Webinar internacional sobre Legítimo Interesse: principais achados

No mês de maio, a Associação Data Privacy Brasil de Pesquisa, em parceria com o Future of Privacy Forum, realizou o evento “Legítimo Interesse: como o Brasil, os EUA e a Europa abordam essa base legal”. O webinário, transmitido no dia 20 e disponível no canal do Youtube do Data Privacy Brasil, foi moderado por Gabriela Zanfir-Fortuna (Future of Privacy Forum), além de ter contado com Miriam Wimmer (ANPD) como keynote speaker e com os painelistas Lara Kehoe Hoffman (Netflix), Hielke Hijmans (Autoridade Belga de Proteção de Dados),  Marcela Mattiuzzo (VMCA Advogados) e Bruno Bioni (Associação Data Privacy Brasil de Pesquisa). O evento, realizado em inglês, propôs um panorama comparativo entre experiências internacionais da aplicação do legítimo interesse em razão do lançamento da tradução em inglês do paper “O legítimo interesse na LGPD: quadro geral e exemplos de aplicação“. 

A começar pela experiência brasileira, Miriam Wimmer, diretora da Autoridade Nacional de Proteção de Dados, abriu a discussão lembrando que a lei de proteção de dados brasileira ainda tem pouco tempo de existência, resultando em desafios que ainda merecem ser melhor explorados. Para introduzir o debate, Miriam partiu de uma metáfora comumente encontrada na literatura de proteção de dados: a ideia geral de que há um “balanço” entre interesses empresariais e direitos dos titulares, que devem ser sopesados. Essa visualização é particularmente importante na superação do consentimento como única saída viável para o tratamento de dados pessoais, movimento que tem sido observado não apenas no Brasil, mas também nos Estados Unidos e Europa. 

Ainda comentando a experiência europeia, que influenciou a lei brasileira, a diretora da ANPD mencionou os parâmetros para aplicação da base legal do legítimo interesse, de forma a viabilizar os interesses do controlador e preservar os direitos dos titulares na GDPR a partir da ideia central de que o legítimo interesse não apenas atende à perspectiva das organizações empresariais e/ou controlador de dados, como também não causa violação ou danos excessivos aos interesses e direitos fundamentais dos titulares de dados. Esse ponto tem sido reconhecido por cortes europeias, em decisões que avaliam finalidade, necessidade e adequação do tratamento de dados em questão.

Além do destaque para a preservação de direitos fundamentais e princípios correlatos, um outro ponto notório no debate na perspectiva comparada foi a compreensão de que tanto a experiência nacional quando a estrangeira, ao abordarem o legítimo interesse como base legal, observam a orientação da OCDE de preservação do fluxo internacional de dados. Em outras palavras, tanto no Brasil quanto em diversos outros países, a ideia da regulamentação não é de restringir ou inviabilizar o fluxo de dados, mas de torná-lo factível ao mesmo tempo em que se mantém  um alto nível de proteção aos direitos dos titulares. Para a diretora, observando a retrospectiva da elaboração da LGPD e da própria ANPD, o nível de clareza conceitual e entendimento de onde estaria o ‘’ponto de equilíbrio’’ é justamente um dos desafios que ainda devem ser enfrentados pela experiência brasileira de aplicação da lei.

Ainda quanto à ideia de balanço entre interesses de atividades empresariais e direitos de titulares dos dados para a escolha de uma base legal de tratamento de dados, outro ponto enfatizado no webinário foi a Opinião 06/2014 do antigo grupo de trabalho 29, fixado pela Diretiva 95/46/EC. Acerca do legítimo interesse, o documento aponta que a base legal não deve ser vista como um último recurso, nem tampouco uma opção preferencial: é uma base legal tão válida quanto as demais, mas que exige do controlador uma avaliação das circunstâncias do caso concreto que a indique como a mais adequada – sendo este juízo de valor o que viabiliza uma aplicação harmônica do legítimo interesse com o resguardo dos direitos dos titulares.

