Antecedentes Normativos da GDPR

Antes da implementação do General Data Protection Regulation (GDPR) em maio de 2018, a legislação europeia sobre proteção de dados e privacidade era regida principalmente pelas seguintes normas:

O GDPR foi criado para unificar e fortalecer a proteção de dados na União Europeia, substituindo a Diretiva de Proteção de Dados e harmonizando a legislação de proteção de dados entre os Estados-membros. Ele estabelece requisitos mais rígidos para o processamento de dados pessoais e aumenta significativamente as sanções para o não cumprimento das normas de proteção de dados.

Antecedentes Normativos da LGPD

Por outro lado, os antecedentes legislativos da Lei Geral de Proteção de Dados (LGPD) brasileira podem ser encontrados tanto na legislação nacional quanto nas diretrizes e regulamentações internacionais, incluindo:

Além da influência já aqui narrada da GDPR da União Europeia, que entrou em vigor em maio de 2018, o Brasil também foi inspirado por diretrizes e recomendações internacionais, como as Diretrizes da OCDE (Organização para a Cooperação e Desenvolvimento Econômico) sobre a Proteção da Privacidade e Fluxos Transfronteiriços de Dados Pessoais, que foram adotadas pela primeira vez em 1980 e atualizadas em 2013. Essas diretrizes servem como um conjunto de princípios comuns para os países membros e não membros desta organização, na proteção de dados pessoais e no equilíbrio da privacidade com outros interesses, como a livre circulação de informações, estabelecendo princípios norteadores para a limitação de coleta de dados, limitações sobre o uso, segurança e transparência, responsabilidade, participação pessoal, dentre outros (^{OCDE, 2013}). Estas orientações, que merecem uma atenção maior em outra pesquisa, têm sido um marco importante no desenvolvimento de leis e regulamentações de proteção de dados em todo o mundo, e seus princípios podem ser encontrados tanto na LGPD brasileira, quanto em outras legislações de proteção de dados, como a GDPR europeia.

Semelhanças e Diferenças entre a LGPD da GPDR

Apesar de contextos geopolíticos díspares, no que tange ao texto das normas, a LGPD brasileira e a GDPR europeia compartilham diversas semelhanças, como: ambas as leis aplicam-se não apenas às empresas e organizações estabelecidas em seus respectivos territórios, mas também às organizações localizadas fora de suas fronteiras, desde que processem dados de residentes do Brasil ou da União Europeia; tanto a LGPD quanto a GDPR estabelecem princípios-chave para o processamento de dados pessoais, como legalidade, lealdade, transparência, limitação de finalidade, minimização de dados, exatidão, limitação de armazenamento, integridade e confidencialidade. Ambas as legislações preveem a figura do controlador e do operador de dados e estabelecem suas responsabilidades e obrigações.

Por outro lado, a LGPD e a GDPR exigem que as organizações obtenham o consentimento explícito dos indivíduos para o processamento de seus dados pessoais, com algumas exceções previstas em lei.

Ambas as leis estabelecem os direitos dos titulares dos dados, como o direito de acesso, retificação, oposição, eliminação, portabilidade e informação sobre o processamento de seus dados pessoais.

Os dois regulamentos previam a criação de autoridades nacionais de proteção de dados com o objetivo de supervisionar e aplicar as respectivas leis. No Brasil, a Lei n° 13.709, de 14 de agosto de 2018, criou a Autoridade Nacional de Proteção de Dados (ANPD), dentre outras previdências. Na Europa, O Comitê Europeu para a Proteção de Dados (CEPD) foi criado pela própria GDPR. O comitê é composto pelos representantes das autoridades nacionais de proteção de dados de todos os Estados-Membros da UE e tem como objetivo garantir a coerência na aplicação do regulamento de proteção de dados em toda a ue, bem como promover a cooperação entre as autoridades nacionais de proteção de dados.

Muito embora a LGPD e a GDPR compartilhem muitos aspectos e princípios comuns, existem inúmeras diferenças entre os regulamentos, originárias das particularidades que refletem o contexto legal, cultural e político específico de cada região.

No que diz respeito à abrangência geográfica, apesar de o GDPR se aplicar a todos os membros da União Europeia, e a LGPD ser uma lei federal brasileira, ambas as leis têm efeitos extraterritoriais, ou seja, se aplicam a entidades internacionais que oferecem serviços ou coletam dados de indivíduos nos respectivos territórios.

