A ANPD publicou estudo técnico com a intenção de fomentar o debate público e subsidiar a tomada de decisão sobre o tema tratamento de dados pessoais para fins acadêmicos e realização de estudos por órgão de pesquisa. Comentários e sugestões ao texto serão recebidos até o início de junho e posteriormente a Autoridade definirá a normativa sobre a questão.
É importante perceber que a LGPD instituiu um regime jurídico especial para o tratamento de dados pessoais para fins acadêmicos e de realização de estudos e pesquisas e 5 principais pontos o definem:
O primeiro é a previsão de que a disciplina de proteção de dados pessoais tem como fundamentos (art. 2º, III e V) as liberdades de expressão, de informação, de comunicação e de opinião; o desenvolvimento econômico e tecnológico e a inovação. Esses verdadeiros princípios informam a necessidade de interpretar as normas de forma compatível com o pluralismo de ideias e a liberdade de manifestação do pensamento, bem como com a promoção da inovação científica no País, determinação que também se ampara na CF.
O segundo ponto (art. 4º, II, b) é que existe um afastamento parcial da aplicação da LGPD para o tratamento realizado para fins exclusivamente acadêmicos. O principal intuito da inserção desse comando foi o de proteger a liberdade acadêmica e estabelecer um regime de proteção de dados pessoais mais flexível e mais adequado à dinâmica própria das atividades acadêmicas.
O terceiro está previsto nos arts. 7º, IV e 11, II, c, que estabelecem uma base legal específica, que autoriza a utilização de dados pessoais, inclusive os de natureza sensível, para a realização de estudos por órgãos de pesquisa, garantida a anonimização sempre que possível. Esta previsão legal é importante, pois reconhece de forma expressa a possibilidade de utilização de dados pessoais para a realização de estudos e pesquisas, simplificando e conferindo maior segurança jurídica aos tratamentos realizados nessas hipóteses.
O quarto ponto (art. 16, III) reforça a ideia de que a LGPD prestigia a promoção da inovação científica no País. Aqui há uma expressa autorização para a conservação de dados pessoais para a finalidade de estudo por órgão de pesquisa.
O quinto ponto é o art. 13 da LGPD, que ratifica a necessidade de autorização para disponibilização de acesso a dados pessoais para fins de realização de estudos e pesquisas, estipulando também medidas específicas de prevenção e segurança a serem observadas no campo dos estudos de saúde pública.
Isso quer dizer que dados pessoais devem ser armazenados em ambiente controlado e seguro, com a sua anonimização ou pseudonimização sempre que possível. E devem ser tratados exclusivamente dentro do órgão e para o atendimento à estrita finalidade da pesquisa, vedada a sua transferência para terceiros. Essa transferência só pode ocorrer mediante autorização expressa do titular e não se admite nenhuma revelação de informações pessoais por ocasião da publicação do resultado do estudo.
Em se tratando de realização de estudos em saúde pública, a posição dos pesquisadores pode ser equiparada à de profissionais que têm o dever de conferir sigilo às informações recebidas no exercício de sua atividade profissional, a exemplo de médicos e advogados.
Áreas e dados sensíveis
Todas as pesquisas envolvendo seres humanos, realizadas em qualquer área do conhecimento, devem prever procedimentos que assegurem a confidencialidade e a privacidade, a proteção da imagem e a não estigmatização dos participantes da pesquisa, garantindo a não utilização das informações em prejuízo das pessoas e/ou das comunidades, inclusive em termos de autoestima, de prestígio e/ou de aspectos econômico-financeiros.
O art. 13 estabelece requisitos específicos para os estudos em saúde pública, mas prevenção e a segurança são princípios gerais da LGPD que se aplicam a qualquer operação com dados pessoais, constituindo obrigação legal dos agentes de tratamento. Dessa maneira, estudos realizados em outras áreas do conhecimento também devem adotar as medidas protetivas necessárias e adequadas para a mitigação de riscos aos titulares dos dados pessoais; isso ocorre, normalmente, com estudos que realizam tratamento de dados pessoais sensíveis, tais como informações referentes à origem racial e étnica, convicção religiosa e opinião política.
