Art. 2º, II da LGPD - Comentário, Interpretação e Comparação

O inciso II do art. 2º desta lei consagra o princípio da autodeterminação informativa, um dos pilares estruturantes do regime jurídico de proteção de dados pessoais no Brasil.

A autodeterminação informativa representa o direito do titular de controlar seus próprios dados pessoais, compreendendo não apenas a faculdade de autorizar ou negar o tratamento, mas também de acompanhar, revisar e influenciar todo o ciclo de vida dos dados.

Esse conceito tem origem na jurisprudência do Tribunal Constitucional Alemão, referenciado no caso do censo de 1983, sendo posteriormente incorporado a diversos ordenamentos e reconhecido, no Brasil, como projeção dos direitos fundamentais à liberdade, à privacidade e ao livre desenvolvimento da personalidade.

Na lei brasileira, esse princípio se manifesta como a centralidade do titular nas decisões sobre seus dados, afastando modelos unilaterais de tratamento baseados exclusivamente no interesse econômico do controlador.

Todavia, esse fundamento se alinha a uma dimensão normativa mais ampla no escopo legal. A autodeterminação informativa não se limita a uma diretriz abstrata, sendo concretizada por diversos dispositivos desta lei, dentre eles: i) o consentimento, disposto nos arts. 7º, I e 8º, que deve ser livre, informado e inequívoco; ii) os direitos do titular, dispostos no art. 18, dentre eles, o acesso, a correção, a eliminação, a portabilidade, a revogação do consentimento, etc; iii) a transparência, disposta no art. 6º, VI), que propicia condição para o exercício consciente da autodeterminação; iv) a finalidade e adequação, disposta no art. 6º, I e II, que limitam o uso dos dados ao que foi informado ao titular.

Nesse sentido, a autodeterminação informativa atua como vetor interpretativo de todo o sistema, exigindo que qualquer tratamento de dados seja estruturado de forma a preservar a autonomia do titular.

Todavia, a aplicação desse fundamento não possui caráter absoluto. Esta lei admite hipóteses de tratamento independentemente do consentimento, conforme previsto no art. 7º, incisos II a X, dentre eles, o cumprimento de obrigação legal ou regulatória, a execução de políticas públicas e o legítimo interesse do controlador.

Nesses casos, a autodeterminação informativa é relativizada, mas não afastada. O controlador continua obrigado a observar garantias como transparência, necessidade e proporcionalidade, evitando tratamentos abusivos ou desproporcionais.

Para os agentes de tratamento, esse fundamento impõe algumas implicações práticas. A concretização da autodeterminação informativa impõe às organizações uma mudança estrutural de governança de dados, incluindo: i) gestão ativa de consentimento, com fornecimento de mecanismos claros para coleta, registro e revogação; ii) interfaces acessíveis ao titular, por meio de painéis de privacidade e canais de atendimento eficazes; iii) políticas claras e compreensíveis, com o uso de linguagem simples, porém, evitando o uso de termos genéricos; iv) emprego de privacy by design e by default, com a utilização de sistemas já concebidos para respeitar escolhas do titular; e, v) registro e rastreabilidade para comprovar que as decisões do titular foram respeitadas.

Assim, é de se entender que, na prática, por exemplo, uma empresa que coleta dados para marketing deve permitir que o titular opte pormenorizadamente sobre quais dados podem ser usados, como e-mail, SMS, número de telefone, etc, bem como revogue facilmente essas autorizações, sem prejuízo do acesso ao serviço principal.

A autodeterminação informativa deve estar também intrinsecamente alinhada com o respeito aos direitos fundamentais. Portanto, esse fundamento da lei reforça a natureza da proteção de dados como direito fundamental, proteção essa reconhecida expressamente no art. 5º, LXXIX, da Constituição da República, cujo dispositivo foi incluído por meio da EC nº 115/2022. É possível afirmar que esse dispositivo se trata de um desdobramento da dignidade da pessoa humana, assegurando que o indivíduo não seja reduzido a objeto de tratamento informacional.

Comparativamente com o direito internacional, esse fundamento não é uma construção isolada do direito brasileiro, conquanto, integra uma tradição jurídica internacional consolidada, especialmente no direito europeu e em instrumentos globais de proteção de direitos humanos.

