O TRATAMENTO DE DADOS PESSOAIS E SENSÍVEIS FRENTE AO CONTACT TRACING DURANTE O COVID-19

Cinthia Obladen de Almendra Freitas – Professora Titular do Curso de Direito da PUCPR e docente permanente do Programa de Pós-Graduação em Direito da PUCPR. Doutora em Informática pela PUCPR. Mestre em Engenharia Elétrica e Informática Industrial pela UTFPR. Engenheira Civil pela UFPR. Diretora Acadêmica do Instituto Nacional de Proteção de Dados (INPD). Founder do “Direito Inteligente – Consultores Associados”. Membro consultivo da Comissão de Inovação e Gestão da OAB/PR.

João Vitor Vieira Carneiro – Graduando em Direito pela UFPR. Integrante do GEDAI/UFPR e do grupo “Direito, Biotecnologia e Sociedade – BIOTEC/UFPR”.

Rodrigo José Serbena Glasmeyer – Graduando em Direito pela UFPR e integrante do GEDAI/UFPR e do PET-Direito/UFPR.

Revisor: Marcos Wachowicz

O CONTACT TRACING E O RASTREAMENTO DE CONTÁGIO DO CORONAVÍRUS

O COVID-19 é uma triste realidade. E o mundo globalizado está assustado e preocupado com os resultados mortais e o alto grau de contaminação. Durante e após períodos de quarentena, diferentes em cada país ou região em razão das mais variadas particularidades, há que se pensar em maneiras de limitar a disseminação do vírus. Como um exemplo, governos de todo o mundo estão propondo o contact tracing.

O contact tracing, rastreamento de contágios ou de contato – ato de ter contato/aproximação com outras pessoas – é entendido na área de Saúde Pública como o processo de identificação de pessoas que podem ter entrado em contato com uma pessoa infectada (“contatos” ou “contágios”) e a subsequente coleta de dados sobre esses contatos.^[1]

O rastreamento tem diferentes objetivos, podendo-se mencionar:

(i) rastrear os contatos dos indivíduos infectados para testá-los quanto à infecção,

(ii) tratar os infectados e rastrear seus contatos; de modo a limitar as infecções na população.

Além disto, Leong et al. ^[1] menciona os seguintes objetivos:

1. a) Interromper a transmissão contínua e reduzir a propagação de uma infecção;
2. b) Alertar os contatos para a possibilidade de infecção e oferecer aconselhamento preventivo ou cuidados profiláticos;
3. c) Oferecer diagnóstico, aconselhamento e tratamento a indivíduos já infectados;
4. d) Ajudar a prevenir a reinfecção do paciente originalmente infectado, caso a infecção seja tratável;
5. e) Aprender sobre a epidemiologia de uma doença em uma população específica.

Este tipo de rastreamento já existe, por exemplo, para tuberculose, infecções sexualmente transmissíveis (incluindo AIDS), infecções transmitidas pelo sangue, algumas infecções bacterianas graves e novas infecções, a exemplo do SARS e, agora, para o COVID-19.

Tal rastreamento gera também desafios jurídicos em termos de privacidade e confidencialidade dos dados. Tais direitos entram em choque com o dever ético, que a área da saúde pública, de alertar os cidadãos sobre sua exposição às doenças. Em contraponto, os indivíduos infectados têm direito reconhecido à confidencialidade de dados e informações médicas.

Cabe, portanto, às equipes de saúde pública divulgarem um conjunto mínimo de informações visando a efetividade de mecanismos e, atualmente, com a pandemia de COVID-19, aplicativos de contact tracing. Mas em tempos de coleta “gulosa” de dados, Big Data, Data Mining (Mineração de Dados) e Inteligência Artificial, há que se estudar e refletir sobre o uso de tais aplicativos frente à Lei Geral de Proteção de Dados.

Outro aspecto importante quando o tema é contact tracing é a possibilidade de estigmatização e discriminação dos infectados pelos demais cidadãos, o que pode ser lembrado na década de 1990 com a AIDS. Eis aqui a necessidade de equilibrar a confiança por parte das populações vulneráveis, a sensibilidade em situações individualizadas e o objetivo da Saúde Pública, por meio inclusive do desenvolvimento de políticas públicas, quando da aplicação de técnicas de rastreamento de contato/contágio.

No atual contexto mundial do COVID-19, os Estados e os órgãos responsáveis pelo mapeamento, controle e orientações vêm lançando mão de tecnologias para exercer o contact tracing e, portanto, aspectos relacionados à privacidade, controle e vigilância precisam ser estudados e debatidos.

AS TECNOLOGIAS E O MONITORAMENTO DO COVID-19

O foco deste artigo recaí sobre métodos e técnicas de monitoramento do COVID-19, os quais vêm sendo aplicados para realizar o rastreamento de contato, entre elas: o reconhecimento facial e os motores de busca. Tais técnicas são descritas a seguir permitindo o entendimento sobre os aspectos tecnológicos, sem esquecer dos aspectos jurídicos que norteiam este texto, qual seja a Lei Geral de Proteção de Dados (LGPD).

