Proteção de dados: um direito fundamental no Brasil

Um cadastro preenchido para comprar em uma loja online, um aplicativo autorizado a acessar a localização do celular, um CPF informado no caixa da farmácia. Em cada uma dessas situações, alguém entrega pedaços da própria identidade a uma empresa. Por muito tempo, o que acontecia com esses dados depois disso foi uma zona cinzenta no Direito brasileiro. Havia regras esparsas, mas nenhum reconhecimento claro de que controlar as próprias informações é um direito do mesmo peso da liberdade de expressão ou da inviolabilidade do domicílio.

Isso mudou. Desde 2022, o direito à proteção de dados pessoais está escrito na Constituição, na mesma lista dos direitos e garantias fundamentais em que consta a liberdade de iniciativa e o direito à vida. A mudança tem consequências concretas para as pessoas que têm seus dados tratados e, principalmente, para as empresas que os tratam. É também o ponto de partida para entender tudo o que a Lei Geral de Proteção de Dados (LGPD) exige.

A proteção de dados é um direito fundamental?

Sim. Desde a Emenda Constitucional nº 115, de 10 de fevereiro de 2022, o art. 5º da Constituição Federal traz um inciso específico sobre o tema. O texto é direto: “é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais” (art. 5º, LXXIX).

Estar no art. 5º não é detalhe. É ali que a Constituição concentra os direitos e garantias fundamentais, o núcleo que nem o Estado pode suprimir e que orienta a aplicação de todas as outras normas. A mesma emenda ainda deu à União a tarefa de organizar e fiscalizar a proteção e o tratamento de dados pessoais (art. 21, XXVI) e a competência exclusiva para legislar sobre o assunto (art. 22, XXX). Em outras palavras, proteção de dados deixou de ser um tema espalhado por leis avulsas e passou a ter uma regra nacional, uniforme e com força constitucional.

Como chegamos até aqui?

O reconhecimento não veio do nada. Ele é o resultado de uma construção que levou décadas.

A privacidade como ponto de partida: a Constituição de 1988 já protegia a intimidade e a vida privada (art. 5º, X). Essa proteção, que costumamos chamar simplesmente de “privacidade”, tem um sentido amplo: cobre os espaços onde a vida acontece longe de olhos alheios, como a casa de cada um, e também os registros pessoais, como cartas e diários. Foi sobre essa base que se construiu, aos poucos, a ideia de proteger também os dados que circulam sobre cada pessoa. A mesma Constituição criou o habeas data (art. 5º, LXXII), instrumento para a pessoa conhecer e corrigir informações a seu respeito em bancos de dados públicos. Eram peças de um quebra-cabeça que ainda não formava uma figura própria.

O Marco Civil da Internet: a Lei nº 12.965/2014 deu o passo seguinte ao listar, entre os princípios do uso da internet no país, “a proteção dos dados pessoais, na forma da lei” (art. 3º, III), e ao garantir ao usuário o sigilo de suas comunicações. Foi a primeira vez que uma lei brasileira disse com clareza que dados pessoais merecem proteção própria no ambiente digital.

A LGPD: a Lei nº 13.709/2018 reuniu o tema em uma lei só, com regras completas. Logo no art. 1º, ela declara que trata do uso de dados pessoais “com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”. Ou seja: a própria lei já tratava a proteção de dados como assunto de direito fundamental antes de a Constituição dizer isso com todas as letras.

O Supremo antecipando o legislador: em 2020, ao julgar a Medida Provisória nº 954, que autorizava operadoras de telefonia a compartilhar dados de usuários com o IBGE, o Supremo Tribunal Federal suspendeu a medida e, por maioria, reconheceu a proteção de dados pessoais como direito fundamental autônomo, extraído do conjunto da Constituição mesmo sem um artigo específico (ADI 6.387 e conexas, relatoria da Ministra Rosa Weber). O tribunal chegou à conclusão dois anos antes de ela entrar no texto constitucional.

A Emenda Constitucional nº 115/2022 fechou esse ciclo: pegou o que a Justiça e as leis já reconheciam e escreveu na própria Constituição, acima de todas as outras normas.

O que significa, na prática, ser um direito fundamental?

Dizer que algo é direito fundamental não é mera força de expressão, mas sim conduz a efeitos bastante concretos.

O primeiro deles: o direito vale contra o Estado e também nas relações entre particulares. A empresa que trata dados de clientes ou de funcionários não responde apenas ao contrato ou à LGPD; responde a um dever que vem da própria Constituição. Os juristas chamam isso de eficácia horizontal dos direitos fundamentais, mas a ideia é simples: o direito acompanha a pessoa onde quer que seus dados estejam.

O direito também funciona como régua para as demais normas. Uma lei ou um ato do governo que desrespeite a proteção de dados de forma desproporcional pode ser derrubado por inconstitucionalidade. De outro lado, isso também significa que, quando uma regra da LGPD admite mais de uma interpretação, deve prevalecer a que melhor proteger o titular dos dados, o que interessa diretamente a quem redige contratos e políticas de privacidade.

