O Projeto Leituras Quase Obrigatórias inicia hoje sua 3ª fase! Seguindo a proposta de divulgar textos relacionados à área de políticas públicas e afins, divulgamos hoje a resenha feita por Bruno Pinheiro, pesquisador do GETIP, sobre o texto de Bruno R. Bioni: ‘Xeque-Mate: o tripé de proteção aos dados pessoais no jogo de xadrez das iniciativas legislativas no Brasil’. Recomendamos a todos uma boa leitura!
Xeque-Mate: o tripé de proteção aos dados pessoais no jogo de xadrez das iniciativas legislativas no Brasil (Resenha)
REFERÊNCIA:
BIONI, B. R. Xeque-Mate: o tripé de proteção aos dados pessoais no jogo de xadrez das iniciativas legislativas no Brasil. GPoPAI/USP, 2015. Disponível em: http://gomaoficina.com/wp-content/uploads/2016/07/XEQUE_MATE_INTERATIVO.pdf
O desenvolvimento da infraestrutura de tecnologia de informação e comunicação (TIC) segue em ampliação exponencial, gerando crescente capacidade computacional para o armazenamento, a manipulação e a integração de grandes bases de dados. Calcado nos desenvolvimento da área de TI e nas mudanças sociais e econômicas associadas a este fenômeno, as tecnologias digitais tornaram-se uma das principais plataformas de interação humana.
Na arena virtual, não apenas cada movimento dos indivíduos gera dados, como eles podem ser conectados e analisados em conjunto. Neste sentido, o tema da proteção de dados pessoais trata de desafios emergentes na sociedade da informação. A importância do tema na agenda social e política vem aumentando nos últimos anos, reforçado por eventos de grande vulto e repercussão, como por exemplo as espionagens realizadas pela NSA (National Security Agency), que acometeram personagens importantes da política global e reveladas por Edward Snowden, ou a divulgação de fotos íntimas que no Brasil resultaram na chamada “Lei Caroline Dieckmann”.
O relatório em questão (Xeque Mate: o tripé da proteção dos dados pessoais no jogo de xadrez das iniciativas legislativas no Brasil) aborda este assunto, analisando a produção legislativa brasileira na área à luz da teoria em torno do tema dos dados pessoais. Trata-se de um relatório de pesquisa desenvolvida no âmbito do Grupo de Pesquisa sobre Políticas Públicas de Acesso à Informação (GPOPAI) da EACH-USP. O trabalho discute a proteção de dados pessoais sob a perspectiva de três conceitos centrais, utilizados para mediar as reflexões em torno do tema, sendo eles:
- Conceito de dados pessoais;
- Dados anônimos;
- Consentimento do titular dos dados pessoais.
A discussão sobre estes conceitos, que formam o “tripé da proteção dos dados pessoais”, é conduzida a partir de análise de três projetos legislativos (de autoria do executivo, do Senado e da Câmara) que tratam sobre a matéria. O primeiro destes projetos começou a tramitar em 2012 (PL 4060/12 – PLPDP/CAM). O segundo é fruto da fusão de outros três projetos (330/13, 131/14 e 181/14), apresentados entre 2013 e 2014 (PLPDP/SEN). O terceiro é de autoria do poder executivo (PLPDP/EXE), que retornou em 2015 discussão iniciada 5 anos antes.
Os três aspectos da proteção aos dados pessoais elencados dizem respeito a questões centrais dos debates sobre a conformação legal. Mais que isso, tais aspectos, destacam os autores, foram enfaticamente debatidos pela sociedade durante a discussão do anteprojeto de lei do PDPDL/EXE.
Conforme explicado no relatório:
“A escolha dessa tríade não é acidental. O primeiro e o segundo [conceito de dados pessoais; dados anônimos] são o que definem o escopo de qualquer normativa de proteção de dados pessoais, filtrando quais dados merecem proteção. O terceiro é o pilar normativo da grande maioria das leis ao redor do mundo, senão de todas elas”. (BIONI, 2015, p. 11)
O conteúdo do relatório é dividido em duas “frentes”, que vão conduzindo os leitores desde um aporte mais teórico em torno dos conceitos acima listados e sua relação com as ideias que embasam as normativas da área, até uma análise mais detida sobre os três textos legais estudados, com ênfase em explicitar as decisões legislativas brasileiras e como elas se relacionam com o quadro teórico mais amplo.
O debate sobre a definição de dados pessoais, assim, é a primeira parte do material. Há uma certa polissemia na apreensão da noção de dados pessoais, com impactos diretos na classificação ou não do que deve ser objeto de normatização. Por este motivo, existe no trabalho o cuidado de explicitar estas diferentes apropriações e exemplificar suas consequências legais.
De modo geral, há dois tipos de abordagens a respeito do que venha a ser dados pessoais e ambas tem como ponto de partida uma análise contextual que afere o grau de “identificabilidade”. A primeira abordagem é chamada de reducionista e pauta-se pela compreensão de que podem ser configurados como tal dados que identificam literalmente os indivíduos sob os quais eles tratam. Isto é, diz respeito a informações que associam-se e caracterizam uma pessoa específica. A outra orientação, chamada de expansionista, é mais flexível no que diz respeito ao critério de identificabilidade, promovendo a noção de que é dado pessoal não apenas se estiver identificado, mas também se for identificável de forma indireta.
Além do debate acerca dos conceitos de dados pessoais, o leitor encontrará também exemplos práticos sobre suas aplicações em bases de dados. De tal maneira, o relatório contribui para tornar mais palpável e material uma discussão que por vezes gira em torno de questões um tanto abstratas.
