É inegável a importância da coleta de dados pessoais no esporte. Decisões são tomadas no mercado esportivo com base no que a base de dados revela; o clube decide por escalar um atleta para atuar em uma partida com base no que revelaram os dados pessoais coletados por meio do GPS de monitoramento, torcedores decidem apostar em determinada equipe com base nos dados recentes de desempenho dos atletas, intermediários decidem representar determinados atletas com base nos dados de desempenho passados e perspectivas para o futuro etc.
Natural, portanto, que a coleta de dados pessoais no mercado desportivo tenha crescido de forma exponencial nos últimos anos. O mercado de apostas esportivas, por exemplo, que movimentou R$ 7 bilhões em 2020 de acordo com a BLN Data, é altamente dependente de bases de dados robustas que permitam a aferição do desempenho dos atletas para a manutenção do negócio.
Mas como essa massiva coleta de dados pessoais se relaciona com os princípios estabelecidos na Lei Geral de Proteção de Dados Pessoais (LGPD), com os direitos dos titulares de tais dados pessoais (os atletas, principalmente) e com as determinações legais para sustentar os diferentes tratamentos de dados pessoais que ocorrem neste mercado digital desportivo?
É justamente neste sentido que escreve Fernando Vasconcelos no Portal Lei em Campo em artigo intitulado “O uso de dados estatísticos e de desempenho de atletas nas plataformas digitais à luz da LGPD”. O autor discute o fato de que os atletas não são, necessariamente, consultados sobre o seu consentimento com o uso dos seus dados pessoais em plataformas digitais, como plataformas de apostas esportivas e fantasy sports.
Seria, de fato, inviável exigir que cada atleta consentisse pelo tratamento dos seus dados pessoais nestas circunstâncias; a questão se torna ainda mais inviável quando ressaltamos todos os requisitos exigidos pela LGPD para a existência de um consentimento válido, sobre os quais tecemos nossos comentários em artigo específico, que pode ser acessado neste link.
Diante deste aparente impasse, o autor reitera que a LGPD não limita a hipótese de tratamento de dados pessoais ao consentimento. De fato, há uma série de hipóteses previstas na LGPD para o tratamento de dados, sendo o consentimento apenas uma delas.
Neste sentido, o autor aponta para a base legal do legítimo interesse para sustentar o tratamento de dados pessoais de atletas nestas plataformas desportivas digitais e é justamente sobre isso que este artigo se aprofundará: as limitações da base legal do legítimo interesse para tratar dados pessoais de atletas no esporte digital.
Índice
Legítimo Interesse
O legítimo interesse é uma das hipóteses para o tratamento de dados pessoais que a LGPD traz. Não é possível realizar qualquer tratamento de dados pessoais (coletar, utilizar, acessar, transmitir, armazenar etc.) sem que tal tratamento esteja sustentado sob uma das hipóteses expressamente previstas em lei. Um tratamento cuja hipótese não está prevista em lei será, necessariamente, um tratamento irregular.
O legítimo interesse do controlador (aquele agente que toma decisões em relação aos dados pessoais) só pode ser hipótese de tratamento para finalidades legítimas, consideradas a partir de situações concretas. Ou seja, não é possível tratar dados com base no legítimo interesse com a finalidade de “melhora da experiência do usuário”, por exemplo. A situação concreta na qual o tratamento se dará deve estar bem definida.
Além disso, em observância ao princípio da necessidade, quando o tratamento tiver como sustento legal o legítimo interesse, apenas aqueles dados estritamente necessários devem ser coletados para atingir a uma finalidade pretendida.
Assim, longe de ser uma hipótese “coringa”, a LGPD prevê critérios para que o legítimo interesse seja utilizado como sustento legal do tratamento de forma válida.
Tais critérios podem ser compreendidos nas quatro fases do teste de proporcionalidade do legítimo interesse, sobre o qual detalhamos em artigo específico. São elas:
Fase 1: Legitimidade
Artigo 10, caput, LGPD:
Art. 10 – “O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: (…) ”
A primeira fase do teste de proporcionalidade do legítimo interesse é um juízo de valor do próprio agente de tratamento e deve conter a análise sobre dois aspectos: a finalidade legítima e uma situação concreta:
1. Finalidade legítima: deve-se verificar se a finalidade do tratamento de dados pessoais não contraria algum dispositivo legal. Somente propósitos legítimos são aptos a justificar o fundamento do tratamento no legítimo interesse. O artigo 6, I, da LGPD também prevê a questão da finalidade legítima, exigindo que os propósitos para o tratamento, além de serem legítimos, também sejam específicos, explícitos e informados ao titular.
