O Tribunal de Justiça do Distrito Federal e dos Territórios (TJDFT) concedeu liminar determinando que seja suspensa a comercialização de dados pessoais de titulares através dos produtos “Lista Online” e “Prospecção de Clientes”, oferecidos pela Serasa Experian, subsidiária da Serasa S.A.
A decisão foi proferida nos autos da Ação Civil Pública proposta pela Espec, a unidade Especial de Proteção de Dados e Inteligência Artificial do Ministério Público do Distrito Federal e Territórios (MPDFT).
O MPDFT alegou que a Serasa Experian comercializa, pelo preço de 98 centavos por cada um dos 150 milhões de CPFs disponibilizados, dados pessoais de brasileiros (nome, endereço, CPF, até 3 números de telefones, localização, perfil financeiro, poder aquisitivo e classe social) em desconformidade com o que determina a Lei nº 13.709 – Lei Geral de Proteção de Dados (LGPD).
A LGPD, em seu art. 7º, estabelece hipóteses legais em que dados pessoais podem ser tratados, figurando, entre elas, a proteção do crédito e o interesse legítimo do controlador e de terceiros, viabilizando a existência dos chamados “birôs de crédito”, ou seja, empresas que oferecem serviços de informações envolvendo análise de crédito, como a Serasa S.A.
Todavia, o MPDFT entende que os produtos Lista Online e Prospecção de Clientes ultrapassam o limite permitido pela legislação brasileira ao desrespeitar a exigência legal de que haja “uma manifestação específica para cada uma das finalidades para as quais o dado está sendo tratado”. Para o órgão ministerial, a situação configura um “grande incidente de segurança monetizável” e fere o direito à privacidade das pessoas, assim como seus direitos à intimidade e à imagem.
O desembargador que proferiu a decisão entendeu que, embora a norma permita o tratamento para atender aos interesses legítimos do controlador ou de terceiros, há disposição expressa no sentido de que devem prevalecer os direitos e liberdades fundamentais do titular em relação à proteção de seus dados pessoais. Para o magistrado, mesmo se tratando de informações “habitualmente fornecidas pelos sujeitos de direitos nas suas relações negociais e empresariais”, a LGPD indica que, nesse caso, há necessidade de autorização específica para o compartilhamento.
Sendo assim, concluiu que há evidências de que o compartilhamento dos dados pessoais sem autorização configura um grave risco de lesão aos direitos dos titulares, ordenando a suspensão imediata da sua comercialização, sob pena de multa de 5 mil reais por cada venda efetuada.
Embora a decisão possua caráter provisório e caiba recurso pela Serasa Experian, caso confirmada pelo órgão colegiado do TJDFT e pelas instâncias superiores, as empresas que adquiriam os dados comercializados através dos produtos Lista Online e Prospecção de Clientes podem, eventualmente, ser responsabilizadas solidariamente por danos comprovadamente sofridos pelos titulares.
O caso revela a importância de que as empresas compatibilizem o seu desenvolvimento econômico e tecnológico com os valores fundamentais de liberdade, privacidade e livre desenvolvimento dos titulares, conforme estabelecido na LGPD e amparado pela Constituição Federal brasileira.
Portanto, as empresas que adquiriram ou vierem a adquirir mencionados produtos devem procurar manter um inventário apurado de quais dados foram coletados, o tratamento realizado e as suas respectivas finalidades. Em consequência, mitigarão riscos envolvendo incidentes de segurança, devendo, por fim, providenciar o descarte adequado após o encerramento do ciclo de vida dos referidos dados.