Ambas as leis exigem uma base legal para o tratamento de dados pessoais: o GDPR prevê seis bases legais, incluindo o consentimento, o cumprimento de obrigações legais, a execução de um contrato, a proteção de interesses vitais, o interesse público e o interesse legítimo; a LGPD lista dez bases legais, que são similares às do GDPR, mas incluem algumas especificidades, como a proteção à saúde e a realização de estudos por órgãos de pesquisa.

O GDPR estabelece autoridades de proteção de dados em cada país membro da União Europeia e não unicamente uma supranacional. Autoridades de proteção de dados: A GDPR exige que os países membros da ue tenham autoridades de proteção de dados independentes. No Brasil, a LGPD criou a Autoridade Nacional de Proteção de Dados (ANPD), que era vinculada à Presidência da República. Transformada em autarquia com status de agência reguladora em outubro do ano passado por meio do Decreto N° 11.348, de 01 de janeiro de 2023. Assim, embora seja autônoma, não é completamente independente do Governo Federal.

O GDPR exige a nomeação de um Encarregado de Proteção de Dados (DPO) em determinadas circunstâncias, como quando a organização realiza tratamento de dados em larga escala, trata dados sensíveis ou monitora sistematicamente indivíduos. A LGPD, por sua vez, exige que todas as organizações nomeiem um DPO, independentemente do tamanho ou natureza dos dados tratados.

O GDPR exige que as violações de dados sejam notificadas às autoridades de proteção de dados em até 72 horas após a descoberta. A LGPD não estabelece um prazo específico, mas determina que a notificação deve ocorrer em um prazo razoável, a ser definido pela ANPD.

Os dois regulamentos definem e protegem dados sensíveis, mas a GDPR tem uma lista mais ampla de categorias, incluindo dados biométricos e genéticos, enquanto a LGPD tem uma lista mais limitada, com uma abordagem mais focada em informações que podem levar à discriminação. Ambas exigem o consentimento explícito do titular dos dados para o processamento de suas informações sensíveis, salvo algumas exceções, como cumprimento de obrigações legais, proteção da vida, tutela da saúde, entre outras. As leis estabelecem que o consentimento deve ser claro, informado e específico quanto ao propósito de processamento desses dados.

Apesar dessas diferenças na categorização de dados sensíveis, ambos os regulamentos buscam proteger informações que podem levar à discriminação ou a outros danos aos titulares dos dados, e impõem requisitos mais rigorosos em relação ao consentimento e às condições para o tratamento desses dados.

A responsabilidade civil dos provedores no Brasil

O Marco Civil da Internet (Lei n° 12.965/2014) surgiu, em um passado não muito distante, para regulamentar os direitos dos usuários da internet, assegurando a inviolabilidade da intimidade, assim como a inviolabilidade da vida privada. Essa lei foi desenvolvida a partir da colaboração de vários setores da sociedade e conta com 32 artigos. Ao longo de todos eles, há a presença de direitos e deveres no Direito digital, além de, claro, dispor sobre a responsabilidade e sobre os provedores de acesso. Isso se percebe a partir da leitura do artigo 11. Nele, o princípio da privacidade foi protegido. Portanto, a lei tem como foco principal a inviolabilidade da vida privada e da intimidade, mesmo que na internet. Muitos entendem que a liberdade de expressão foi posta em segundo plano, visto que há um grande foco em proteger os dados pessoais no âmbito da rede de computadores. Todavia, a intenção do MCI é proporcionar aos usuários mais proteção no armazenamento dos dados pessoais. Na referida lei também está presente o conceito de provedor de conexão e provedor de aplicações de internet. Os provedores de aplicações são pessoas que fornecem as funcionalidades que serão acessadas por meio da conexão com a internet. Resumindo, ele proporciona aos usuários várias funções, como, por exemplo, o armazenamento de dados e disponibildiade de conteúdos.

