão.

Os primeiros artigos da LGPD contêm fundamentos, conceitos e sua aplicabilidade. Em seguida, existem algumas disposições acerca do tratamento de dados pessoais, dados pessoais sensíveis e dados pessoais de crianças e adolescentes, bem como direitos do titular. Posteriormente, a lei dispõe sobre os agentes de tratamento de dados pessoais (controlador, operador e encarregado), responsabilidade e ressarcimento de danos, segurança e boas práticas, fiscalização e, por fim, contém dispositivos referentes à Autoridade Nacional de Proteção de Dados e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.

O artigo 1º da Lei Geral de Proteção de Dados explicita que a legislação dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, “com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.”

Em seu artigo 5º a lei traz algumas definições como a de dados sensíveis, dados anonimizados, banco de dados, titular, controlador, operador, encarregado, dentre outros termos que envolvem a proteção dos dados.

O artigo 6º da lei supracitada deixa em evidência que as atividades de tratamento de dados pessoais deverão observar a boa-fé e alguns princípios: finalidade, adequação, necessidade, livre acesso, qualidade de dados, transparência, segurança, prevenção, não discriminação e a responsabilização e prestação de contas.

Com relação ao tratamento de dados, esse somente poderá ser realizado nas hipóteses estabelecidas pela lei, que são as seguintes:

I - mediante o fornecimento de consentimento pelo titular;

II - para o cumprimento de obrigação legal ou regulatória pelo controlador;

III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;

IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem) ;

VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;      (Redação dada pela Lei nº 13.853, de 2019)      Vigência

IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente. (BRASIL, 2018)

Já o tratamento dos dados sensíveis, aqueles relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, referente à saúde ou à vida sexual, é apresentado com maior rigor pela norma, que evidencia um maior zelo com tais dados, requerendo inclusive que, até mesmo a autorização do titular, deve ocorrer de forma específica e destacada para finalidades específicas, citando as hipóteses em que os dados podem ser tratados sem a autorização do titular.

A Seção III da lei estabelece regras para o tratamento de Dados Pessoais de Crianças e de Adolescentes e a Seção IV disciplina o término do tratamento de dados. A lei possui ao todo 65 artigos que disciplinam de forma ampla a proteção de dados no país. Cumpre destacar que as punições aplicadas às empresas vão de advertência a multa de até 2% do faturamento da pessoa jurídica, com limite de R$ 50 milhões por infração, além da possiblidade de multas diárias se as decisões não forem cumpridas.

Tais sanções administrativas, previstas nos artigos 52 a 54 da referida lei, somente foram passíveis de aplicação após o marco temporal de 1º de agosto de 2021, conforme estabelecido pelo art. 20 da Lei nº 14.010/2020. Ressalta-se, no entanto, que tais sanções estão relacionados à natureza administrativa, que não se confunde com a responsabilidade civil que está sendo tratada no presente artigo.

 2.3. Breves apontamentos sobre o instituto da responsabilidade civil

Eventuais danos causados pela utilização indevida dos dados pessoais possuem como fundamento a responsabilidade extracontratual decorrente de ato ilícito, fundamentados no art. 927 do Código Civil.

Denomina-se ato ilícito qualquer ato praticado com infração ao dever legal de não lesar a outrem. Nesse sentido, leciona Carlos Roberto Gonçalves[1]:

"Ato ilícito é o praticado com infração ao dever legal de não lesar a outrem, Tal dever é imposto a todos no art. 186, que prescreve: "Aquele que, por ação ou omissão voluntária, negligência ou imprudência, violar direito e causar dano a outrem, ainda que exclusivamente moral, comete ato ilícito". Também o comete aquele que pratica abuso de direito, ou seja, "o titular de um direito que, ao exercê-lo, excede manifestamente os limites impostos pelo seu fim econômico ou social, pela boa-fé ou pelos bons costumes" (art. 187). Em consequência, o autor do dano fica obrigado a repará-lo (art. 927). Ato ilícito é, portanto, fonte de obrigação: a de indenizar ou ressarcir o prejuízo causado. É praticado com infração a um dever de conduta, por meio de ações ou omissões culposas ou dolosas do agente, das quais resultem dano para outrem."

 O Código Civil estabelece, nos artigos 186 e 187, que os atos são ilícitos por violação direta do ordenamento jurídico ou por abuso de direito:

Art. 186. Aquele que, por ação ou omissão voluntária, negligência ou imprudência, violar direito e causar dano a outrem, ainda que exclusivamente moral, comete ato ilícito.

