O caso SERASA e a falta que faz a ANPD

Aqueles que militam na área de privacidade e proteção de dados tem acompanhado o que vem acontecendo esse ano. Com a LGPD entrando em vigor em 18/09/20, as penalidades ficado para 01/08/21 e a ANPD ainda em formação gera uma falsa sensação de conforto e que ainda temos muito tempo para organizar nossas empresas nas questões de privacidade.

Ledo engano, faz algum tempo que venho falando que a falta da ANPD gera um risco pulverizado do exercício dos direitos distribuído pelos titulares e pelas autoridades em todo o Brasil. Então o cenário pode ser sombrio para as empresas que poderão vir a ser questionadas individualmente ou coletivamente em todo o país.

O caso Serasa, entretanto, revelou uma outra faceta do risco da defesa pulverizada, e ainda sob uma perspectiva estarrecedora, que foi a falta completa de preparo do nosso judiciário para lidar com as demandas relacionadas à LGPD.

Para quem não está acompanhando e ainda dúvida que a LGPD esteja efetivamente em vigor, no último 06/11/20 a Unidade Especial de Proteção de Dados e Inteligência Artificial do Ministério Público do Distrito Federal e Territórios propôs uma Ação Civil Pública, com pedido de tutela de urgência, contra a Serasa referente aos serviços "Lista Online" e "Prospecção de Clientes".

Os referidos serviços são basicamente vendas online de listas de marketing de clientes, que são pessoas físicas e contendo CPF, nome, endereço, até 3 telefones e sexo. Para quem milita na área da privacidade é evidente que, estando a LGPD em vigor, qualquer compartilhamento de dados deste tipo precisaria estar amparado em um fundamento legal sólido que não prejudicasse as liberdades e direitos fundamentais do titular.

Na minha visão, é estarrecedor que a Serasa mantenha um serviço dessa natureza após a entrada em vigor da LGPD, aliás todo o objetivo da nova lei é a proteção da privacidade das pessoas, que é vendida por R$0,98 no site dos serviços. Não se trata de uma pequena empresa sem experiência no assunto, trata-se da Serasa Experian, membro de um grande grupo empresarial que já foi objeto de escândalos internacionais na questão dos vazamentos de dados pessoais.

A avalição do judiciário de primeira instância é não menos estarrecedora, pois denota um total despreparo para lidar com a questão, com uma análise superficial e com fundamentos pífios, em poucas linhas conclui que não há risco algum em se comercializar o CPF, nome, endereço, 3 telefones e sexo de 150Milhões de pessoas a quem possa interessar. O argumento da decisão de que não se tratam de dados confidenciais parece desconhecer que somos submetidos a golpes de engenharia social a todo momento no WhatsApp, telefone, cartão clonado, linhas telefônicas clonadas e por aí vai.

A decisão de segunda instância, em que pese não ser um primor tecnicamente ao analisar a aplicação da LGPD, ao menos teve o bom senso de entender que algo cheirava muito mal nesses serviços e entendeu por bem suspender em tutela de urgência até decisão final da ACP.

Quanto ao Ministério Público, me parece que agiu dentro de suas atribuições e fez uma peça bem elaborada, mas não percebeu que nosso judiciário está a anos luz da compreensão da LGPD. Fica a lição que não basta uma peça bem escrita e um bom caso, precisará realizar um verdadeiro trabalho de evangelização e educação para que o nosso judiciário possa compreender os fundamentos da privacidade e a procedência de seus pleitos.

Que venha logo a ANPD e traga sua expertise, antes que a judicialização dos casos de LGPD acabem por destruir as bases da lei e deixe os titulares à mercê de um judiciário totalmente despreparado para a questão.