Art. 3º, § 2º da LGPD - Comentário, Interpretação e Comparação

O § 2º do art. 3º afasta da regra contida no inciso I do mesmo artigo as hipóteses que se enquadrem no art. 4º, IV, que exclui da incidência desta lei o tratamento de dados pessoais realizados para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais.

Nesse sentido, o § 2º estabelece que mesmo que o tratamento ocorra no Brasil, a lei brasileira não será aplicável se a finalidade for uma daquelas previstas no art. 4º, IV.
Trata-se de exclusão material, que se atine à finalidade, e que prevalece sobre o critério territorial.

Em termos dogmáticos, depreende-se que a disposição contida no art. 3º desta lei trata da aplicação com foco no âmbito espacial, ou territorial, enquanto o art. 4º trata do âmbito de aplicação material, com escopo no conteúdo ou na finalidade. De tal forma, o § 2º resolve eventual conflito entre ambos, afirmando a prevalência da exclusão material.

A ratio legis, ou o fundamento da norma, foi pensado pelo legislador com finalidades distintas, dentre elas: i) evitar que atividades típicas de Estado soberano, como segurança pública e persecução penal, fiquem submetidas ao regime geral desta lei; ii) reconhecer que tais atividades demandam regulação própria, com critérios distintos, inclusive restrições a direitos fundamentais; e, iii) reservar a eficiência e sigilo dessas funções estatais.

Nesse contexto, no Brasil, essa lacuna regulatória é parcialmente suprida por disposições contidas no art. 5º, incisos X e XII da Constituição da República, por leis processuais penais, pelo Marco Civil da Internet e por normas setoriais de segurança pública.

Em comparação com o direito internacional, na União Europeia há o GDPR, cujo modelo adota solução semelhante, porém, mais estruturada e completa. O modelo Europeu não se aplica ao tratamento de dados para fins de segurança pública,
prevenção, investigação e repressão penal, conforme disposto no art. 2, item 2, letra d. Todavia, essas atividades são reguladas por um diploma específico denominado Diretiva (UE) 2016/680, ou Law Enforcement Directive, que regula o processamento de dados pessoais por autoridades policiais e judiciais para fins de prevenção, investigação, detecção ou repressão de infrações penais. Ela protege dados de vítimas, suspeitos e testemunhas, harmonizando a privacidade no setor de justiça europeu.

Ainda na comparação com o modelo europeu, um ponto divergente diz respeito à existência de um regime jurídico paralelo e detalhado para essas hipóteses, enquanto a lei brasileira exclui, conquanto não haja uma lei geral equivalente plenamente consolidada.

Ainda em comparação com o direito internacional, em relação ao modelo americano, ele é setorial e fragmentado, uma vez que as atividades de segurança nacional e de investigação criminal são reguladas por leis específicas dos Estados Federados, como por exemplo a Foreign Intelligence Surveillance Act – FISA, ou Lei de Vigilância de Inteligência Estrangeira, de 1978, sendo essa uma lei federal dos Estados Unidos que estabelece procedimentos para a vigilância física, eletrônica e coleta de informações de inteligência estrangeira dentro do território americano, de tal forma que não há uma lei geral equivalente à lei brasileira ou ao GDPR.

Um ponto convergente diz respeito à exclusão de atividades de segurança do escopo de proteção de dados geral, enquanto o ponto divergente está na menor uniformidade e maior discricionariedade estatal.

Em relação ao padrão internacional adotado pela OCDE, dentro do princípio das boas práticas, há algumas diretrizes que admitem que os Estados podem restringir a aplicação de regras de proteção de dados por razões de segurança nacional,
ordem pública, e repressão penal, porém, recomendam a adoção de limitação proporcional, controle institucional e garantias mínimas ao titular.

Como em toda lei, na LGPD é possível de serem encontradas situações passíveis de críticas. A primeira delas diz respeito à existência de lacuna normativa. A exclusão da aplicação do art. 4º, IV em relação ao disposto no § 2º do art. 3º retira a proteção da LGPD, porém, não substitui essa exclusão por um regime igualmente robusto.

O segundo diz respeito ao risco a direitos fundamentais. Sem disciplina objetiva, pode ocorrer vigilância excessiva, uso abusivo de dados pelo Estado e
dificuldade de controle e transparência.

O terceiro trata da necessidade de lei específica para zelar pelo controle de dados pessoais na esfera penal. Essa lacuna suscita a urgência de uma lei de proteção de dados pessoais no âmbito penal, ou regime específico de proteção de dados na segurança pública, nos moldes europeus.

Para suprir essa lacuna, há no Congresso Nacional um anteprojeto conhecido como "LGPD Penal" que foi entregue àquela casa legislativa federal por uma comissão de juristas, além de haver também propostas em tramitação, como por exemplo o PL 1515/2022, mas o texto definitivo que regulamenta essa matéria específica ainda aguarda votação e aprovação pelo Congresso Nacional.

De forma conclusiva, é possível depreender que esse parágrafo estabelece uma cláusula de prevalência da exclusão material sobre o critério territorial; impede a aplicação desta lei a tratamentos de dados voltados à segurança pública e persecução penal, mesmo quando realizados no Brasil; e, alinha-se ao padrão internacional, especialmente ao modelo europeu, todavia, com menor densidade normativa.

De tal sorte, esse dispositivo é tecnicamente coerente, mas evidencia uma assimetria regulatória, ao excluir importantes atividades estatais sem oferecer, no mesmo nível, um regime jurídico alternativo suficientemente estruturado.