O Reconhecimento Facial

A identificação de pessoas passa pelo reconhecimento facial de maneira muitas vezes desapercebida. Eis a computação ubíqua, a qual representa a presença direta e constante da informática e da tecnologia na vida das pessoas, em suas casas e ambientes de convívio social.^[2]

O objetivo da Computação Ubíqua é integrar totalmente a relação tecnologia/máquina com os seres humanos, de forma tal que seja invisível, no sentido de automático (utilizar sem perceber).^[3] Os computadores passam a fazer parte da vida das pessoas de tal maneira que se tornam ‘humanos’, com seus sistemas inteligentes, que os tornam onipresentes^.[4]

O reconhecimento facial está no celular, em monitoramento de ambientes públicos, no shopping center, no estádio de futebol e em muitos outros lugares e aplicações.

A pandemia de COVID-19 se apresentou como um novo cenário para aplicação do reconhecimento facial, uma vez que associado ao tracing contact pode auxiliar no rastreamento, dando um “rosto” aos infectados.

Porém entram em cena outra categoria de dados pessoais, mais especificamente os dados pessoais sensíveis biométricos (art. 5º, inciso II, LGPD), assim denominados visto que a pessoa não deseja ver exposto ou compartilhado tais dados.

O reconhecimento facial é parte do estudo da área de Biometria, a qual é um subconjunto do campo do conhecimento humano: Identificação Humana. Um sistema computacional biométrico realiza medidas a partir de uma ou mais características físicas (impressão digital, face, íris, retina, orelha, maneira de andar, mão – geometria e palma, odor, DNA, entre outros) ou comportamentais (voz, escrita, expressões faciais, entre outros) de um indivíduo para determinar ou verificar sua identidade.^[5]

A face é classificada como um elemento biométrico passivo (não depende de ação humana, como a voz ou a escrita) e que tanto pode fornecer medidas físicas (distância entre os olhos) quanto comportamentais (expressões faciais).

Além disto, a face é a parte principal do corpo humano que permite interações de uma pessoa com o mundo exterior.

A face abriga a maioria dos órgãos sensoriais fundamentais e necessários para perceber o mundo ao redor, a saber: olhos – visão, nariz – olfato, boca – paladar e ouvidos – audição.^[6]

A China, país no qual as técnicas de reconhecimento facial já eram utilizadas para controle e vigilância, adaptou-se para rastrear e identificar cada cidadão, mesmo que esteja usando máscara.

Os sistemas foram reprogramados com perda nas taxas de acerto, mas os sistemas vêm sendo constantemente modificados.^[7]

A partir da suspeita do COVID-19 em um cidadão chinês, este era instruído a ficar em casa por um período de 15 dias.

Assim, caso este saísse de casa e fosse reconhecido (ainda que usando máscara), pelos sistemas automáticos baseados em reconhecimento facial, o mesmo poderia ser advertido, multado ou preso.

As técnicas de aprendizagem de máquina (Machine Learning) e Big Data permitem combinar dados de rostos em locais públicos lotados contra listas de vigilância criminal ou de pessoas infectadas, uma vez que os sistemas de reconhecimento de face oferecem às agências policiais e de saúde soluções para o enfrentamento ora ao terrorismo ora ao COVID-19.

Deve-se ter em mente que o ser humano aplica o reconhecimento facial naturalmente para reconhecer ou identificar uma outra pessoa. O reconhecimento facial, antes de informático é uma habilidade humana.

Leong et al.^[1] explica que durante o surto de uma doença infecciosa, a exemplo do COVI-19, os responsáveis pela Saúde Pública precisam descobrir, o mais rápido possível, a fonte da infecção e as rotas de transmissão, permitindo a tomada de decisão sobre as medidas de prevenção.

Portanto, para os autores, o rastreamento de contato é crucial para impedir que a doença infecciosa se espalhe. Deste modo, quando as rotas de transmissão em um cluster (agrupamento) são identificadas, uma árvore (estrutura de representação dos indivíduos e seus relacionamentos ou contato) de infecção pode ser estabelecida e, ainda, pode-se entender as contaminações entre agrupamentos distintos.

Os autores apontam que os contatos e a configuração de tais árvores podem auxiliar no entendimento de algumas características da doença, como a persistência ou a duração da doença, o que pode ser uma referência valiosa na previsão dos comportamentos da doença infecciosa em um próximo surto

Os Motores de Busca

Motores de busca são formados por software capaz de procurar, localizar e recuperar conteúdos representados na Internet. Para isto, a World Wide Web conta com uma topologia estruturada por um protocolo de comunicação, o hypertext transfer protocol (http) e pelos programas gráficos voltados à navegação nas páginas web (Explorer, Google Chrome, Mozila, entre outros).

Tem-se, portanto, viabilizada a hipermídia (som, imagem, hipertexto). Com certeza, por experiência própria, pode-se apontar que o uso dos motores de busca pelas pessoas ao redor do mundo, para encontrar as informações desejadas, é uma das atividades online mais populares.