Em situações assim, ainda que a pesquisa não se situe no campo da saúde pública, será necessária a adoção de salvaguardas técnicas e jurídicas apropriadas e proporcionais aos riscos envolvidos, evitando incidentes e preservando a privacidade dos titulares e a confidencialidade das informações utilizadas.
Tratamento de dados pessoais para fins acadêmicos
De acordo com o art. 4º, II, b, a LGPD não se aplica ao tratamento de dados pessoais realizado para fins exclusivamente acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 da mesma lei.
O estudo técnico da ANPD é didático ao mostrar que a normativa estabelece dois comandos:
a derrogação parcial da LGPD, afastando sua aplicação em uma hipótese de tratamento específica (“para fins exclusivamente acadêmicos”);
a determinação de que, nesta hipótese específica, devem ser observadas as regras atinentes às bases legais (arts. 7º e 11).
A derrogação parcial é estritamente limitada às situações em que o tratamento de dados pessoais esteja vinculado ao exercício da liberdade acadêmica.
Esta constitui uma espécie das liberdades de expressão e de manifestação do pensamento, em geral exercida em ambientes propícios à exposição e debate de ideias, tais como salas de aula, congressos e seminários científicos. Como exemplo, pode ser citada a utilização de determinadas informações pessoais como parte de uma aula, de uma palestra ou de um debate entre docentes e estudantes, situações estas nas quais a aplicação da LGPD estaria parcialmente afastada. (Trecho do Estudo Técnico da ANPD)
Caso, portanto, o tratamento de dados pessoais seja realizado pelas IES para fins administrativos, ainda que possua algum vínculo indireto com ações acadêmicas, deve respeitar integralmente a LGPD, hipótese da coleta de dados pessoais de estudantes para matrículas, estágios, processos seletivos, registros de presença e notas de avaliação ou, ainda, do tratamento de dados pessoais de funcionários e de docentes pelo setor de recursos humanos dessas instituições.
Outro ponto que merece atenção é que essa flexibilização de regras não pode ser apropriada indevidamente pelo setor privado, nos casos de parcerias entre órgãos de pesquisa e entidades privadas, nos quais pode ocorrer o eventual tratamento de dados pessoais para o desenvolvimento de atividades comerciais no ambiente corporativo.
Mesmo porque, dentro de um órgão de pesquisa, determinados setores podem desempenhar atividades que não são pesquisa nos termos da legislação e, portanto, não se aproveitam da mencionada flexibilização.
O segundo comando determina que, mesmo na hipótese de tratamento para fins exclusivamente acadêmicos, se observam os arts. 7º e 11, o que acarreta a necessidade de o tratamento estar compatível com o ordenamento jurídico e amparado em uma das bases legais da lei.
Exemplos de bases legais:
respeitar o consentimento do titular;
o tratamento ser para realização de estudos por órgão de pesquisa; e
atender a interesse legítimo.
Por fim, o art. 13 da LGPD também pode ser aplicável ao tratamento de dados pessoais para fins acadêmicos. Ele trata dos estudos em saúde pública e estabelece parâmetros que podem ser aproveitados em outros contextos de tratamento de dados para fins acadêmicos.
Tratamento de dados pessoais para a realização de estudos por órgão de pesquisa
Nas hipóteses indicadas nos artigos 7º e 11 da LGPD também está prevista a possibilidade de tratamento de dados pessoais para a realização de estudos por órgãos de pesquisa. Esta hipótese alcança o tratamento de dados pessoais de natureza sensível, independentemente de consentimento pelo titular do dado.
Essa eventual dispensa do consentimento não afasta a necessidade de obtenção do consentimento dos participantes de pesquisa quando exigido pelas normas e padrões éticos aplicáveis no caso concreto. Logo, é possível que o consentimento seja dispensável pela lei de dados, mas necessário do ponto de vista ético.
De qualquer forma, esse tratamento diverso demonstra como a lei de dados privilegia e reconhece a relevância das atividades relacionadas ao desenvolvimento de estudos realizados por órgãos de pesquisa para a produção de conhecimento.
Um dos requisitos à realização de tratamento de dados pessoais para a finalidade de realização de estudos por órgão de pesquisa é que o agente de tratamento seja órgão ou entidade da administração pública direta ou indireta ou, ainda, pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no país.