Art. 187. Também comete ato ilícito o titular de um direito que, ao exercê-lo, excede manifestamente os limites impostos pelo seu fim econômico ou social, pela boa-fé ou pelos bons costumes.

 Ademais, o art. 927 do Código Civil[2] prescreve que todo aquele que causa dano a outrem por ato ilícito tem a obrigação de repará-lo. Essa obrigação de reparar o dano material ou moral causado consiste na responsabilidade civil.

Nas palavras do ilustre professor Sílvio de Salvo Venosa[3]:

O termo responsabilidade é utilizado em qualquer situação na qual alguma pessoa, natural ou jurídica, deva arcar com as consequências de um ato, fato ou negócio danoso. Sob essa noção, toda atividade humana, portanto, pode acarretar o dever de indenizar.

 A responsabilidade civil não corresponde a uma obrigação originária, mas sim a um dever de reparação, justamente de algo que foi realizado anteriormente e que causou prejuízo a outrem, tal fato, não permite que seja confundida com uma obrigação primária (Melo, 2023).

A responsabilidade civil decorrente de ato ilícito somente é aplicável quando estão presentes alguns elementos essenciais: ação ou omissão voluntária, dano, nexo de causalidade e culpa, sendo este último dispensável nas situações em que a lei determina ou nas situações em que a atividade desenvolvida pelo autor implica, por sua natureza, risco para os direitos de outrem[4].

Ademais, é de extrema importância verificar a necessidade ou não do elemento subjetivo, dolo ou culpa, para a sua configuração. Trata-se da clássica distinção entre a responsabilidade civil objetiva e subjetiva. A regra prevista do Código Civil é a responsabilidade subjetiva, em que se faz necessária a comprovação do dolo ou da culpa para que a indenização seja devida. Por outro lado, no Código de Defesa do Consumidor, há a previsão de responsabilidade objetiva, sem a necessidade de comprovação do elemento subjetivo, facilitando a reparação integral dos consumidores lesados. Passados alguns apontamentos relacionados ao instituto da responsabilidade civil, o estudo passa para o foco de análise dessa responsabilidade diante do tratamento indevido de dados pessoais. Tal perspectiva possui como ponto central a Lei Geral de Proteção de Dados de 2018.

2.4 A Responsabilidade Civil na Lei Geral de Proteção aos Dados

A responsabilidade civil está regulamentada na Seção III do Capítulo VI da Lei Geral de Proteção de Dados sob o título “Da Responsabilidade e do Ressarcimento de Danos”. Tais normas não serão aplicáveis em todos os casos envolvendo responsabilidade civil, podendo, a depender da relação jurídica, ceder espaço a normas específicas, como o Código de Defesa do Consumidor, o que, inclusive, é expressamente reconhecido pela LGPD em seu art. 45.

Capanema (2020) esclarece que a responsabilidade surge do exercício da atividade de proteção de dados que venham a violar a legislação de proteção de dados. Por essa expressão, o legislador reconheceu que a proteção de dados trata de um microssistema, cujas normas estão previstas em diversas legislações, sendo a LGPD a sua base estrutural.

Em se tratando de Responsabilidade Civil na LGPD, Medeiros (2021) afirma em seu estudo a importância de não confundir a aplicação das sanções de multa estabelecida na lei com os danos causados aos titulares dos dados pessoais, pois, em relação às sanções, remete-se a seara do direito administrativo, e para isso, basta a própria existência do incidente de segurança, ou seja, nesse aspecto a responsabilidade do controlador é objetiva, se “houve o incidente há responsabilidade e sanção, após observância do procedimento administrativo e análise de parâmetros e critérios de cálculo, de acordo com as peculiaridades do caso concreto.” (MEDEIROS, 2021, p.1)

Em relação ao dever de indenizar o titular dos dados pessoais, há posições doutrinárias tanto pela responsabilidade objetiva quanto pela subjetiva, tendo o próprio Poder Judiciário proferido decisões em ambos os sentidos, mas, independentemente da teoria adotada pelo Poder Judiciário em relação à responsabilidade civil entre os agentes de tratamento, ganha importância o que o autor chama de governança de segurança e privacidade de “dados dentro das empresas, com políticas e mecanismos internos de prevenção e mitigação de riscos, independente do tipo de agente ou formas de tratamento de dados pessoais.” (MEDEIROS, 2021, p.1)

Assim, existem duas situações em que ocorre a responsabilidade civil na Lei Geral de Proteção de Dados. A primeira delas seria a violação de normas jurídicas, do microssistema de proteção de dados, enquanto a segunda consiste nas violações de normas técnicas, voltadas à segurança e proteção de dados pessoais.