Os motores de busca são sistemas de recuperação de dados com a finalidade de “auxiliar na busca de informações armazenadas em ambientes computacionais”^[8], sendo possível mensurar a sua utilidade por meio da relevância, ou qualidade do resultado, e velocidade de obtenção de resultados. Importante observar que a qualidade do resultado pode ser considerada a partir da precisão (accuracy) e da confiabilidade (trustworthy).

Destaca-se que a posição de apresentação do resultado está diretamente relacionada com a taxa cliques (CTR – Click-through Rate), sendo que a primeira posição corresponde a 36,4% dos cliques. Esta taxa representa o número de cliques que um resultado recebe dividido pelo número de vezes que o resultado é exibido, sendo expresso em %.^[9] Por isso, alguns motores apresentam de maneira diferenciada os resultados nas primeiras posições.

Em um contraponto, sabe-se que é possível pagar para que um determinado site/informação esteja na primeira posição dos resultados retornados a uma determinada solicitação. Em computação, denomina-se a solicitação, consulta ou a busca propriamente dita, de query, assim entendida no âmbito de Bancos de Dados.

Em um experimento simples, obteve-se utilizando o buscador Google para as consultas: a) COVID-19: 4.010.000.000 resultados (0,98 segundos); b) coronavirus: 2.690.000.000 resultados (0,84 segundos) e c) dengue: 59.600.000 resultados (0,74 segundos). O que demonstra o volume de conteúdos associados e disponíveis aos temas.

A partir das queries e conteúdos disponibilizados pelos usuários as empresas desenvolvedoras dos buscadores extraem e processam dados e informações, seja para o desenvolvimento de “(…) novos recursos e tecnologias para melhorar nossos serviços (…)” ou “usar o conteúdo que você compartilhou publicamente para promover os serviços. Por exemplo, para promover um app do Google, podemos citar uma avaliação que você escreveu.”, conforme indicado nos Termos de Uso do Google (https://policies.google.com/terms?hl=pt-BR) atualizado em 31 de março de 2020. Os Termos deixam claro que “Quando falamos de “Google”, “nós”, “nosso” ou “nossa”, estamos nos referindo à Google LLC e às afiliadas dela.”.

Dados geram dados, informação e conhecimento.^[10] E quando o tema é pandemia não faltam dados.

A partir de 2008, a Google iniciou um grupo de trabalho formado por especialistas em Engenheira de Software para estudar “como os fenômenos do mundo real podiam ser modelados usando padrões nas consultas de pesquisa”^[11]. Este trabalho “forneceu informações úteis e serviu como um dos primeiros exemplos de “transmissão instantânea” com base nas tendências de pesquisa, cada vez mais usadas em saúde, economia e outros campos”^[11].

A Google então, pode a partir das consultas e conteúdos disponibilizados ao redor de todo o mundo, “criar modelos de previsão, atualizando e melhorando esses modelos ao longo do tempo”^[11], utilizando como pesquisa experimental os dados de casos reais de gripe e dengue (Flu Trends).

Deste modo, uma web page dedicada foi criada e denominada Google Flu Trends ^[12], não mais atualizada a partir de 2015. Esta web page ainda permite a obtenção de diferentes informações, a saber:

1. dados numéricos (dados brutos) sobre a gripe que podem estar apresentados a partir de 2002, por regiões em 29 países. Por exemplo, no Brasil tem-se os dados brutos de: Ceará, Distrito Federal, Minas Gerais, Paraná, Rio de Janeiro, Rio Grande do Sul, Santa Catarina e São Paulo (não se encontrou justificativa para a seleção dos estados ou regiões);
2. modelo de tendências da gripe nos Estados Unidos da América, tendo sido o modelo lançado em 2008 e atualizado em 2009, 2013 e 2014;
3. dados numéricos (dados brutos) sobre a dengue que podem estar apresentados a partir de 2002, para 10 países.

Como objetivo científico, o interesse da Google é estudar e permitir que pesquisas acadêmicas sejam realizadas a partir dos dados fornecidos no referido site^[11].

A partir de 2015, a web page foi ddescontinuada e “Em vez de manter nosso próprio site daqui para frente, agora vamos capacitar instituições especializadas em pesquisa de doenças infecciosas a usar os dados para criar seus próprios modelos.”^[11].

Alguns parceiros foram selecionados, a exemplo da Mailman School of Public Health/Columbia University, Boston Children’s Hospital/Harvard e Centers for Disease Control and Prevention (CDC) Influenza Division. Para outros grupos de pesquisa interessados, a Google exige o preenchimento de um formulário (Google Trends API Request form).

