Emenda Constitucional nº 115, de 10/02/2022

RECURSO ESPECIAL. LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS. DIREITO À PRIVACIDADE, À LIBERDADE E À AUTODETERMINAÇÃO INFORMATIVA. AGENTE DE TRATAMENTO. VAZAMENTO DE DADOS NÃO SENSÍVEIS DO TITULAR. INCIDENTE DE SEGURANÇA. ATAQUE HACKER. RESPONSABILIDADE EXCLUSIVA DE TERCEIRO. NÃO COMPROVADA. RESPONSABILIDADE CIVIL PROATIVA. EXPECTATIVA DE LEGÍTIMA PROTEÇÃO. COMPLIANCE E REGULAÇÃO DE RISCO DA ATIVIDADE. DIREITOS DO TITULAR. CONCRETIZAÇÃO. APLICABILIDADE.

1. A controvérsia jurídica consiste em definir se o vazamento de dados pessoais não sensíveis do titular, decorrente de atividade alegadamente ilícita, é passível de imputar ao agente de tratamento de dados as obrigações previstas no art. 19, II, da LGPD, ou se o fato de tal vazamento ter decorrido de atividade ilícita seria uma excludente de responsabilidade, prevista no art. 43, III, da LGPD.

2. Ao inscrever a proteção e o tratamento de dados pessoais no rol dos direitos e garantias fundamentais da Constituição (art. 5º, LXXIX), a Emenda Constitucional nº 115/2022 inaugurou um novo capítulo no ordenamento jurídico brasileiro no que tange aos direitos de personalidade, à liberdade e à autodeterminação informativa.

3. A empresa recorrente, pelo fato de se enquadrar na categoria dos agentes de tratamento, tinha a obrigação legal de tomar todas as medidas de segurança esperadas pelo titular para que suas informações fossem protegidas, e seus sistemas utilizados para o tratamento de dados pessoais deveriam estar estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na LGPD e às demais normas regulamentares.

4. Compliance de dados é o esforço de conformidade e de aplicação da LGPD nas atividades das empresas que lidam com tratamento de dados. Referido instrumento assume importância central ao induzir não apenas à obediência ao direito, mas também à comprovação da efetividade dos programas de conformidade.

5. O tratamento de dados pessoais configurou-se como irregular quando deixou de fornecer a segurança que o titular dele poderia esperar ("expectativa de legítima proteção"), consideradas as circunstâncias relevantes, entre as quais as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado (art. 44, III, da LGPD).

6. Ao não provar, perante as instâncias ordinárias, que o vazamento dos dados da recorrida teria se dado exclusivamente em razão do incidente de segurança, é impossível aplicar em favor da recorrente a excludente de responsabilidade do art. 43, III, da LGPD.

7. Assim, correta a conclusão do TJSP de concretizar os direitos do titular ao condenar a recorrente na obrigação de apresentar informação das entidades públicas e privadas com as quais realizou o uso compartilhado dos dados da recorrida (art. 18, VII, da LGPD) e a fornecer declaração completa que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, bem como a cópia exata de todos os dados referentes ao titular constantes em seus bancos de dados (art. 19, II, da LGPD).

8. Recurso especial não provido.

RECURSO ESPECIAL. AÇÃO CIVIL PÚBLICA. NEGATIVA DE PRESTAÇÃO JURISDICIONAL. AUSENTE. DADOS CADASTRAIS. CLIENTES DE INSTITUIÇÕES FINANCEIRAS. DADOS NÃO SIGILOSOS. DESNECESSIDADE DE RESERVA DE JURISDIÇÃO. PRECEDENTES DO SUPREMO TRIBUNAL FEDERAL. PROTEÇÃO DE DADOS PESSOAIS PELO ORDENAMENTO JURÍDICO. INTENSIDADE QUE VARIA DE ACORDO COM A ESPÉCIE EM ANÁLISE. DADOS DE QUALIFICAÇÃO PESSOAL. EXPRESSA PREVISÃO LEGAL. PROTEGIDOS DE MANEIRA MAIS BRANDA. POSSÍVEL REQUERIMENTO PELO MINISTÉRIO PÚBLICO E PELO DELEGADO DE POLÍCIA DESDE QUE HAJA IDÔNEA MOTIVAÇÃO E EXISTÊNCIA DE PROCEDIMENTO (ADMINISTRATIVO, CÍVEL OU CRIMINAL) EM CURSO. MANUTENÇÃO DO ACÓRDÃO RECORRIDO.

