Dados pessoais no Chile: tudo o que você precisa saber
Um pouco de contexto
Há quem diga que a proteção dos dados pessoais nunca foi regulada no sistema jurídico chileno, mas a realidade é que existe uma falta de atualização normativa, somada a um conjunto de normas espalhadas por diferentes órgãos, nomenclaturas e especialidades. E isso impede que a legislação seja totalmente harmônica.
Isso se deve principalmente a duas razões: a vontade política e, a mais interessante, o desenvolvimento tecnológico. As tecnologias da informação avançaram de forma tão rápida e dinâmica que muitos países precisaram adequar suas normas para dar conta da nova realidade.
Neste mundo hiperconectado, as grandes organizações têm sido reguladas principalmente por normas de países do primeiro mundo e por padrões internacionais que permitem fazer negócios com elas. Por exemplo, uma empresa com capital estrangeiro que tenha ou transfira dados de pessoas da União Europeia necessariamente terá de cumprir o GDPR (Regulamento Geral de Proteção de Dados da Europa, na sigla em inglês), independentemente do lugar geográfico em que esteja ou da regulação local.
O Chile foi pioneiro no tema: em 1999 foi publicada a Lei nº 19.628, Sobre a proteção da vida privada e dos dados de caráter pessoal. Considerando que a primeira conexão à internet —longe do alcance que tem hoje— foi em 1993, essa lei foi uma inovação para a época.
O nome da lei, “Sobre a proteção da vida privada e dos dados”, revela um detalhe interessante sobre a regulação e seus objetivos. Antes dos dados, o legislador via com preocupação a eventual violação de um direito (catalogado como humano). A “vida privada”.
Historicamente, foram dadas muitas definições do que se entende por “privacidade”. É importante separar o mundo anglo-saxão (Estados Unidos/CA, principalmente) da União Europeia.
Estados Unidos: o conceito nasce de uma concepção ligada ao “direito das pessoas de serem deixadas em paz”
União Europeia: a definição se divide em dois direitos:
O primeiro, associado diretamente à dignidade das pessoas como direito humano, de modo que a proteção será contra qualquer violação da dignidade humana.
O segundo, descrito no artigo 7º da Carta dos Direitos Fundamentais, que protege a privacidade e a vida em família e estabelece que “todos têm direito à sua privacidade, à da sua família, ao seu lar e às suas comunicações”.
Então, como definir privacidade sem recorrer a uma definição legal? Com os anos, a definição que mais fez sentido para mim é a de Neil Richards, em seu livro Why Privacy Matters. É tão simples quanto “Privacy is the degree to which human information is neither known nor used”, que poderíamos traduzir como “a privacidade é o grau em que a informação humana não é conhecida nem utilizada”.
Uma lei com base constitucional
A primeira parte da lei, com as disposições gerais, estabelece algo essencial: essa lei se apoia na proteção de dados pessoais estabelecida em nível constitucional. A lei faz referência à Constituição da República do Chile, especificamente ao artigo 19, nº 12, que trata da liberdade de emitir opinião e de informar. Essa é a primeira vez em que a Constituição é mencionada e, para entender bem como a lei funciona, é preciso entender a importância da Constituição.
Em nível nacional, temos uma pirâmide que funciona mais ou menos assim:
No topo da pirâmide está a Constituição.
A Constituição é a lei suprema, a carta magna ou a lei das leis. Acima dela não existe outra norma, e todas as demais normas devem se submeter a ela. No Chile, o texto atual consagra vários direitos, alguns deles fundamentais, que estão no artigo 19, sob o título “A Constituição assegura a todas as pessoas”, e a partir daí são estabelecidos 26 incisos com direitos específicos.
Vários desses artigos e incisos foram modificados depois da entrada em vigor da lei de proteção de dados.
