Os Estados da União Europeia deveriam reformar a regulamentação de proteção de dados para se adequarem melhor à nova realidade imposta pela intenet 2.0, diz David Erdos.

Desde de fins da década de 1960, a ideia de proteção de dados (PD) vem se desenvolvendo como reação ao medo, particularmente expressivo na Europa, de que o uso não normatizado de computadores pudesse ameaçar de forma inaceitável os indivíduos, principalmente em relação a questões como autonomia, dignidade e privacidade. Já se passaram mais de trinta anos desde que a primeira legislação transnacional sobre PD, o Council of Europe Convention, foi aprovada. Naquela época, os riscos impostos por computadores era visto por muitos, de forma compreensiva, como extremamente hipotético, especialmente no Reino Unido e nos Estados Unidos. Além disso, a PD era vista como um assunto técnico que deveria estar restrito a especialistas que gerenciavam sistemas de larga escala tanto no setor público quanto no privado.

Desde então, a situação mudou completamente. Hoje em dia, o poder dos computadores, tanto para o bem quanto para o mal, tornou-se não somente enorme, mas também difuso. Hoje, um indivíduo que tenha acesso a um computador portátil comum tem muito mais poder de processamento do que os donos de máquinas industriais tinham há trinta anos. Além disso, ele ou ela pode, através da internet, compartilhar informações sobre outros de forma instantânea e irrevogável, o que às vezes ocorre com consequências devastadoras. Ao mesmo tempo, gigantes da internet como o Google estão desenvolvendo produtos cada vez mais sofisticados que podem fazer com que indivíduos com algum passado – ou mesmo quem está simplesmente procurando a solidão – sintam que não há mais lugares onde se esconder no mundo. O problema da proteção real e efetiva de dados de indivíduos nunca foi tão grande, e a tendência é que aumente cada vez mais.

Foi diante desse contexto que a Comissão Europeia recentemente propôs o Data Protection Regulation para regular essa questão sob uma perspectiva pan-europeia. A proposta de instrumento regulatório é construída a partir da atual legislação que aparece em meio à Data Protection Directive firmada em 1995 (e a convenção mencionada acima), mas com um nível mais alto de proteção comum, menos possibildiades em relação a abordagens nacionais divergentes e uma ênfase muito maior no cumprimento efetivo da lei.

No entento, um dos problemas-chave desse pacote proposto é que ele não consegue atacar dois problemas estruturais do regime atual — sua grande abrangência e as muitas restrições gerais em relação ao direito de “receber e comunicar informações e ideias sem sofrer interferência de autoridades públicas independemente de qualquer fronteira” (Artigo 10, Convenção Europeia). Ou seja, tanto a legislação atual quanto a que está em discussão vão valer para toda e qualquer informação “relativa a” um indivíduo indentificado ou identificável.

Já foi sugerido que essa legislação valha até para informações inócuas de domínio público como informações sobre autor e título de livros inseridas em catálogos de bibliotecas (Ticker, 2001, p. 7), informações sobre pessoas falecidas e imagens de objetos inanimados como apartamentos que podem ser ligados por terceiros a indivíduos identificáveis. (Uma combinação de uma legislação bem concebida e uma interpretação judicial robusta tem evitado que o Reino Unido sofra com a espansão desse tipo de abordagem até o momento, mas uma solução ad hoc como essa certamente não seria possível em uma regulação harmonizada.)

As regras gerais que governam o processamento de informações não são igualmente inspiradoras, mas se tornariam mais fortes com a aprovação do novo marco regulatório. Nesse sentido, o Aritgo 14 especifíca que pelo menos nove informações diferentes devem ser fornecidas quando a informação é recolhida diretamente de sujeitos. Aqui, deve-se ressaltar que com esse propósito até mesmo sacar uma foto de alguém pode ser considerado como recolhimento direto de informação (p.21). Além disso, na ausência de expressão e consentimento revogável do sujeito da informação, a transferência de informação de um país a outro que não tenha sido especificado pela comissão como país com “nível adequado de proteção de dados” irá, de acordo com o Capítulo V, requerer de forma geral ao menos uma notificação e frequentemente uma autorização de uma autoridade nacional de proteção de dados.

Ao mesmo tempo, o processamento de informações pessoais que revelem, por exemplo, opiniões políticas ou religiosas; crenças ou mesmo origens étnicas ou raciais (que muitos tribunais europeus já sugeriram que poderia incluir fotos em cores) serão banidas, de forma geral, ao menos que o sujeito dê seu consentimento expresso  ou quando a informação for “manifestada publicamente” pelo indivíduo (a tensão contínua deste podendo potencialmente abrir caminho para indivíduos poderem retirar tal informação do domínio público posteriormente). É claro que muitas dessas ações já estão inseridas na atual legislação. Mas então seria legítimo perguntar como tantas atividades de processamento feitas pelo setor privado puderam não somente continuar, mas expandir significativamente.