Há, por fim, a sustentação constitucional da chamada autodeterminação informativa. O nome é técnico, mas o conceito é do dia a dia: é o poder de cada pessoa decidir o que os outros podem fazer com as suas informações. Saber quem tem seus dados, para que os usam, autorizar ou negar certos usos e poder mudar de ideia depois. A LGPD já colocava essa ideia entre seus fundamentos (art. 2º, II); agora ela tem respaldo direto na Constituição.

Privacidade, direito da personalidade e LGPD: como as camadas se articulam

É comum tratar privacidade e proteção de dados como sinônimos. Há sobreposição, mas não são a mesma coisa, e alguns exemplos ajudam a separar uma da outra.

A privacidade protege o que é reservado: a casa, a correspondência, o diário, a conversa que não era para ser ouvida. A proteção de dados cuida de outra coisa: das informações sobre uma pessoa que circulam legitimamente por cadastros e sistemas, mesmo quando não têm nada de íntimo. O endereço de entrega salvo no e-commerce, o histórico de compras do cartão de fidelidade, a placa do carro lida na cancela do estacionamento. Nenhum desses dados é segredo, e ainda assim a pessoa tem o direito de saber quem os guarda e para quê, e de exigir que não sejam usados para outra finalidade. Numa sociedade em que quase tudo vira registro digital, foi essa segunda proteção que ganhou relevância. Não porque seja “maior” que a privacidade, mas porque o volume de dados em circulação transformou o controle sobre eles em um problema do cotidiano.

Os direitos da personalidade, categoria do Código Civil que abrange nome, imagem, honra e a própria privacidade, formam o pano de fundo dessa construção. A proteção de dados conversa com todos eles, mas ganhou regras e ferramentas próprias, que a proteção genérica da personalidade não tinha.

A LGPD é a lei que faz tudo isso funcionar na prática. Ela transforma o princípio em obrigações concretas: hipóteses que autorizam o uso de dados, direitos que o titular pode exercer, deveres de segurança, uma autoridade para fiscalizar (a ANPD, Autoridade Nacional de Proteção de Dados). A Constituição diz que a proteção existe; a LGPD diz como ela funciona.

O resultado é um sistema em três camadas que se completam: o direito fundamental na Constituição, os direitos da personalidade no Código Civil e o regime detalhado na LGPD.

O que muda para empresas e para as pessoas

Para quem trata dados, a mudança eleva o custo de errar: cumprir a LGPD deixa de ser exigência burocrática de uma lei específica e passa a ser a forma de atender a um dever que vem da Constituição. Em caso de dúvida sobre como interpretar uma regra, a tendência é a leitura mais protetiva ao titular, a pessoa cujos dados estão em jogo. E princípios como finalidade, necessidade, transparência e segurança (art. 6º da LGPD) deixam de ser recomendações para funcionar como condições de validade do próprio uso dos dados.

Para os titulares, o efeito é de reforço: os direitos que a LGPD assegura, como acessar, corrigir e eliminar dados, ganham respaldo constitucional, o que pesa na hora de interpretar uma regra dúbia ou de exigir uma postura de quem trata as informações. Isso não significa que coletar dados tenha se tornado proibido; significa que a coleta precisa de justificativa legítima e de respeito às regras do jogo.

O que levar em conta

A proteção de dados como direito fundamental não é uma bandeira abstrata: é a base sobre a qual se apoiam a LGPD e todas as obrigações que dela decorrem. Para quem empreende, a leitura correta é de planejamento, não de pânico. Estruturar o tratamento de dados desde o início, com finalidade clara e segurança adequada, custa menos do que remediar depois, e agora responde a uma exigência que vem da Constituição. Os próximos artigos desta série detalham as peças desse sistema, dos direitos do titular às regras de consentimento. E, se a sua empresa está começando a organizar essa área, uma conversa com quem trabalha com o tema ajuda a definir por onde começar e o que priorizar.

Perguntas frequentes

Privacidade e proteção de dados são a mesma coisa? Não. A privacidade protege o que é reservado, como a casa, as comunicações e os registros pessoais. A proteção de dados cuida das informações sobre uma pessoa identificável que circulam em cadastros e sistemas, mesmo quando não são íntimas, e garante o controle sobre o uso delas. São direitos que se complementam.

O que muda com a EC 115/2022? A Emenda Constitucional nº 115/2022 inseriu a proteção de dados pessoais na lista dos direitos e garantias fundamentais (art. 5º, LXXIX) e definiu a competência da União para organizar, fiscalizar e legislar sobre o tema. Na prática, deu força constitucional à proteção de dados e uniformizou a regra em todo o país.

O direito à proteção de dados vale contra empresas privadas? Sim. Direitos fundamentais valem também nas relações entre particulares. A empresa que trata dados pessoais tem um dever que vem da Constituição, além das obrigações previstas na LGPD.

A proteção de dados já existia antes de 2022? Sim. Antes da LGPD, ela era menos explícita: vinha da privacidade, do habeas data e de leis como o Marco Civil da Internet (2014). A LGPD (2018) criou o regime completo, e o STF reconheceu o direito fundamental autônomo em 2020 (ADI 6.387). O que a EC 115/2022 mudou foi o nível dessa proteção, que passou a constar expressamente da Constituição.