Há uma seção exclusiva na LGPD. com previsão de responsabilização dos agentes de tratamento de dados, com critérios para reparação de danos e circunstâncias que caracterizam um tratamento irregular. No entanto, ao contrário do Código de Defesa do Consumidor, a LGPD não especifica o regime de responsabilidade. Não há, portanto, consenso entre especialistas sobre o regime a ser utilizado.

O art. 944 do Código Civil dispõe que “A indenização mede-se pela extensão do dano”. Para Capanema (2020), a extensão de um dano relativo à proteção de dados poderá levar em consideração os seguintes critérios:

a) a quantidade de dados pessoais afetados;

b) a natureza dos dados pessoais afetados: o vazamento de dados pessoais sensíveis, por exemplo, determinará uma indenização maior, especialmente se se tratar de dados biométricos, que não podem ser substituídos;

c) a reincidência da conduta;

d) a omissão em tomar medidas de segurança e técnicas para minorar o dano ou em colaborar com a Autoridade Nacional de Proteção de Dados;

e) a ausência de notificação dos usuários da ocorrência do incidente;

f) a comprovada utilização dos dados pessoais vazados de titulares por terceiros.

 O referido autor traz ainda alguns exemplos claros em que ocorre a incidência da responsabilidade civil com relação à proteção de dados como vazamentos/data leaks; o não atendimento dos direitos do titular e o spam e o tratamento ilegal.

De acordo com Laura Shertel Mendes, a responsabilidade civil na LGPD pressupõe o reconhecimento do risco no tratamento de dados pessoais. Dessa forma, para a autora, pouco importa na prática se qualificarem a responsabilidade da LGPD como objetiva ou subjetiva, com culpa presumida, para ela, o fato é que o dever de indenizar surge quando houver o dano, a violação à norma e o nexo causal, podendo os agentes de tratamento provarem que não houve violação à norma, que a atividade não se realizou ou que o dano decorre de culpa exclusiva de titular ou de terceiro.

A responsabilidade especial prevista na LGPD, portanto, se baseia nos seguintes aspectos: (i) dano, (ii) violação da legislação de proteção de dados por parte do controlador/operador e (iii) reparação.

Nesse caso, o controlador e o operador podem vir a ser responsabilizados, no contexto de uma relação de consumo que envolva tratamento de dados, quando provados o ato ilícito, o nexo causal e o dano. Como a responsabilidade objetiva independe de culpa, a demonstração de que o agente agiu de forma diligente seria irrelevante para fins de sua responsabilização civil.

O artigo 14, § 3º, do CDC prevê expressamente as seguintes hipóteses de excludente de responsabilidade: 1) quando inexistir defeito na prestação do serviço e 2) quando houver culpa exclusiva do consumidor ou de terceiro.

O art. 43 da LGPD prevê hipóteses de exclusão da responsabilidade civil semelhantes à do CD: a ausência de violação à legislação e culpa exclusiva do titular dos dados ou de terceiro, mas inclui também a hipótese em que o agente não realizou o tratamento de dados a que lhe foi atribuído (inciso I do artigo 43 da LGPD).

Para a LGPD, o serviço defeituoso abarca tanto a falha na adoção de medidas de segurança quanto o uso inadequado dos dados para finalidade diversa da que foi informada, assim como violação às demais regras e princípios estabelecidos na LGPD.

A responsabilidade civil dos agentes de tratamento pelos danos ao consumidor decorrentes de tratamento irregular por falha de segurança pode ser, portanto, mitigada ou afastada se restar comprovado que foram efetivamente adotadas medidas de segurança razoáveis e eficientes para proteger os dados pessoais.

Há também um entendimento da doutrina no sentido de que a responsabilidade do agente de tratamento de dados é subjetiva quando não se tratar de relação de consumo.

Por outro lado, em uma análise no art. 45 da LGPD, é possível estabelecer o entendimento da responsabilização sem análise de culpa do agente, visto que a normativa é clara ao dizer que nas relações de consumo permanecem sujeitas às regras de reponsabilidade previstas na legislação pertinente.