A seguir o relatório apresenta o conceito de dados anônimos, a “antítese do conceito de dado pessoal”. Isto é, se dado pessoal é aquele que permite identificação individualizada (diretamente, no caso dos reducionistas, ou mesmo indiretamente, no caso dos expansionistas), dado anônimo é aquele que não permite tal individualização.
A fim de inviabilizar que indivíduos possam ser identificados em bases de dados, realiza-se o processo de anonimização, que pode ser feita a partir da desvinculação dos dados com os titulares dos mesmos. Tal processo pode envolver quatro técnicas distintas, sendo elas a supressão, a generalização, a randomização e a pseudoanonimização. Todas elas, de uma forma ou de outra, visam descaracterizar o vínculo com os indivíduos e diminuir sua identificabilidade.
A anonimização, porém, pode não ser uma solução final para o problema dos dados pessoais. Para que fosse, seria necessário garantir integralmente a impossibilidade de reversibilidade do processo de anonimização (reverter e recuperar os dados que tornam possível realizar individualizações).
Existe todo um debate a respeito da viabilidade teórica e prática da anonimização, que a trata como um mito. A este respeito, o relatório discorre sobre um caso de reversão realizada por pesquisadores com uma base de dados anonimizada por meio de randomização e liberada pela Netflix para um concurso que visava melhorar o algoritmo de sugestão de filmes. Com um algoritmo criado para este fim, Arvind Narayanan e Latanya Sweeney descobriram que era possível re-identificar a partir de uma base de dados do IMDB, disponível publicamente na internet. Cruzando as duas bases a partir foi possível reverter a anonimização.
“O exemplo em questão é simbólico, pois ele sublinha o ‘calcanhar de Aquiles’ dos dados anônimos. Sempre existirá a possibilidade de uma base de dados anonimizada ser agregada a outra para a sua reidentificação. É o que se costuma chamar de entropia da informação (Ohm, 2010: 1749), que é o uso de uma informação auxiliar para a reversão do processo de anonimização (Narayana & Shmatikov, 2008: 4).” (BARONI, 2015, p. 28)
Em termos regulatórios, o autor apresenta como ponto de reflexão a diretiva européia a respeito, que incorpora a noção de razoabilidade para “definir o espectro do conceito expansionista de dados pessoais” (BARONI, 2015, p. 28). Ainda que a própria noção de razoável seja subjetiva e de difícil determinação.
Dentro desta perspectiva, entende-se que será considerado dado pessoal aquele cujo processo de reversão seja “consideravelmente” trabalhoso. A avaliação do nível de razoabilidade nestes termos tem sido abordada por meio de três estratégias:
- o silêncio, ou autorregulação total (quando a legislação nada dispõe a respeito dos critérios do razoável);
- a regulação ex-ante (quando a legislação determina critérios);
- a regulação ex-post (que confere ao regulador a discricionariedade de definição de critérios)
Para os autores da pesquisa, porém, a simples diferenciação excludente entre dados pessoais e dados anônimos, ainda que com permeabilidades, não é profícua para proteger os cidadãos de abusos. As grandes empresas de tecnologia em geral utilizam dados pessoais para construir perfis comportamentais cuja finalidade explícita é “melhorar a experiência dos usuários”. Estes dados, porém, muitas vezes não são identificados. A partir de códigos de identificação de dispositivos, por exemplo, é possível realizar tais construções.
Em primeiro lugar, nestes casos, ainda que os usuários sejam identificáveis, eles não são identificados, o que sustenta um discurso de que as empresas respeitam a privacidade dos usuários. Em segundo lugar, ainda assim os usuários são individualizados e recebem diversos estímulos mercadológicos e midiáticos que estimulam e influenciam seus comportamentos. Por esta lógica, mais do que a dicotomia entre pessoal e anônimo, está em jogo a normatização do que se faz e ao que se submete aos cidadãos a partir de tratamentos de dados dos quais ele é titular.
O consentimento, por sua vez, é o terceiro aspecto do tripé de proteção dos dados pessoais, e que exerce um papel central no contexto de dificuldades regulatórias sobre a dimensão do que se faz a partir do tratamento dos dados. Isto é, se o ambiente jurídico não é exatamente específico, busca-se garantir consentimento dos usuários para usos específicos e declarados sobre os dados que ele gera e fornece.
O consentimento também tem seus problemas. Tanto a clareza e complexidade dos documentos contratuais são barreiras para que os cidadãos realmente saibam e possam controlar o que está sendo feito com seus dados, como a tecnologia do big data põe em xeque a dinâmica do consentimento específico. As noções de dados pessoais e de dados anônimos, assim como as de consequências do uso do tratamento de dados e de consentimento informado, acima apresentadas, abarcam um escopo associado a dados estruturados. Com big data, diferentemente, utiliza-se técnicas de raspagem de informações na internet que não estão inicialmente estruturadas. Neste novo contexto novas definições e abordagens regulatórias ainda mais flexíveis são demandadas, embora haja ainda menos lastro conceitual e regulatório para orientar e pautar os debates e decisões sobre como proteger cidadãos e cidadãs de potenciais abusos relacionados aos seus dados pessoais.
Por fim, como quisemos demonstrar, trata-se de uma leitura essencial para quem tem interesse em se embrenhar pelo tema dos dados pessoais. Da forma como foi construído, o documento é útil tanto para aqueles já iniciados no assunto como para aqueles que estão dando as primeiras tateadas neste debate.