LGPD no B2B: quem deve comprovar a origem dos dados pessoais?

Recentemente, em uma ação judicial que tramitou em Santa Catarina, titulares questionaram: "Como vocês conseguiram meus dados?" O caso trata de uma plataforma B2B (business to business) que busca auxiliar imobiliárias e corretores a encontrar potenciais clientes. A situação que gerou a demanda se deu em razão de contatos de corretores imobiliários que pretendiam anunciar um imóvel, supostamente, em favor dos titulares.

Obviamente, aqui não estamos a tratar da ação judicial em específico, se a sentença está correta, se houve (in)justiça ou qualquer coisa do tipo. A análise visa chamar a atenção dos agentes de tratamento para os cuidados a tomar na relação com seus clientes e fornecedores.

Plataformas que prometem a entrega de "leads qualificados" proliferam nos mais diversos setores de atuação e são destinadas a terceiros, que, no fim das contas, serão os que prestarão algum serviço ao consumidor final, ou seja, aos titulares de dados. Nessa hora, quando o consumidor recebe o primeiro contato é que vem a pergunta: "como conseguiu os meus dados?".

Atualmente, não é muita surpresa para as pessoas que seus dados estejam envolvidos em vazamentos e que as tentativas de golpes e fraudes são cotidianas. Isso, entretanto, não anula a pergunta sobre a forma como a empresa que lhe contatou teve acesso aos seus dados.

A resposta para a pergunta poderá ser assertiva, mas geralmente é evasiva ou genérica, seguida de um "pode desconsiderar a mensagem".

É sabido que a Lei Geral de Proteção de Dados (LGPD) oferece aos titulares de dados uma série de direitos e que a "confirmação de existência ou o acesso a dados pessoais serão providenciados (...) por meio de declaração clara e completa, que indique a origem dos dados (…)". Indicar a "origem" de um dado dependerá de alguns fatores, tais como o tipo de negócio desenvolvido pela empresa, se os dados são inseridos diretamente por terceiros, se os dados advêm de campanhas online, se são absorvidos de plataformas de dados abertos, entre outros.

Nesses casos, põe-se à prova a conformidade com a LGPD, seja da empresa que está contatando o lead, seja da plataforma fornecedora das informações, reforçando o dever de 'implementar programa de governança em privacidade que seja aplicável a todo o conjunto de dados pessoais, independentemente do modo como se realizou sua coleta (art. 50, I, b).

Do lado da empresa que contata diretamente o consumidor, cabe-lhe a diligência necessária, antes da contratação, para entender se os seus fornecedores de serviços podem lhe garantir segurança em relação aos dados que tratarão em seu nome. No caso de uma plataforma que dispõe previamente de informações para tratamento, cabe à empresa avaliar se ela possui condições de explicar como os dados foram obtidos e, com isso, auxiliar no atendimento às demandas dos titulares.

Do lado da empresa que fornece a base de dados prévia, cabe-lhe a diligência para entender de quais bases de dados sua plataforma está sendo abastecida e se esses dados realmente podem ser tratados para as finalidades de atuação da empresa (basta lembrar o primeiro caso de sanção aplicado pela Agência Nacional de Proteção de Dados – ANPD, em relação à empresa Telekall Inforservice).

Em qualquer dos casos, o disposto no art. 46 da LGPD se aplica diretamente, sendo impositiva a determinação de adoção de "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais (…)", as quais envolvem desde o estabelecimento de políticas internas até a utilização de tecnologias de prevenção de 'acessos não autorizados e situações de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Voltando ao caso da ação judicial, por mais que se defenda a aplicação de um "legítimo interesse" para o tratamento dos dados, conforme expressamente prevê a LGPD (arts. 7º, IX e 10, I), a decisão judicial insistiu na inexistência de comprovação, "de forma individualizada, (d)a origem dos dados dos autores, (d)o momento de sua inserção na base estruturada ou (d)a realização de avaliação concreta da compatibilidade entre a finalidade invocada e os direitos dos titulares, em afronta, inclusive, aos princípios da finalidade, necessidade e transparência previstos no art. 6º da LGPD."

De acordo com a decisão, pode-se depreender que, ainda que a empresa possua políticas de segurança da informação, de privacidade, execute testes de balanceamento, elabore relatórios de impacto à proteção de dados, ofereça treinamento aos colaboradores e audite fornecedores, o ciclo de vida dos dados necessitará ser completo (para não dizer "complexo"), a ponto de granularizar a origem de cada dado existente na plataforma.

Se assim for, o registro de operações de tratamento de dados pessoais (também conhecido por ROPA, ver art. 37 da LGPD) precisará ser ainda mais detalhado e minucioso.

É no ROPA que a empresa registra suas atividades de tratamento de dados (a exemplo do processo de abordagem comercial, do recebimento de currículos, do tratamento de reclamações de clientes, etc.) e, nessa jornada, descreve ao menos cinco momentos: a forma da coleta e a origem do dado, a finalidade do uso do dado, com quem os dados são compartilhados, o local e a forma de arquivamento dos dados e quando e de que forma se realiza o descarte dos dados.

Logicamente, os dados podem ser coletados por mais de um canal de contato e, nesse caso, compete à empresa o registro de cada um desses canais. Ao final, a descrição deve permitir que a empresa consiga explicar como os dados chegaram até ela, as finalidades de cada atividade de tratamento existente, se os dados tratados realmente são os necessários ao alcance das finalidades, além de lhe permitir definir a correta base legal aplicável e medidas de segurança adequadas, de acordo com a complexidade do negócio.

Em se tratando de plataformas que captam dados "disponíveis" na internet, seja de dados abertos, seja de dados disponibilizados livremente pelo próprio titular, a resposta à pergunta sobre a "origem dos dados" passará a depender da catalogação dos inputs recebidos pelas bases de dados, com registros específicos do momento em que se deu essa inserção e de sua proveniência, além da avaliação da compatibilidade entre a disponibilidade inicial dos dados e a nova finalidade de seu tratamento.

Essa diligência poderá endereçar inclusive o cumprimento do princípio da "responsabilização e prestação de contas" (art. 6º, X), o qual determina o dever de demonstração da eficácia das medidas de cumprimento das "normas de proteção de dados pessoais".

Nesse sentido, seja pela empresa que contrata os serviços da plataforma, seja pela própria plataforma que detém a base estruturada dos dados, a profundidade dessa avaliação da legalidade e legitimidade no processo de absorção e tratamento dos dados estará diretamente relacionada à complexidade da operação envolvida e aos riscos que cada negócio está disposto a assumir.

Da próxima vez que seu cliente lhe perguntar "como conseguiu meus dados?", antes de responder, pense se sua resposta será assertiva e capaz de trazer segurança e transparência ao titular de dados. Se hoje essa resposta for negativa, comece a revisão de seus procedimentos de conformidade com a LGPD agora mesmo!

O texto acima expressa a visão de quem o assina, não necessariamente do Congresso em Foco. Se você quer publicar algo sobre o mesmo tema, mas com um diferente ponto de vista, envie sua sugestão de texto para [email protected].