O juiz substituto da 5ª Vara Cível de Brasília confirmou decisão liminar da 2ª Turma Cível do TJDFT que determinou que a Serasa Experian pare de comercializar dados pessoais dos titulares por meio dos produtos Lista Online e Prospecção de Clientes, oferecidos pelo site da ré, sob pena de imposição das medidas para assegurar o cumprimento da ordem judicial, conforme legislação vigente.
A Ação Civil Pública foi proposta pelo MPDFT, sob o argumento de que a venda dos dados fere a Lei Geral de Proteção de Dados Pessoais – LGPD, uma vez que a norma impõe a necessidade de manifestação específica para cada uma das finalidades de tratamento dos dados. Logo, o compartilhamento de tais informações, da forma que tem sido feita pela empresa, seria ilegal ao ferir o direito à privacidade das pessoas, bem como os direitos à intimidade, privacidade e honra dos titulares dos dados.
O órgão ministerial afirma que o contratante dos serviços recebe uma ou mais bases de dados de contatos com informações como CPF, nome, endereço, telefones e sexo. O serviço pode ser segmentado por meio do uso de filtros, dentro de um universo potencial de 150 cinquenta milhões de CPFs. Destaca que essa exposição generalizada é capaz de gerar um grande vazamento de dados. Por último, ressalta o risco de utilização indevida dos referidos dados durante o período eleitoral.
A ré sustenta que a ação foi proposta de forma precipitada, com base em informações superficiais buscadas no site da empresa, sem qualquer aprofundamento acerca de suas atividades. Alega que os produtos existem há anos, sem questionamentos e reclamações por parte dos consumidores, tampouco produzem danos, bem como estão alinhados com as predisposições da LGPD. Destaca que a própria lei prevê situações em que o consentimento específico do titular dos dados é dispensável. Informa, ainda, que a comercialização é inerente às suas atividades e não há divulgação de dados sensíveis dos titulares, abuso ou violação à intimidade e privacidade dos consumidores, uma vez que reúne informações públicas de natureza cadastral, fornecidas em situações cotidianas.
O entendimento do magistrado é o de que a comercialização de dados pessoais por meio dos produtos oferecidos pela ré é ilícita, tal como concluíram os desembargadores do TJDFT, quando da concessão da tutela de urgência para suspensão da comercialização dos serviços, em maio deste ano. “A partir do desenvolvimento tecnológico, da economia mais voltada ao âmbito digital e das possibilidades concretas de tratamento de dados pessoais, é evidente o relevo do valor econômico das informações sobre a coletividade, pois relevantes para o objetivo institucional de várias instituições, públicas e privadas”, pontuou o julgador.
A decisão ressalta, ainda, que o tratamento e o compartilhamento dos referidos dados, na forma como é feito pela ré, exigiria o consentimento claro e expresso do indivíduo retratado, condição para viabilizar o fluxo informacional realizado, com caráter manifestamente econômico. No caso dos autos, inexiste o indispensável consentimento em relação à universalidade de pessoas catalogadas.
“É exatamente por meio do consentimento inequívoco que o titular dos dados consegue controlar o nível de proteção e os fluxos de seus dados, permitindo ou não que suas informações sejam processadas, utilizadas e/ou repassadas a terceiros”. Além disso, o magistrado reforçou que, mesmo para os dados públicos, exige-se o propósito legítimo e específico, a preservação dos direitos dos titulares e a observância das diretrizes básicas da LGPD.
A parte expositiva da sentença ficou assim:
A ação está madura para sentença, pois as provas acostadas aos autos são suficientes à compreensão do alcance da pretensão e ao desate da controvérsia.
Portanto, é o caso de julgamento imediato (CPC, art. 355, I).
Não há questões prejudiciais, preliminares ou outras de ordem processual pendentes de apreciação.