1. Ação civil pública, ajuizada em 31/5/2017, da qual foi extraído o presente recurso especial, interposto em 21/1/2021 e concluso ao gabinete em 24/8/2021. A Terceira Turma/STJ, em 28/9/2021, afetou o especial para a Corte Especial, com início do julgamento em 17/11/2021, com posterior acolhimento de questão de ordem que determinou a renovação do julgamento, em 17/5/2023.

2. O propósito recursal consiste em decidir (I) se houve negativa de prestação jurisdicional e (II) se deve ser deferido o pedido ministerial relativo à obrigação de fazer consistente em compelir as instituições financeiras a fornecer dados cadastrais de seus correntistas quando ?requisitados pelo Delegado de Polícia em Inquéritos Policiais, e pelo Promotor de Justiça em Procedimentos Investigatórios Criminais, Inquéritos Civis Públicos, Procedimentos Administrativos, Procedimentos Preparatórios, Notícias de Fato ou Notícias de Crime?, sem que haja violação da cláusula de reserva de jurisdição e do sigilo bancário. F32 REsp 1955981 C542164515911;00902434@ C64100;4434700324615<0@ 2021/0132625-0 Documento Página 1 de 4 Superior Tribunal de Justiça 3. Devidamente analisadas e discutidas as questões de mérito, e suficientemente fundamentado o acórdão recorrido, de modo a esgotar a prestação jurisdicional, não há falar em violação dos arts. 489, § 1º, e 1.022, II, do CPC/15.

4. A reserva de jurisdição prevista no art. 5º, XII, da CF/88 diz respeito ao sigilo das ?comunicações? de dados. Essa linha de intelecção é adotada pelo Supremo Tribunal Federal, cujos inúmeros julgados estampam que ?a proteção a que se refere o art. 5º, XII, da Constituição, é da comunicação de dados e não dos ?dados em si mesmos? (RE 418416, Tribunal Pleno, julgado em 10/05/2006, DJe 19/12/2006).

5. As instituições financeiras conservarão sigilo em suas ?operações ativas e passivas? e ?serviços prestados?, sendo possível a quebra do sigilo bancário mediante autorização judicial nas hipóteses previstas pela Lei Complementar 105/2001.

6. Os dados pessoais desvinculados de informações referentes a operações bancárias não são cobertos pelo sigilo financeiro, mas são constitucionalmente protegidos, nos termos do art. 5º, LXXIX, da CF/88, incluído pela EC 115/2022. O seu tratamento é regulamentado pela Lei Geral de Proteção de Dados (Lei nº 13.70/2018) e legislações correlatas.

7. A intensidade da proteção de dados pelo ordenamento jurídico deve levar em consideração as finalidades para as quais se destinam e as suas características, isto é, se são dados pessoais sensíveis ou dados pessoais cadastrais. Tem-se que a proteção conferida pela própria legislação se transmuta de acordo com a espécie em análise.

8. Dados cadastrais correspondem a dados de qualificação pessoal, relacionados à identificação e particularização dos sujeitos perante a sociedade e terceiros, como nome, prenome, número de identificação cadastral (CPF e RG), estado civil e profissão de determinado indivíduo, bem como sua filiação, seu endereço e telefone. Não se trata de dados sigilosos e sujeitos a controle jurisdicional, e tampouco de dados sensíveis, sendo que, por expressa previsão legal, são protegidos de maneira mais branda em relação aos demais dados pessoais.

9. A legislação nacional apresenta formas de garantir a proteção dos dados cadastrais e de evitar eventual abuso no seu acesso e tratamento. Impreterivelmente, a solicitação de acesso aos dados cadastrais exige prévio procedimento em andamento (cível, administrativo ou criminal) e idônea e expressa motivação pelo órgão competente, sendo despicienda a autorização pelo Judiciário nessa hipótese. Não se chancela, portanto, acesso a dados cadastrais de maneira ?abstrata?, ?aberta? ou ?genérica?.

10. O tratamento de dados cadastrais para investigações criminais conta com previsão expressa no art. 17-B da Lei de Crimes de Lavagem e Ocultação de Bens (Lei nº 9613/98) e art. 15 da Lei de Combate às Organizações Criminosas (Lei nº 12.850/13). De modo geral, o tema é regido pelas normativas acerca dos poderes e prerrogativas dos órgãos de persecução penal: (I) art. 144, IV, § 4º, da CF/88 e art. 1°, § 2°, da Lei F32 REsp 1955981 C542164515911;00902434@ C64100; 4434700324615<0@ 2021/0132625-0 Documento Página 2 de 4 Superior Tribunal de Justiça 12.830/2013, que dispõe sobre a investigação criminal conduzida pelo delegado de polícia; e (II) art. 129, I, VII, VIII e IX da CF/88 e art. 26, III e IV, da Lei Orgânica Nacional (Lei nº 8.625/1993), no que tange às atribuições do Ministério Público. Afastado o regramento geral de proteção de dados para atividades de investigação criminal e persecução penal (art. 4º da LGPD).

