Dados de Telecomunicações: Regulamentação e Privacidade

A regulamentação dos dados de telecomunicações no Brasil exige atenção redobrada de empresas e operadoras, pois falhas de conformidade podem gerar sanções milionárias e comprometer a privacidade de milhões de usuários.

O cenário regulatório dos dados de telecomunicações no Brasil

Quando analisamos o panorama normativo que envolve dados de telecomunicações no Brasil, percebemos que se trata de um ecossistema jurídico complexo, formado por múltiplas camadas legislativas e regulatórias. A Lei Geral de Telecomunicações (Lei nº 9.472/1997) estabeleceu as bases para a regulação do setor, criando a Anatel como agência reguladora e definindo princípios fundamentais sobre sigilo das comunicações e proteção dos dados dos usuários. Com a entrada em vigor da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), esse cenário ganhou uma nova dimensão, impondo obrigações específicas sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais em todos os setores, incluindo telecomunicações.

Observamos que a intersecção entre essas normas gera desafios práticos significativos. As operadoras de telecomunicações lidam diariamente com volumes massivos de dados pessoais e sensíveis: registros de chamadas, dados de localização, histórico de navegação, informações cadastrais e metadados de comunicação. Cada uma dessas categorias de dados possui requisitos regulatórios próprios, e o tratamento inadequado de qualquer uma delas pode configurar infração tanto às normas setoriais da Anatel quanto à LGPD. A Autoridade Nacional de Proteção de Dados (ANPD) também exerce papel central nesse contexto, fiscalizando o cumprimento da legislação de proteção de dados e podendo aplicar sanções administrativas às empresas que descumprirem suas obrigações.

Além do arcabouço nacional, consideramos que o Marco Civil da Internet (Lei nº 12.965/2014) complementa essa estrutura ao disciplinar a guarda de registros de conexão e de acesso a aplicações de internet, estabelecendo prazos específicos de retenção e condições para o fornecimento desses registros a autoridades. Verificamos, portanto, que a conformidade regulatória no setor de telecomunicações exige uma abordagem integrada, que contemple simultaneamente as exigências da Anatel, da ANPD, do Marco Civil e da própria Constituição Federal, que consagra o sigilo das comunicações como direito fundamental.

Due diligence de dados em operações de telecomunicações

A due diligence de dados tornou-se uma etapa indispensável em operações societárias, fusões, aquisições e parcerias comerciais que envolvam empresas de telecomunicações. Quando conduzimos esse processo, identificamos que o objetivo central é mapear os riscos jurídicos associados ao tratamento de dados pessoais pela empresa-alvo, avaliando se suas práticas estão em conformidade com a legislação vigente. Esse mapeamento abrange desde a análise das políticas internas de privacidade até a verificação da existência de incidentes de segurança anteriores, passando pela avaliação dos contratos com terceiros que tenham acesso aos dados dos usuários.

Na prática, recomendamos que a due diligence de dados em telecomunicações contemple ao menos cinco eixos fundamentais. O primeiro diz respeito à base legal utilizada para cada operação de tratamento de dados, verificando se a empresa utiliza corretamente o consentimento, o legítimo interesse, a execução de contrato ou outra hipótese prevista na LGPD. O segundo eixo envolve a análise da estrutura de governança de dados, incluindo a nomeação de um encarregado (DPO), a existência de comitê de privacidade e a documentação dos processos de tratamento por meio de registros de operações (ROPA). O terceiro eixo compreende a avaliação das medidas técnicas e administrativas de segurança da informação adotadas para proteger os dados contra acessos não autorizados, vazamentos e incidentes.

O quarto eixo da due diligence examina os contratos firmados com terceiros, como prestadores de serviços de infraestrutura, empresas de marketing e parceiros comerciais que recebem ou tratam dados dos assinantes. Analisamos se esses contratos contêm cláusulas adequadas sobre proteção de dados, limitação de finalidade, obrigações de confidencialidade e procedimentos para notificação de incidentes. O quinto eixo, frequentemente negligenciado, refere-se ao histórico de cumprimento regulatório da empresa perante a Anatel e a ANPD, incluindo eventuais termos de ajustamento de conduta, processos administrativos sancionadores e compromissos assumidos com órgãos de defesa do consumidor. A ausência de uma due diligence rigorosa pode resultar na assunção de passivos ocultos significativos, comprometendo a viabilidade econômica da operação e expondo os adquirentes a riscos reputacionais e financeiros.

A due diligence de dados em telecomunicações não é apenas uma formalidade contratual, mas sim um instrumento essencial de gestão de riscos que pode revelar passivos ocultos e evitar prejuízos milionários.

Sigilo das comunicações e limites de acesso aos dados

O sigilo das comunicações constitui garantia constitucional prevista no artigo 5º, inciso XII, da Constituição Federal, que protege a inviolabilidade da correspondência e das comunicações telegráficas, de dados e telefônicas. Quando examinamos a aplicação prática dessa garantia ao setor de telecomunicações, verificamos que ela impõe limites rigorosos ao acesso, compartilhamento e utilização dos dados gerados nas comunicações dos usuários. A quebra do sigilo somente pode ocorrer mediante ordem judicial fundamentada, nas hipóteses e na forma que a lei estabelecer, para fins de investigação criminal ou instrução processual penal.