2. Situação concreta: a situação na qual será realizado o tratamento de dados pessoais deve estar bem definida e articulada.
Fase 2: Necessidade
Artigo 10, § 1º, LGPD:
§ 1º Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados.
A segunda fase faz clara referência e reforça a observância ao princípio da necessidade, que limita o tratamento de dados pessoais ao mínimo necessário para a realização das suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.
Dessa forma, uma vez identificada a finalidade legítima para uma situação concreta, deve o agente de tratamento ater-se à coleta mínima necessária para atingir tal finalidade. Há de existir uma reflexão sobre se não seria possível atingir o mesmo objetivo com a coleta de uma quantidade menor de dados pessoais do titular, de forma menos intrusiva e com menor impacto para o indivíduo.
Fase 3: Balanceamento
Artigo 10, I e II, LGPD:
I – apoio e promoção de atividades do controlador, e;
II – proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei.
Definida a situação concreta, cujo tratamento possui finalidade legítima e é realizado mediante a coleta da quantidade mínima de dados pessoais do titular, deverá o agente de tratamento observar e analisar os impactos sobre o titular e as legítimas expectativas em relação ao tratamento, balanceando seus direitos e liberdades fundamentais.
A expectativa do titular está relacionada com o princípio da boa-fé; o titular tem a expectativa de que seus dados serão tratados com base na relação prévia que existia entre ele e o agente. Ou seja, o tratamento de dados não pode surpreender o titular.
É relevante destacar que a Fase 3 refere-se a balanceamento porque o legítimo interesse só poderá ser aplicado quando presentes (e balanceados) os dois requisitos trazidos nos incisos I e II. Assim, por mais que a situação concreta promova atividades legítimas do agente de tratamento, ainda é dever deste atender às legítimas expectativas do titular.
Nesse sentido, destaca o autor Bruno Bioni que “trata-se de leitura coerente com a ideia de que é pelo princípio da boa-fé que a interpretação das bases legais, e das outras normas contidas na LGPD, deve se orientar. A consideração da legítima expectativa do titular de dados pessoais na aplicação do legítimo interesse nada mais é do que o equilíbrio, buscado a todo momento pela lei, entre interesses eventualmente conflitantes, mas que devem ser harmonizados e promovidos conjuntamente: a proteção dos dados pessoais do titular e a promoção das atividades econômicas dos agentes de tratamento. Sem tal garantia, a proteção conferida pela boa-fé é desnaturada e cria-se uma situação de flagrante desproporcionalidade[1]”
Fase 4: Salvaguardas
Artigo 10, §§ 2º e 3º:
§ 2º O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse.
§ 3º A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial.
Essa fase é fundamental para garantir o equilíbrio entre os interesses do agente de tratamento e o titular de dados pessoais. Como a base legal do legítimo interesse não exige a concordância expressa do titular para que o tratamento seja sustentado, a fase 4 visa a garantir ao titular sua participação no processo.
Nessa fase, exige-se que o agente de tratamento seja transparente com o titular. A despeito de a transparência ser um princípio que deve ser observado em todo e qualquer tratamento de dados pessoais, quando a base que sustenta esse tratamento é o legítimo interesse, o texto da LGPD faz questão de reforçar ainda mais sua necessidade, tudo em busca do equilíbrio.
A preocupação do legislador ao reforçar a necessidade de transparência no tratamento de dados baseado no legítimo interesse objetiva assegurar a possibilidade de que o titular tome a decisão de, se assim o desejar, exercer seu direito de oposição a tal atividade de tratamento, podendo optar por não participar de atividades que considere estarem fora de suas expectativas. A transparência, desse modo, objetiva dar certo controle ao titular, mesmo na situação na qual não houve o consentimento para o tratamento de dados pessoais.