Por exemplo, o artigo 19, nº 1, referente ao direito à vida e à integridade física e psíquica das pessoas, no seu inciso 5º afirma que “[...] o desenvolvimento científico e tecnológico estará a serviço das pessoas e será realizado com respeito à vida e à integridade física e psíquica. A lei regulará os requisitos, as condições e as restrições para sua utilização nas pessoas, devendo resguardar especialmente a atividade cerebral, bem como a informação proveniente dela”.
Em seguida, o mesmo artigo afirma que “O respeito e a proteção à vida privada e à honra da pessoa e de sua família e, da mesma forma, a proteção de seus dados pessoais. O tratamento e a proteção desses dados serão efetuados na forma e nas condições que a lei determinar”. É isso que dá base constitucional à proteção dos dados, algo que só foi modificado em 2018.
Direitos, seu exercício e o pouco conhecimento sobre eles
O principal impacto dessa lei sobre os cidadãos, amparado por uma sentença do Tribunal Constitucional, é a “autodeterminação informativa”, que resume a forma como as pessoas são protegidas da circulação de suas informações pessoais em bancos de dados ou em outro formato.
Aqui aparecem quatro conceitos fundamentais:
Tratamento de dados, registro ou banco de dados, sujeito(s) do tratamento (controlador e prestador do serviço de dados) e dados pessoais.
A distinção pode ser resumida neste quadro:
E o que são dados pessoais? Segundo a lei, “os relativos a qualquer informação referente a pessoas naturais, identificadas ou identificáveis”. E, com “qualquer informação”, nos referimos a todo tipo de dado que se refira ou se vincule a uma pessoa.
Categorias de dados pessoais
Uma das distinções que toda a doutrina aponta é a diferença entre os dados pessoais comuns e os sensíveis, aqueles que, pela sua importância, exigem maior proteção. Dados sensíveis são todos os relativos a origens raciais, opiniões políticas, crenças religiosas e características físicas, como também os relativos à saúde e à sexualidade (que pode incluir outras categorias, dependendo das circunstâncias).
Esses dados são sensíveis porque, se utilizados, podem gerar discriminações arbitrárias, vieses ou riscos graves à segurança ou à integridade de uma pessoa. Por isso mesmo, a legislação é mais rigorosa quanto ao que se pode fazer com eles, ao tipo de consentimento (autorização que exigimos) e à diligência no seu tratamento.
Por outro lado, a lei criou um capítulo especial para o tratamento da informação relativa às finanças, às suas instituições e aos seus registros.
Há quem argumente que isso se deveu à sensibilidade da informação, mas outros —com razão— apontam que foi uma forma de ter mais controle sobre as organizações que possuem dados financeiros.
Direitos e princípios norteadores
Antes de nos concentrarmos no que as organizações devem (ou não podem) fazer com os dados, é preciso revisar os princípios que servem de base para a legitimação do uso dos dados e as exigências feitas às organizações. São eles:
Princípio da legitimação: o tratamento de dados só pode ser realizado quando a lei ou o titular dos dados consentir expressamente. Aqui é possível distinguir conforme a matéria —bancos, saúde etc.— e veremos isso em outro post.
Princípio da licitude e lealdade: o tratamento deve ser de boa-fé e manter o adequado dever de custódia sobre os dados pelos quais se é responsável.
Princípio da transparência: exige que sejam adotadas as medidas necessárias para garantir o conhecimento geral sobre o tratamento, sua finalidade e/ou propósito, o controlador e qualquer outra informação que permita estabelecer garantias para os titulares dos dados.
Princípio da finalidade: os dados não podem ser utilizados para fins diferentes daqueles pelos quais foram coletados.
Princípio da qualidade: entende-se como as condições em que o dado deve ser tratado. Veremos isso em mais detalhe quando falarmos do GDPR.
Princípio do controle: auditar, verificar o que está sendo feito, a razão e os motivos. É um controle sobre o exercício realizado pelo responsável pelo registro.
Se você quiser conhecer os deveres das organizações, continue lendo no post sobre “a organização, o responsável pelo registro e o futuro legislativo”.
