A LGPD é a lei nº 13.709, aprovada em agosto de 2018 e com vigência a partir de agosto de 2020. Para entender a importância do assunto, é necessário saber que a nova lei quer criar um cenário de segurança jurídica, com a padronização de normas e práticas, para promover a proteção, de forma igualitária e dentro do país e no mundo, aos dados pessoais de todo cidadão que esteja no Brasil. E, para que não haja confusão, a lei traz logo de cara o que são dados pessoais, define que há alguns desses dados sujeitos a cuidados ainda mais específicos, como os sensíveis e os sobre crianças e adolescentes, e que dados tratados tanto nos meios físicos como nos digitais estão sujeitos à regulação.

A LGPD estabelece ainda que não importa se a sede de uma organização ou o centro de dados dela estão localizados no Brasil ou no exterior: se há o processamento de conteúdo de pessoas, brasileiras ou não, que estão no território nacional, a LGPD deve ser cumprida. Determina também que é permitido compartilhar dados com organismos internacionais e com outros países, desde que isso ocorra a partir de protocolos seguros e/ou para cumprir exigências legais.

a) Consentimento -Outro elemento essencial da LGPD é o consentir. Ou seja, o consentimento do cidadão é a base para que dados pessoais possam ser tratados. Mas há algumas exceções a isso. É possível tratar dados sem consentimento se isso for indispensável para: cumprir uma obrigação legal; executar política pública prevista em lei; realizar estudos via órgão de pesquisa; executar contratos; defender direitos em processo; preservar a vida e a integridade física de uma pessoa; tutelar ações feitas por profissionais das áreas da saúde ou sanitária; prevenir fraudes contra o titular; proteger o crédito; ou atender a um interesse legítimo, que não fira direitos fundamentais do cidadão.

b) Automatização com autorização-Por falar em direitos, é essencial saber que a lei traz várias garantias ao cidadão, que pode solicitar que dados sejam deletados, revogar um consentimento, transferir dados para outro fornecedor de serviços, entre outras ações. E o tratamento dos dados deve ser feito levando em conta alguns quesitos, como finalidade e necessidade, que devem ser previamente acertados e informados ao cidadão. Por exemplo, se a finalidade de um tratamento, feito exclusivamente de modo automatizado, for construir um perfil (pessoal, profissional, de consumo, de crédito), o indivíduo  deve ser informado que pode intervir, pedindo revisão desse procedimento feito por máquinas.

c) ANPD e agentes de tratamento - E tem mais. Para a lei a "pegar", o país contará com a Autoridade Nacional de Proteção de Dados Pessoais, a ANPD. A instituição vai fiscalizar e, se a LGPD for descumprida, penalizar. Além disso, a ANPD terá, é claro, as tarefas de regular e de orientar, preventivamente, sobre como aplicar a lei. Cidadãos e organizações poderão colaborar com a autoridade. Mas não basta a ANPD - que está em formação - e é por isso que a Lei Geral de Proteção de Dados Pessoais também estipula os agentes de tratamento de dados e suas funções, nas organizações: tem o controlador, que toma as decisões sobre o tratamento; o operador, que realiza o tratamento, em nome do controlador; e o encarregado, que interage com cidadãos e autoridade nacional (e poderá ou não ser exigido, a depender do tipo ou porte da organização e do volume de dados tratados).

d) Gestão em foco –Há um outro item que não poderia ficar de fora: a administração de riscos e falhas. Isso quer dizer que quem gere base de dados pessoais terá que redigir normas de governança; adotar medidas preventivas de segurança; replicar boas práticas e certificações existentes no mercado. Terá ainda que elaborar planos de contingência; fazer auditorias; resolver incidentes com agilidade. Se ocorrer, por exemplo, um vazamento de dados, a ANPD e os indivíduos afetados devem ser imediatamente avisados. Vale lembrar que todos os agentes de tratamento se sujeitam à lei. Isso significa que as organizações e as subcontratadas para tratar dados respondem em conjunto pelos danos causados. E as falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil – e no limite de R$ 50 milhões por infração. A autoridade nacional fixará níveis de penalidade segundo a gravidade da falha. E enviará, é claro, alertas e orientações antes de aplicar sanções às organizações.

O uso de dados pessoais por campanhas políticas é uma realidade. Não que buscar conhecer seus eleitores e desenhar estratégias para influenciá-los seja uma novidade, o que é novo é a crescente capacidade de processamento de dados não só em termos quantitativos, mas, também, e principalmente, em termos qualitativos, pela qual ferramentas de marketing político digital tornaram-se mais potentes.

No entanto, se a incorporação por campanhas políticas de técnicas de marketing cada vez mais sofisticadas é uma realidade, a regulamentação e os limites da legalidade dessas práticas ainda é uma zona cinzenta.

São tímidos os dispositivos da legislação eleitoral que endereçam alguns desses pontos e o impacto da Lei Geral de Proteção de Dados Pessoais para campanhas político-eleitorais ainda é incerto.

É diante desse cenário, que este artigo se propõe a iniciar uma discussão sobre o uso de dados pessoais em processos eleitorais, a partir de uma perspectiva que entrelaça a regulamentação eleitoral com a racionalidade de um regime de proteção de dados pessoais, visando explorar interpretações a respeito dos limites de legalidade e das boas-práticas para o uso de dados pessoais em campanhas político-eleitorais.

São diversas as formas pelas quais dados pessoais de eleitores são usados no contexto de campanhas político-eleitorais, por diferentes tipos de atores. Dados de filiados e apoiadores de um partido, por exemplo, podem ser usados para articular atividades e campanha.

A legislação eleitoral, em diálogo com a LGPD, indica caminhos para algumas dessas situações. Primeiro, a Resolução nº 23.610/19, editada pelo TSE ano passado, traz uma regra geral no §4º do art. 31, dispondo que o tratamento de dados pessoais, inclusive sua doação, uso ou cessão, por pessoa jurídica ou pessoa natural, deverá respeitar as disposições da Lei Geral de Proteção de Dados Pessoais. A redação do dispositivo sugere que atividades de tratamento de dados pessoais realizado por, ou em favor de candidatos, partidos políticos, ou coligações devem respeitar as regras da LGPD.

Com uma indicação mais específica, o art. 28, III da resolução dispõe que a propaganda eleitoral poderá ser realizada por meio de mensagem eletrônica para endereços cadastrados gratuitamente pelo candidato, partido ou coligação, observadas as disposições da LGPD quanto ao consentimento do titular.

Diante de um cenário de carente de análises mais aprofundadas a respeito das possíveis aplicações de uma legislação de proteção de dados pessoais para a garantia da higidez de processos eleitorais, a proposta deste artigo é iniciar o debate sobre as implicações jurídicas do uso de dados pessoais por campanhas eleitorais, através de uma abordagem que entrelace a legislação eleitoral com a racionalidade de um regime de proteção de dados pessoais.

(Flávia Thais de Genaro, advogada inscrita na OAB/SP de n.º204.044, graduação em direito pela PUC, especialista em direito tributário pela Fundação Getulio Vargas e Recursos Humanos pela UNIOPEC, Pós Graduada Direito do Consumidor na Faculdade Damásio Educacional com escritório profissional na Rua das Orquídeas  n.767, -sala 707- Office Premiun- Indaiatuba-SP – Telefone de contato (19)3115-3260/981219889 e-mail [email protected])