Art. 3º, I da LGPD - Comentário, Interpretação e Comparação

O inciso I do art. 3º estabelece como um dos critérios centrais de incidência territorial da norma a aplicação da lei brasileira quando a operação de tratamento de dados pessoais é realizada no território nacional, independentemente de outros elementos de conexão.

O dispositivo consagra, em primeiro plano, um critério clássico de territorialidade, segundo o qual a lei brasileira incide sempre que o tratamento de dados ocorre fisicamente no Brasil, em cumprimento ao princípio da lex loci actus. Implica dizer que o foco recai sobre o local da operação de tratamento, e não sobre a nacionalidade do agente ou a origem dos dados.

Esse critério deve ser interpretado de forma ampla, considerando o conceito de “tratamento” previsto no art. 5º, X, desta lei, que abrange atividades como coleta, produção, recepção, classificação, utilização, acesso, armazenamento, entre outras. Assim, qualquer etapa relevante do ciclo de vida do dado realizada no Brasil é suficiente para atrair a incidência da lei brasileira.

Na prática, esse inciso apresenta importantes consequências.

As empresas estrangeiras com operações no Brasil, ainda que sediadas no exterior, estarão sujeitas à lei brasileira se realizarem tratamento em território nacional, como por exemplo, por meio de servidores localizados no Brasil ou equipes operacionais locais.

As empresas nacionais com infraestrutura híbrida, mesmo que parte do tratamento ocorra no exterior, mas a realização de qualquer etapa ocorra no Brasil, pode atrair a incidência da lei brasileira.

Percebe-se que é irrelevante a localização do titular. Diferentemente de outros critérios do art. 3º, para a aplicação do dispositivo contido nesse inciso importa exclusivamente onde ocorre o tratamento.

Sistematicamente, esse inciso deve ser lido e interpretado em conjunto com os incisos II e III do art. 3º, que ampliam o alcance da desta lei para hipóteses de oferta de bens ou serviços e dados coletados no Brasil. Enquanto esses dispositivos introduzem critérios de extraterritorialidade, o inciso I representa o núcleo tradicional de incidência territorial.

Assim, esta lei adota um modelo misto, que envolve o territorial em conjunto com o extraterritorial, alinhado às hodiernas tendências de regulação de dados.

Em comparação com o direito internacional, o critério previsto nesse inciso encontra paradigma no art. 3, item 1, do GDPR, que também estabelece a aplicação do regulamento ao tratamento realizado na União Europeia, dentro de um “contexto das atividades de um estabelecimento”

A diferença sutil que há entre a lei brasileira e o GDPR é que este adota a noção de establishment, ou na tradução literal, estabelecimento, que pode ser interpretada de forma funcional e não necessariamente física, enquanto a lei brasileira, no inciso em análise, utiliza uma formulação mais direta, ou seja, adota o local da operação de tratamento.

Inobstante, ambos os regimes convergem no objetivo de evitar lacunas regulatórias, com a finalidade de garantir a proteção efetiva dos titulares.

Como fundamento constitucional e principiológico, esse dispositivo concretiza valores ínsitos na Constituição da República, dentre eles: i) a proteção da privacidade prevista no art. 5º, X; ii) a proteção de dados pessoais prevista no art. 5º, LXXIX, incluído pela EC nº 115/2022; e, iii) a soberania nacional com previsão no art. 1º, I.

Ao afirmar a incidência da lei sobre operações realizadas no território nacional, o legislador reforça a jurisdição normativa do Estado brasileiro sobre atividades econômicas e tecnológicas que impactam direitos fundamentais.

Todavia, algumas questões ainda suscitam debate doutrinário e regulatório. Um questionamento pertinente refere-se ao significado da expressão “realização no território nacional” diante de ambientes digitais descentralizados, como por exemplo, a cloud computing, onde se tem o fornecimento sob demanda de recursos de TI, como servidores, armazenamento e bancos de dados via internet, com pagamento apenas pelo uso, e ainda o processamento distribuído, onde os dados do titular transitam entre múltiplos recebedores.

Portanto, é imperioso discutir se a simples passagem de dados por servidores localizados no Brasil seria suficiente para caracterizar tratamento no território nacional, e, em caso afirmativo, como compatibilizar conflitos de leis no espaço, especialmente em operações transnacionais complexas.

Nesse sentido, tais desafios exigem interpretação teleológica e, muitas vezes, coordenação com autoridades estrangeiras.

Abreviadamente, é possível compreender que esse inciso estabelece um critério objetivo e amplo de incidência territorial, garantindo que qualquer operação de tratamento realizada no Brasil esteja submetida à disciplina da lei. Trata-se de um pilar essencial para a efetividade da proteção de dados no país, funcionando como base para a aplicação das demais hipóteses de incidência e para a afirmação da soberania digital brasileira.