Além disso, a fase 4 exige que o agente de tratamento adote medidas de segurança que mitiguem os riscos do titular. É por isso que o §4º faz referência direta à possibilidade de solicitação do relatório de impacto à privacidade (DPIA – Data Protection Impact Assessment) pela Autoridade Nacional de Proteção de Dados. Esse documento contempla a descrição dos processos de tratamento de dados que podem gerar riscos aos titulares e identifica o que pode ser feito para a mitigação desses riscos – para mais informações sobre o DPIA acesse o nosso artigo dedicado, clicando aqui.
A mera existência de um teste de proporcionalidade do legítimo interesse já aponta para o fato de que sustentar o tratamento de dados pessoais nesta base legal não é algo simples.
Dados pessoais tornados manifestamente públicos
Ao argumentar sobre a aplicabilidade da base legal do legítimo interesse para tratar dados pessoais dos atletas nas plataformas esportivas e nos fantasy sports, Fernando Vasconcelos neste artigo referencia o parágrafo 4º do artigo 7º da LGPD que estabelece que “é dispensada a exigência do consentimento previsto no [artigo 7º] para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos [na LGPD]”.
Ao tratar de dados “tornados manifestamente públicos”, ou autor se refere aos dados de desempenho coletados durante a participação dos atletas em eventos esportivos, coletáveis por meio de simples observação: quantidades de passes corretos numa partida de futebol, quantidade de pontos marcados num jogo de vôlei, grau de dificuldade de uma apresentação de ginástica rítmica etc.
O próprio autor ressalta que, de fato, a Autoridade Nacional de Proteção de Dados (ANPD) ainda não se manifestou sobre quais são os dados pessoais “tornados manifestamente públicos pelo titular” e qual a extensão desta previsão do ponto de vista de proteção de dados pessoais.
É possível afirmar, contudo, que certamente não foi a intensão do legislador criar uma “válvula de escape” a todas as hipóteses previstas no artigo 7º que sustentam o tratamento de dados pessoais. Dito de outra forma, dados pessoais “tornados manifestamente públicos pelo titular” ainda gozam de proteção legal, devendo o tratamento destes dados ser sustentado por uma das bases legais previstas na LGPD.
É, aliás, a própria redação do parágrafo 4º do artigo 7º da LGPD que aponta para a necessidade de observar os direitos do titular e os princípios previstos na lei.
Um destes princípios é o princípio da finalidade, que exige que o motivo da coleta de dados pessoais deva ser compatível com o objetivo final do tratamento de tais dados. O princípio da finalidade, assim, mitiga o risco de uso secundário à revelia do titular, já que garante ao titular, mediante informação prévia, as fronteiras da legalidade do tratamento de seus dados pessoais.
É de se questionar, portanto, se o atleta, ao atuar em uma partida (exercendo seu ofício profissional) está ciente do uso secundário dos seus dados para fins econômicos nas plataformas de esporte digital e nos fantasy sports, ainda que tenha tornado tais dados manifestamente públicos.
Outro princípio de destaque da LGPD é o da transparência, que prevê que aos titulares sejam garantidas informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento. Como afirma Rony Vaizof[2], “o objetivo da legislação é tutelar direitos fundamentais, como privacidade e o livre desenvolvimento da personalidade, por meio do tratamento ético, responsável e seguro dos dados pessoais; não há como garantir referida tutela sem a transparência.”
É de se questionar, novamente, se o ao atleta são garantidas informações claras, precisas e acessíveis sobre o tratamento de seus dados pessoais nas plataformas esportivas e nos fantasy sports, ainda que tenha tornado tais dados manifestamente públicos.
André de Oliveira Schenini Moreira, em artigo publicado no portal Migalhas, faz referência à lei europeia de proteção de dados pessoais e exemplifica uma situação relativa a dados pessoais tornados públicos pelos titulares que merece reflexão:
Outra reflexão importante surge em torno da expressão “tornados manifestamente públicos pelo titular”. Tal condição diz respeito à intenção prévia do usuário quando tornou públicos seus dados (tinha clara ciência disso) ou refere-se ao aspecto inegavelmente público que os dados atingiram pela divulgação feita pelo titular? Penso que a resposta contempla uma mistura de ambas interpretações, especialmente se levarmos em conta o espírito geral da LGPD.
Um documento de diretrizes para a adoção da GDPR (que conta com uma exceção redigida de forma similar no art. 9(2), item (e))9, criado pelo Parlamento escocês, exemplifica situações enquadráveis nesta ressalva10, citando os exemplos de dados publicados no perfil do titular em uma rede social ou, ainda, aqueles veiculados em uma página de web criada pela própria pessoa. Nestes casos, como descrito naquele documento, é possível inferir que os dados foram fornecidos e publicados pelos próprios titulares, conclusão esta com a qual concordo plenamente.