Essa busca por um ponto de equilíbrio, questão recorrente na literatura de proteção de dados, esteve entre os desafios abordados por Bruno Bioni (Associação Data Privacy Brasil de Pesquisa), que explicou no webinário as motivações para produzir o paper sobre o legítimo interesse e comentou a estrutura do documento. O paper, que pode ser acessado em português aqui e em inglês aqui, é dividido em duas partes, sendo a primeira teórica, construída a partir de uma descrição sobre o processo legislativo e evolução da base legal na experiência brasileira, seguida de estudos sobre alguns dos pontos mais polêmicos da lei; já a segunda, direcionada a agentes decisórios e agentes de tratamento de dados  conta com exemplos de aplicação do legítimo interesse. O objetivo do relatório é contribuir para a construção de entendimentos sobre o legítimo interesse na LGPD, partindo do resgate histórico normativo sobre essa base legal, assim como indicar aprendizados normativos e desafios singulares resultantes do processo, com destaque para os artigos 7º, inciso IX, 10 e 37 da LGPD. 

A perspectiva prática de aplicação do legítimo interesse também foi explorada na fala de Lara Hoffman, Global Data Protection Officer da Netflix. Resgatando o comentário de Miriam sobre o legítimo interesse não ser nem a preferência de aplicação, nem um último recurso, Hoffman chamou atenção para a diversidade de tratamentos de dados e a possibilidade de “espaços” entre contratos e consentimento, uma margem interpretativa que pode ser preenchida pelo legítimo interesse. Como exemplo, destaca os  sistemas de prevenção e detecção de fraudes. Similarmente, a DPO da Netflix comentou também sobre os casos de tratamento de dados de emprego e operações gerais em corporações, além de ter indicado que o legítimo interesse é uma base legal que exige um grau ‘’a mais’’ de atenção por parte do controlador: por exemplo, quando em comparação ao consentimento, base que  transfere um nível decisório maior ao titular de dados, o legítimo interesse exige do controlador mais níveis de avaliação para uma atuação considerada responsável – desafios também apontados por Bruno e detalhados no paper. 

O aspecto prático de aplicação do legítimo interesse também foi objeto da fala de Hielke Hijmans, Chairman do Litigation Chamber e membro do Board of Directors da Autoridade Belga de Proteção de Dados. Reconhecendo o nível de influência da norma europeia em outras jurisdições, Hijmans também chamou atenção para a troca de aprendizados entre países e os encontros entre autoridades de proteção de dados para o avanço da pauta, notando que a convergência global é um tópico de extrema importância que merece ser mais explorado. Em um segundo momento, sua fala abordou concepções equivocadas acerca do legítimo interesse, indicando dificuldades decorrentes da abertura do termo “fairness” na GDPR e desconstruindo a ideia de que o legítimo interesse é uma base menos protetiva em relação aos direitos dos titulares e o entendimento de que o puro interesse comercial satisfaz a escolha da base legal.

Esse último juízo de adequação, aliás, foi uma das considerações presentes na fala de Marcela Mattiuzzo, advogada com atuação focada em antitruste e proteção de dados no VMCA Advogados. Encerrando o painel, Marcela comentou alguns dos pontos que surgem na prática e questionamentos comuns de empresas, como dúvidas quanto aos documentos de ‘’teste do legítimo interesse’’ (LIA) e relatório de impacto à proteção de dados (RIPD, no inglês DPIA) e as situações em que cada um se revela mais adequado. Da mesma forma e seguindo um tom didático, a advogada também explorou a estrutura de tais relatórios, boas práticas e estratégias que podem ser empregadas em consonância com as finalidades da lei, apoiando-se em teorias oriundas do Direito Constitucional  para auxiliar a prática relativa a tais análises. A advogada compartilhou, ainda, artigo de sua autoria sobre o teste de proporcionalidade para aplicação do legítimo interesse. 

Por fim, as considerações finais do painel entre os expositores focaram em olhares futuros para a aplicação do legítimo interesse. Para mais detalhes, a discussão completa pode ser acessada no canal do Youtube do Data Privacy Brasil, por meio deste link.