Por outro lado, constato a presença dos pressupostos de constituição e desenvolvimento da relação processual, do interesse processual e da legitimidade das partes. Adentro ao mérito.
Com razão ao autor. Exponho os motivos.
No caso submetido à apreciação, ao contrário do que enfaticamente defendido pela parte ré no curso do processo, a comercialização de dados pessoais por meio dos produtos denominados “Lista Online” e “Prospecção de Clientes” é ilícita, conclusão antevista, inclusive, pelo e. TJDFT no momento da concessão da tutela de urgência pelo e. TJDFT, em sede de agravo de instrumento (ID 93135704).
Extrai-se do voto do Relator do agravo, Desembargador CESAR LOYOLA, a seguinte fundamentação, verbis:
[…]
Conforme relatado, trata-se de agravo de instrumento interposto pelo MPDFT contra decisão que, em sede de Ação Civil Pública (processo nº 0736634-81.2020.8.07.0001), indeferiu o pleito liminar voltado à suspensão da comercialização de dados pessoais dos titulares por meio dos produtos “Lista Online” e “Prospecção de Clientes” (ID 76454554).
Em apartada síntese, sustenta o agravante que a comercialização dos dados fere a LGPD, uma vez que o diploma normativo impõe a necessidade de manifestação específica para cada uma das finalidades para as quais o dado está sendo tratado, razão pela qual o compartilhamento dos dados, na forma em que vem sendo realizada pela agravada, seria ilegal e fere o direito à privacidade das pessoas, bem como seus direitos à intimidade, privacidade e honra dos titulares dos dados.
Por sua vez, a agravada alega que os produtos impugnados existem há anos, sem questionamentos e reclamações por parte dos consumidores, tampouco produzem danos em relação a estes, estando, ainda, em linha com a LGPD. Diz que o MPDFT apresenta narrativa superficial e equivocada, sem aprofundamento no entendimento dos serviços da SERASA, deixando de observar seus conceitos e finalidades, bem como sua adequação à LGPD, que prevê situações em que o consentimento específico do titular dos dados é dispensável. Informa, ademais, que a comercialização realizada é inerente às suas atividades e não há divulgação de dados sensíveis dos titulares, abuso ou violação à intimidade e privacidade dos consumidores, uma vez que reúne informações públicas, de natureza cadastral, fornecidas em situações cotidianas. Destaca que a LGPD contempla hipóteses em que o tratamento de dados pode ocorrer a despeito de não haver consentimento do titular, sendo uma delas o legítimo interesse do controlador, o que seria causa suficiente e autônoma a permitir o tratamento dos dados na forma realizada, sem importar em ofensa aos direitos individuais fundamentais de seus titulares.
Pois bem.
Deve ser ressaltado, de início, que a presente análise se circunscreve ao exame da presença dos requisitos para a concessão da tutela de urgência, nos termos do artigo 300 do CPC, quais sejam a probabilidade do direito e o perigo de dano ou o risco ao resultado útil do processo.
O artigo 5º, inciso X, da Constituição Federal, dispõe que são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito de indenização pelo dano material ou moral decorrente de sua violação.
Em consonância com a Carta Magna, a Lei 13.709/2018 (LGPD) disciplina como fundamento para a proteção dos dados pessoais o respeito à privacidade e a inviolabilidade da intimidade, da honra e da imagem dos titulares (artigo 2º, incisos I e IV).
O artigo 5º, da LGPD, por sua vez, faz a distinção entre dados pessoais e dados pessoais sensíveis;
Art. 5º Para os fins desta Lei, considera-se:
I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Consoante se observa, quanto aos dados pessoais sensíveis a LGPD dispôs, em seu art. 11º, inciso I, que o tratamento somente é cabível com o consentimento do titular ou responsável, manifestado de forma específica e destacada, ressalvadas hipóteses excepcionais, descritas no inciso II, em que é dispensado o consentimento do titular.