Ao se consultar Mailman School of Public Health/Columbia University encontra-se já uma atualizada (07/maio/2020) evolução com base no COVID-19 de maneira a apontar, a partir dos modelos de previsão, a possibilidade de rebote do COVID-19 no final de maio, de modo que “stay-at-home” está previsto em 25 estados dos EUA.^[13]

Neste sentido, até 1º de junho, foram considerados 02 (dois cenários):  a) sem afrouxamento das restrições: projeção fornece estimativas medianas de 43.353 casos por dia e 1.841 mortes por dia nos Estados Unidos e b) com afrouxamento progressivo das restrições: projeção fornece estimativas medianas de 63.330 casos por dia e 2.443 mortes por dia. O Dr. Jeffrey Shaman, Professor de Ciências da Saúde Ambiental, aponta que: “The lag between infection acquisition and case confirmation, coupled with insufficient testing and contact tracing, will mask any rebound and exponential growth of COVID-19 until it is well underway.” Mencionando, entre outros fatores, que o rastreamento de contato insuficiente mascarará a visibilidade do crescimento exponencial do COVID-19.

A LEI GERAL DE PROTEÇÃO DE DADOS E O USO DO CONTACT TRACING NO COMBATE AO COVID-19

O uso das tecnologias descritas como soluções em tempos de pandemia, pode ser entendido à primeira vista como desproporcionais, mas há um novo contexto que faz pensar e refletir sobre o uso de dados pessoais e sensíveis frente ao contact tracing durante o COVID-19, qual seja: a Lei Geral de Proteção de Dados (Lei 13.709/2018)^[14].

Portanto, o estudo exige a compreensão dos seguintes conceitos: dados pessoais e titularidade, dados sensíveis e as hipóteses para tratamento de dados.

Os Dados pessoais e a titularidade na LGPD

Conforme o art. 5º, inciso I, da Lei Geral de Proteção de Dados, define-se dado pessoal como “informação relacionada a pessoa natural identificada ou identificável”. Há três elementos a serem considerados na definição adotada: a noção de dado; sua titularidade por pessoa natural; e a natureza do vínculo entre o dado e uma pessoa.

O substantivo que faz o núcleo desta definição é “informação”. Isso leva a crer que dado e informação têm uma aparente relação de sinonímia, o que é terminologicamente problemático.

A doutrina majoritária considera o dado como pré-informação, informação em potencial, ou ainda informação em seu estado bruto.^[15]

Nesse entendimento, um ou mais dados se tornariam uma informação após alguma forma de processamento, interpretação ou organização. Não obstante, essa foi a escolha dos termos nas definições da LGPD brasileira e do General Data Protection Regulation (GDPR) europeu.

Um dado se torna dado pessoal – e passa a ser objeto da LGPD – por se relacionar a alguma pessoa natural.

Não há que se falar, portanto, em dado pessoal quando este se referir a uma pessoa jurídica.

Por óbvio, também não são pessoais os dados que não se refiram a nenhuma pessoa – como, por exemplo, dados meteorológicos. Rochfeld^[16] identifica duas correntes que teorizam o conceito.

A tese realista percebe os dados pessoais como bens ou produtos que se tornam objeto de direitos reais. Já a tese personalista, à qual tende a LGPD, compreende os dados pessoais como elementos da personalidade de cada um, direcionando a tutela jurídica à pessoa a que dizem respeito tais dados.^[17]

A natureza do vínculo pessoa-dado remete à identificabilidade. Os vocábulos identificada (reducionista) e identificável (expansionista) restringem e alargam, respectivamente, o escopo de uma Lei.^[18]

Tanto a LGPD quanto o GDPR adotam o critério da razoabilidade para delimitar o âmbito expansionista do dado pessoal, o que se denota pela abordagem feita em relação à não incidência da Lei sobre os dados anonimizados.^[19]

O vínculo entre o dado e seu titular prescinde do conhecimento deste sobre a existência e as formas de uso do dado – é o tratamento deste, por outro lado, que se condiciona às restrições legais da LGPD. Tomado isoladamente o dado, é suficiente para a constatação do vínculo ao critério de identificabilidade do titular.

Os Dados sensíveis na LGPD

O elevado grau de restrição ao tratamento de dados pessoais sensíveis decorre de seu potencial discriminatório. No art. 5º da LGPD, define-se:

II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

A redação muito se assemelha à do art. 9º-1 do GDPR,^[20] que regulamenta o tratamento de “categorias especiais” de dados pessoais.

O Regulamento europeu proíbe tais tratamentos, com exceção das hipóteses contidas no art. 9º–2. Em ambas as normas citadas, constata-se a presença de 02 (dois) eixos: a) relativo ao corpo humano (foco deste artigo) e b) voltado a aspectos ideológicos ou religiosos.

Dada a particularidade dessa categoria de dados pessoais, a LGPD consagra uma seção especial para sua regulamentação.

A principal hipótese de tratamento legítimo de dados sensíveis é a do consentimento, que deve ser expresso de forma específica e destacada.

Em outros termos, no momento de manifestar aceitação quanto ao tratamento de seus dados, devem os dados sensíveis ser elencados de forma a realçar sua distinção em relação aos demais dados pessoais – deste modo, dificulta-se a ocorrência de vícios de consentimento.