11. Nos procedimentos eminentemente cíveis e administrativos, o art. 10º, § 3º, do Marco Civil da Internet estabelece que os dados cadastrais podem ser solicitados pelas autoridades que detenham competência legal para tanto. A seu turno, a LGPD estabelece que o tratamento de dados poderá ser realizado, mesmo sem o consentimento do titular, ?para cumprimento de obrigação legal? (art. 7º, II) e ? quando necessário para atender aos interesses legítimos de terceiros? (art. 7º, IX).

12. O Ministério Público é autoridade competente para tratar dados cadastrais, porquanto a proteção das coletividades corresponde a dever constitucional e socialmente imposto à instituição, instrumentalizado, sobretudo, por meio de inquérito civil e ação civil pública (art. 129, VI e IX, CF/88 e art. 26, I, b, e II, da Lei nº 8.625/1993).

13. Atuação do Parquet que deverá obedecer a regra relacionada à existência de procedimento em curso e ao tratamento dos dados cadastrais de acordo com o princípio da finalidade, isto é, privilegiando propósitos legítimos, específicos e explícitos, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades (art. 6º, I, da LGPD).

14. Precedente desta Corte no sentido de que ?ao Ministério Público deve ser assegurado o acesso a informações não agasalhadas por sigilo bancário (dados cadastrais de pessoas investigadas), para o fim de instruir os procedimentos investigatórios de natureza penal e civil? (REsp 1.561.191/SP, Segunda Turma, julgado em 19/4/2018, DJe 26/11/2018).

15. Hipótese sob julgamento em que foi acolhida a pretensão ministerial de concessão de dados cadastrais dos clientes de instituição financeira, com respaldo na inexistência de sigilo desses dados, bem como diante da existência de procedimentos em curso e assegurada a finalidade de fiscalizar relações comerciais e salvaguardar interesses consumeristas. Necessidade de manutenção do acórdão recorrido.

16. Recurso especial conhecido e desprovido.

RECURSO ORDINÁRIO EM MANDADO DE SEGURANÇA. ORDEM JUDICIAL DE QUEBRA DE SIGILO TELEMÁTICO. INVESTIGAÇÃO DE FURTO QUALIFICADO DE 80 ARMAS DE FOGO DE CALIBRES DIVERSOS, SOB SEGREDO DE JUSTIÇA. DETERMINAÇÃO DE FORNECIMENTO DE DADOS CADASTRAIS DE USUÁRIOS DE SERVIÇOS PRESTADOS POR EMPRESAS PROPRIETÁRIAS DE NAVEGADOR DE INTERNET E SERVIDOR DE E-MAIL, COM BASE EM LOCALIZAÇÃO DEFINIDA POR COORDENADAS GEOGRÁFICAS E PERÍODO DE TEMPO INDICADOS. IMPOSIÇÃO QUE NÃO FORNECE PREVIAMENTE DADOS IDENTIFICADORES DOS ALVOS DA BUSCA. AUSÊNCIA DE ILEGALIDADE OU DE VIOLAÇÃO A PRINCÍPIOS E GARANTIAS CONSTITUCIONAIS. MEDIDA DEVIDAMENTE FUNDAMENTADA QUE ATENDE OS REQUISITOS DE PROPORCIONALIDADE. RECURSO NÃO PROVIDO.

1. A Terceira Seção desta Corte no julgamento do RMS n. 61.302/RJ e do RMS n. 62.143/RJ, ambos de Relatoria do Min. ROGERIO SCHIETTI CRUZ, em sessão de 26/08/2020 (DJe de 04/09/2020), reconheceu, por maioria, a legalidade da ordem judicial que determina quebra de sigilo de dados informáticos estáticos relativos a dados pessoais e registros de conexão ou acesso a servidores, navegadores ou aplicativos de internet, delimitada por parâmetros de pesquisa em determinada região e por período de tempo, desde que, presentes circunstâncias que denotem a existência de interesse público relevante, a decisão seja proferida por autoridade judicial competente, com fundamentação suficiente, na qual se justifique a necessidade da medida para fins de investigação criminal ou de instrução processual criminal, sempre lastreada em indícios mínimos que indiquem a configuração de suposta ocorrência de crime sujeito à ação penal pública.

