Art. 1º, § Único, da LGPD- Comentário, Interpretação e Comparação

O § único do art. 1º estabelece o caráter de norma de interesse nacional desta lei. Significa dizer que a lei não se limita a regular apenas determinadas entidades privadas ou o setor público federal. Ela estabelece normas gerais de proteção de dados pessoais que devem ser observadas em todo o território nacional, alcançando a União, os Estados, o Distrito Federal e os Municípios.

O dispositivo foi introduzido pela Lei nº 13.853/2019 e possui especial relevância para a compreensão da repartição federativa de competências em matéria de proteção de dados.

A expressão “interesse nacional” indica que a proteção de dados pessoais constitui matéria que transcende os interesses particulares de cada ente federativo. A regra deve ser compreendida em conjunto com o art. 22, XXX, da Constituição Federal, que atribui privativamente à União competência para legislar sobre “proteção e tratamento de dados pessoais”. A Constituição também atribui à União a competência para organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei. Assim, após a Emenda Constitucional nº 115/2022, a centralidade da União na produção legislativa sobre a matéria passou a possuir fundamento constitucional expresso.

Nesse sentido, o parágrafo único reforça a uniformidade mínima das regras de proteção de dados pessoais no país. Não se trata, porém, de afirmar que toda e qualquer atuação normativa ou administrativa dos Estados, Distrito Federal e Municípios esteja excluída. O ponto central é que eventual disciplina local deve respeitar a competência constitucional da União e não pode contrariar as normas gerais estabelecidas pela legislação federal. A própria Constituição estabelece, em diferentes matérias, a distinção entre normas gerais e competência suplementar dos entes federados; no caso específico da proteção e tratamento de dados pessoais, contudo, a Constituição atualmente reserva à União competência legislativa privativa.

A expressão “interesse nacional”, portanto, deve ser interpretada como instrumento de harmonização normativa. Em um país federativo de dimensões continentais, a existência de padrões nacionais de proteção de dados reduz a possibilidade de fragmentação jurídica e contribui para a segurança jurídica de titulares, agentes de tratamento e órgãos públicos.

O Supremo Tribunal Federal reconhece, em matéria de repartição de competências, que a uniformização do ambiente normativo pode constituir elemento relevante do federalismo cooperativo, especialmente quando presente predominância de interesse geral.

Um caso prático envolvendo o tema em análise é o que foi objeto de julgamento por meio da ADI 6561, e ocorreu quando o STF invalidou uma lei estadual, do Estado de Tocantins, que criava um cadastro de usuários e dependentes químicos. Entre os fundamentos do julgamento, destacou-se que a criação de bancos de dados estaduais dessa natureza colidia com a falta de protocolos claros de tratamento de dados exigidos pela norma geral da União, disciplinada por meio da LGPD.

Nessa esteira, a lei impõe efeito vinculante quanto à observância de suas normas gerais por todos os entes federativos. Ao afirmar que a LGPD “deve ser observada pela União, Estados, Distrito Federal e Municípios”, o dispositivo abrange, de um lado, a Administração Pública de todas as esferas e, de outro, as pessoas jurídicas de direito privado submetidas à lei. A proteção de dados, portanto, não é concebida como uma disciplina restrita à Administração Pública federal, mas como um regime jurídico nacional aplicável aos tratamentos de dados abrangidos pela LGPD. A própria definição legal da autoridade nacional prevê atuação em todo o território nacional.

Nesse contexto, é possível depreender que os entes federados não podem criar regras que autorizem tratamento indiscriminado de dados pessoais em desacordo com o regime jurídico nacional. Eventual regulamentação local deve encontrar fundamento na ordem constitucional e legal aplicável e, quando tratar de aspectos administrativos ou setoriais de competência do ente, deverá ser compatível com a LGPD. Não se trata, portanto, de reconhecer uma liberdade normativa ilimitada aos Estados, Distrito Federal e Municípios para estabelecer regimes autônomos de proteção de dados.

Essa característica pode ser melhor compreendida mediante comparação com o modelo europeu, especialmente com o Regulamento Geral sobre a Proteção de Dados — GDPR, instituído pelo Regulamento UE 2016/679. Embora os sistemas brasileiro e europeu possuam estruturas constitucionais e institucionais distintas, existe uma aproximação importante entre ambos que é a preocupação com a existência de um nível elevado, coerente e relativamente uniforme de proteção dos dados pessoais.