Os dados sobre origem racial ou étnica evidentemente são fontes de discriminação.

A distinção entre raça e etnia merece atenção: a noção de etnia surge de critérios socioculturais, enquanto a raça abrange características biológicas ou, de forma mais precisa, fenotípicas ou morfológicas.

Portanto, a raça se refere a características físicas como cor do cabelo, conformação facial e cranial e tom de pele. A etnia diz respeito à comunidade de onde surge a pessoa – as afinidades culturais e linguísticas e as semelhanças genéticas.^[21]

Os dados referentes à saúde, foco do presente artigo, também podem gerar tratamentos discriminatórios. Se uma pessoa é portadora de HIV, por exemplo, os dados que atestam o fato poderiam ser utilizados por uma empresa de recrutamento de funcionários de forma a não contratá-la.

Outros dados de saúde ainda poderiam ser tratados por seguradoras para aumentar as taxas de planos de saúde (score health) ou recusar o fornecimento do plano.

Já os dados sobre a vida sexual poderiam gerar discriminações com base na orientação sexual do titular ou seus hábitos sexuais – exemplo disso seria concluir, de forma equívoca e problemática, que o comportamento sexual do titular configura maior risco.

Um caso real ilustra a sensibilidade dos dados sexuais: em 2017, uma empresa do Canadá (Standard Innovation), ofertou no mercado de consumo um vibrador que, por meio de rede bluetooth ou wi-fi, poderia ser controlado pelo celular do usuário.

Ocorre que os dados referentes à temperatura corporal do usuário, a duração do uso e as configurações da vibração, eram enviados pela Internet à empresa, sob o pretexto de melhorar o produto. Os consumidores entraram com ação coletiva em face da empresa, que foi condenada a um pagamento milionário e a cessar a coleta dos dados.^[22]

A última categoria de dados sensíveis relacionadas ao corpo humano são os dados biométricos, os quais já foram descritos e abordados no item 2 ao se explicar o uso do reconhecimento fácil para contact tracing.

As hipóteses do consentimento do titular para tratamento de dados

Quando o tema é tratamento de dados pessoais, o art. 7º da LGPD apresenta as hipóteses para realização de tal tratamento, destacando-se o consentimento pelo titular (inciso I) e a proteção da vida do titular ou de terceiro ou, ainda, a tutela da saúde (art. 7º, incisos VII e VIII).

Na matéria de proteção de dados pessoais, a abordagem dada ao consentimento (e seus vícios) é realizada de maneira distinta em relação a outros ramos. Isto porque a adjetivação do substantivo “consentimento” na LGPD – evidentemente inspirada na norma europeia – qualifica o que seria uma manifestação válida e, por outro lado, em que casos é nula.

Indubitavelmente, o consentimento do titular deve ser livre (sem pressão de outrem), informado (os termos aceitos são explícitos), inequívoco (os termos não são ambíguos ou genéricos), e a finalidade do tratamento deve ser clara.^[18]

O consentimento para o tratamento de dados deve estar separado das cláusulas que tratem de outros temas.

Por fim, o consentimento deve ser nitidamente distinguível de outras seções do texto, de forma compreensível e em linguagem clara. Garante-se assim a validade do consentimento, pois torna este informado e inequívoco (art. 5, inciso XII).

O GDPR coloca o termo clear affirmative act (ato afirmativo claro) para destacar qual deve ser a postura incumbida ao titular pelo controlador. Por ato afirmativo, entende-se que o titular deve ativamente manifestar sua vontade, e jamais por omissão.^[23]

O exemplo que sempre se traz à tona para ilustrar a abordagem diz respeito às checkboxes clicadas pelo usuário ao concordar com os termos de uso de determinado site/serviço online.

Ao invés de se deixar apenas esta checkbox, pode-se criar uma adicional para concordar com a coleta e tratamento dos dados pessoais. Note-se que, para constituir-se um ato afirmativo claro, tal checkbox não pode estar marcada por padrão: o usuário é quem deve marcá-la.

A noção também se aplica, por óbvio, ao fornecimento de consentimento por meios físicos. Em um contrato comum, assinado em folha de papel, a ausência de critérios formais da LGPD para a cláusula destacada deixa em aberto o modo de implementação.

Uma opção é preparar um segundo contrato, especificamente para a política de dados pessoais; ou ainda dois campos para a assinatura do titular. Outro exemplo, é o titular consentir por meio de uma ligação telefônica. O importante é que se promova alguma forma de destaque da cláusula, de forma a evitar quaisquer vícios de consentimento.

Há que se ponderar ainda que o tratamento de dados pessoais pode ser realizado frente à hipótese, por exemplo de estado de calamidade, na qual existe a necessidade de proteção da vida do titular ou de terceiro (art. 7º, inciso VII) ou, ainda, para a tutela da saúde (art. 7º, inciso VIII).