Imaginemos, contudo, a situação em que um usuário, ao preencher e publicar seus dados em um perfil de uma rede social, não sabia que aqueles seriam acessíveis ao público em geral por falta de ou precária informação. O fato de que tais dados foram lançados ao ubíquo mundo da internet pelo próprio titular, tornando-se manifestamente públicos, mas sem os devidos cuidados que a própria LGPD exige, permitiria que terceiros utilizassem tais dados sob a exceção do §4º do art. 7º?
Ainda que seja necessário aguardar as orientações mais precisas da ANPD sobre o tema, considerar que dados pessoais tornados manifestamente públicos pelo titular como dados pessoais que estão fora do escopo da legislação de proteção de dados pessoais é um erro. Ainda que públicos, dados pessoais gozam da proteção legal e o tratamento de tais dados deve, não somente observar uma das hipóteses de tratamento previstas na lei, mas também observar direitos dos titulares e princípios.
A limitação do tratamento de dados pessoais sensíveis
Todo o debate do tratamento de dados pessoais nas plataformas esportivas e nos fantasy sports deve levar em consideração a existência dos dados pessoais sensíveis e das limitações que a LGPD impõe ao tratamento de tais dados.
Dados pessoais sensíveis são dados aos quais a lei confere proteção especial. São os dados que, a depender do tratamento, podem levar a algum tipo de discriminação, como aqueles relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, bem como dados relativos à saúde ou à vida sexual, dados genéticos ou biométricos. Em suma, são dados cujo tratamento deve ser mais restrito.
Uma das restrições ao tratamento de dados pessoais sensíveis é o fato de que não é possível sustentá-lo sob a base legal do legítimo interesse. É dizer, não é possível utilizar o legítimo interesse para realizar o tratamento de dados pessoais sensíveis.
Assim, dados de saúde de atletas, que são dados pessoais sensíveis, não podem ser utilizados nas plataformas esportivas e nos fantasy sports sob a base legal do legítimo interesse.
Também não é possível a aplicação do parágrafo 4º do artigo 7º da LGPD que, como já mencionamos, estabelece que “é dispensada a exigência do consentimento previsto no [artigo 7º] para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos [na LGPD]”. Esta previsão se refere apenas a dados pessoais e não a dados pessoais sensíveis.
A LGPD, inclusive, veda expressamente o uso de dados pessoais referentes à saúde com o objetivo de obter vantagem econômica, excetuando tal vedação apenas à casos muito específicos relativos à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde.
É, portanto, problemático e um ponto que merece análise e regulamentação por parte da ANPD, o uso de dados pessoais de saúde dos atletas nas plataformas de espore digital e nos fantasy sports.
Conclusão
O mercado esportivo é extremamente dinâmico e o aumento constante da oferta de serviços desportivos prestados é prova disso. Muitos destes “novos” serviços de esporte digital demandam uma coleta importante de dados pessoais dos principais atores do esporte: os atletas.
Do ponto de vista da proteção de dados pessoais, esta coleta massiva pode ser problemática, já que, como vimos neste artigo, não é simples atribuir ao tratamento destes dados pessoais uma base legal que o sustente.
Uma diligente adequação à LGPD é a base para garantir que os tratamentos de dados pessoais sejam realizados em conformidade com a lei. O Lage e Portilho Jardim está à sua disposição para caminhar junto rumo à plena adequação à LGPD, entre em contato conosco.
Gostou do conteúdo? Inscreva-se em nossa newsletter e continue acompanhando as publicações sobre proteção de dados pessoais!
Você também pode nos avaliar no Google, o seu feedback é muito importante para nós!
*Imagem de Getty Images, no Canva Pro.
[1] BIONI, Bruno. Proteção de dados pessoais: a função e os limites do consentimento. Ed. Forense. 3ª ed. Rio de Janeiro. 2021.
[2] VAIZOF, Rony em LGPD: Lei Geral de Proteção de Dados Comentada. Coordenadores: Viviane Nóbrega Maldonado e Renato Opice Blum.2ª Edição. TR Revista dos Tribunais. São Paulo. 2020.
