Art. 3º, caput da LGPD - Comentário, Interpretação e Comparação

O caput do art. 3º da LGPD estabelece a cláusula geral de incidência da lei, definindo seu alcance material, subjetivo e territorial. Ao prever que a lei se aplica a qualquer operação de tratamento, realizada por pessoa natural ou jurídica, de direito público ou privado, independentemente do meio ou da localização dos dados ou da sede do agente, o legislador adota uma técnica normativa de máxima abrangência regulatória.

Trata-se de uma norma de sobredireito, ou seja, uma norma que regula a abrangência da aplicação de outras normas, e que cumpre função semelhante às regras de conexão do Direito Internacional Privado. Todavia, apresenta uma peculiaridade singela, haja vista que não tem por função resolver conflitos entre ordenamentos, mas, de expandir a incidência da proteção de dados.

Por apresentar um fundamento constitucional implícito, esse dispositivo deve ser interpretado à luz da Constituição da República, especialmente nas disposições contidas no art. 1º, III, que trata da dignidade da pessoa humana, no art. 5º, X e XII, que tratam da privacidade e do sigilo, e, após a EC nº 115/2022, o direito fundamental à proteção de dados pessoais previsto no art. 5º, LXXIX.

Nesse sentido, o dispositivo concretiza a ideia de que a proteção de dados é um direito fundamental de eficácia extraterritorial mitigada, isto é, que não pode ser esvaziado por fatores meramente geográficos ou tecnológicos.

Assim, o caput deste artigo consagra um modelo de extraterritorialidade funcional, dentro da teoria da conexão normativa, que pode ser compreendido a partir de três vetores: i) desvinculação da territorialidade clássica, porquanto a incidência da norma não depende da localização física dos dados ou da sede do agente; ii) centralidade da atividade de tratamento, uma vez que o foco se desloca do território para a atividade econômica ou operacional de tratamento de dados; e, iii) proteção do titular como elemento de conexão.

Nesse contexto, ainda que o caput apresente genérico, ele estabelece os requisitos que concretizam a conexão com o território brasileiro, principalmente o inciso I, que dispõe objetivamente que o tratamento deva ser realizado dentro do território nacional.

Esse modelo se aproxima da chamada teoria dos efeitos, segundo a qual a jurisdição normativa se justifica quando a atividade produz efeitos relevantes em determinado território.

Em comparação com o GDPR, pode-se afirmar que art. 3º do Regulamento Europeu é a principal referência comparativa.

Nele são encontradas convergências e divergências estruturais.

No plano das convergências, pode-se observar que ambos: i) adotam extraterritorialidade explícita; ii) superam o critério clássico da territorialidade; III) buscam evitar evasão regulatória, juridicamente denominada forum shopping, ou seja, estratégia jurídica em que uma das partes de um processo escolhe intencionalmente o tribunal, a comarca ou o juiz que considera mais favorável para ajuizar uma ação; e, iv) têm o titular como eixo central da proteção.

No campo das divergências técnicas, é possível observar que: i) o GDPR apresenta uma tipificação mais detalhada dos critérios de incidência no que concerne ao estabelecimento, ao targeting e ao monitoramento, enquanto a lei brasileira opta por uma cláusula geral mais aberta, seguida de incisos que concretizam a incidência; e, ii) o modelo europeu possui maior densidade interpretativa consolidada pela jurisprudência do Tribunal de Justiça da União Europeia, enquanto a lei brasileira opta pela tecnicidade.

Nessa esteira, a lei brasileira reproduz a lógica europeia, porém, com menor precisão do dispositivo contido no caput, o que amplia o papel da doutrina e da autoridade reguladora na definição de seu alcance.

Em comparação com o modelo norte-americano, especificamente no California Consumer Privacy Act, fica evidenciada a sofisticação do modelo brasileiro. A CCPA adota critérios econômicos e territoriais restritivos, não há cláusula geral de incidência universal, e a proteção é mais orientada ao mercado do que à dignidade.

Pode-se afirmar então que, enquanto a lei brasileira parte de um paradigma de direito fundamental, o modelo norte-americano segue uma lógica de regulação setorial e consumerista.

A disposição contida nesse inciso está em consonância com instrumentos do Direito Internacional, dentro do princípio do soft law, como por exemplo, a Convenção 108 do Conselho da Europa e as diretrizes da OCDE.

Esses instrumentos legais internacionais reforçam a necessidade de proteção transfronteiriça de dados, a ideia de responsabilidade global dos agentes de tratamento e a harmonização mínima entre ordenamentos.

Na prática, dentro das atividades regulatórias, a redação ampla do caput produz consequências relevantes para os agentes de tratamento, para o Estado e para os titulares.

Para os agentes de tratamento, as implicações práticas e regulatórias demandam adstrição de empresas estrangeiras à lei brasileira, a necessidade de compliance multinível, como por exemplo, submissão à lei brasileira e ao GDPR, e reestruturação de fluxos internacionais de dados.

Para o Estado, ocorre a expansão da competência regulatória da Autoridade Nacional, e o cumprimento dos desafios de cooperação internacional e enforcement extraterritorial.

Para o titular, ocorre a ampliação do âmbito de proteção e redução de lacunas jurídicas decorrentes da globalização digital.

Em uma análise mais crítica, pode-se afirmar que, apesar de suas virtudes, o caput do art. 3º suscita alguns desafios a serem enfrentados pelos atores envolvidos no tratamento e na fiscalização desse tratamento, dentre eles, o risco de sobreposição normativa internacional, como por exemplo o surgimento de conflitos entre a lei brasileira  e GDPR; a dificuldade de enforcement extraterritorial efetivo; e, a dependência de regulamentação e interpretação administrativa.

Mesmo nestas circunstâncias, é possível compreender que tais desafios são inerentes a qualquer regime de proteção de dados em contexto globalizado.

Sumariamente, o caput do art. 3º configura uma cláusula de incidência ampla, moderna e alinhada aos padrões internacionais, que rompe com a territorialidade clássica, adota um modelo de extraterritorialidade funcional, concretiza a proteção de dados como direito fundamental, e aproxima o Brasil do paradigma europeu, especialmente do GDPR.

Trata-se, portanto, de um dispositivo estruturante, que transforma a lei brasileira em uma lei de alcance global, adequada à realidade da economia digital e à proteção efetiva da pessoa humana.