No caso, a controvérsia entre as partes diz respeito à comercialização de dados relacionados à pessoa natural identificada (nome, endereço, CPF, números de telefones, localização, perfil financeiro, poder aquisitivo e classe social).
Portanto, à luz da LGPD, conforme o artigo 5º acima transcrito, referidos dados não constituem dados sensíveis.
Não obstante, o fato de dar tratamento específico aos dados sensíveis não exclui a proteção aos demais dados pessoais, conforme se extrai da interpretação do artigo 7º da LGPD.
Com efeito, não há como acolher, como sustenta a agravada, o entendimento de que seria bastante para dispensa do consentimento a constatação de que o controlador tem interesse legítimo (artigo 7º, inciso IX) ou que o compartilhamento dos dados tenha finalidade de proteção do crédito (inciso X), ante uma alegada ausência de hierarquia no rol de hipóteses do art. 7º da LGPD.
Não há dúvida quanto ao legítimo interesse e às finalidades da SERASA, porquanto, conforme se pode observar de seu estatuto social (ID 22139298) dentre seus objetos sociais estão: “a) a coleta, o armazenamento e o gerenciamento de dados; (b) a organização, a análise, o desenvolvimento, a operação e a comercialização de informações e soluções para apoiar decisões, o gerenciamento de risco de crédito e de negócios, a administração de finanças pessoais e para promover educação financeira; (c) a elaboração, a organização administrativa, a implantação e a execução de estudos e de serviços em tecnologias de crédito, de gestão e da informação, pesquisas, inclusive de mercado, estruturação econômico financeira, assessoria, consultoria e a assistência técnica; (d) propaganda e publicidade, promoção de vendas e planejamento e gerenciamento de campanhas ou sistemas de publicidade de terceiros; (…) (g) a classificação de risco; (…) (i) serviços na área de processamento de dados para terceiros”, sendo seu escopo, portanto, mais amplo do que o apontado pelo MPDFT.
Desse modo, e a princípio, a coleta, tratamento e gerenciamento dos dados, a comercialização de informações e a classificação de riscos estariam dentre as finalidades da SERASA, o que lhe confere legitimidade e interesse.
Contudo, o que se extrai do art. 7º, da LGPD é que o consentimento pelo titular é a regra maior a ser observada para o tratamento de dados pessoais, tanto é que o § 4º, daquele dispositivo, prescreve textualmente – de forma a evitar dúvidas interpretativas – a dispensa do consentimento apenas para os dados tornados manifestamente públicos pelo titular:
- 4º É dispensada a exigência do consentimento previsto no caput deste artigo para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei.
Portanto, para os dados não sensíveis, o controlador que, nos termos da lei, tenha interesse e legitimidade, deve, de igual forma, obter o consentimento, salvo a hipótese de dados tornados manifestamente públicos pelo titular.
No caso, não se pode presumir que os dados que estão sendo comercializados sejam dados tornados manifestamente públicos, ainda que digam respeito a informações de natureza meramente cadastral, ou seja, dados disponibilizados pelos próprios consumidores durante práticas de atos cotidianas da vida civil.
Não é influente a alegação da agravada, de que obteve diretamente os dados do próprio titular (salvo a hipótese de fornecimento do consentimento deste) ou se obteve as informações de outro controlador, uma vez que, evidentemente, ao fornecer os dados o titular o fez para fins específicos, não se podendo presumir haver aquiescência a que esses dados sejam compartilhados como tem sido feito, porquanto, como já dito, não se pode extrair que tenham sido tornados públicos de forma ampla e irrestrita a ponto de poderem ser comercializados.
Note-se, da informação contida na inicial da ação civil pública (ID 21497239), que a SERASA anuncia dispor de um cadastro de mais de 150 milhões de contatos disponíveis, sendo pouco crível que esse monumental banco de dados fora obtido pelo fato de seus titulares os tornarem manifestamente públicos, ou os tenha disponibilizado diretamente à SERASA, sendo óbvia a constatação de que se trata de fruto de intercâmbio de informações cadastrais entre empresas, instituições financeiras e a própria SERASA, que instituiu como um de seus objetos sociais a compilação e comercialização desses dados.
