Durante a pandemia do Novo Coronavírus, é evidente que o tratamento de dados, incluindo pessoais, se torna relevante ao servir de suporte para a tomada de decisões que auxiliam na mitigação de outros riscos, redução dos danos e no combate a pandemia.

Na China, de acordo com o jornal chinês South China Morning Post, dados pessoais e sensíveis foram coletados de maneira massificada sem a conveniente autorização, acarretando assim, em uma preocupação global com a privacidade, em relação aos cuidados necessários e a manipulação adequada de dados nesta época.

Na Itália e outros países da Europa, já se fala na cooperação das operadoras de telefonia móvel com o Governo, através do fornecimento de dados, aparentemente de forma “anonimizada”, capaz de identificar concentrações em zonas consideradas de risco. Quais dados a mais são coletados? Permanecerão por quanto tempo nas bases de dados? Qual a consciência do cidadão e titular de dados a respeito?

Inúmeros cientistas da informação, de dados, profissionais da saúde e da tecnologia da informação realizam o tratamento de dados pessoais com a finalidade de oferecer serviços à população e auxiliar as políticas na atuação do poder público no combate ao COVID-19.

O tratamento de dados pessoais sensíveis é descrito no art. 11 da LGPD, que prevê, salvo hipóteses legais, o consentimento do titular, de forma especifica e destacada. Contudo, a LGPD estabelece em seu artigo 4°, inciso III que a Lei não se aplica ao tratamento realizado para fins exclusivos da segurança pública, no entanto, esta temática deverá ser regulamentada, nos termos da Lei.

Vale salientar a Lei 13.979/2020, que foi criada para enfrentamento do Covid-19, prevendo o compartilhamento de dados de pessoas infectadas a órgãos públicos de saúde, assim estabelecendo:

Art. 5º  Toda pessoa colaborará com as autoridades sanitárias na comunicação imediata de:

I – possíveis contatos com agentes infecciosos do corona vírus;

II- circulação em áreas consideradas como regiões de contaminação pelo coronavírus.

Art. 6º  É obrigatório o compartilhamento entre órgãos e entidades da administração pública federal, estadual, distrital e municipal de dados essenciais à identificação de pessoas infectadas ou com suspeita de infecção pelo coronavírus, com a finalidade exclusiva de evitar a sua propagação.

§ 1º  A obrigação a que se refere o caput deste artigo estende-se às pessoas jurídicas de direito privado quando os dados forem solicitados por autoridade sanitária.

§ 2º  O Ministério da Saúde manterá dados públicos e atualizados sobre os casos confirmados, suspeitos e em investigação, relativos à situação de emergência pública sanitária, resguardando o direito ao sigilo das informações pessoais.

A Legislação não serve para derrogar a LGPD que, embora se torne aplicável somente em agosto de 2020 (caso não seja prorrogada), já tem seus princípios e premissas de tratamento conjeturadas por autoridades em inúmeros casos no país.

Neste sentido, o consentimento do titular (que pode ser um cliente, paciente ou empregado) para o tratamento de seus dados pessoais de saúde, poderá ceder espaço, em situações específicas, a outras premissas legais, dentre elas, a proteção à vida ou à incolumidade física do titular ou de terceiros. Do mesmo modo, poderá ocorrer o tratamento para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais da área, serviços de saúde ou autoridade sanitária, conforme previsão da Lei 13.853/2019.

O tratamento de dados pessoais de saúde, que pode ser realizado por meio de algoritmos, aplicações, cruzamento de dados e outras operações de tratamento, poderá se dar com base nas premissas legais acima identificadas, contudo, deverá ser realizado de forma responsável, limitando-se apenas aos dados necessários para o enfrentamento da crise, respeitando a finalidade, adotando princípios para a minimização dos referidos dados, sobretudo, com a adoção de práticas de privacy by design na construção destes sistemas de tratamento de dados.

Vale ressaltar que aquele tratamento de dados que não respeitar a finalidade especificada, de combater o vírus, auxiliar o Estado no seu papel ou trazer avanços, prevenção e apoio aos cidadãos, poderá ser considerado irregular, passível de reparação, devendo-se cogitar, também, os casos envolvendo a discriminação de pacientes confirmados diante de falhas de segurança que expuserem os dados, compartilhamentos indevidos,  diante de operações de tratamento não autorizadas, ou ainda os danos causados àqueles forem expostos à tomada de decisões a partir da exposição indevida de dados pessoais relativos à sua saúde.

