Há um descontrole informacional (principalmente no meio digital), porque os titulares não sabem com quem estão os seus dados pessoais e que atividades são realizadas com eles.
Entre os direitos previstos no art. 18 da LGPD, o direito de conhecimento compreende, de forma inicial, o direito do titular de saber se determinada pessoa coletou, armazena ou realiza qualquer atividade de tratamento com seus dados pessoais (art. 18, I, da LGPD).
Com base nele, o titular tem o direito de obter do controlador informações sobre a existência – ou não – de alguma atividade de tratamento dos seus dados pessoais.
Este direito decorre do princípio da transparência (art. 6º, VI, da LGPD), que assegura ao titular a prestação de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento (ressalvada a proteção dos segredos comercial e industrial).
Antes da LGPD entrar em vigor, já existiam leis no Brasil que impunham ao controlador a comunicação inequívoca do titular sobre o início do tratamento de seus dados pessoais (em especial, o art. 43, caput e § 2º, do Código de Defesa do Consumidor, e o art. 4º, § 4º, I a III, da Lei do Cadastro Positivo), ou seja, quando o consentimento não for utilizado como a base legal do tratamento, deve ser cumprido o direito de conhecimento do titular sobre o início do tratamento.
A LGPD não tem regra específica e expressa sobre a necessidade de o controlador informar o titular sobre o início do tratamento.
As outras duas leis citadas estabelecem esse dever ao controlador.
De acordo com o § 2º do art. 43 do Código de Defesa do Consumidor (Lei nº 8.078/90), “a abertura de cadastro, ficha, registro e dados pessoais e de consumo deverá ser comunicada por escrito ao consumidor, quando não solicitada por ele”.
Por essa razão é que, por exemplo, a inclusão dos dados pessoais do devedor no banco de dados dos órgãos de proteção de crédito é precedida de sua notificação prévia, para conhecimento dessa nova atividade de tratamento e para se manifestar previamente sobre ela (e, eventualmente, comprovar o pagamento ou outro fato que impeça a negativação).
De forma semelhante, o inciso I do § 4º do art. 4º da Lei do Cadastro Positivo (Lei nº 12.414/2011) determina: “A comunicação ao cadastrado deve: I - ocorrer em até 30 (trinta) dias após a abertura do cadastro no banco de dados, sem custo para o cadastrado”. Em complemento, o inciso III do mesmo dispositivo legal impõe ao controlador o dever de “informar de maneira clara e objetiva os canais disponíveis para o cancelamento do cadastro no banco de dados”.
Assim, de acordo com as regras do CDC, da LCP e da LGPD, a abertura de qualquer espécie de banco de dados ou a coleta (ou outra operação de início, como a recuperação) dos dados pessoais deve ser informada de forma clara ao titular.
Portanto, pode-se afirmar que, quando a base legal de tratamento não for o consentimento, deve ser assegurado ao titular o direito de conhecimento de início das atividades com os seus dados pessoais.
A ausência de norma expressa e semelhante na LGPD deve levar a controvérsias, especialmente sobre se consiste em uma ausência de imposição desse dever (logo, não é necessária a informação ao titular sobre o início do tratamento, quando ele não tiver consentido) ou se é uma omissão que pode ser preenchida com a aplicação subsidiária do CDC e da LCP.
Logo, nas relações de consumo (o que compreende as relações reguladas pela Lei do Cadastro Positivo) o titular de dados pessoais tem o direito de conhecimento do início do tratamento, sempre que for utilizada uma base legal diversa do consentimento).
Por outro lado, quando o início do tratamento de dados pessoais ocorrer em uma relação que não se enquadrar como sendo de consumo, os controladores deverão analisar a necessidade de informar os titulares e os riscos derivados da ausência de comunicação, considerando a falta de clareza da LGPD.
Artigo também publicado no Jusbrasil (clique aqui) e no Jus Navigandi (clique aqui).