Conquanto esse intercâmbio de informações seja lícito, entendo não ser possível afastar a necessidade do consentimento do titular dos dados para o compartilhamento, pois, como consignado, a questão debatida nos autos não diz respeito ao puro e simples tratamento dos dados pela SERASA, e sim à comercialização destes dados, ou seja, o compartilhamento, remunerado, por parte de um controlador, para com outros controladores.
Não se verifica, frise-se, na comercialização de dados pessoais, o interesse do titular- que não pode ser presumido ante a proteção legal – ou interesse público que possa justificar a dispensa do consentimento (§ 3º, inciso X, do artigo 7º da LGPD).
Sendo assim, em análise preliminar e não exauriente, como é própria das decisões de tutela de urgência, considero pertinente o entendimento de que a comercialização dos dados pessoais sem o consentimento, ainda que não caracterizados como dados sensíveis, fere a legislação específica e tem potencial para ensejar violação à privacidade, intimidade e imagem das pessoas, o que evidencia a probabilidade do direito.
[…] g.n.
Como se percebe, embora em sede de análise do pedido autoral de tutela provisória de urgência, o ponto nodal para o deslinde da lide já foi adequadamente abordado no pronunciamento jurisdicional acima transcrito, não havendo qualquer retoque a ser feito nos fundamentos fáticos e jurídicos delineados, que adoto, pedindo licença, como forma de prestigio e ainda para evitar repetições desnecessárias, como razão de decidir, com os acréscimos que passo a expor.
Com efeito, a partir do desenvolvimento tecnológico, da economia mais voltada ao âmbito digital e das possibilidades concretas de tratamento de dados pessoais, é evidente o relevo do valor econômico das informações sobre a coletividade, pois relevantes para o objetivo institucional de várias instituições, públicas e privadas.
Diante do reportado panorama, imprescindível o controle e a correspondente limitação regrada do tratamento e o do compartilhamento dos dados pessoais, tendo como fundamento essencial a necessidade de tutela da intimidade e da privacidade, valores constitucionais expressamente estabelecidos, correlacionados à “autodeterminação informativa”, como projeção de direitos personalíssimos.
Nesse sentido, o tratamento e o compartilhamento dos dados pessoais, na forma empreendida pela ré, exigiria a participação ativa e efetiva do indivíduo retratado, mediante manifestação clara do seu consentimento, condição para viabilizar o fluxo informacional realizado, no caso, com caráter manifestamente econômico.
Na espécie, como registrado na decisão antecipatória, inexiste o indispensável consentimento em relação à universalidade de pessoas catalogadas.
O tangenciado direito à autodeterminação informativa evidencia que não são apenas os dados sensíveis, íntimos, privados ou sigilosos que exigem tutela jurídica própria e o consentimento dos titulares para o seu uso, manipulação e compartilhamento. Também os demais dados (não sensíveis), desde que não caracterizados como manifestamente públicos, exigem o consentimento do titular, inexistente na hipótese analisada.
A LGPD veicula exatamente a ideia de autodeterminação do indivíduo em relação à veiculação de suas informações, de sorte que são fixadas bases legais rígidas para o tratamento e o compartilhamento legítimo, gratuito ou não, dos dados pessoais contidos em bancos de dados das corporações, considerados os princípios da finalidade, da necessidade e da adequação.
É exatamente por meio do consentimento inequívoco que o titular dos dados consegue controlar o nível de proteção e os fluxos de seus dados, permitindo ou não que suas informações sejam processadas, utilizadas e/ou repassadas a terceiros. Por meio da anuência, os titulares tomam ciência dos contornos e das consequências do tratamento dos seus dados e podem analisar adequadamente o processamento das informações.