O GDPR procura assegurar um nível consistente e elevado de proteção das pessoas naturais em toda a União Europeia. O Considerando 10 afirma que o nível de proteção dos direitos e liberdades relacionados ao tratamento de dados pessoais deve ser equivalente nos Estados-Membros e que deve ser assegurada aplicação consistente e homogênea das regras em toda a União. A finalidade não é apenas proteger direitos fundamentais, mas também remover obstáculos ao fluxo de dados pessoais dentro da União e evitar fragmentação normativa que prejudique a segurança jurídica e o funcionamento do mercado interno.

Há, contudo, uma diferença estrutural importante entre o GDPR e a LGPD. O GDPR é um regulamento da União Europeia, com aplicação direta nos Estados-Membros, mas admite expressamente determinados espaços de especificação pelo direito nacional. O art. 6º, por exemplo, permite que os Estados-Membros mantenham ou introduzam disposições mais específicas em determinadas hipóteses, especialmente relacionadas ao cumprimento de obrigações legais e ao exercício de funções de interesse público ou autoridade oficial. O próprio Considerando 10 reconhece uma margem de atuação dos Estados-Membros para especificar a aplicação do regulamento em situações determinadas.

Essa margem de atuação, entretanto, não equivale à possibilidade de criação de um sistema nacional independente e incompatível com o GDPR. A legislação dos Estados-Membros deve permanecer dentro das condições e limites estabelecidos pelo próprio regulamento. A jurisprudência do Tribunal de Justiça da União Europeia tem ressaltado que, quando os Estados-Membros exercem essa margem de especificação, não podem comprometer o conteúdo e os objetivos do GDPR.

Existe, portanto, uma aproximação entre a lógica do art. 1º, parágrafo único, da LGPD e a lógica do GDPR, ou seja, ambos procuram impedir que a proteção de dados seja fragmentada em regimes incompatíveis e buscam assegurar um nível coerente de proteção.

A diferença está na técnica jurídica utilizada. No Brasil, o legislador nacional afirma expressamente que as normas gerais da LGPD são de “interesse nacional” e devem ser observadas por União, Estados, Distrito Federal e Municípios. Na União Europeia, a uniformização decorre principalmente da natureza jurídica do GDPR como regulamento da União, combinado com mecanismos de aplicação uniforme e cooperação entre autoridades nacionais.

O GDPR, inclusive, preserva autoridades de proteção de dados em cada Estado-Membro. O art. 51 determina que cada Estado-Membro disponha de uma ou mais autoridades públicas independentes responsáveis por fiscalizar a aplicação do regulamento. Essas autoridades, embora nacionais, devem cooperar entre si e com a Comissão Europeia para assegurar a aplicação consistente do GDPR em toda a União.

Essa estrutura europeia demonstra que uniformidade normativa não significa necessariamente concentração absoluta de todas as funções institucionais em uma única autoridade. É possível haver autoridades nacionais e normas nacionais complementares, desde que exista um núcleo comum de proteção e mecanismos destinados a preservar sua aplicação coerente. No Brasil, essa distinção também é relevante. A existência de competências administrativas próprias dos entes federativos não significa autorização para a criação de regimes jurídicos incompatíveis com a LGPD.

A comparação com o GDPR permite, portanto, compreender que o “interesse nacional” previsto no parágrafo único não deve ser interpretado simplesmente como uma declaração política ou programática. Ele possui função sistemática, tal que, reforça a existência de um padrão nacional de proteção de dados e deve ser lido conjuntamente com a competência constitucional da União para legislar sobre proteção e tratamento de dados pessoais.

Tal como nas demais normas de caráter geral, também esta lei apresenta consequências jurídicas relevantes.

A primeira delas é a necessidade de uniformidade normativa. O parágrafo único reforça que a LGPD constitui o núcleo geral do regime brasileiro de proteção de dados, de modo que normas locais não podem contrariar suas disposições. Essa conclusão, entretanto, deve ser formulada com cautela, tendo em vista que a expressão “interesse nacional” não transforma automaticamente toda e qualquer matéria relacionada a dados pessoais em competência administrativa exclusiva da União. É necessário distinguir competência legislativa, competência administrativa e regulamentação de aspectos específicos da atuação de cada ente.