As recentes decisões judiciais, proferidas em variados Tribunais do País, refletem a não uniformidade de entendimento sobre o regime da responsabilidade civil instituído pela Lei Geral de Proteção de Dados (“LGPD”). Fica claro que o legislador poderia ter sido mais assertivo no tocante ao tema, mas não o fez.
A título ilustrativo, vale destacar duas decisões recentes que refletem bem esse cenário:
“A Lei Geral de Proteção de Dados dispõe que o operador de dados pessoais deve responder por eventual dano decorrente de falha de segurança, sem prejuízo da aplicabilidade das disposições consumeristas.
Vale dizer, ultrapassa o mero aborrecimento o consumidor ter seus dados pessoais expostos na internet, ferindo legítima expectativa de ter sua privacidade preservada ao realizar compra on-line, sendo objetiva a responsabilidade da ré por eventual falha em seu sistema eletrônico (artigo 14 do Código de Defesa do Consumidor)” (TJ-SP – AC: 10031222320208260157 SP 1003122-23.2020.8.26.0157, Relator: Renato Sartorelli, Data de Julgamento: 22/06/2021, 26ª Câmara de Direito Privado, Data de Publicação: 22/06/2021)
e
“não basta a ação negligente da ré para ensejar indenização, mas também o efetivo dano, que deve ser comprovado, não havendo que se falar em presunção. A mesma diretriz, aliás, foi observada no artigo 42 da LGPD, ao enfatizar que o controlador ou operador que, em razão do exercício de tratamento de dados pessoais, causar dano patrimonial ou moral, é obrigado a repará-lo.(…) Portanto, a violação de tais dados, por si só, não incorre em ofensa a direito da personalidade capaz de ensejar reparação moral.” ( Magistrado Mario Sergio Leite – Processo nº 1025226-41.2020.8.26.0405 – 2ª Vara Cível da Comarca de Osasco -Tribunal de Justiça do Estado de São Paulo)
O que se depreende dessas decisões é que ora se interpreta pela responsabilidade objetiva, com base na ofensa à legítima expectativa de ter a privacidade preservada pelo titular dos dados e ora se entende pela responsabilidade subjetiva, segundo a qual há de ser verificada a culpabilidade do agente de tratamento a partir do entendimento de que a violação por si só não é capaz de ensejar reparação.
Em que pese as opiniões em contrário, nossa compreensão é no sentido de que a interpretação sistemática da LGPD conduz à conclusão de que o referido diploma legal não prescindiu da perquirição do elemento culpa para definição da responsabilização dos agentes de tratamento em decorrência da violação de dados pessoais.
Os dispositivos que tratam do tema na LGPD – que vão do artigo 42 ao artigo 46 da Lei – jamais afastaram o elemento da culpabilidade para verificação da responsabilidade dos agentes de tratamento, o que implica na adoção do regime da responsabilidade civil subjetiva.
Para que se pudesse defender que a LGPD instituiu o regime da responsabilidade objetiva haveria de constar do texto da Lei que o mero desempenho da atividade de tratamento de dados seria suficiente e apto a suscitar a imputação de responsabilidade ao agente – o que não ocorre. Os artigos 42 e 44 da LGPD tratam basicamente de comportamento culposo.
A LGPD trata expressamente da necessidade do cumprimento de deveres por parte dos agentes de tratamento que, em não o fazendo, serão responsabilizados civilmente. Em outras palavras, o que se tem é mesmo a perquirição da culpa, elemento ensejador e característico do regime da responsabilidade civil subjetiva.
A despeito da incerteza, vale destacar o espírito da Lei no sentido de que os agentes de tratamento sejam atuantes na prevenção de vazamentos de dados, bem como quanto aos cuidados com a adoção de medidas de segurança eficazes e indicadas na própria Lei. A consequência do descumprimento dessas obrigações importará na comunicação do ocorrido à Agência Nacional de Proteção de Dados – ANPD e pode gerar a fixação de eventual penalidade para o infrator, de acordo com as circunstâncias de cada caso.
É notório que o legislador não foi taxativo ao tratar do tema da responsabilidade civil dos agentes de tratamento no âmbito da LGPD e deixou uma boa margem de dúvidas que, agora, se reflete em julgados sobre o tema. De qualquer forma, salvo melhor juízo, entendemos que a responsabilidade civil decorrente da infração quanto à proteção de dados pessoais manifestada pela LGPD é a da responsabilidade subjetiva, que deriva da apuração de culpa do agente.