Não se pode olvidar que o titular tem direito de conhecer as operações de tratamento realizadas a seu respeito e não deve ser exposto e sofrer discriminação. A exemplo, a Autoridad Nacional de Protección de Datos Personales do Perú estabeleceu recomendação, na qual adverte que a divulgação de dados pessoais de infectados pelo COVID-19 pode gerar multa de até 215.000 soles.

Já se tem relatos de uma plataforma digital chinesa capaz de identificar se há algum passageiro contaminado pelo Covid-19 em viagens urbanas, oferecendo aos usuários informações a respeito. Mais conhecido como Qihoo 360, o aplicativo tem como fonte a base de dados dos hospitais e informações das companhias estatais de transporte, além do mais, a plataforma digital conta com algoritmos de inteligência artificial capaz de cruzar os dados e identificar os riscos de contaminação. Teríamos um rastreio de pessoas infectadas? Os dados são anonimizados? Outas pessoas poderiam apontar o celular para uma direção e identificar um suposto “contaminado”? Quais as consequências imprevistas destas tecnologias? Quais os impactos destas tecnologias que estão sendo construídas na urgência, considerando que apesar de estarem empenhadas em livrar pessoas da contaminação, tratam dados pessoais sensíveis.

A Presidente do Conselho Europeu de Proteção de Dados (EDPD), Andrea Jelinek, se pronunciou recentemente a respeito do tratamento dos dados pessoais diante deste cenário acarretado pelo covid-19, declarando que: As regras de proteção de dados (como o GDPR) não impedem as medidas tomadas na luta contra a pandemia de coronavírus…”. Em seguida enfatiza: …”o controlador de dados deve garantir a proteção dos dados pessoais dos titulares dos dados. Portanto, várias considerações devem ser levadas em consideração para garantir o processamento legal de dados pessoais. ”

Jelinek, faz considerações a respeito do processamento de dados de comunicação eletrônica, como dados de localização móvel, aos quais são aplicadas regras adicionais. No caso da Europa, alguns regulamentos nacionais determinaram que os dados de localização só podem ser usados ​​pelo controlador quando forem anônimos ou com o consentimento dos indivíduos, obtendo-se assim maior controle e transparência de acesso e compartilhamento desses dados.

Vale a compreensão do que o mundo está pensando no que tange às questões relativas a proteção de dados e o Novo Coronavírus. A Global Privacy Assembly reuniu em uma página um compilado das principais ações, regulamentos, manifestações e recomendações emanadas pelas autoridades de proteção de dados no mundo sobre o COVID-19: https://globalprivacyassembly.org/covid19/

É indisfarçável a necessidade de equilibrar a proteção de dados e o interesse público, lembrando que isso não habilita tratamentos inconsequentes de dados pessoais que possam ferir direitos e liberdades fundamentais, como aplicativos invasivos de classificação de pessoas, ao estilo “Nosedive”…

Posto isso, cabe indagar: Quais são os limites do mapeamento de infectados e os riscos à privacidade? Se os limites são desconhecidos, o que dizer dos impactos?

Sobre o autor

Prof. MSc. José Antonio Milagre, CEO da CyberExperts, advogado especialista em direito digital, e perito em informática, Pós Graduado em Gestão de Tecnologia da Informação, Mestre e Doutorando Ciência da Informação pela UNESP, Pesquisador em Redes Sociais do NEWSDA-BR da Universidade de São Paulo (USP), Presidente da Comissão de Direito Digital da OAB/SP Regional da Vila Prudente, Arbitro fundador da Câmara Internacional de Arbitragem e Mediação em Tecnologia da Informação, E- commerce e Comunicação (CIAMTEC.br). Consultor convidado na CPI de Crimes Cibernéticos – CPICyber do Congresso Nacional. É professor de Pós-Graduação em diversas instituições. Autor pela Editora Saraiva em co-autoria com o Professor Damásio de Jesus, dos livros e “Marco Civil da Internet: Comentários à Lei 12.965/2014” e “Manual de Crimes Informáticos”. É colunista da Rádio Justiça do Supremo Tribunal Federal (STF). Data Protection Officer Certified by EXIN. Fundador do Instituto de Defesa do Cidadão na Internet – IDCI. Site: www.josemilagre.com.br