Nota-se que a Lei n° 12.695/2014 foi a lei pioneira a tratar sobre o uso dos dados pessoais dos usuários. A lei dispôs sobre a obrigação que os provedores de acesso tinham para assegurar a boa utilização dos dados. O Marco Civil trouxe, portanto, segurança jurídica a partir de sua vigência, visto que no Brasil não havia qualquer regulamentação para o assunto. Muitas críticas surgiram com a ascensão do MCI, pois grande maioria acreditava que a lei traria restrição para liberdade.

O MCI focou em delitos praticados apenas online, os chamados crimes cibernéticos. Ele foi responsável por estabelecer garantias e direitos, como da liberdade de expressão e da proteção à vida privada. Analisando a norma, vemos que foi uma forma de regulamentar as questões virtuais que envolvessem o Direito. Foi um meio que a legislação achou para se adaptar à evolução digital e proporcionar aos usuários da internet maior proteção no que diz respeito aos seus dados.

Diferente do que muitos achavam, a Lei n° 12.695/2014 não queria restringir direitos, mas sim garantir direitos que até então não eram existentes. A nova norma se fundamentava na regulamentação da internet, a qual tinha o dever de garantir a aplicação dos princípios, como, por exemplo, os direitos humanos. O foco sempre foi a existência de uma rede de computadores que garantisse a liberdade, mas acima de tudo, os direitos humanos.

O Marco Civil trouxe alguns direitos e garantias aos usuários no que tange à inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação; inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei; e aplicação das normas de proteção e defesa do consumidor nas relações de consumo realizadas na internet.

Além disso, o Marco Civil da Internet dispõe sobre a pluralidade e a diversidade, diante do alcance que a internet tem. Com a enorme integração entre povos e a integração entre as tecnologias, o MCI se preocupou em assegurar o que nunca deve ser esquecido, a dignidade da pessoa humana. Cabe ressaltar que os princípios contidos na referida lei, são exemplificativos, desse modo, não há a exclusão de outros princípios previstos no ordenamento jurídico.

Mesmo com o avanço trazido pelo Marco Civil da Internet, muitos pontos ficaram vagos. O intuito da lei jamais foi censurar ou impedir a liberdade de expressão, por isso, o artigo 19 da Lei n° 12.695/2014 expressa que o provedor de aplicações será responsabilizado por danos causados por terceiros apenas se descumprir ordem judicial específica, ou seja, apenas se não tomar as providências cabíveis. Todavia, esse artigo recebe duas críticas.

A primeira delas diz respeito à via judicial. Para os críticos desse artigo, impulsionar a via judicial pra solucionar esse tipo de problema é horrível, visto que os conteúdos são espalhados com grande facilidade com a globalização. Além disso, a restauração dos danos causados à privacidade demoraria de maneira significativa, visto que a via judicial é sempre demorada e isso retarda e inviabiliza a reparação do dano.

Outro ponto importante para se questionar é quando o artigo dispõe a condição de que será responsabilizado no âmbito e nos limites técnicos do seu serviço. Analisando essa parte do dispositivo, entende-se que é uma excludente de responsabilidade, rompendo, portanto, o nexo causal. Por exemplo, se o provedor de acesso conseguir provar que a retirada é inviável ou que não está mais no limite do seu serviço técnico, haverá a exclusão da responsabilidade civil.

Quando paramos para entender a influência do MCI, faz-se necessário analisar o sistem norteamericano. Como dispõem Barreto Júnior e Leite:

Na década de 1990, nos Estados Unidos da América, houve um grande boom de compartilhamento de conteúdos, o que gerou problemas, a princípio, de ofensa aos direitos autorais, que culminaram em demandas excessivas e sem precedentes contra os provedores de internet. Esse fato fez com que surgisse a necessidade de um regramento específico para o setor, sendo, em seguida, editada a diretiva Digital Millenium Copyright Act, que tratava não só dos direitos autorais, mas também de demais atos ofensivos aos usuários, inclusive os causados por terceiros. Essa diretiva acabou por criar imunidades para os provedores, a chamada zona de conforto (safe harbor), que restringiu a responsabilidade dos provedores, tornando-a subsidiária e subjetiva, aplicável apenas em casos de omissão dos detentores de redes sociais, páginas e websites, quando notificados e inertes em retirar o conteúdo ofensivo do ar, ou bloquear o seu acesso. Esse é o chamado sistema notice and take down, que considera válida a notificação extrajudicial, feita diretamente pelo usuário. (²⁰¹⁷, p. 431)

Diante do exposto, nota-se que o MCI adotou tanto o sistema norte-americano, quanto o sistema europeu em relação às imunidades disponibilizadas para os provedores de acesso. No entanto, o sistema notice and take down foi deixado de lado, o que foi prejudicial para o usuário ofendido, visto que ele passou a ser obrigado a procurar o poder judiciário para validar a notificação. Isso foi um grande retrocesso para os usuários atingidos pela rede de computadores.