Nesse contexto, as operadoras de telecomunicações assumem o papel de guardiãs dos dados de seus usuários, sendo obrigadas a implementar mecanismos eficazes de proteção contra acessos indevidos. A Resolução nº 738/2020 da Anatel, que aprovou o Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, reforçou essas obrigações ao exigir que as prestadoras adotem políticas de segurança cibernética, realizem avaliações periódicas de vulnerabilidades e notifiquem incidentes de segurança relevantes à agência reguladora. Identificamos que o descumprimento dessas obrigações pode acarretar sanções que vão desde advertências até multas significativas, conforme a gravidade da infração e o porte da empresa.

Outro aspecto relevante que analisamos diz respeito às requisições de dados por autoridades públicas. As operadoras recebem frequentemente solicitações de órgãos de segurança pública, do Ministério Público e do Poder Judiciário para fornecimento de registros de chamadas, dados cadastrais e informações de localização de usuários. A legislação estabelece procedimentos específicos para cada tipo de dado solicitado: dados cadastrais podem ser fornecidos diretamente a autoridades administrativas com competência legal para requisitá-los (conforme previsto na Lei nº 12.850/2013 e na Lei nº 9.613/1998), enquanto o conteúdo das comunicações e registros de conexão exigem prévia autorização judicial. A correta distinção entre essas categorias de dados é fundamental para que as operadoras cumpram suas obrigações legais sem violar os direitos dos usuários.

Transferência internacional de dados no setor de telecomunicações

A globalização das redes de telecomunicações torna a transferência internacional de dados uma questão central para a conformidade regulatória do setor. Quando analisamos as operações de empresas de telecomunicações com atuação multinacional ou que utilizam infraestrutura de nuvem localizada no exterior, verificamos que a LGPD impõe condições específicas para a transferência de dados pessoais para outros países. O artigo 33 da LGPD elenca as hipóteses autorizadas, que incluem a transferência para países com nível adequado de proteção reconhecido pela ANPD, a existência de cláusulas contratuais específicas, normas corporativas globais e o consentimento específico e destacado do titular.

Observamos que a ANPD tem avançado na regulamentação desse tema, publicando normas complementares sobre transferência internacional que afetam diretamente o setor de telecomunicações. Para empresas que armazenam dados de assinantes em servidores localizados fora do Brasil, ou que compartilham informações com parceiros internacionais para fins de roaming, faturamento ou combate a fraudes, a adequação a essas normas é imprescindível. Recomendamos que as empresas do setor realizem um mapeamento detalhado dos fluxos internacionais de dados, identifiquem os mecanismos de transferência aplicáveis a cada situação e documentem as salvaguardas adotadas para garantir a proteção dos dados dos usuários brasileiros mesmo quando tratados no exterior.

A due diligence específica para transferências internacionais deve incluir a avaliação da legislação de proteção de dados do país destinatário, a verificação da existência de acordos bilaterais ou multilaterais sobre a matéria e a análise dos riscos associados ao acesso governamental aos dados no país de destino. Consideramos que essa análise é particularmente sensível no setor de telecomunicações, dada a natureza dos dados envolvidos e o potencial impacto de sua exposição indevida sobre a privacidade e a segurança dos usuários.

Boas práticas e recomendações para conformidade

Com base na nossa experiência na análise de questões regulatórias do setor de telecomunicações, reunimos um conjunto de boas práticas que consideramos essenciais para a conformidade em matéria de dados. A primeira recomendação é a implementação de um programa robusto de governança de dados, que contemple políticas claras, procedimentos documentados, treinamentos periódicos para colaboradores e mecanismos de monitoramento contínuo. Esse programa deve ser liderado por um encarregado de proteção de dados (DPO) qualificado, com autonomia funcional e acesso direto à alta administração da empresa.

A segunda recomendação envolve a realização de relatórios de impacto à proteção de dados pessoais (RIPD) para operações de tratamento que apresentem alto risco aos titulares. No contexto das telecomunicações, verificamos que diversas atividades se enquadram nessa categoria, como o tratamento de dados de localização em tempo real, a análise de padrões de uso para fins de marketing direcionado e o compartilhamento de dados com terceiros para fins de prevenção a fraudes. O RIPD permite identificar e mitigar riscos antes que se materializem em incidentes ou infrações.

Adicionalmente, ressaltamos a importância de manter um plano de resposta a incidentes de segurança atualizado e testado periodicamente. A LGPD exige que o controlador comunique à ANPD e aos titulares afetados a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante, dentro de prazo razoável. A Anatel também possui requisitos próprios de notificação de incidentes cibernéticos. A existência de um plano estruturado, com definição clara de papéis, responsabilidades e prazos, é determinante para a eficácia da resposta e para a mitigação de danos em caso de vazamento ou acesso não autorizado a dados de telecomunicações. Por fim, destacamos que a conformidade regulatória não deve ser vista como um custo, mas como um investimento estratégico que fortalece a confiança dos usuários, reduz riscos de sanções e contribui para a sustentabilidade do negócio a longo prazo.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.