CONSENTIMENTO PARENTAL
Matheus Kasputis
Diogo Serrate
Guilherme Torres Peretti
INTRODUÇÃO
A relação entre a tecnologia e os jovens sempre foi marcada pela transformação. Hoje, mais do que nunca, observamos como as crianças e adolescentes estão hiperconectados com as plataformas de tecnologia como as redes sociais, videogames, fóruns ou plataformas de streaming. Tal contexto suscita uma dinâmica entre o comportamento impulsivo dos jovens, ávidos pela interconectividade, e a exposição em escala internacional a que se sujeitam.
Seria essa uma relação simbiótica, fruto do desejo dos jovens em manterem-se perpetuamente e intimamente conectados com o mundo exterior ou seria, conforme tem-se observado perante a comunidade digital, uma prática que representa um alerta, devendo ser cuidadosamente analisada e agilmente regulada? Ainda, seriam os pais ou responsáveis legais aptos a proteger suas crianças das ameaças e potenciais riscos às quais se expõem diariamente no ambiente virtual?
Neste artigo temos a intenção de apresentar comparativamente como a Lei Geral de Proteção de Dados (Lei 13.709/18) e outros ordenamentos em escala internacional (Children's Online Privacy Protection Act of 1998 - “COPPA” e a General Data Protection Regulation - “GDPR”) contemplam o tema do tratamento de dados pessoais de crianças e adolescentes e como os pais e responsáveis legais devem agir no intuito de garantir maior segurança perante o tratamento dos dados pessoais de seus filhos dentro e fora do universo digital.
1. A CRIANÇA E O ADOLESCENTE COMO TITULARES DE DADOS
Independentemente de estarem cientes ou não desta realidade, crianças e adolescentes estão sujeitas a terem seus dados pessoais coletados por empresas ou organizações, seja quando navegam online para consumir conteúdos no TikTok, seja quando participam de eventos da vida real. Tal contexto, exige um grande cuidado para saber quais permissões e acessos que as empresas estão tendo e como estes dados podem ser utilizados em benefício da empresa.
De todos os preceitos fundamentais trazidos por nossa Constituição Federal, destaca-se seu artigo 227 e dever dos pais em garantir a liberdade, segurança, educação e cultura dos seus filhos. Concorrente à essa garantia, fica incumbido aos pais zelar por estes direitos enquanto os fiscalizam de maneira vigilante e assertiva.
Há que se notar, porém, que dentro do nosso ordenamento fazemos distinção entre aqueles que não alcançaram a maioridade civil, ou seja, pessoas com menos de 18 anos de idade em geral, daqueles que são categorizados como relativamente incapazes conforme disposição do artigo 4º do Código Civil de 2002, ou seja, pessoas maiores de 16 anos e menores de 18 anos – devendo, ainda, mencionar aqueles que são considerados absolutamente incapazes (conforme esclarece o artigo 3º do Código Civil de 2002). Essa distinção evidencia o reconhecimento legal do desenvolvimento psicológico e físico e da capacidade perante os atos da vida civil, o que demonstra discrepâncias no discernimento das crianças e adolescentes e, consequentemente, como o gerenciamento de seus dados pessoais ocorrem no âmbito da vida civil.
Abaixo, iremos tratar, de maneira sucinta, a abordagem das principais legislações de proteção de dados nacionais e internacionais quanto ao posicionamento dos pais e responsáveis perante a proteção de dados de crianças e adolescentes, visando proporcionar a liberdade de informação, enquanto garantem a segurança dos seus respectivos dados.
2. REFERENCIAIS LEGISLATIVOS PARA O CONSENTIMENTO PARENTAL
2.1. General Data Protection Regulation (GDPR)
É interessante estabelecermos uma análise comparativa com as determinações da General Data Protection Regulation (GDPR), que trata do assunto do consentimento parental no ambiente da União Europeia.
De início, seu artigo 4º (11) esboça o consentimento como sendo “... qualquer indicação específica, informada, inequívoca e livremente fornecida do desejo do titular de dados pelo qual ele ou ela, através de depoimento ou através de uma ação afirmativa clara, reputa em acordo ao processamento de dados pessoais relacionado a ele ou a ela”.