Por isso, para muitos doutrinadores, a Lei n° 12.695/2014 já surgiu com esse grande problema, que obviamente poderia ser evitado. Dificultou muito para o usuário ofendido, trazendo mais ônus do que bônus, além de prolongar o processo. No que diz respeito à responsabilidade dos provedores por ato ilícito praticado por eles mesmos, é mais fácil o entendimento, visto que eles responderão de maneira objetiva se for uma relação de consumo.

Portanto, mesmo sendo um grande avanço para a sociedade atual, regida pela tecnologia e informação, o Marco Civil da Internet precisava percorrer um longo caminho para suprir outras necessidades também existentes na rede de computadores e acabar com as críticas específicas em determinados artigos. Era preciso priorizar maior proteção e segurança ao usuário da internet.

Porém, no que diz respeito aos dados pessoais, ao tratamento que esses dados devem receber e à responsabilidade civil para quem descumprir a norma, o MCI falhou, porque ele não dispôs sobre o destino e a comercialização dos dados pessoais. Nesse sentido surge a Lei Geral de Proteção de Dados (LGPD), a segunda lei a ser analisada na minha pesquisa. Ela veio justamente para suprir essas lacunas. A LGPD cria diretrizes que se aplicam tanto nas relações on-line quanto nas off-line, diferente do MCI, que tinha como principal objetivo dispor sobre direitos e garantias para os usuários da internet.

No Brasil, o art. 7° da Lei n° 12.965/2014, enumera diversos direitos dos usuários de Internet em relação direta com a proteção à privacidade, reverberando preceitos constitucionais. O primeiro ressalta a proteção à intimidade e a vida privada, assegurando a indenização por danos materiais e morais decorrentes de sua violação, em mera repetição do inciso X, do art. 5°, da Constituição Federal.

A Carta Magna não especificou em seu texto sobre os dados digitais, hoje tão discutidos. O artigo 5°, inciso X, da Carta Magna, afirma que a intimidade é inviolável, sendo assegurado o direito à indenização pelo dano material ou moral decorrente de sua violação. O sigilo telefônico também é assegurado no inciso posterior.

Com o passar dos anos e com o avanço tecnológico e do Direito digital, já não era suficiente a proteção contida na Constituição brasileira, sendo de suma importância a existência de uma nova regulamentação, a fim de que as informações pessoais tivessem maior proteção, evitando assim, o repasso de informações pessoais sem autorização do titular.

O fundamento do Código de Defesa do Consumidor (CDC), no que diz respeito à responsabilidade, se baseava unicamente no dever de segurança que o fornecedor tinha em relação aos produtos que seriam utilizados pelos consumidores. O Direito comparado foi muito usado nesse sentido, pois a responsabilidade no Direito digital sempre buscava se basear no CDC e no Código Civil. A doutrina e jurisprudência tendiam a inclinar para a adoção de responsabilidade objetiva, a partir da atividade perigosa ou de risco a qual os provedores se submetiam. Conforme preleciona Simão Filho:

As decisões judiciais vez por outra estão conferindo espécie de responsabilidade ilimitada aos intermediários técnicos, seja na aplicação do Código de Defesa do Consumidor ou nas disposições do novo Código Civil, o que demanda um olhar atento aos precedentes encontrados e uma análise crítica sob diversos pontos (2007, p. 49).

O que era parcialmente regulado pelo Marco Civil, foi melhorado com a LGPD brasileira, consolidando de uma vez a proteção dos dados pessoais. O legislador brasileiro só se preocupou em regular de maneira efetiva a proteção de dados pessoais em 2018. Claro que já existiam outras normas que tratavam do tema, mesmo que de maneira sucinta, como o Código de Defesa do Consumidor, o Marco Civil da Internet, entre outras. No entanto, somente com a LGPD, passou-se a dar um novo resguardo ao indivíduo titular dos dados, tornando-o protagonista das relações jurídicas.