2. Ponderou-se, na ocasião, que, muito embora o direito ao sigilo consubstancie expressão de um direito fundamental de alta relevância ligado à personalidade, a doutrina e a jurisprudência compreendem que não se trata de um direito absoluto, admitindo-se a sua restrição quando imprescindível ao interesse público. Nesse sentido, é admissível a sua mitigação sempre que haja a necessidade de se harmonizar possível violação de outros direitos fundamentais ou de interesses constitucionalmente protegidos, notadamente diante da prática de crimes, ressalvando-se, no entanto, a necessidade de avaliação, em cada caso, da legitimidade da imposição de restrição aos direitos fundamentais garantidos na Constituição.

3. A ordem judicial que determina a quebra de sigilo telemático para o fornecimento de dados estáticos de usuários não identificados presentes em determinada localização geográfica num período de tempo, com vistas a facilitar a identificação de autores de crime, não implica em desvelar o conteúdo de fluxos de comunicação ou de dados armazenados virtualmente, protegidos pelas garantias constitucionais da inviolabilidade da intimidade e da privacidade. Se, por um lado, não há como se negar que o art. 5º, X, da CF/88, garante a inviolabilidade da intimidade e da privacidade, inclusive quando os dados informáticos constarem de banco de dados ou de arquivos virtuais mais sensíveis; de outro lado, a proteção concedida pelo ordenamento jurídico brasileiro a tais dados não tem a mesma amplitude daquela dada à interceptação das comunicações mantidas entre indivíduos. Precedentes do STF: HC n. 91.867/PA, Rel. Ministro Gilmar Mendes, DJe 20/9/2012 e HC n. 167.720/SP, Rel. Ministro Luiz Fux, DJe 14/4/2019. Assim sendo, o fornecimento de tais informações não se submete às restrições previstas nas normas legais e constitucionais que regulam a permissão de interceptações telefônicas (art. 5º, XII, da CF, Lei n. 9.296/1996 e Resolução n. 59/2008 do Conselho Nacional de Justiça).

4. Os arts. 22 e 23 do Marco Civil da Internet não exigem que, ao requisitar dados pessoais armazenados por provedor de serviços de internet, o magistrado deva indicar qualquer elemento de individualização pessoal dos alvos da busca, nem tampouco justificar a indispensabilidade da medida, bastando-lhe apontar, em sua decisão a) indícios da ocorrência do ilícito; b) justificativa da utilidade da requisição; e c) período ao qual se referem os registros. Isso porque o objetivo precípuo dessa medida, na expressiva maioria dos casos, é justamente o de proporcionar a identificação de usuários do serviço ou do terminal utilizado possivelmente envolvidos no crime investigado.

5. Não há desproporcionalidade na medida em questão, quando serve como instrumento de auxílio na elucidação de delito de difícil investigação, dadas as circunstâncias do seu cometimento e o fornecimento dos dados solicitados não ensejará gravame aos indivíduos eventualmente afetados que não tenham conexão com o delito, seja porque o inquérito corre em segredo de justiça, seja porque os dados requeridos se limitam à identificação dos equipamentos eletrônicos eventualmente utilizados nas regiões e intervalos de tempo indicados, não adentrando no conteúdo de possíveis comunicações que partiram daquelas localidades, seja porque os dados fornecidos não serão publicizados e aqueles que não revelarem conexão com o delito, ao final, serão descartados.

6. Situação em que a quebra de sigilo telemático, determinada no bojo de investigação de furto qualificado de 80 armas de fogo de calibres diversos, se revelou devidamente fundamentada, descrevendo os indícios da prática do crime e a necessidade da utilização da medida para identificação do(s) autor(es) de crime cuja gravidade ressai do fato de que as armas furtadas podem vir a ser utilizadas no cometimento de novos delitos, pondo em risco a segurança pública.

7. Não se vislumbra, também, no caso concreto, violação ao princípio da proporcionalidade, visto que a medida é necessária, já que as investigações já realizadas não lograram identificar os autores do delito e há grande probabilidade de que os dados solicitados facilitem tal identificação; é adequada ao caso, pois ajuda a individualizar suspeitos do crime; e é proporcional em sentido estrito, visto que resguarda a intimidade de eventuais indivíduos listados nas informações prestadas que não estejam envolvidos com o delito, seja porque não desvelará o fluxo de comunicação de pessoas, seja porque os dados fornecidos não serão levados a público.

8. O fornecimento ao Juízo e à autoridade policial de números identificadores de aparelhos celulares presentes em determinada localização geográfica em determinado período de tempo não implica em violação da garantia constitucional de proteção de dados pessoais nos meios digitais (inciso LXXIX do art. 5º da CF, inserido pela Emenda Constitucional n. 112/2022), tanto mais quando o feito corre em segredo de justiça. Isso sem contar que o fato de o delito ter ocorrido durante a madrugada restringe a quantidade de dados a serem fornecidos.

9. Recurso ordinário a que se nega provimento.