Deve-se ter em mente que o tratamento de dados aqui em questão neste artigo envolve dados pessoais sensíveis, o qual deve ser realizado, exclusivamente, pelos entes legitimados (orgãos de saúde pública) e para fins específicos de prevenção ou tratamento da doença, enquanto esta representar um risco sanitário e jamais para fins discriminatórios, ilícitos ou abusivos.

Deve-se lembrar os princípios que norteiam a LGPD (art. 6º, incisos I, II, III e IX). Tais dados não podem ser tornados públicos e tal exposição está sujeita à responsabilização. Cabe avaliar estes aspectos tecnológicos e jurídicos sob a reflexão da sociedade de controle e vigilância.

A SOCIEDADE DE CONTROLE E VIGILÂNCIA

Antes de tratar do Panóptico de Bentham, Foucault inicia o capítulo “O Panoptismo” de sua obra “Vigiar e Punir” tratando dos métodos de vigilância decorrentes do tratamento da peste negra e da lepra na Europa ao longo da Idade Média.

Estes dois métodos de controle, marcados respectivamente pelo “bom treinamento” e o “grande fechamento” dos indivíduos, a lepra com a marcação do sujeito e a peste com a análise e repartição da população, formam em sua junção a base para que, a partir do século XIX e do advento da modernidade, se desenvolvesse o panoptismo^[24].

O tratamento da peste apresentado por Foucault é apoiado em um “sistema de registro permanente”, que para servir ao “sonho político da peste” deve ser composto por um “registro patológico constante e centralizado”.

O autor mostra um projeto político disciplinar que se aproveita de uma quarentena que se fez necessária pela peste para desenvolver o sonho político da peste no qual se aplicam “as divisões estritas” e “a penetração do regulamento até nos mais finos detalhes da existência e por meio de uma hierarquia completa que realiza o funcionamento capilar do poder”. Este sonho político é o de uma sociedade disciplinar.

Norris complementa que o poder exercido no controle da peste envolve a “individualização da patologia pela codificação burocrática”, sem esquecer que este sistema está apoiado na possibilidade da utilização da força^[25].

Com o advento da modernidade, o panóptico desenvolvido por Bentham representa para Foucault a “figura arquitetural” da composição entre o controle da lepra e da peste. Em sua obra, o autor busca analisar os potenciais efeitos políticos de uma forma ubíqua de poder institucional e como o projeto arquitetural de uma “instituição total”, seja ela uma prisão, uma escola ou hospital; imprime nos sujeitos a consciência de serem vigiados a todo momento^[26].

Como para Bauman o modelo Panóptico “deixou de ser o padrão ou a estratégia universal de dominação” imaginado por Bentham e Foucault, resistindo e continuando ativo nas partes “não administráveis” da sociedade^[27], cabe aqui inserir o conceito de Surveillant Assemblage, ou “montagem de vigilâncias”, desenvolvido a partir do esquema rizomático de Deleuze e Guattari^[28] por Haggerty^[29].

A montagem de vigilância, ao contrário do panóptico, se trata do fenômeno de acumulação de dispositivos e de dados de vigilância não por meio de um dispositivo único, centralizado e controlado, como a estrutura arquitetônica panóptica, mas sim por meio de uma construção rizomática de diferentes dispositivos em uma rede descentralizada de informação, em que cada novo dispositivo permite a agregação de dados e informações que aumenta exponencialmente a capacidade do sistema para vigiar.

Este conceito permite compreender como, na era da Internet das Coisas, a captação dos mais diversos tipos de dados, de redes de contatos e interesses políticos à dados médicos e itinerários recorrentes permite a construção de um sistema de vigilância que, diferente do panóptico, não é criado por uma entidade ou instituição com um objetivo específico, mas emana de maneira independente e descentralizada no contexto do Capitalismo de Vigilância^[30].

Rodotà apresenta como a perda da autodeterminação informativa decorrente deste sistema que se denomina “Capitalismo de Vigilância” é apresentado como um “preço compulsório” para fruir dos bens do que ele categoriza como “sociedade da vigilância”.

Para poder participar ativamente de sociedade contemporânea a entrega dos mais diversos dados se torna cada vez mais necessária, e a autonomia frente ao controle de seus dados, menor^[31].

Para Rodotà, tal desenvolvimento da concessão de dados pessoais é especialmente gravoso ao considerar que o registro dos dados de um indivíduo não representa somente a reconstrução da identidade deste em uma esfera “digital”, mas sim a construção de uma nova dimensão autônoma de sua identidade^[32].

Ainda que as fronteiras entre o “real” e o “digital” sejam cada vez menos relevantes, sem dúvida de que uma esfera afeta diretamente a outra, a identidade do indivíduo na esfera digital é condicionada pelos dados que a compõem, o que faz do controle destes dados uma decorrência necessária do controle de cada indivíduo sobre a criação e o desenvolvimento de sua própria identidade.

Rodotà lembra também que a transposição dos corpos em dados, em especial tratando de dados de saúde, exige especial atenção, por estes se referirem “à nua condição humana”.