A LGPD dedicou uma seção específica à responsabilidade civil (Seção III do Capítulo VI — artigos 42 a 45) e, em momento algum, afastou o elemento da culpabilidade. Logo, por essa simples razão, já seria forçoso concluir que o seu regime é o subjetivo (fundamentado na culpa do controlador ou operador de dados).

Por outro lado, se existente relação jurídica consumerista, aplica-se o regime da responsabilidade objetiva. nos termos do artigo 12 e seguintes do Código de Defesa do Consumidor.

Existe, ainda, uma corrente doutrinária que foge dessa lógica binária entre responsabilidade subjetiva ou objetiva e define a responsabilidade civil prevista na Lei Geral de Proteção de Dados como uma responsabilidade ativa ou proativa, por meio da qual é necessário não apenas o cumprimento das obrigações previstas em lei, mas também a demonstração da adoção de medidas eficazes e capazes de comprovar a observância, o cumprimento e a eficácia das normas de proteção de dados pessoais.

Nesse sentido, Maria Celina Bodin de Moraes e João Quinelato de Queiroz afirmam que a responsabilidade no âmbito da LGPD se assemelha à do regulamento europeu abrangendo também o conceito de prestação de contas, que abrangeria a responsabilidade proativa supracitada.

3. CONCLUSÃO

As diversas contribuições teóricas colhidas ao longo do estudo permitiram alcançar algumas considerações sobre o tema estudado. A primeira delas é que a responsabilidade civil relacionada aos dados pessoais contempla a violação de normas jurídicas do microssistema de proteção de dados e as violações de normas técnicas, voltadas à segurança e proteção de dados pessoais.

A responsabilidade civil está presente na Lei de Proteção dos dados, especificamente entre os artigos 42 ao artigo 45, mas não existe um consenso sobre a natureza objetiva ou subjetiva dessa responsabilidade civil.

Se ficar constatada uma relação jurídica de consumo na falha do tratamento dos dados, resta plenamente aplicável a responsabilidade civil objetiva em decorrência da aplicação expressa do Código de Defesa do Consumidor.

Outra constatação importante é a de que conhecer sobre a responsabilidade civil e a Lei Geral de Proteção de Dados é muito importante para toda a sociedade, tanto para os titulares como para os operadores de dados, pois esse conhecimento é essencial para defender os direitos em juízo e, por parte dos agentes, tal conhecimento contribui para a prevenção e minimização dos riscos de eventuais ações judiciais.

E, justamente, por esse fato, que parte da doutrina aponta para uma modalidade específica de responsabilidade civil relacionada ao tratamento de dados, o da responsabilidade proativa, que abrange a necessidade de demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, a eficácia dessas medidas.

As diversas contribuições teóricas apontaram para o fato de ser necessário conjugar a adequação à lei com uma mudança de cultura nas empresas e órgãos públicos, pois que a proteção dos dados é um direito e precisa estar profundamente arraigado a uma cultura de proteção.

REFERÊNCIAS BIBLIOGRÁFICAS

BRASIL. Agência de Notícias. Lei Geral de Proteção de Dados Pessoais completa quatro anos com avanços e desafios. Câmara dos Deputados. Ano 2022. Disponível em: https://www.camara.leg.br/noticias/904176-lei-geral-de-protecao-de-dados-pessoais-completa-quatro-anos-com-avancos-e-desafios/#:~:text=A%20lei%20visa%20proteger%20a,e%20como%20vai%20us%C3%A1%2Dlos. Acesso em 06 de julho de 2023.

BRASIL. Lei Geral de Proteção de Dados. 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em 08 de julho de 2023.

CAPANEMA, Walter Aranha. A responsabilidade civil na Lei Geral de Proteção de Dados. Cadernos Jurídicos, São Paulo, ano 21, nº 53, p. 163-170, Janeiro-Março/2020. Disponível em: https://core.ac.uk/reader/322682320. Acesso em 10 de julho de 2023

CEARÁ. Defensoria Pública do estado do Ceará. Ano 2022. Disponível em: https://www.defensoria.ce.def.br/noticia/lei-carolina-dieckmann-10-anos-da-lei-que-protege-a-privacidade-dos-brasileiros-no-ambiente-virtual/. Acesso em 14 de julho de 2023.

