O Tribunal de Justiça de São Paulo elevou para quinhentos mil reais o valor da indenização por danos morais coletivos imposta à Concessionária da Linha 4 do Metrô de São Paulo (Via Quatro) por efetuar coleta, armazenamento e outros usos de dados pessoais dos usuários do metrô, sem o consentimento destes (Apelação Cível nº 1090663-42.2018.8.26.0100).
A empresa instalou um sistema de Portas Interativas Digitais em quatro estações da linha amarela do metrô de São Paulo, que faziam o registro das reações emocionais dos usuários diante dos anúncios exibidos, para fins publicitários.
Segundo a Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018), é dado pessoal toda informação relacionada a uma pessoa natural identificada ou identificável, de modo que a coleta, uso ou outro tratamento desta informação deve se fazer de acordo com as suas normas.
Em defesa no processo, a empresa alegou que os dados que coletava não se enquadram na definição legal de dados pessoais, porque as informações recolhidas eram dados estatísticos, incapazes de identificar o seu titular. Afirmou a empresa:
“Trata-se da detecção, através de uma imagem, de características faciais totalmente desvinculadas à identidade de uma pessoa, mediante a utilização de algoritmos computacionais” (...) que geram “resultado de seu uso somente dados estatísticos, absolutamente incapazes de identificar o usuário”. (...) “a tecnologia embarcada nas Portas Interativas Digitais se limita a contar as pessoas, visualizações, tempo de permanência, tempo de atenção, gênero, faixas etárias, emoções, fator de visão, horas de pico de visualizações e distância de detecção, sem que para isso colete qualquer dado pessoal de pessoa individualizada. Apenas são gerados dados meramente estatísticos”.
Contudo, a identificabilidade do titular de uma informação não se confunde com a possibilidade de conhecimento da sua identidade em sentido estrito. A identificabilidade de uma pessoa, para o fim de proteção de seus dados pessoais, diz respeito à possibilidade de sua distinção, de sua singularização em relação às demais. Se um dado permite que o indivíduo seja distinguido dos demais, num determinado contexto, trata-se de dado pessoal.
O Regulamento Geral de Proteção de Dados da União Europeia dispõe que uma pessoa pode ser identificada, dentre outros, por um ou mais elementos específicos da sua identidade física, fisiológica, genética, mental, econômica, cultural ou social. Entende-se que a combinação de detalhes de diferentes categorias pode ser muito conclusiva em determinadas circunstâncias. Para se considerar uma pessoa identificável, deve-se ter em conta o conjunto dos meios susceptíveis de serem razoavelmente utilizados pelo agente de tratamento ou outra pessoa. Integram este “conjunto de meios” não somente o custo do processo de categorização da pessoa, mas também o objetivo pretendido, o modo como o tratamento é estruturado, a vantagem esperada pelo agente de tratamento (empresa).
Se o alcance da finalidade do tratamento dos dados precisar da singularização do titular dos dados, estes dados são dados pessoais.
A empresa informou no processo que o sistema das Portas Interativas captava imagem e características faciais dos usuários, desvinculadas da respectiva identidade, além de registrar o tempo de permanência diante dos anúncios, de atenção, o gênero, a faixa etária e as respectivas emoções, para fins publicitários.
Tudo indica que os dados captados, embora pudessem não estar diretamente vinculados a uma identificação das pessoas em sentido estrito, eles permitiam que a empresa e seus parceiros anunciantes alcançassem individualmente os usuários do metrô, a partir de suas características, com considerável probabilidade de os influenciar nas suas tomadas de decisão. Afinal, o registro de vários aspectos da personalidade do indivíduo, dos horários em que ele passa pelos anúncios e das suas reações emocionais diante destes anúncios tem, por objetivo, formar um perfil psicológico e direcionar a publicidade de modo a exercer sobre ele uma influência, para levá-lo a uma decisão que beneficie economicamente o anunciante.
A autodeterminação informativa e o livre desenvolvimento da personalidade, constituem fundamentos do direito à proteção de dados pessoais. Um dos objetivos da LGPD é proteger o indivíduo para que ele não tenha os seus dados usados, sem o seu conhecimento, com o fim de influenciar o seu pensamento e as suas ações.
O chamado IP dos computadores, por exemplo, é um dado pessoal pelo fato de que, através dele, uma pessoa pode ser distinguida com base em alguns critérios, como socioeconômicos, filosóficos ou outros e ser influenciada para determinadas decisões. O estabelecimento do contato com ela não depende do conhecimento da sua identidade em sentido estrito.
Deste modo, se determinadas informações permitirem que se chegue à pessoa delas titular, pela sua categorização num determinado contexto, tais informações são dados pessoais, ainda que não se conheça a sua identidade em sentido estrito. Sendo dados pessoais, sujeitam-se às normas da LGPD.