Tratando das possibilidades abertas pelo estudo do genoma humano, discussão que se torna também relevante no contexto do combate ao COVID-19, o autor afirma que é possível integrar os avanços de saúde pública obtidos por meio da tutela de dados médicos com a proteção de dados e da autodeterminação informativa, mas com a condição inicial da utilização de dados estritamente limitada às finalidades propostas^[33].

O COVID-19 E O TRATAMENTO DE DADOS PESSOAIS E SENSÍVEIS UTILIZADO NO CONTACT TRACING

O tratamento de dados pessoais e sensíveis frente ao contact tracing durante o COVID-19 é relevante e suscita reflexões, visto que Direito e Tecnologia caminham cada dia mais de forma integrada e complementar. Dados de saúde são sensíveis por natureza e, portanto, requerem cuidado e trazem à discussão aspectos de titularidade, hipóteses para tratamento de dados e, ainda, suscitam o entendimento da sociedade de controle e vigilância, visto que violações podem existir.

O tratamento de dados decorrente do reconhecimento facial e de modelos computacionais (matemáticos e estatísticos) a partir dos buscadores na Internet, fazem com que a reflexão em tempos de pandemia seja ainda mais relevante e necessária.

Entende-se que é preciso aplicar tecnologia para tanto rastrear os contatos dos indivíduos infectados para testá-los quanto à infecção quanto tratar os infectados e rastrear seus contatos; de modo a limitar as infecções na população.

Porém, há que se fazer isto com base em ferramental de proteção de dados, sem esquecer que a privacidade, o consentimento e a autodeterminação informativa são condições primordiais para o tratamento de dados pessoais sensíveis.

Todos estes elementos devem estar limitados às finalidades propostas, para não se correr o risco de controlar e vigiar em demasia violando direitos fundamentais dos cidadãos brasileiros.

Referências

[1] LEONG, Kan-Ion, SI, Yain-Whar, BIUK-AGHAI, Robert P.; FONG, Simon. Contact Tracing in Healthcare Digital Ecosystems for Infectious Disease Control and Quarantine Management. 3rd IEEE International Conference on Digital Ecosystems and Technologies, 2009. p. 306-311.

[2] MOUTINHO, Ana Maria. Inteligência ambiente: contributo para a conceptualização de parede inteligente. Dissertação de Mestrado, Universidade de Lisboa, 2010. p.10. Disponível em: <http://repositorio.ul.pt/bitstream/10451/7277/2/ULFBA_tes%20392.pdf> Acesso em: 05 maio 2020.

[3] BOFF, Salete Oro; FORTES, Vinícius Borges; FREITAS, Cinthia Obladen de Almendra. Proteção de dados e privacidade: do direito às novas tecnologias na sociedade da informação. Rio de Janeiro: Lumen Juris, 2018. p. 133.

[4] ROLINS, Claudia Silva Villa Alvarez de Noronha. Aplicações para computação ubíqua. Programa de Mestrado, Departamento de Informática, PUC-Rio. 2001. p.14.

[5] JAIN, Anil K.; ROSS, Arun A.; NANDAKUMAR, Karthik. Introduction to biometrics. London: Springer, 2011. p. 3-4.

[6] JAIN, Anil K.; ROSS, Arun A.; NANDAKUMAR, Karthik. Introduction to biometrics. London: Springer, 2011. p. 67-103.

[7] CARNEIRO, Igor Almenara. Reconhecimento facial da China já estava preparado para o Covid-19. Tecmundo, mar., 2020. Disponível em: <https://www.tecmundo.com.br/software/151179-reconhecimento-facial-china-preparado-covid-19.htm>. Acesso em: 05 maio 2020.

[8] GABRIEL, Martha Carrer Cruz. Sem e Seo: dominando o marketing de busca. 2ª. ed. São Paulo: Novatec Editora, 2012. p. 36.

[9] IAB. Interactive Advertising Bureau. Click Measurement Guidelines Version 1.0. Final Release, 2009.  Disponível em: <http://www.iab.net/media/file/click-measurement-guidelines2009.pdf>. Acesso em: 05 maio 2020.

[10] LAUDON, Kenneth C.; LAUDON, Jane Price. Sistemas de informação. Rio de Janeiro: Livros Técnicos e Científicos S.A., 1999. p. 10.

[11] GOOGLE. The Next Chapter for Flu Trends. Google AI Blog, 2015. Disponível em: <https://ai.googleblog.com/2015/08/the-next-chapter-for-flu-trends.html>. Acesso em: 05 maio 2020.

[12] GOOGLE. Google Flu and Dengue Trends Team. 2015. Disponível em:  <https://www.google.org/flutrends/about/>. Acesso em: 05 maio 2020.

[13] MAILMAN SCHOOL OF PUBLIC HEALTH. Projections Suggest Potential Late May COVID-19 Rebound. Columbia University, May 7 2020. Disponível em: <https://www.mailman.columbia.edu/public-health-now/news/projections-suggest-potential-late-may-covid-19-rebound>. Acesso em: 05 maio 2020.