Como se percebe, o direito à proteção dos dados pessoais, portanto, já era debatido antes mesmo da vigência da LGPD. A Constituição da República de 1988, o Código Civil de 2002, o Código de Defesa do Consumidor e o Marco Civil da Internet já apresentavam disposições sobre o assunto, sendo a LGPD uma complementação e ajuste, se baseando na atualidade e nas novas adaptações que precisavam ocorrer com o avanço tecnológico.

A LGPD faz com que o usuário tenha o poder de escolha, isso ocorre porque tem que ter o consentimento dele para praticamente todas as ações envolvendo o tratamento de dados. Isso é muito importante, porque se esses dados são vazados a pessoas ou empresas não autorizadas, isso pode trazer sérias consequências, gerando danos à privacidade, à imagem e consequentemente acarretar danos morais e patrimoniais, como ocorreu com o Facebook. Por isso a importância de criar outra lei que seja específica nesse assunto, pois assim há a garantia de maior segurança no que tange aos dados pessoais dos usuários.

Com a ^{Lei n° 13.709/2018}, o Brasil entrou para a lista dos países que têm legislação própria para proteção de dados pessoais, surgindo maior vigor em relação ao tratamento dos dados sensíveis, já especificados em tópico anterior. Tais dados só poderão ser armazenados com o consentimento expresso dos usuários. Em seu artigo 12, há uma exceção à proteção dos dados quando estes dados forem anônimos. Vale ressaltar que, mesmo nesses casos, poderá ocorrer a reversão dessa situação e esses dados, que até então são anônimos, serão considerados pessoais e deverão ser protegidos. Outra situação interessante trazida pela LGPD recai sobre as medidas adotadas para proteção dos dados.

De acordo com a referida lei, é dever do controlador e do operador dos dados adotar medidas a fim de que os dados pessoais utilizados sejam protegidos. Essa obrigação ainda ganha uma ampliação e atinge até mesmo as pessoas que intervirem, de alguma forma, no processo de tratamento dos dados. Assim, nota-se que a LGPD foi bem pensada, de modo a ampliar o rol dos envolvidos nas obrigações, trazendo mais segurança aos dados fornecidos pelos usuários.

Conforme pode-se verificar no artigo 7° do texto da lei, será proibido utilizar os dados pessoais se forem para uma finalidade diversa daquela que foi previamente acordada com o cliente, ou seja, o usuário tem direito de escolha com a nova lei. Ou seja, o usuário deve estar plenamente ciente da finalidade daquele uso dos dados. Diante dessas mudanças no cenário de tratamento de dados pessoais, as empresas estão se atentando mais para isso, promovendo políticas cada vez mais transparentes sobre o uso, coleta e armazenamento de dados.

Para que haja uma proteção eficiente, em seu capítulo VIII , a lei estabeleceu algumas sanções para quem descumprir as obrigações impostas. Como já foi analisado anteriormente, o CDC teve uma grande importância no contexto da responsabilidade civil dos provedores de acesso. A nova lei surgiu para complementar as normas anteriores e está diretamente relacionada com a defesa do consumidor.

É preciso dispor que a ideia de usar a responsabilidade objetiva, aplicada no Direito do Consumidor, teria suas falhas de modo natural, visto que as pretensões dos institutos jurídicos citados eram diferentes das pretensões do direito digital. O que ocorria era a tentativa de aplicar regras que eram boas para outras épocas, a fim de preencher as lacunas existentes no MCI. São contextos diferentes, portanto era inevitável haver divergências de entendimento no que diz respeito a responsabilidade civil dos provedores de acesso.

A responsabilidade civil está disposta na Seção III do Capítulo VI da referida lei. Ali também está expresso sobre o ressarcimento dos danos. O artigo 42 é de suma importância para esse estudo, além dos artigos seguintes. O artigo 46 estabelece, por exemplo, que todos agentes de tratamento devem adotar medidas de segurança, sempre visando à proteção dos dados pessoais dos usários. A responsabilidade civil entra em ação quando há violações das normas jurídicas e técnicas. Quando é causado dano ao titular dos dados, é preciso usar esses artigos para solucionar o caso e reparar os danos.

