O fator de atribuição da responsabilidade civil pelo tratamento antijurídico de dados pessoais conforme a LGPD

Abstract

O tratamento de dados pessoais é uma atividade corriqueira e economicamente relevante hodiernamente, com potencial para causar danos aos titulares dos dados. No Brasil, a LGPD possui uma seção específica destinada à responsabilidade civil, cujas tentativas de interpretação provocaram divergências, especificamente em relação ao fator de atribuição do dever de indenizar que teria sido ali previsto. A partir disso, a presente dissertação teve por objetivo responder o seguinte problema principal: qual é o fator de atribuição da responsabilidade civil conforme a LGPD? Para responder à indagação proposta, utilizou-se o método dedutivo, alicerçado em pesquisa documental, bibliográfica e jurisprudencial. Dividiu-se a dissertação em três capítulos de desenvolvimento. No primeiro, fixou-se as premissas fundamentais para o restante do trabalho, mediante análise dos fatores de atribuição adotados pelo ordenamento jurídico pátrio, tanto por uma perspectiva histórica quanto semântica, com destaque para a culpa, o risco e o defeito do produto e do serviço, bem como do requisito da antijuridicidade. Ademais, ainda no primeiro capítulo do desenvolvimento, analisou-se o desenvolvimento do direito à proteção de dados pessoais, com ênfase para as interconexões deste com a responsabilidade civil, a partir do contexto estadunidense, europeu e, sobretudo, brasileiro. No segundo capítulo do desenvolvimento, foram expostos os principais argumentos acerca do problema, emanados do legislador, da doutrina e da jurisprudência, os quais foram posteriormente quantificados e comparados, de modo a demonstrar a presença de opiniões favoráveis aos seguintes fatores de atribuição: risco criado, culpa, defeito, “risco informacional” e responsabilidade “ativa” ou “proativa”. No terceiro capítulo do desenvolvimento os argumentos provenientes das referidas fontes interpretativas foram analisados criticamente, de modo a viabilizar a exposição de contrapontos a estes, orientados em torno das premissas fundamentais utilizadas para a dissertação, destacadamente a defesa da antijuridicidade como requisito autônomo da responsabilidade civil, bem como do fato de que o defeito, fator de atribuição do dever de indenizar danos causados por fato do produto e do serviço conforme o CDC, é um fator de atribuição da responsabilidade civil objetiva que não se confunde com o risco criado. Alertou-se, ainda, para potenciais consequências em termos de possibilidades de diálogos das fontes, da LGPD com o CDC e o Marco Civil da Internet, as quais são mais latentes quando se defende que o risco teria sido o fator de atribuição previsto pela LGPD. Por fim, respondeu-se o problema central da pesquisa mediante a afirmação de que o defeito (irregularidade) da atividade de tratamento de dados pessoais é o fator de atribuição da responsabilidade civil conforme a LGPD. Assim, concluiu-se que se está diante de responsabilidade objetiva, mas inserida em sistemática mais favorável para o agente de tratamento de dados pessoais do que se o risco criado fosse o respectivo fator de atribuição, uma vez que é possível se utilizar da noção de segurança legitimamente esperada pelo titular como tese de defesa. Evidenciou-se, também, a relevância prática do art. 45 da LGPD que, ao remeter para o CDC a solução de demandas indenizatórias em relações de consumo, pode ter impedido, sem criar contradição ou incoerência no ordenamento jurídico pátrio, que a divergência interpretativa observada em relação ao fator de atribuição conforme a LGPD fosse maximizada.

The processing of personal data is a common and economically relevant activity nowadays, with the potential to cause damage to data subjects. In Brazil, the LGPD has a specific section on civil liability, the attempted interpretation of which has led to disagreements, specifically in relation to the attribution factor of the duty to indemnify that is provided for therein. Based on this, the aim of this dissertation was to answer the following main problem: what is the attribution factor for civil liability under the LGPD? To answer the proposed question, the deductive method was used, based on documentary, bibliographical and case law research. The dissertation was divided into three development chapters. In the first, the fundamental premises for the rest of the work were established, by analyzing the attribution factors adopted by the Brazilian legal system, both from a historical and semantic perspective, with emphasis on fault, risk and product and service defects, as well as the requirement of unlawfulness. In addition, the first chapter analyzed the development of the right to the protection of personal data, with emphasis on its interconnections with civil liability, from the US, European and, above all, Brazilian contexts. In the second chapter, the main arguments emanating from the legislator, doctrine and case law were presented, which were then quantified and compared in order to demonstrate the presence of opinions favorable to the following attribution factors: created risk, fault, defect, “informational risk” and “active” or “proactive” liability. In the third chapter, the arguments from the aforementioned interpretative sources were critically analyzed, so as to make it possible to present counterpoints to them, oriented around the fundamental premises used for the dissertation, in particular the defense of unlawfulness as an autonomous requirement of civil liability, as well as the fact that defect, the attribution factor of the duty to indemnify damages caused by the fact of the product and service under the CDC, is an attribution factor of strict civil liability that is not to be confused with risk. It was also made a warning to potential consequences in terms of possible dialogues of sources between the LGPD, the CDC and the Civil Rights Framework for the Internet, which are more latent when it is argued that risk was the attribution factor provided for by the LGPD. Finally, the central problem of the research was answered by stating that the defect (irregularity) in the activity of processing personal data is the attribution factor of the civil liability under the LGPD. Thus, it is concluded that it is a form of strict liability, but within a system that is more favorable to the personal data processor agent than if the risk created were the respective attribution factor, since it is possible to use the notion of security legitimately expected by the data subject as a defense thesis. The practical relevance of art. 45 of the LGPD was also highlighted. By referring the solution of compensation claims in consumer relations to the CDC, it may have prevented the interpretative differences observed in relation to the LGPD from being maximized, without creating a contradiction or incoherence in the country's legal system.