Mudança de Rumo na Califórnia: Entre a Regulação da IA e os Limites da Autonomia Privada

A recente revisão das propostas regulatórias da California Privacy Protection Agency (CPPA) sobre tecnologias de decisão automatizada marca não apenas uma resposta a pressões políticas e econômicas, mas ilustra – de forma mais profunda – o embate entre a racionalidade tecnológica e os fundamentos éticos do direito à privacidade. Ao recuar nas exigências previamente impostas ao uso de Inteligência Artificial, o Estado da Califórnia revela como o ideal de proteção de dados convive, tensionado, com os interesses empresariais e a própria arquitetura do poder regulatório.

Originalmente, a proposta da CPPA visava regular amplamente o uso de ADMTs (Automated Decisionmaking Technologies), dando especial atenção ao impacto potencial desses sistemas em decisões significativas sobre indivíduos – como acesso a crédito, emprego ou moradia. A reação adversa de setores econômicos, legisladores estaduais e até mesmo do governador Gavin Newsom, no entanto, resultou em uma versão suavizada da regulamentação, cuja nova redação limita o escopo às tecnologias que substituem, substancial ou integralmente, a decisão humana.

Trata-se de uma escolha normativa com implicações éticas significativas. Ao excluir da tutela legal os sistemas que apenas “auxiliam” o julgamento humano, a regulamentação parece ignorar o quanto esses apoios algorítmicos, ainda que formalmente subordinados ao humano, moldam comportamentos, enviesam resultados e, muitas vezes, operam dentro da zona cinzenta do poder invisível. A noção de “decisão significativa” – agora restrita a áreas como habitação e serviços essenciais – também levanta questões: quem define a significância de uma decisão? Podemos admitir que a personalização algorítmica em práticas comerciais, ainda que voltadas à publicidade, não produza efeitos dignos de escrutínio jurídico?

As flexibilizações relativas a auditorias de cibersegurança e avaliações de risco caminham no mesmo sentido de acomodação. Permitir que empresas se autoavaliem com margens de tempo amplas, utilizando auditorias pré-existentes, fortalece a lógica da conformidade simbólica – onde há procedimentos, mas pouca substância. Estar em conformidade não é, necessariamente, estar em justiça.

Diante dessa reconfiguração, o que se vê não é apenas um reposicionamento estratégico frente a uma pressão político-econômica, mas a materialização de um dilema clássico: como proteger a esfera pessoal do sujeito diante de tecnologias que operam no limiar entre a funcionalidade e a vigilância? Nesse espaço de disputa, o direito não é mero instrumento normativo, mas campo de enfrentamento entre diferentes visões de mundo – uma que ancora a dignidade no controle sobre a própria narrativa digital, e outra que transfere decisões à opacidade do cálculo algorítmico.

A reflexão que se impõe vai além do vocabulário técnico da regulamentação. Trata-se de revisitar, à luz da emergência tecnológica, a própria ideia de autonomia contemporânea: ainda há espaço para decisões humanas autênticas quando estas são mediadas, previstas e dirigidas por sistemas que se alimentam, precisamente, das escolhas passadas? O futuro da regulação da IA, na Califórnia e fora dela, dependerá não apenas da letra da norma, mas da ética que orienta seu espírito.

O post De olho na privacidade!
California Regulator Releases Updated Draft Regulations, Scales Back Proposed AI Privacy Rules apareceu primeiro em Privacidade e proteção de dados.

Michigan move contra Roku e acende alerta sobre privacidade infantil nas plataformas digitais

A procuradoria-geral de Michigan ajuizou uma ação judicial robusta contra a Roku Inc., acusando a plataforma de streaming de violar não apenas a Lei de Proteção à Privacidade Online das Crianças (COPPA), mas também a Video Privacy Protection Act (VPPA) e a legislação correlata do próprio estado de Michigan. As alegações desmontam a ideia, ainda corrente entre alguns setores da economia digital, de que a coleta de dados sensíveis pode operar em uma zona cinzenta jurídica quando se trata de usuários infantis.

Segundo a denúncia, a plataforma teria coletado e compartilhado, sem o devido consentimento parental, informações pessoais de crianças com menos de 13 anos. Dentre os dados mencionados estão nomes, identificadores de dispositivos, localização e até gravações de voz. Parte dessas informações teria sido repassada a anunciantes e corretores de dados, com o objetivo claro de direcionar publicidade para esse público vulnerável — prática frontalmente vedada pela COPPA.

O cerne da controvérsia não se limita à ausência de consentimento. Mais profundamente, questiona-se o papel ativo da Roku como operadora de um serviço digital ciente da presença de usuários infantis em sua plataforma. Diferentemente de alguns concorrentes que oferecem perfis gerenciáveis para crianças, a Roku, de acordo com a ação, negligenciou mecanismos de mitigação de riscos, apostando na invisibilidade jurídica do público infantil.

