O Ministério Público do Distrito Federal e Territórios, através da Unidade Especial de Proteção de Dados Pessoais e Inteligência Artificial (ESPEC), inovou ao requerer à operadora de telefonia Telefônica Brasil S.A. (Vivo), em 16 de abril de 2019, a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (Data Protection Impact Assessment – DPIA) de seus clientes, no prazo de 60 (sessenta) dias. O pedido se referia ao tratamento de dados coletados para a utilização do produto “Mídia Geolocalizada” do serviço Vivo Ads, plataforma utilizada pela empresa para o rastreamento da geolocalização de seus usuários. Para tanto, a operadora deveria declarar como funcionavam os processos de gerenciamento dos dados de seus clientes e qual seria a estratégia da companhia para a mitigação de riscos relacionados à proteção das informações dos consumidores.
Dentre os tópicos que o Relatório de Impacto à Proteção de Dados Pessoais deveria apresentar, constavam: i) como a organização descreveria o tratamento de dados realizado, apontando sua natureza, seu escopo e seu contexto (com a especificação de fatores internos e externos que pudessem afetar as expectativas ou o impacto) e o que a organização planejava fazer com as informações pessoais que obtivesse; ii) como a organização avaliaria a necessidade e a proporcionalidade do tratamento de dados; iii) como a organização identificaria e classificaria os riscos que seu tratamento pudesse causar, fossem eles físicos, emocionais ou materiais, através de uma avaliação objetiva que analisasse sua probabilidade e gravidade; iv) como a organização identificaria e mitigaria os riscos; v) uma conclusão do relatório, informando quais medidas adicionais a operadora pretenderia adotar, se cada risco fosse eliminado, reduzido ou aceito e qual seria o nível global de risco residual, após a adoção de medidas adicionais; e vi) as assinaturas dos responsáveis pela elaboração do relatório.
Após decorrido o prazo em tela, diante da abstenção da Telefônica (Vivo) em apresentar o referido documento, o MPDFT ajuizou uma Ação Civil Pública, com pedido de tutela de urgência, em desfavor da empresa de telefonia, pretendendo condenar a Telefônica (Vivo) a suspender definitivamente a disponibilização e venda do produto “Mídia Geolocalizada” do serviço Vivo Ads, que utiliza dados qualificados e segmentação precisa dos clientes da empresa (como perfil, geolocalização, lugares frequentados e comportamento dos consumidores) para fornecer publicidade, sob pena de cominação de multa diária e bloqueio da plataforma. Ademais, pretende também a condenação da empresa a elaborar e entregar o Relatório de Impacto à Proteção de Dados Pessoais ao Poder Judiciário do Distrito Federal e dos Territórios, nos termos requisitados no Inquérito Civil Público previamente apresentado.
A justificativa dada pelo órgão público foi de que a devida elaboração do Relatório foi oportunizada à empresa, para que comprovasse a legalidade do serviço ofertado, mas que a sua não-realização levaria a crer que a empresa – ainda que afirme ter boa-fé e interesse em colaborar com as investigações – estaria realizando tratamento indevido dos dados pessoais de seus clientes. Além disso, o envolvimento de direitos invioláveis como a intimidade, privacidade e imagem, assim como a natureza consumerista da relação entre a Telefônica (Vivo) e seus clientes, reforçariam a necessidade de esclarecimentos sobre as finalidades exatas para as quais os dados coletados pela empresa são utilizados, incluindo o uso dos dados pessoais e de localização de consumidores como forma de captação por empresas pagadoras de serviços oferecidos pela plataforma Vivo Ads e a monitoração excessiva e sem controle de dados pessoais e sensíveis de seus usuários, sem o necessário consentimento dos titulares quanto à sua real utilização.
Importante mencionar que, desde a solicitação à Telefônica (Vivo) do Relatório de Impacto à Proteção de Dados Pessoais em sede de Inquérito Civil, inúmeras foram as discussões que surgiram, principalmente por estarmos falando de um documento previsto na Lei Geral de Proteção de Dados, ainda em vacatio legis em nosso ordenamento jurídico.
Ainda que a LGPD entre em vigor apenas em agosto de 2020, é nítido que, há tempos, o Poder Público tem adotado um posicionamento que prima pela proteção dos dados pessoais, principalmente diante dos inúmeros escândalos noticiados por toda a mídia. Em compasso com tais acontecimentos, nota-se uma mudança de comportamento dos players no mercado, muito mais atentos a questões de privacidade, seja na concepção de seus negócios, seja nos projetos de adequação daqueles já existentes.
Sem entrar na discussão de seu mérito, a Ação Civil Pública recém proposta retrata um futuro não tão distante e vem como um aviso às empresas e órgãos públicos, que devem – se ainda não o fizeram – se adequar às regras de proteção de dados pessoais e estarem aptos a apresentar, quando solicitados, seu relatório de impacto e seus registros de tratamento.
Para saber mais sobre a adequação à Lei Geral de Proteção de Dados, entre em contato com a nossa equipe de Tecnologia, Mídia e Telecomunicações.