Art. 3º, § 1º da LGPD - Comentário, Interpretação e Comparação

O § 1º do art. 3º complementa o seu caput ao estabelecer um critério de territorialidade baseado na localização do titular dos dados, e não do agente de tratamento.

Trata-se de uma regra de ficção jurídica, segundo a qual não importa onde está o servidor, banco de dados ou sede da empresa, haja vista que deve ser considerado que a coleta ocorreu no Brasil se o titular estiver fisicamente no território nacional no momento da coleta.

A finalidade principal desse dispositivo é evitar fraudes regulatórias, popularmente conhecidas como forum shopping digital, garantir a efetividade desta lei em ambiente digital globalizado e proteger titulares localizados no Brasil, independentemente da origem do tratamento.

O dispositivo trata do critério híbrido na localização física do titular no momento da coleta, o que se denomina de marketing de geolocalização, ou targeting + location approach, cujo elemento é determinante e independe da nacionalidade, do domicílio e da residência habitual.

Na prática, se uma empresa sediada nos EUA coleta dados de um turista argentino enquanto ele se encontra no Brasi, é aplicável ao caso a legislação brasileira.

No direito comparado internacional, é possível perceber que esse parágrafo se aproxima da lógica extraterritorial do GDPR, porém, com diferenças relevantes. Na lei brasileira, o critério é a localização física do titular no momento da coleta, denotando uma regra mais objetiva e territorial, enquanto no Regulamento Europeu o critério é a oferta de bens/serviços ou monitoramento de comportamento, com ênfase na intenção de atingir dos titulares na UE, o que lá se denomina de targeting, denotando uma regra mais subjetiva e baseada em comportamento do controlador.

A diferença crucial está no fato de que, enquanto a lei brasileira se atenta para o lugar onde está o titular no momento da coleta, o Regulamento Europeu se preocupa em saber quem é alvo da atividade de tratamento.

A consequência principal dessa diferença é que, enquanto a lei brasileira pode ter aplicação mais ampla em situações pontuais, o GDPR exige análise de direcionamento da atividade.

Algumas implicações práticas para agentes de tratamento são a imposição de deveres relevantes a empresas nacionais e estrangeiras, incluindo: i) aplicação da lei brasileira, mesmo sem presença no Brasil, o que obriga as empresas estrangeiras a cumprirem a lei brasileira se coletarem dados de pessoas no Brasil; ii) necessidade de mecanismos de geolocalização, pois os controladores precisam identificar onde o titular está no momento da coleta e os riscos de aplicação da LGPD; iii) adequação contratual e emprego de regras de compliance com políticas de privacidade adaptadas, existência de bases legais válidas, e eventual indicação de representante no Brasil.

Na seara crítica, surgem algumas questões interpretativas. A dificuldade probatória é a primeira delas, uma vez que o questionamento está voltado para a comprovação da localização exata do titular no momento da coleta. A segunda trata das coletas automatizadas e indiretas, pois, cookies, pixels e rastreadores podem coletar dados sem clareza sobre a real localização do titular. E o último diz respeito aos conflitos de leis, o que autoriza a aplicação simultânea de múltiplas legislações, como por exemplo a lei brasileira e o GDPR, ou a lei brasileira e outras leis congêneres.

Esse parágrafo também dever ser interpretado em conjunto com os incisos que o antecedem, como no inciso I que dispõe sobre o tratamento realizado no Brasil, o inciso II que trata da oferta de bens/serviços e o inciso III, que dispõe sobre os dados coletados no Brasil.

Portanto, implica afirmar que esse parágrafo densifica o disposto no inciso III, aclarando o que significa “coleta no território nacional”.

No contexto geral, esse inciso consolida uma abordagem moderna de territorialidade ao deslocar o foco do agente para o titular, ao reforçar a proteção de indivíduos em território brasileiro e ao ampliar o alcance da lei em contextos digitais transnacionais.

Trata-se, portanto, de norma essencial para garantir a efetividade da proteção de dados no Brasil, embora apresente desafios práticos de aplicação e coordenação internacional.