FACHIN, Luiz Edson. Responsabilidade         civil     contemporânea     no Brasil: notas      para uma    aproximação. Revista Jurídica, Sapucaia do Sul, 2010. Disponível em: http://fachinadvogados.com.br/artigos/FACHIN%20Responsabilidade.pdf. Acesso em 02 de julho de 2023.

FREIRE, Juliana Vargas Ferreira. Por que proteger dados pessoais? Ano 2021. Disponível em: https://blbauditoreseconsultores.com.br/blog/dados-pessoais-lgpd/. Acesso em 05 de julho de 2023.

GUIMARÃES, Arthur. Responsabilidade civil na LGPD: não há consenso entre especialistas. Jota Discute, 2023. Disponível em: https://www.jota.info/coberturas-especiais/protecao-de-dados/responsabilidade-civil-na-lgpd-e-bola-dividida-e-nao-ha-consenso-entre-especialistas-24062022#:~:text=Responsabilidade%20civil%20na%20LGPD%3A%20n%C3%A3o%20h%C3%A1%20consenso%20entre%20especialistas&text=A%20Lei%20Geral%20de%20Prote%C3%A7%C3%A3o,que%20caracterizam%20um%20tratamento%20irregular. Acesso em 12 de julho de 2023.

HENRIQUE, Gabriela Santoro. Proteção de Dados no metaverso. Universidade São Judas. São Paulo, 2022. Disponível em: https://repositorio.animaeducacao.com.br/bitstream/ANIMA/27167/1/Doc.%2001%20-%20Artigo%20Cient%c3%adfico%20-%20Gabriela%20Santoro%20Henrique%20-%20TCC%202%20%281%29%20%281%29.pdf. Acesso em 09 de julho de 2023.

MEDEIROS, Erick Felipe. Responsabilidade Civil segundo a LGPD. Migalhas de Peso, 2021. Disponível em: https://www.migalhas.com.br/depeso/348113/responsabilidade-civil-segundo-a-lgpd. Acesso em 11 julho de 2023.

MELO, Matheus Correa. Responsabilidade civil: o que é e como funciona. Aurum Jonral, 2023. Disponível em: https://www.aurum.com.br/blog/responsabilidade-civil/. Acesso em 04 julho de 2023.

MIRAGEM, Bruno. A lei Geral de Proteção de Dados e o direito do consumidor. Revista dos Tribunais, vol. 1009/2019, Nov / 2019. Disponível em: https://brunomiragem.com.br/wp-content/uploads/2020/06/002-LGPD-e-o-direito-do-consumidor.pdf. Acesso em 07 julho de 2023.

MORAES, Maria Celina Bodin de. A constitucionalização do direito civil e seus efeitos sobre a responsabilidade civil. Revista Direito, Estado e Sociedade - v.9 - n.29 - p 233 a 258 - jul/dez 2006. Disponível em: https://revistades.jur.puc-rio.br/index.php/revistades/article/view/295/267. Acesso em 01 julho de 2023.

MORAES, Maria Celina Bodin de. QUEIROZ, João Quinelato de. Autodeterminação informativa e responsabilização proativa: novos instrumentos de tutela da pessoa humana na LGPD. Proteção de Dados Pessoais: avanço tecnológico. Cadernos Adenauer. Ano XX (2019), n.°3. Rio de Janeiro: Fundação Konrad Adenauer, outubro 2019, p. 129. Acesso em 11 de agosto de 2023

MOREIRA, Caio Matheus Cintra. Responsabilidade civil no caso de vazamento de dados pessoais (LGPD) (2023). Direito Net 2023. Disponível em: https://www.direitonet.com.br/artigos/exibir/12841/Responsabilidade-civil-no-caso-de-vazamento-de-dados-pessoais-LGPD#:~:text=A%20responsabilidade%20civil%20na%20LGPD,irregular%20dos%20seus%20dados%20pessoais. Acesso em 13 de julho de 2023.

PEREIRA, Marcos Vinicius Mariot. Responsabilidade Civil: Resumo Doutrinário e principais apontamentos. Jusbrasil, 2016. Disponível em: https://www.jusbrasil.com.br/artigos/responsabilidade-civil-resumo-doutrinario-e-principais-apontamentos/405788006. Acesso em 03 de julho de 2023.

VENOSA, Sílvio de Salvo. Direito Civil: obrigações e responsabilidade civil. 18ª edição. São Paulo, Atlas, 2018.