Você está conduzindo uma pesquisa acadêmica, recebe um banco de informações contendo dados pessoais, e precisa processá-los para atingir os objetivos da pesquisa. No meio do caminho, você se questiona se esse tratamento é lícito, se o direito à proteção de dados dos titulares está sendo violado, e se existe algum cuidado que deva ser tomado.
Para auxiliar na resposta a questionamentos como esses e fomentar o debate público sobre o tema, a Autoridade Nacional de Proteção de Dados (“ANPD”), órgão responsável pela regulação e fiscalização da proteção de dados no Brasil, divulgou, recentemente, um Estudo Técnico[1]. Ainda que seja um documento preliminar e, portanto, passível de alteração, ele nos dá indicações interessantes sobre como a ANPD tratará o tema.
Tendo como pano de fundo o Estudo Técnico e como a pesquisa acadêmica é tratada pela Lei Geral de Proteção de Dados (“LGPD”), vamos analisar alguns aspectos relevantes (e controversos) sobre o tema.
Como se verá, o Estudo Técnico apresentado pela ANPD é um importante marco na avaliação da aplicação da LGPD no contexto acadêmico e de estudos por órgão de pesquisa. Entretanto, apresenta lacunas que devem ser sanadas antes que a autoridade publique qualquer regulação sobre a matéria, sob pena de incorrer em equívocos que podem gerar discussões judiciais, inclusive de caráter constitucional.
A LGPD se aplica ao tratamento de dados para fins acadêmicos? Se sim, até que ponto?
Uma leitura desatenta do art. 4º, II, “b” da LGPD[2] pode levar a crer que essa Lei não se aplicaria ao tratamento realizado para fins exclusivamente acadêmicos. Contudo, ao mesmo tempo, a norma ordena que que se apliquem artigos 7º e 11. Em outras palavras, mesmo que você esteja conduzindo uma pesquisa acadêmica e, a princípio, a LGPD não se aplique, a literalidade da norma já deixa claro que qualquer tratamento de dados pessoais só poderá ser realizado se existir uma base legal para tanto, ou seja, se estiver presente uma das hipóteses autorizativas de tratamento. Elas podem ser, por exemplo, o consentimento, o legítimo interesse, ou a realização de estudos por órgão de pesquisa.
A flexibilização da aplicação da LGPD para o tratamento de dados para fins exclusivamente acadêmicos visa fomentar as atividades acadêmicas e o desenvolvimento de pesquisas que contribuam para o crescimento econômico e tecnológico. Mas cuidado: quaisquer atividades administrativas, ainda que vinculadas àquelas acadêmicas (como a coleta de dados de estudantes para matrículas), não estão abarcadas pela exceção legal. Os fins devem ser exclusivamente acadêmicos.
Fica a dúvida: basta ter uma base legal? Está, de fato, excluída a aplicação dos princípios (art. 6º da LGPD)? Não é necessário respeitar os direitos dos titulares (art. 18 da LGPD) ou as normas de transferência internacional de dados (art. 33), por exemplo?
De acordo com o próprio Estudo, “[…] os princípios (art. 6º) e outras determinações que explicitam conceitos ou auxiliam a compreensão e a aplicação das disposições relativas às bases legais também devem ser observados”. Em outras palavras, essa afirmação super aberta quer dizer que, para além dos princípios (finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas), todas as demais determinações que possam auxiliar na determinação e na operacionalização das bases legais devem ser atendidas. Exemplo disso é o artigo 10, que estabelece os parâmetros para que se fundamente um tratamento por meio do legítimo interesse.
O Estudo menciona, ainda, que as normas estabelecidas no artigo 13 sobre estudos em saúde pública devem ser aplicadas no que couber a pesquisas em outras áreas do conhecimento – são dispositivos que estabelecem medidas protetivas para a mitigação de riscos aos titulares dos dados pessoais.
Assim, os dados pessoais devem ser “mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico e que incluam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como considerem os devidos padrões éticos relacionados a estudos e pesquisas”, conforme estabelece o referido artigo.