Por se tratar de um tema teoricamente recente, ainda há muita divergência em relação à responsabilidade civil para os provedores de acesso e de informação. Como já vimos, diante da ausência de normas que perdurou por anos, a doutrina e a jurisprudência se baseava no CDC. Portanto, com o surgimento de uma norma específica, a responsabilidade civil no âmbito do direito digital passou a ser regulada nos artigos 42 a 45 da LGPD. Houve uma inovação trazida pela lei de dados, pois surgiu a figura dos agentes de tratamento, os mais novos responsáveis pelo tratamento de dados, os quais apresentam diversos deveres. Assim, a responsabilidade civil tem seu início na atividade de proteção de dados.

A lei também é responsável por distinguir as responsabilidades dos agentes e de terceiros, as possibilidades de exclusão de responsabilidade e conceitua a responsabilidade solidária, antes não discutida. Como estabelece o artigo 5° da LGPD, os responsáveis pelo tratamento dos dados pessoais correspondem ao controlador, que decide sobre o tratamento de dados, e ao operador, que é o responsável por executar o tratamento de dados. Tanto um quanto o outro deverão obedecer aos artigos 42 ao 45 da referida lei, sendo possível a inversão do ônus da prova, assim como ocorre no CDC.

Com a disposição expressa da responsabilidade civil para os provedores de acesso e aplicação, surgiram algumas correntes que divergem sobre o tema. A discussão gira em torno da possível responsabilidade tendo como base a culpa. Uma das correntes doutrinárias entende que a responsabilidade é sim objetiva, portanto, deve-se levar em consideração o risco da atividade, deixando de lado a subjetividade da intenção do agente. A outra corrente divergente afirma que é preciso observar a culpa do agente, diante das diversas obrigações que foram colocadas na lei.

No que tange à responsabilidade objetiva, é preciso dispor sobre as duas teorias que predominam no nosso ordenamento jurídico. A primeira diz respeito ao risco da atividade. Essa teoria é adotada tanto pelo Código Civil quanto pelo Código de Defesa do Consumidor. Com essa teoria, é possível existir as excludentes de responsabilidade, as quais rompem completamente o nexo causal entre a conduta e o resultado. Em sentido oposto, a segunda teoria da responsabilidade é voltada para o risco integral e, nesse caso, não são admitidas as excludentes de responsabilidade civil. Independente da culpa exclusiva da vítima, por exemplo, sempre haverá a responsabilidade. Essa teoria é bastante utilizada no direito ambiental.

Neste sentido, conclui Mulholland:

[...] apesar do uso de expressões diversas em sua redação, tanto o artigo 42, quanto o artigo 44, da LGPD, adotam o fundamento da responsabilidade civil objetiva, impondo aos agentes de tratamento a obrigação de indenizar os danos causados aos titulares de dados, afastando destes o dever de comprovar a existência de conduta culposa por parte do controlador ou operador. (²⁰²⁰)

Entende-se, portanto, que a teoria utilizada é a do CDC, conhecida como teoria do risco, visto que a atividade que é desenvolvida pelos agentes que fazem o tratamento de dados é de risco. O legislador levou em consideração o risco que a atividade do tratamento de dados gera por si só, todavia, possibilitou que a responsabilidade fosse relativizada, conforme trata o artigo 43 da LGPD.

Mas porque é viável utilizá-la nas relações de consumo? O motivo por esse tipo de principalmente objetiva ser usada, principalmene no CDC, se justifica pela vulnerabilidade e hipossuficiencia do consumidor. O que também acaba acontecendo em relação aos usuários da internet. É nítido que os dados dos usuários são expostos com frequência. Portanto, mesmo que a LGPD não deixe explícito que a responsabilidade civil pode sim ser objetiva, parte da doutrina conclui que esta será.

Portanto, o maior argumento utilizado por parte da doutrina que entende que a responsabilidade dos agentes de tratamento é objetiva é porque a atividade que eles exercem é de risco. São riscos inerentes à atividade e resultam em danos aos usuários titulares dos dados. Além disso, por causarem danos até mesmo coletivos, é muito justificável a adoção dessa responsabilidade civil. Danilo ^{Doneda (2006)} é um dos doutrinadores que entendem dessa maneira.

