Na última sexta-feira (20/11), foi proferida decisão determinando, em sede de antecipação dos efeitos da tutela recursal, que a empresa Serasa S.A. (“Serasa Experian”) suspenda as suas operações de comercialização de dados pessoais pelos serviços “Lista Online” e “Prospecção de Clientes. A decisão agravada foi proferida no bojo de Ação Civil Pública movida pelo Ministério Público do Distrito Federal e dos Territórios (MPDFT).
Segundo o MPDFT, a Serasa Experian estaria comercializando — sem o consentimento de seus titulares — dados pessoais de mais de 150 milhões de brasileiros, o que esbarra nas normas do Código Civil, do Código de Defesa do Consumidor e da Lei Geral de Proteção de Dados Pessoais (LGPD).
De acordo com a Ação Civil Pública ajuizada, os dados pessoais em questão estariam sendo vendidos para empresas interessadas na captação de novos clientes. Segundo a investigação realizada, dentre os dados pessoais que vinham sendo comercializados, constavam informações tais como: nome, endereço, CPF, números de telefones, localização, perfil financeiro, poder aquisitivo e classe social.
Apesar de alguns casos tratarem apenas de informações comumente disponibilizadas por qualquer pessoa, é necessário relembrar que a proteção conferida pela LGPD abrange qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, LGPD).
Além disso, também de acordo com a LGPD, o consentimento fornecido pelo titular de dados, ao dispor de suas informações a terceiros, tem de ser livre, informado, e relativo a uma finalidade específica, exceto em determinadas hipóteses legais. Nesse sentido, não pode a Serasa ou qualquer outro agente de tratamento de dados fazer uso dos dados pessoais obtidos para realizar fins diversos daqueles informados aos titulares de dados (arts. 5º e 7º, LGPD).
Diante disso, o Desembargador César Loyola, relator do Agravo de Instrumento, reconheceu o risco de lesão decorrente da prática desempenhada pela Serasa Experian e deferiu o pedido de antecipação da tutela pleiteada pelo MPDFT, determinando que a Serasa suspenda provisoriamente suas operações de venda de dados por meio dos produtos “Lista Online” e “Prospecção de Clientes”.
Na hipótese de a Serasa Experian descumprir a decisão liminar, será aplicada multa de R$ 5.000,00 (cinco mil reais), em seu desfavor, por cada caso de comercialização de dados realizada em desconformidade com a decisão.
Com a Lei Geral de Proteção de Dados vigente desde agosto de 2020 e diante da lacuna existente até a efetiva operacionalização da ANPD, a expectativa é de que o Poder Judiciário ainda tenha que se debruçar sobre diversos outros casos de tratamento irregular de dados pessoais nos termos da LGPD.
Nesse sentido, já tratamos, em outra oportunidade, sobre o caso de uma construtora que foi condenada pelo compartilhamento indevido de dados de seus clientes a terceiros. Confira em: https://bit.ly/2HJ98Zj
Nesse cenário, é salutar que as empresas, as associações, os sindicatos, ou qualquer outra entidade que trate de dados pessoais, busquem adequar suas operações a esse novo paradigma, mediante a elaboração e a implementação de um programa de compliance de dados pessoais, a partir do qual será possível prevenir e mitigar riscos de violação às normas estabelecidas pela LGPD. Demonstrar a existência e a efetividade de programa de compliance de proteção de dados pode ser fundamental para reduzir eventual sanção aplicada no contexto de um processo judicial ou administrativo sobre a regularidade do tratamento de dados pessoais.
Processo referenciado: 0749765-29.2020.8.07.0000, em trâmite no TJDFT.
Comentários