Outra reflexão importante é sobre os direitos dos titulares, previstos no artigo 18 da LGPD, aspecto que poderá, inclusive, provocar discussões de cunho constitucional no futuro. Será que, no tratamento de dados para fins acadêmicos, os titulares não têm direitos? E a autodeterminação informativa?
A literalidade do art. 4º, II, “b” privilegia, ao nosso ver de forma excessiva, o direito fundamental da livre expressão intelectual, podendo gerar a interpretação de que o titular não poderá exercer os direitos previstos na LGPD. Aqui, há um choque entre o direito fundamental à livre expressão intelectual (art. 5º, IX da Constituição) e o da proteção de dados pessoais (art. 5º, LXXIX da Constituição). Tal choque pode levar, em última instância, a discussão ao Supremo Tribunal Federal.
Pois bem, se é necessária uma base legal, posso utilizar a base legal de “realização de estudos técnicos por órgão de pesquisa”?
Para seguir com a base legal de “realização de estudos por órgão de pesquisa” (art. 7º, IV) é importante observar alguns requisitos. Somente é considerado órgão de pesquisa aqueles da administração pública que possuam em sua missão institucional a pesquisa (como o IPEA, IBGE, etc.), ou pessoas jurídicas de direito privado sem fins lucrativos que também possuam em seu estatuto a pesquisa como objeto (como fundações de amparo à pesquisa)[3].
Portanto, a flexibilização da LGPD e a base legal da realização de estudos por órgão de pesquisa não podem ser utilizadas se você é um pesquisador vinculado a uma empresa, cujo objetivo seja, ainda que futuramente, obter lucro. As instituições (como universidades privadas) que tenham o ensino como missão institucional, mas que possuam fins lucrativos, deverão, em todo caso, obedecer a LGPD na íntegra.
E quem será responsável pelo tratamento?
No caso de órgãos de pesquisa, ainda que exista um profissional responsável pelos trabalhos acadêmicos ou de pesquisa, caberá à instituição a qual o pesquisador está vinculado a responsabilidade pelo tratamento. Isso porque, dentro do contexto institucional, as pessoas naturais não podem ser consideradas agentes de tratamento (controladores e operadores), papel que somente caberá à organização à qual estão vinculados. Se houver irregularidade, quem responderá por eventual dano será a instituição, não o pesquisador.
Ainda assim, recomenda-se que esse profissional assine um “Termo de Ciência e Responsabilidade” por meio do qual sejam atestados os elementos básicos do estudo, como a finalidade, os dados pessoais que serão tratados, e as obrigações dos pesquisadores envolvidos.
E você, o que pensa?
Se ainda ficou com alguma dúvida, basta nos falar. Mas se, na verdade, você também tem críticas e sugestões de aprimoramento ao que foi apresentado no Estudo Técnico, a hora é agora: comentários e sugestões ao texto podem ser enviados para a Ouvidoria da ANPD, por meio da Plataforma Fala.BR (https://falabr.cgu.gov.br/), até o dia 3 de junho de 2022.
[1] AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Estudo Técnico. A LGPD e o tratamento de dados pessoais para fins acadêmicos e para a realização de estudos por órgão de pesquisa. 2022.
[2] “Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais: (…) b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei;”
[3] A leitura literal do art. 5º, inciso XVIII [3], que define o conceito de órgão de pesquisa, pode nos levar a crer, pela estrutura sintática, que somente as pessoas jurídicas de direito privado sem fins lucrativos devam ter essa missão em seu ato constitutivo, excluindo as pessoas jurídicas de direito público. Isso porque o verbo “inclua”, no singular, referencia somente as pessoas jurídicas de direito privado como sujeitos, excluindo o primeiro sujeito, as pessoas jurídicas de direito público. Contudo, através de uma interpretação sistêmica (de todo conjunto de normas sobre proteção de dados), entendemos que instituições públicas e privadas devem incluir em seu ato constitutivo a missão de pesquisa para gozarem da base legal do art. 7º, IV, da LGPD.