Somado ao artigo 4º, o artigo 6º, item (a) da GDPR traz a noção do consentimento como um requisito para legalidade de processamento de dados pessoais, sendo que, no entanto, existem exceções cujo consentimento do referido titular não é compulsório (como por exemplo, na hipótese de o tratamento de dados pessoais ser proveniente do cumprimento de obrigação legal pelo controlador de dados ou necessário para resguardar os interesses de ordem vital do titular de dados ou terceiro impactado).
Finalmente, o artigo 8º (1) do texto legal analisado é categórico ao indicar sobre a necessidade do consentimento dos pais ou responsáveis para os jovens de até 16 (dezesseis) anos, com a possibilidade de reduzir a faixa etária para até os 13 (treze) anos de idade conforme determinações dos países membros da EU.
Pela exposição acima, especialmente quanto ao controle e consentimento parental na circunscrição da União Europeia, percebe-se que o legislador contemplou crianças e jovens adolescentes dentro de uma mesma proteção legal, sem levar em consideração as distintas capacidades cognitivas e o desenvolvimento dos atributos e habilidades sociais que estes dois grupos apresentam.
2.2. Family Educational Rights and Privacy Act (FERPA) e Children’s Online Privacy Protection Act (COPPA)
Em importantes leis setoriais norte-americanas, o consentimento parental também é requisito obrigatório para o tratamento de dados pessoais de crianças e adolescentes. É o caso da FERPA, por exemplo. Trata-se de lei federal que aborda questões de privacidade relacionadas ao processamento de registros educacionais por instituições de ensino, indicando em seu conteúdo, a exigência de que instituições sujeitas a suas regras obtenham o consentimento parental prévio - e por escrito - para o compartilhamento de dados pessoais de menores de 18 anos, salvo em exceções pontuais .
Outras normas relevantes são o Children's Online Privacy Protection Act e o Children's Online Privacy Protection Rule (COPPA, em conjunto), lei e regulamento federais que versam sobre o tratamento de dados pessoais de crianças no âmbito da internet. Segundo o COPPA, criança é todo indivíduo menor de 13 anos e todo provedor de aplicação direcionado a esse público está sujeito a suas disposições . Importante notar que, para determinar se um provedor é ou não direcionado ao público infantil, o Federal Trade Commission (FTC) leva em conta critérios como o conteúdo visual e material disponibilizado ao público, a idade de modelos e celebridades retratados nos conteúdos, bem como evidências empíricas sobre a composição da audiência - tratando-se, portanto, de definição ampla.
Assim como no FERPA, o requisito central do COPPA é o consentimento parental, o qual, salvo algumas poucas exceções , deve ser obtido pelos provedores de aplicação antes de coletar, usar ou divulgar dados pessoais de crianças . Além disso, de forma a garantir que tal consentimento seja informado, os provedores são obrigados a disponibilizar um aviso de privacidade aos pais ou responsáveis legais, contendo informações sobre o método de coleta de tais dados, a necessidade do consentimento parental para o tratamento dos dados da criança e o método por meio do qual o consentimento poderá ser fornecido . Nesse sentido, o COPPA elenca formas válidas, não exaustivas, para se obter o consentimento parental, entre elas o termo de consentimento por escrito e assinado; processamento de valores via cartão de crédito ou débito; ligação; videoconferência; etc.
As violações ao COPPA estão sujeitas a penalidades pecuniárias de USD 46,517 dólares por violação, e cabe ao Federal Trade Commission (FTC) garantir seu enforcement . Desde a promulgação da Lei, em 1998, mais de 30 penalidades foram impostas a diferentes organizações, entre elas o Youtube (2019), caso em que o acordo entre as partes atingiu o valor recorde de 170 milhões de dólares .
Dessa forma, constata-se que, ao menos em setores como os de ensino e de provedores de internet, o consentimento parental para o tratamento de dados pessoais de crianças nos Estados Unidos é requisito indispensável e objeto de fiscalização rigorosa pelas autoridades competentes.
3. O CONSENTIMENTO PARENTAL NA LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS
A LGPD determina que “o tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque, sendo fornecido por pelo menos um dos pais ou pelo responsável legal” (art. 14, §1º). As únicas exceções expressas de dispensa de consentimento previstas na lei seriam (i) para contatar o pai ou responsável legal da criança, uma única vez e sem armazenamento; e (ii) para proteção da criança; sendo vedado o compartilhamento dos dados, em ambos os casos, sem o consentimento (art. 14, §3º).