Ainda sobre o consentimento, cumpre destacar que, apesar de o art. 7º, § 4º, prever a sua dispensa para dados que sejam tornados públicos, ainda assim o referido dispositivo legal não deixa de zelar pela observância dos princípios gerais da lei e pela preservação dos direitos do titular, como disposto em seus §§ 6º e 7º.
Confira-se a citação dos referidos dispositivos:
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
[…]
- 4º É dispensada a exigência do consentimento previsto no caput deste artigo para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei.
[…]
- 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular.
- 7º O tratamento posterior dos dados pessoais a que se referem os §§ 3º e 4º deste artigo poderá ser realizado para novas finalidades, desde que observados os propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos nesta Lei.
[…]
Nessa linha, mesmo em tais hipóteses, os direitos básicos do titular, elencados nos art. 17 a 20 da LGPD, devem ser observados. Portanto, mesmo para os dados públicos, exige-se o propósito legítimo e específico, a preservação dos direitos dos titulares e a observância das diretrizes básicas contidas na LGPD.
Ainda, como bem lembrado pelo Ministério Público em réplica, recentemente foi divulgado na imprensa um possível megavazamento de dados com exposição pessoais de informações relevantes sobre milhões de pessoas, como CPF, RG, estado civil, fotos de rostos, lista de parentes, e-mail, telefone, endereço completo (com latitude e longitude), nível de escolaridade, salário, renda, poder aquisitivo, status na Receita Federal e INSS, etc., situação que realça a necessidade de tutela adequada das ações relacionadas aos bancos de dados, manipulação e comercialização das referidas informações.
Ainda, a posição favorável aos interesses da ré, adotada por outros Tribunais em situações semelhantes não impede, evidentemente, a revaloração da matéria diante de situação concreta e do atual cenário jurídico, devendo, nesse momento, ser maximizada a proteção dos dados em consonância com os princípios e demais diretrizes da LGPD.
Sem mais delongas, diante das considerações acima tecidas e por tudo mais que consta dos autos, o acolhimento da pretensão é o único caminho a ser trilhado.
Consigno, finalmente, que já entendi possível a fixação de honorários advocatícios em favor do Parquet em ação civil pública.
Todavia, na linha do entendimento jurisprudencial atualmente reinante no âmbito local, do c. STJ e STF, atualmente compreendo que não é cabível a condenação da parte vencida ao pagamento de honorários em favor do Ministério Público em ação coletiva, sob pena de tratamento privilegiado ao Parquet, que, salvo exceções legais, é isento do pagamento dos encargos da sucumbência.
III – Dispositivo Ante o exposto, ao tempo em que CONFIRMO A LIMINAR DEFERIDA EM SEDE DE AGRAVO DE INSTRUMENTO, JULGO PROCEDENTE O PEDIDO INICIAL para condenar a ré Serasa S.A. a se abster de comercializar dados pessoais dos titulares por meio dos produtos denominados “Lista Online” e “Prospecção de Clientes”, sob pena de imposição das medidas indutivas, coercitivas, mandamentais ou sub-rogatórias necessárias para assegurar o cumprimento de ordem judicial, conforme legislação processual civil.
Sem custas e honorários.
Resolvo o mérito da lide, na forma do art. 487, I, do CPC.
Após o trânsito em julgado, não havendo outros requerimentos, dê-se baixa e arquivem-se os autos, com as cautelas de praxe.
Sentença prolatada em atuação no Núcleo Permanente de Gestão de Metas do Primeiro Grau – NUPMETAS-1.
Sentença registrada nesta data. Publique-se. Intimem-se.
Brasília-DF, 24 de junho de 2021.
Cabe recurso da decisão.
Leia mais:
LGPD: Turma mantém suspensa comercialização de dados pessoais pela Serasa
PJe: 0736634-81.2020.8.07.0001