Portabilidade de Dados: Direito do Titular e Implementação

Aqui está o artigo completo:

“`html

O que é o Direito à Portabilidade de Dados

A portabilidade de dados é o direito que o titular possui de receber os dados pessoais que forneceu a um controlador, em formato estruturado, de uso corrente e legível por máquina, podendo transferi-los a outro controlador, sem que o controlador original crie obstáculos a essa transmissão.

Esse direito está previsto no artigo 18, inciso V, da Lei nº 13.709/2018, a LGPD. Ele representa uma quebra de paradigma importante: o dado pessoal não “pertence” à empresa que o coleta. O titular continua sendo o protagonista de suas próprias informações, e pode levá-las consigo ao migrar para outro prestador de serviços, mudar de banco, de plano de saúde, de operadora de telefonia ou de qualquer outra plataforma digital.

A ideia central é promover a autonomia do titular e estimular a concorrência saudável entre empresas. Quando um usuário pode migrar seus dados com facilidade, o fornecedor de serviços precisa competir pela qualidade e não pela retenção forçada de informações.

É importante distinguir a portabilidade de dados do direito de acesso e do direito de exclusão. O acesso permite que o titular consulte quais dados o controlador possui. A exclusão permite que ele solicite o apagamento. A portabilidade vai além: ela garante que os dados sejam entregues em formato interoperável, prontos para uso em outro sistema.

Requisitos Legais e Regulamentação pela ANPD

A LGPD estabelece o direito à portabilidade, mas delega à Autoridade Nacional de Proteção de Dados (ANPD) a competência para regulamentar os requisitos técnicos, os formatos aceitos e as condições de exercício desse direito.

A ANPD tem publicado orientações progressivas sobre o tema. A regulamentação considera aspectos como segurança no processo de transferência, autenticação da identidade do titular que solicita a portabilidade e prazos razoáveis para atendimento das requisições.

Alguns pontos relevantes que a legislação e as orientações da ANPD delineiam:

• Formato dos dados: os dados devem ser entregues em formato estruturado e legível por máquina, como JSON, CSV ou XML, permitindo que outro controlador os importe sem necessidade de reprocessamento manual extensivo.
• Prazo de atendimento: o controlador deve responder às solicitações de portabilidade em prazo razoável, que a ANPD pode detalhar por regulamento setorial. A LGPD prevê como referência geral o prazo de 15 dias para resposta a requisições dos titulares.
• Gratuidade: o exercício dos direitos do titular, incluindo a portabilidade, deve ser gratuito, salvo em casos de solicitações manifestamente infundadas, excessivas ou repetitivas.
• Segurança na transferência: o controlador deve garantir que o processo de portabilidade não exponha os dados a acessos não autorizados, exigindo autenticação adequada do solicitante.

Há, porém, limites importantes ao direito. A portabilidade não se aplica a dados anonimizados, pois esses, por definição, não identificam o titular. Também não alcança informações que possam revelar segredos comerciais, propriedade intelectual de terceiros ou dados de outras pessoas físicas. O controlador pode recusar a portabilidade quando ela conflitar com o sigilo empresarial, mas deve fundamentar essa recusa de forma clara.

Implementação Prática pelos Controladores

Para as empresas que atuam como controladoras de dados pessoais, a portabilidade exige investimento em infraestrutura técnica e processos organizacionais bem definidos. Não basta declarar no aviso de privacidade que o titular tem esse direito: é preciso criar mecanismos efetivos para exercê-lo.

A seguir, descrevemos os principais pilares de uma implementação adequada:

Canal de requisição acessível: o controlador deve oferecer ao titular um meio claro e de fácil acesso para solicitar a portabilidade. Isso pode ser feito por formulário no site, por aplicativo ou por atendimento direto. O canal precisa ser documentado na política de privacidade.

Mapeamento de dados: a empresa só consegue entregar os dados do titular se souber exatamente onde eles estão armazenados, em quais sistemas, bancos de dados e fornecedores terceiros. Um inventário de dados atualizado é condição prévia para atender às requisições de portabilidade de forma completa e rápida.

Definição de escopo: nem todos os dados que a empresa possui sobre um titular estão sujeitos à portabilidade. Dados derivados de análises internas, modelos proprietários gerados pelo controlador e informações obtidas de fontes públicas ou de terceiros podem ter tratamento diferenciado. É necessário definir, com clareza jurídica, quais categorias de dados serão disponibilizadas na portabilidade.

Processos de verificação de identidade: antes de liberar qualquer exportação de dados, o controlador precisa certificar-se de que está atendendo ao titular legítimo, e não a um terceiro que se passa por ele. Mecanismos de autenticação multifator ou confirmação por canais previamente cadastrados são recomendados.

Registro e auditoria: cada requisição de portabilidade deve ser registrada, incluindo data, hora, identidade verificada, dados entregues e formato utilizado. Esses registros são essenciais para demonstrar conformidade à ANPD em caso de fiscalização ou reclamação.

Treinamento de equipes: as equipes de atendimento e de tecnologia precisam compreender o direito à portabilidade, reconhecer requisições válidas e saber como processá-las dentro dos prazos e padrões exigidos.

Para pequenas e médias empresas, a implementação pode parecer desafiadora, mas existem soluções proporcionais ao porte e ao volume de dados tratados. O princípio da proporcionalidade, previsto na própria LGPD, permite que microempresas adotem medidas simplificadas, desde que garantam o exercício efetivo dos direitos dos titulares.

Portabilidade, Concorrência e Proteção do Consumidor

O direito à portabilidade de dados não existe em isolamento. Ele dialoga diretamente com o direito do consumidor e com o direito da concorrência. Quando um titular pode migrar seus dados com facilidade, o mercado se torna mais competitivo e o consumidor ganha poder de negociação.

No setor financeiro, por exemplo, o Banco Central do Brasil implementou o Open Finance, sistema que vai além da LGPD e cria um ecossistema regulado de compartilhamento de dados bancários. O titular autoriza que seus dados sejam compartilhados com outras instituições financeiras para obter melhores condições de crédito, investimento ou serviços. Esse modelo demonstra como a portabilidade de dados, quando bem regulamentada, cria valor para o consumidor e para o mercado.

No setor de saúde, a portabilidade de prontuários e histórico médico tem potencial de melhorar a continuidade do cuidado. Um paciente que muda de plano de saúde ou de hospital não deveria perder o acesso ao seu histórico clínico. A LGPD, combinada com regulamentações setoriais, cria o arcabouço para que isso se torne realidade.

Do ponto de vista do direito do consumidor, a recusa injustificada em atender a uma solicitação de portabilidade pode configurar prática abusiva, passível de sanção pelo PROCON e pela própria ANPD. A LGPD prevê multas de até 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração, além de outras sanções como suspensão do tratamento de dados e publicização da infração.

“`

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.