A outra parte da doutrina que entende que a responsabilidade civil no caso dos agentes provedores de acesso e informação é subjetiva, tendo como base os próprios artigos da lei. De acordo com o entendimento de grande parte dos autores, cabe essa teoria porque na própria omissão de medidas de segurança o agente já está agindo com culpa, nesse caso por negligência. Acontece o mesmo com o des- cumprimento das obrigações impostas pela LGPD. Nesse caso também ocorre a culpa. Esse é o entendimento de Gisela Guedes e Rose Meireles (2020), por exemplo.

A responsabilidade civil dos provedores na Europa

O GDPR (Regulamento Geral sobre a Proteção de Dados) estabelece várias responsabilidades para os provedores de serviços da Internet que processam dados pessoais de indivíduos na União Europeia. Algumas das principais responsabilidades, cujas discussões demandam um aprofundamento em outras pesquisas, incluem: obter consentimento explícito dos indivíduos para processar seus dados pessoais, e informá-los claramente sobre como seus dados serão usados; proteger dados pessoais que processam e implementar medidas de segurança apropriadas para garantir que esses dados sejam mantidos seguros; nomear um encarregado de proteção de dados (DPO), pessoa responsável por supervisionar a conformidade com a GDPR; responder a solicitações de indivíduos para acessar, corrigir ou excluir seus dados pessoais; notificar as autoridades relevantes e os indivíduos afetados em caso de violações de dados que possam representar um risco para os direitos e liberdades dos indivíduos.

Implementar proteção de privacidade desde o design: Os provedores de serviços da Internet devem implementar proteção de privacidade desde o design de seus serviços, garantindo que a privacidade seja levada em consideração desde o início.

Essas são apenas algumas das responsabilidades dos provedores de serviços da Internet sob a GDPR. A conformidade com a GDPR é importante para garantir a proteção dos direitos de privacidade dos indivíduos e para evitar possíveis penalidades financeiras e reputacionais.

A responsabilidade civil dos provedores de informações ganhou destaque em alguns países, especialmente na União Europeia, onde várias decisões judiciais foram proferidas sobre o tema. Um marco importante na evolução da responsabilidade civil no que tange aos provedores de serviços de internet, tratou do chamado direito ao esquecimento. Em 2014, o Tribunal de Justiça da União Europeia (TJUE), que interpreta o Direito europeu para garantir que este seja aplicado da mesma forma em todos os países da União Europeia, julgou o Google Spain SL e Google Inc. contra a Agencia Española de Protección de Datos (AEPD) e Mario Costeja González, decidindo que os indivíduos têm o direito de solicitar a remoção de links para informações pessoais desatualizadas ou irrelevantes em motores de busca como o Google. Neste caso, um cidadão espanhol, Mario Costeja González, solicitou que informações sobre um leilão de imóveis relacionado ao seu nome fossem removidas do Google, pois a dívida havia sido resolvida há muito tempo e a informação era prejudicial à sua reputação. Essa decisão influenciou diretamente a inclusão do direito ao esquecimento na GDPR, formalizando o direito ao esquecimento no âmbito legal europeu (^{União Europeia, 2014}).

Posteriormente, o caso Delfi AS versus Estonia, uma das maiores plataformas de notícias online na Estônia, foi responsabilizada pelos comentários difamatórios postados por usuários em seu site. O tribunal nacional estoniano, e posteriormente o TEDH - Tribunal Europeu dos Direitos Humanos, sustentaram que a Delfi deveria ter exercido maior controle e moderação sobre os comentários postados em sua plataforma, particularmente porque a empresa tinha o potencial de ganho financeiro através da atração de mais tráfego para o seu site. O estudo deste caso se tornou interessante para esta pesquisa porque, além um estímulo à moderação dos assuntos, ao responsabilizar as plataformas por comentários de usuários, a decisão poderia encorajar uma moderação mais pró-ativa e responsável do conteúdo, ajudando a prevenir a difusão de informações falsas e discursos de ódio (^{União Europeia, 2015}).

Assim, este caso representa uma tentativa significativa de equilibrar os direitos individuais com a liberdade de expressão na era digital. No entanto, ele também levanta questões críticas sobre a extensão da responsabilidade das plataformas online e as implicações para a liberdade de expressão e o debate público. É um caso que serve como um precedente importante, mas também um que pode necessitar de revisitação à luz das mudanças rápidas no ambiente online.