Esse conceito surgiu no julgamento do caso do censo alemão de 1983, pelo Tribunal Constitucional Federal da Alemanha, que reconheceu a autodeterminação informativa como direito fundamental derivado da dignidade humana e do livre desenvolvimento da personalidade, previstos na Grundgesetz, a Lei Fundamental alemã.

O Tribunal afirmou que o indivíduo deve poder decidir quando e em que medida suas informações pessoais são divulgadas, estabelecendo a base teórica para a proteção de dados moderna. Esse precedente influenciou diretamente a legislação europeia e, posteriormente, a brasileira.

No âmbito da União Europeia, o princípio da autodeterminação informativa é refletido de forma estruturante no GDPR, embora não seja mencionado com essa terminologia específica, conforme pode-se observar no quadro comparativo abaixo:

O GDPR, assim como a lei brasileira, estabelece objetivamente o direito de acesso, retificação e apagamento, a portabilidade de dados e o direito de oposição e de limitação do tratamento.

A principal diferença assenta no fato de que o modelo europeu se ancora expressamente em um direito fundamental autônomo à proteção de dados, previsto na Carta da UE, enquanto no Brasil essa previsão foi introduzida posteriormente pela Emenda Constitucional nº 115/2022.

A autodeterminação informativa também encontra respaldo na interpretação evolutiva do direito à vida privada consagrado na Convenção Americana sobre Direitos Humanos, especialmente em seu art. 11.

A Corte Interamericana de Direitos Humanos tem entendido que a proteção da vida privada inclui o controle sobre informações pessoais, o que aproxima o sistema interamericano da lógica da autodeterminação informativa, ainda que sem utilizar expressamente esse termo.

Alguns instrumentos internacionais e soft law contribuíram significativamente para a consolidação desse fundamento, dentre eles: i) a Organização para a Cooperação e Desenvolvimento Econômico (OCDE), que criou as Diretrizes da OCDE sobre a Proteção da Privacidade e Transborder Flows of Personal Data (Diretrizes da OCDE de 1980, revisadas em 2013), cujas quais constituem um marco internacional fundamental para a proteção de dados pessoais e privacidade, tendo em vista que elas foram estabelecidas para equilibrar a livre circulação de informações entre países com a necessidade de proteger a intimidade dos indivíduos; ii) a Organização das Nações Unidas, com a publicação das Resoluções sobre o direito à privacidade na era digital; e, iii) a Convenção 108 do Conselho da Europa, considerado o primeiro tratado internacional vinculante sobre proteção de dados pessoais.

Esses instrumentos introduziram princípios como a limitação de finalidade, a qualidade dos dados, a segurança no tratamento dos dados, e a participação individual, esta última correspondente exatamente à ideia de autodeterminação informativa.

No entanto, por se tratar de legislações específicas, com culturas diferentes, há convergências e divergências entre o Brasil e o cenário internacional. No plano convergente podem ser citadas a centralidade do titular no sistema de proteção de dados, o reconhecimento do controle sobre informações como projeção da dignidade humana e a estrutura baseada em princípios, direitos do titular e deveres dos controladores.

No plano divergente, pode-se afirmar que o termo “autodeterminação informativa” é mais explícito na lei brasileira e na doutrina alemã do que no GDPR, e que o Brasil ainda apresenta menor densidade jurisprudencial e regulatória na aplicação prática do conceito, enquanto a União Europeia possui décadas de precedentes administrativos e judiciais.

Nesse contexto, é possível depreender que a LGPD importa o conceito dogmático alemão, adota a arquitetura regulatória europeia, e harmoniza-se com os sistemas internacional e interamericano de direitos humanos.

Portanto, esse inciso, além de estabelecer um princípio doméstico, insere o Brasil em um padrão global de proteção de dados centrado na autonomia informacional do indivíduo, facilitando a cooperação internacional, a adequação regulatória e o reconhecimento de equivalência normativa em transferências internacionais de dados.

Sumariamente, esse inciso estabelece que o tratamento de dados pessoais deve estar orientado pela autonomia decisória do titular, exigindo transparência, controle e respeito às suas escolhas. Mais do que um fundamento, a autodeterminação informativa funciona como critério de validade e legitimidade das operações de tratamento, impondo aos agentes econômicos uma atuação responsável, ética e centrada no indivíduo.