O caso adquire especial relevo não apenas por sua dimensão fática, mas porque sinaliza uma reconfiguração do protagonismo estatal na tutela da privacidade digital. Antes restrita majoritariamente à atuação da Federal Trade Commission, a fiscalização da COPPA começa a migrar para o domínio dos estados, evidenciando uma reação mais descentralizada e agressiva diante da inércia regulatória federal.

Trata-se de mais um episódio em que se tornam visíveis as fraturas do discurso do “consentimento informado”, sobretudo quando aplicado a sujeitos historicamente situados à margem da autonomia plena — como as crianças. A promessa liberal de autodeterminação informacional não basta quando os próprios instrumentos de controle estão ausentes ou inacessíveis. A racionalidade instrumental que norteia o design de plataformas baseadas em vigilância algorítmica confronta diretamente a dignidade enquanto princípio estruturante do direito à privacidade.

O processo movido por Michigan ainda terá desdobramentos judiciais, mas seu alcance simbólico já é evidente. Mais do que punição, o que está em jogo é a rediscussão do próprio estatuto da infância no ecossistema digital. Até onde pode ir o lucro num ambiente em que nem mesmo a inocência é deixada em paz?

O post De olho na privacidade!
Michigan AG Sues Roku Over Alleged Privacy Violations apareceu primeiro em Privacidade e proteção de dados.

Dark patterns e boa-fé objetiva: quando a manipulação se veste de contrato
Prof. Dr. Bernardo Grossi

Há algo de inquietante quando a arquitetura das escolhas digitais se transforma em armadilha. Os chamados dark patterns — configurações visuais e fluxos interacionais que induzem o usuário a decisões premeditadamente menos conscientes ou contrárias a seus interesses — tornaram-se práticas recorrentes no design de plataformas tecnológicas. Apesar do nome sugestivamente anglófono, trata-se, na essência, de uma violação nada sutil de princípios jurídicos elementares do direito privado, com destaque para a boa-fé objetiva.

O que está em jogo não é apenas uma discussão sobre usabilidade e design, mas sobre o quanto ainda toleramos a naturalização da manipulação nas relações privadas ditas “livres”. Ao contrário de uma pretensa neutralidade contratual, essas práticas revelam intencionalidade. Elas fazem parte de uma lógica econômica que instrumentaliza a autonomia privada para fins de captação de dados e maximização de lucros — travestindo-se de consentimento o que, de fato, constitui coação ou engodo.

Tomemos como exemplo o “cookie wall”, prática em que se obstaculiza o uso de um site até que o usuário aceite todos os cookies, sem possibilidade real de configurar suas preferências. Ou o “opt-out escondido”, em que a revogação de autorizações é deliberadamente dificultada. Em ambos os casos, não há mero descuido técnico, mas uma estratégia calculada de exploração da assimetria informacional. A expressão disso, em categorias jurídicas, corresponde a uma violação dos deveres anexos derivados da boa-fé objetiva: o dever de informação clara e adequada, o dever de lealdade e o dever de transparência.

Os autores que se debruçam sobre o direito civil-constitucional reconhecem há tempos que a boa-fé deixou de ser mera cláusula moralizante para se tornar um verdadeiro princípio estruturante das relações privadas — com eficácia normativa e função limitadora da autonomia, especialmente quando há desequilíbrio estrutural entre as partes. Não à toa, Maria Helena Diniz já alertava para a função ética e social da boa-fé; Judith Martins-Costa, por sua vez, reconstruiu sua concepção como “norma de comportamento”, e não como simples ponto de referência axiológica. A manipulação algorítmica por dark patterns, nesse contexto, representa com nitidez uma ruptura dessa moldura normativa.

Há, ainda, um silêncio incômodo nas decisões judiciais sobre esse fenômeno. O discurso majoritário tende a reduzir o problema à falta de consentimento ou à suposta cláusula abusiva — categorias jurídicas importantes, sim, mas insuficientes. A lógica subjacente aos dark patterns exige uma leitura mais sofisticada, que incorpore a ideia de que o acesso à informação e o controle sobre os próprios dados não se esgotam na formalização do consentimento, mas pressupõem uma ambiência de confiança, previsibilidade e segurança, como se exige de qualquer relação de boa-fé.

É justamente isso que está ausente nos ambientes digitais que operam por opacidade e saturação. Stefano Rodotà advertia que o risco não é apenas técnico, mas antropológico: a retração da autodeterminação informativa como traço da identidade pessoal. Quando a relação entre sujeito e dado se transmuta num mercado onde escolhas são induzidas, o sujeito jurídico é substituído por uma “persona mercantilizada”, submetida à lógica do perfil e não da vontade.