A verdade, ainda que impalatável, é que desde o princípio essas legislações foram rotineiramente e necessariamente ignoradas, cumpridas de forma equivocada e/ou não cumpridas. Como o professor Lucas Bergkapm argumenta concisamente, “a indústria europeia pode sobreviver sob esse regime somente pelo fato de a lei não ser cumprida. A proteção de dados concebida atualmente pela UE é uma falácia” (2001, p. 31). Mas isso, em um modus vivende insatisfatório ou instável poderia sofrer uma pressão significativa resultante da proposta de sanção, prevista na regulação, de violações de inúmeros elementos da estrutura básica da legislação com multas compulsórias que chegam a 1 milhão de euros ou até 2% do ganhos anuais da empresa no mundo todo (que no caso de conglomerados como Google ou Facebook chegariam certamente a mais de 1 milhão de euros).

É importante ressaltar nesse ponto, que ao equilibrar essa característica severa, o Artigo 83 da regulação afirma que os Estados que são membros da União Europeia devem fornecer isenções para processamento de informações “com fins apenas jornalísticos, artísticos ou de expressão literária com o intuito de reconciliar o direito à proteção de dados pessoais com as regras de liberdade de expressão”. (Isenções consideravelmente mais limitadas são dadas à “pesquisa” no Artigo 82 e de forma opcional para “os direitos e liberdades dos outros” no Artigo 21.1.) Em primeiro lugar, não está claro quais atividades podem ser consideradas “apenas” jornalísticas, artísticas e/ou literárias. Seguindo a lógica desenvolvida na decisão da Corte Europeia de Justiça (CEJ) em 2008, o Recital 121 estabelece que essas expressões devem ser interpretadas de forma “ampla”.

Mas até mesmo depois da internvenção da CEJ há uma notória falta de consenso na Europa se atividades tão variadas como investigações acadêmicas, discursos de políticos, websites que fazem avaliações, serviços de mapeamento e motores de busca podem ou não ser considerados sob tais proteções. Ainda mais problemático são as isenções dadas a PD, que são muito divergentes entre os países da União Europeia. Aproximadamente 20% dos Estados da UE não dão isenções (ou são muito poucas) em relação a essa questão — e a liberdade de expressão está incluída nesse generalizado desrespeito à lei. Em outros 20% dos países, aproximadamente, as leis dão quase total isenção de PD – uma liberalidade que ocorre sem justificativa tendo em vista o grande perigo que a disseminação inapropriada de informações pode gerar nos sujeitos.

Ao mesmo tempo, as diculdades de determinar que lei nacional é aplicável a atividades expressivas online de forma concreta  tem se tornado cada vez mais agudas. Nenhuma dessas abordagens extremas foram previstas pelos arquitetos da diretiva de 1995. Mas a despeito desse fato, ele foram autorizados a continuar. E, ao menos da forma como está o projeto atual, a lei não se tornará mais clara em relação a essa questão. Na verdade, a confusa interface entre PD e liberdade de expressão pode ficar prejudicada como resultado de um crescente desafio imposto pela mudança socio-tecnológica.

Nada disso deve sugerir que a tarefa de assegurar uma proteção apropriada a informações de indivíduos nessa era de expressão massiva seja algo de pouca importância. De forma contrária, é precisamente pelo fato de isso ter grande importância nas atuais negociações sobre a proposta de regulação, que os Estados da União Europeia deveriam decidir por uma reforma estrutural da legislação sobre PD para que esse instrumento possa ser adequado às modernas condições em que vivemos e com capacidade de aplicar a lei de forma efetiva e robusta. Isso envolveria uma diminuição da abrangência da lei, eliminando muitos de seus pontos gerais particularmente onerosos, e assegurando que isenções dadas a atividades particulares (até mesmo àquelas que envolvem expressão pública) serão feitas de forma genuinamente proporcional. Tal empreendimento será tão herculano quanto o conceito de proteção de dados tem sido. Contudo, as complexas realidades da vida na era da internet 2.0 demandam isso.

David Erdos é cientista político e pesquisador do Centre for Socio-Legal Studies do Balliol College, Oxford University. Ele investiga, principalmente, leis de privacidade e proteção de dados. Seu posto atual recebe financiamento do Leverhulme Trust.

Leia mais:

EuropeInternetLawNet neutralityPoliticsPrivacyRight to information