Ainda, o agente deve possuir entre suas missões institucionais ou em seu objeto social ou estatutário a pesquisa básica ou aplicada, para fins históricos, científicos, tecnológicos ou estatísticos. São exemplos as instituições de ensino superior públicas ou privadas sem fins lucrativos, os centros de pesquisa nacionais e entidades públicas que realizam pesquisas, como o IBGE e o IPEA.
Quem está excluído do conceito exposto pode realizar tratamento de dados pessoais para fins de estudos e pesquisas, mas não poderá utilizar da base legal dos arts. 7º, IV; e 11, II, c, e deverá estar amparado em outra hipótese legal, como as bases do consentimento do titular ou do legítimo interesse, sempre observados os requisitos legais aplicáveis.
Os estudos da ANPD esclarecem que, na prática, a LGPD impôs requisitos mais estritos para o tratamento de dados pessoais para fins de realização de estudos e pesquisas por pessoas jurídicas de direito privado com fins lucrativos ou por pessoas naturais. Isso é bem perceptível nos casos em que é realizado o tratamento de dados pessoais sensíveis; nessa hipótese, não se admite o recurso à base legal do legítimo interesse e essa vedação, em muitas ocasiões, pode demandar do agente de tratamento a obtenção do consentimento, na forma do art. 11, I, da LGPD.
Práticas de segurança
O art. 13, de forma ampla, e, mais especificamente, o disposto nos arts. 7º, IV, 11, II, c e 16, II, estipulam, como outro requisito, sempre que possível, a anonimização ou a pseudonimização dos dados. Não são medidas impositivas, pois em alguns casos a identificação dos titulares pode ser imprescindível para os objetivos da pesquisa, cabendo aos agentes de tratamento definir e adotar as medidas de prevenção e segurança apropriadas para a proteção de dados pessoais em cada contexto.
Outro aspecto relevante para a utilização da base legal prevista nos artigos 7º, IV e 11, II, c, diz respeito à identificação correta dos sujeitos autorizados ao acesso a dados pessoais e para a condução de estudos dos entes legitimados como órgãos de pesquisa: é que a responsabilidade pelo tratamento de dados pessoais nas hipóteses previstas nos artigos citados será do órgão de pesquisa e não das pessoas naturais a ele subordinadas ou vinculadas (pesquisadores, bolsistas e estudantes de graduação ou de pós-graduação, por ex).
Ou seja, a responsabilidade pelo tratamento de dados pessoais realizado para fins de estudos e pesquisas, mesmo no campo de saúde pública, é de natureza institucional, de forma que, antes de qualquer operação de tratamento, é prudente que seja confirmada a ciência do órgão de pesquisa quanto à realização do estudo e o seu compromisso de cumprir as regras da LGPD.
Sugere-se a adoção de documentos dos quais constem informações básicas relativas ao estudo a ser desenvolvido, com a indicação dos indivíduos responsáveis pela sua condução e dos tipos de dados pessoais que serão objeto de tratamento ou, no caso de entidades e órgãos públicos que disponibilizam acesso a dados pessoais para fins de estudo e pesquisa, a apresentação de documento formal, como, por exemplo, um “termo de ciência e responsabilidade”.
Como a LGPD não estabeleceu uma forma rígida para a comprovação do vínculo de um pesquisador com um órgão de pesquisa, é possível a adoção de outros formatos legítimos, inclusive em meio digital.
O mesmo ocorre em relação a quem vai assinar o documento. No caso de universidades, o estudo técnico menciona os ocupantes dos cargos de diretor, coordenador ou professores orientadores. Mas essa avaliação também deve ser feita caso a caso.
Enfim, a análise foi desenvolvida tomando por base um documento de referência inicial, divulgado no formato de texto para discussão e posterior deliberação, mas já é importante material e referência para a orientação de todos que precisam se adequar à LGPD.
Para informações pormenorizadas, indicamos a leitura do material na íntegra.
Leia mais:
Gostou deste texto? Faça parte de nossa lista de e-mail para receber regularmente materiais como este. Fazendo seu cadastro você também pode receber notícias sobre nossos cursos, que oferecem informações atualizadas e metodologias adaptadas aos participantes.
Temos cursos regulares já consagrados e também modelamos cursos in company sobre temas gerais ou específicos relacionados ao Direito da Educação Superior. Conheça nossas opções e participe de nossos eventos.