Importante da mesma forma foi o caso Glawis- chnig-Piesczek versus Facebook Ireland Limited. Eva Glawischnig-Piesczek, uma política austríaca, exigiu que o Facebook removesse comentários difamatórios postados por um usuário em sua plataforma. A questão central era se o Facebook poderia ser obrigado a remover não apenas a postagem específica em questão, mas também outras postagens “equivalentes”, e se tais ordens poderiam ter um alcance global. (^{União Europeia, 2018}). Da mesma forma, a decisão destaca a necessidade de as plataformas de mídia social assumirem uma responsabilidade maior na moderação de conteúdo, incentivando-as a serem mais proativas na identificação e remoção de conteúdo ilegal.

Juntos, esses casos representam uma tendência crescente na Europa de impor obrigações mais rigorosas aos provedores de internet, para proteger os direitos dos indivíduos contra danos e garantir a legalidade do conteúdo disponível online.

Ao contrário da opinião predominante na Europa, Piraino (2018), aponta que a disciplina em questão não constitui um caso de responsabilidade extracontratual, mas estabelece a regulação de uma esfera de licitude de ação em favor dos ISPs. De forma contrária, ^{Tosi (2019)}, defende a natureza extracontratual da responsabilidade pelo ilícito do tratamento de dados pessoais.

Esses julgamentos delineiam um caminho de crescente reconhecimento da responsabilidade dos provedores de internet, com uma atenção cada vez maior à proteção dos direitos individuais em um ambiente digital que está em constante evolução. Eles demonstram também uma adaptação e uma resposta normativa dinâmica às complexidades apresentadas pelo espaço digital.

Sob a GDPR, conforme seu artigo 82°, os provedores têm a responsabilidade de garantir a proteção dos dados pessoais que processam. Eles são obrigados a implementar medidas técnicas e organizacionais adequadas para garantir e demonstrar que o processamento de dados está em conformidade com o regulamento.

Entretanto, percebe-se que, aproximadamente vinte anos após a União Europeia estabelecer suas primeiras normas de proteção de dados, ainda persistem dúvidas cruciais sobre a essência e o alcance dessa política da UE, bem como sobre os prejuízos que ela visa evitar (^{Lynskey, 2015}).

Esta pesquisa detalha a responsabilidade dos controladores de dados e processadores em caso de violação das regras de proteção de dados e estabelece o direito de compensação para os titulares dos dados (^{Tescaro, 2017}). A inclusão da responsabilidade solidária é particularmente significativa, pois visa garantir que os titulares dos dados possam efetivamente receber uma compensação, mesmo que a responsabilidade pelo dano seja compartilhada por várias partes. Além disso, o artigo prevê a possibilidade de um direito de recurso, permitindo a distribuição justa da responsabilidade entre as partes envolvidas.

Entretanto, como pondera Arroyo Amayuelas, “De momento, la tendencia es ampliar las obligaciones de control preventivo, siguiendo la estela de decisiones (contradictorias) de los tribunales nacionales que han contribuido a la confusión sobre el nivel de diligencia que debían tener para proteger su puerto seguro” (p. 836, 2020). Por outro lado, Martínez e Porcelli, em defesa dos provedores de internet, salientam que se as suas responsabilidades fossem estabelecidas de forma ampla e indiscriminada, a continuidade da internet poderia estar em risco:

[...] porque es imposible para cualquiera de ellos hacerse responsable por todas las cosas dañosas que se digan en la red y por sus eventuales consecuencias económicas; además existe una imposibilidad tecnológica de controlar, por la cantidad, la información que se encuentra en el servidor, siempre y cuando no tenga conocimiento del hecho dañoso, en virtud de una notificación o reclamo previo del interesado, en tal caso reaparece el deber jurídico de removerlo (^{MARTÍNEZ e PORCELLI, p. 167, 2015}).

Ao mesmo tempo, este artigo serve como um mecanismo de dissuasão forte, incentivando os controladores de dados e processadores a cumprir rigorosamente as disposições do GDPR, dado o risco financeiro significativo associado às violações de dados.