[14] BRASIL. Lei Geral de Proteção de Dados, Lei 13.709 de 14 de agosto de 2018. 2018. Disponível em: <http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm>. Acesso em: 05 maio 2020.

[15] DONEDA, Danilo. A proteção dos dados pessoais como um direito fundamental. Espaço Jurídico Journal of Law, v. 12, n. 2, p. 91-108, 2011.

[16] ROCHFELD, Judith. Como qualificar os dados pessoais? Uma perspectiva teórica e normativa da União Europeia em face dos gigantes da Internet. Revista de Direito, Estado e Telecomunicações, Brasília, v. 10, n. 1, p. 61-84, maio 2018.

[17] Em sentido contrário à dicotomização: “[…] a opção legislativa [da LGPD] denota a intenção de refletir que o exercício do direito ali descrito se dará de modo direto e imediato, empregando-se termo que corresponde ao gênero do qual a propriedade é espécie. [E]videncia, ainda, a preocupação em demonstrar que a tutela ali conferida tem dupla natureza, restando contemplados os aspectos patrimoniais decorrentes da disposição dos dados – atribuída ao seu titular – e os extrapatrimoniais.” MAIA, Roberta Mauro Medina. A titularidade de dados pessoais prevista no art. 17 da LGPD: direito real ou pessoal? In: TEPEDINO, G.; FRAZÃO, A; OLIVA, M. D. Lei Geral de Proteção de Dados Pessoais: e sua repercussão no Direito Brasileiro. São Paulo: Thomson Reuters Brasil, 2019, p 131-156.

[18] BIONI, Bruno Ricardo. Xeque-mate: o tripé da proteção de dados pessoais no jogo de xadrez das iniciativas legislativas no Brasil. São Paulo: GPoPAI/USP, 2015.

[19]  “Trata-se de uma estratégia normativa alinhada à premissa de que os dados anônimos seriam sempre passíveis de reversão. Daí por que o critério da razoabilidade nada mais é do que uma diretriz acerca do que venha a ser um risco aceitável-tolerável em torno da reversibilidade do processo de anonimização, a fim de que os dados anonimizados estejam fora do conceito de dados pessoais.” (BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2019, p. 92-93).

[20] Art 9º – 1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

[21] SANTOS, Diego Junior da Silva et al. Raça versus etnia: diferenciar para melhor aplicar. Dental Press J. Orthod., Maringá,  v. 15, n. 3, p. 121-124, jun 2010.

[22] MAYNARD, Christopher. Standard Innovation settles class action over alleged vibrator data collection. Consumer Affairs, 16 mar 2017. Disponível em:  <https://www.consumeraffairs.com/news/standard-innovation-settles-class-action-over-alleged-vibrator-data-collection-031617.html>. Acesso em: 03 mai 2020.

[23] REINO UNIDO. Information Commissioner’s Office. What is valid consent? [s.d.]. Disponível em: <https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/consent/what-is-valid-consent/>. Acesso em: 06 mai 2020.

[24] FOUCAULT, Michael. Vigiar e Punir: nascimento da prisão; trad. Raquel Ramalhete. Petrópolis: Vozes, 1987. pp. 219-223.

[25] NORRIS, Clive. From Personal to digital: CCTV, The panopticon, and the technological mediation of suspicion and social control. In: LYON, David (org.). Surveillance as Social Sorting: Privacy, Risk and Digital Discrimination. Londres: Routledge, 2003, p. 250.

[26] ELMER, Greg. Panopticon – Discipline – Control. In: BALL, Kristie; HAGGERTY, Kevin D.; LYON, David (org.). Routledge Handbook of Surveillance Studies. Nova Iorque: Routledge, 2012. pp. 21-29.

[27] BAUMAN, Zygmunt; LYON, David. Vigilância Líquida. trad. Carlos Alberto Medeiros. Rio de Janeiro: Zahar, 2013. pp. 58.

[28] DELEUZE, Gilles, GUATTARI, Félix. Mil platôs: capitalismo e esquizofrenia, vol. 1, Trad. Aurélio Guerra Neto e Célia Pinto Costa. Rio de Janeiro: Editora 34, 1995.

[26] HAGGERTY, Kevin D.; ERICSON, Richard V. The surveillant assemblage. The British journal of sociology, 2000, vol. 51, p. 605-622.

[30] ZUBOFF, Shoshana. Big Other: surveillance capitalism and the prospects of an information civilization. Journal of Information Technology, v. 30. 2015, p. 75-89.

[31] RODOTÀ, Stefano. A vida na sociedade de vigilância: privacidade hoje. Rio de Janeiro: Renovar, 2008, p. 115.

[32] RODOTÀ, Stefano. Il diritto di avere diritti. Roma: Laterza, 2002. p. 343.

[33] RODOTÀ, Stefano. A vida na sociedade de vigilância: privacidade hoje. Rio de Janeiro: Renovar, 2008, p. 248-250.