Em regra, a LGPD apenas exige que o consentimento seja livre, informado, inequívoco e para finalidades determinadas. Quando a lei identifica situações especiais, adjetiva de maneira expressa o consentimento; daí porque o consentimento para compartilhar dados com outros controladores precisa também ser “específico” (art. 7º, §5º) e para tratar dados sensíveis (art. 11, I) e de crianças – bem como para transferência internacional de dados (art. 33, VIII) – precisa ser “específico e em destaque” condiciona esse consentimento a um nível maior de proteção. Há dúvidas, contudo, sobre o que essas formas implicam na prática, uma vez que a lei não define o que é um consentimento específico e destacado e tampouco os mecanismos para obtê-lo.
De todo modo, no contexto em que se insere, é certo que o consentimento específico busca a carga máxima de participação do titular dos dados, diferenciando-se assim das demais formas do consentimento. Ao mesmo tempo, o consentimento destacado parece estender os princípios da finalidade e transparência da LGPD, devendo ser interpretado de maneira restritiva nas situações que lhe dão ensejo, da mesma forma que exige o Código de Defesa do Consumidor, quanto aos contratos de adesão (art. 54, §4º), e a própria LGPD, quanto ao consentimento escrito (art. 8º, §1º).
Embora se valendo de uma terminologia diferente, a LGPD seguiu os mesmos caminhos do regulamento europeu (GDPR) e da lei norte-americana (COPPA), ao trazer um nível de proteção adicional para essas situações específicas, ressalvadas algumas particularidades. Por exemplo, o GDPR exige o consentimento ou autorização parental para pessoas menores de 16 anos, mas apenas no que diz respeito à oferta direta de “serviços da sociedade da informação” (information society services – ISSs); nos demais casos, é permitido inclusive o uso do legítimo interesse como base legal. Além disso, há a possibilidade de dispensa do consentimento para serviços preventivos ou de aconselhamento oferecidos à criança, mesmo em ISSs.
O COPPA, por sua vez, que se aplica para toda coleta, uso e compartilhamento de dados pessoais de pessoas menores de 13 anos na internet, exige que o operador do site ou serviço online obtenha o consentimento prévio e verificável da figura parental. Importante notar que a lei destaca algumas exceções relevantes à obtenção do consentimento parental, como o uso de identificadores eletrônicos para manutenção das operações internas do site ou serviço online; uso de dados para resguardo ou resposta a um processo judicial; ou para proteção da segurança ou integridade do site ou serviço online.
Diante disso, a LGPD e a legislação internacional mencionada convergem ao adotarem um modelo paternalista de supervisão e intervenção da autoridade familiar quanto ao tratamento de dados pessoais de crianças. A LGPD, diferentemente do GDPR e do COPPA, não condiciona o tratamento dos dados a um meio específico – como ISSs, sites ou serviços online –, de modo que suas regras são mais amplas e, portanto, se aplicam tanto no meio físico quanto digital.
Além disso, não obstante a amplitude de abrangência da norma, a LGPD traz poucas hipóteses expressas de dispensa do consentimento parental. Nesse sentido, deve prevalecer no caso concreto o melhor interesse da criança, o qual pode por vezes demonstrar-se incompatível com o modelo do consentimento parental, seja devido ao possível procedimentalismo dessa base legal ou devido à inviabilidade de obtê-lo em determinadas situações.
CONCLUSÃO
Considerando que a tutela dos direitos de crianças e adolescentes é dotada de especificidades em diversos ramos do Direito, é de se esperar que as regras sobre o tratamento dos dados pessoais desse público também sejam objeto de atenção especial pelo Legislador. De fato, ordenamentos como o europeu e o norte-americano adotaram critérios mais rigorosos para o tratamento dos dados pessoais de crianças e adolescentes, sobretudo no ambiente online, ao prever a obrigatoriedade do consentimento parental.
No Brasil, a LGPD acompanhou tal tendência e, ao que parece, foi além, ao exigir o consentimento parental para todo e qualquer tratamento, independentemente do ambiente em que este ocorre. Ainda que vise à consecução do princípio do melhor interesse do menor, tal previsão tem gerado questionamentos sobre sua viabilidade e efetividade, considerando os desafios impostos pela realidade prática. Assim, caberá à Autoridade Nacional de Proteção de Dados (ANPD), por meio de regulamentação, e ao Poder Judiciário, através da jurisprudência, definir como e em quais circunstâncias o consentimento parental será requisito para o tratamento de dados pessoais de menores de idade no Brasil.