Diante disso, a LGPD não pode ser lida como uma ilha normativa, nem tampouco como um sistema autocentrado. Ao contrário, sua densidade interpretativa se amplia quando integrada aos princípios do direito civil-constitucional, sobretudo àqueles que atribuem à boa-fé uma função de contenção do poder econômico e de tutela da dignidade humana. É nesse sentido que a proteção de dados e a arquitetura digital não podem continuar isentas de uma crítica estrutural: há responsabilidade civil, há quebra de confiança, há violação à boa-fé — e tudo isso é, sim, jurídica e eticamente relevante.

A pergunta que resta é se aceitaremos, passivamente, que a engenharia comportamental se torne o novo normal das relações jurídicas privadas. Ou se, ao contrário, teremos a coragem de exigir que a boa-fé, esta tão insistentemente evocada nos manuais de direito, deixe de ser platitude e se converta em critério real de controle das práticas digitais contemporâneas.

—
Prof. Dr. Bernardo Grossi

O post Editorial da semana: Transformações e paradoxos da privacidade apareceu primeiro em Privacidade e proteção de dados.

Montana avança na regulação de dados neurais: reflexões sobre o futuro da privacidade cognitiva

A recente emenda à Lei de Privacidade de Informações Genéticas de Montana insere o estado em um campo ainda incipiente — mas inevitável —: o da proteção de dados neurais. A alteração, que entrará em vigor em 1º de outubro de 2025, amplia o escopo normativo da lei original, incluindo expressamente os chamados “dados de neurotecnologia” entre as categorias sensíveis de informação que exigem consentimento, transparência e salvaguardas específicas.

O termo escolhido pela legislação, neurotechnology data, abrange qualquer informação capaz de registrar, interpretar ou alterar as respostas do sistema nervoso central ou periférico de um indivíduo frente a estímulos do ambiente. Trata-se, portanto, de um tipo de dado profundamente íntimo, que emerge do próprio corpo — ou da mente — enquanto se relaciona com o mundo. A tensão entre o corpo como extensão técnica do sujeito, e o corpo como mercadoria informacional, torna-se evidente, especialmente quando se considera o uso desses dados em tecnologias vestíveis, interfaces cérebro-máquina e estratégias de marketing baseadas em respostas emocionais.

A lei montanhesa, ao incluir salvaguardas que exigem consentimento específico e informado para coleta e uso desse tipo de dado, bem como ao restringir seu compartilhamento com terceiros, dá um primeiro passo na contenção do que se poderia chamar de “colonialismo neural” — o avanço sobre a dimensão mais íntima da experiência humana: os padrões mentais, as reações nervosas, as sinapses subjetivas.

Curiosamente, a legislação também introduz nuances importantes. Por exemplo, dados neurais desidentificados utilizados para fins de pesquisa ficam fora do escopo da proteção, desde que a anonimização seja tecnicamente robusta e irreversível. Essa exceção aponta para a tensão latente entre liberdade científica e proteção da pessoa: até que ponto é possível conciliar essas duas forças diante de informações tão delicadas?

Outro ponto relevante é a previsão de exceções ao direito de acesso, sobretudo em contextos clínicos, nos quais a vontade previamente expressa pelo participante em consentimento específico pode prevalecer sobre o acesso a informações posteriores. A questão remete a um debate maior: como preservar a autodeterminação informacional sem esvaziá-la sob o pretexto da ciência ou da conveniência técnica?

As alterações promovidas por Montana não são apenas ajustes técnicos a uma lei em vigor; elas lançam uma nova gramática jurídica para um mundo em que a privacidade não é mais apenas uma questão de dados pessoais, mas de subjetividade. Em um horizonte dominado por tecnologias imersivas e interfaces que acessam o sujeito a partir do seu sistema nervoso, proteger dados neurais é proteger o próprio pensamento antes que ele se torne mercadoria.

Se antes o direito à privacidade exigia cercar os dados como território privado, agora ele exige blindar a fronteira do próprio eu. A legislação de Montana, ainda que incipiente, inaugura esse novo terreno normativo. Resta saber se o restante do arcabouço jurídico — e sobretudo o imaginário social — acompanhará essa transformação.

O post De olho na privacidade!
Montana Amends Law to Cover Collection and Use of Neural Data apareceu primeiro em Privacidade e proteção de dados.

**A crise da autodeterminação informativa na era dos contratos de adesão**
Prof. Dr. Bernardo Grossi

É curioso observar como a gramática jurídica contemporânea insiste em repetir certos enunciados como se fossem respostas, quando na verdade são parte do problema. A expressão “autodeterminação informativa”, por exemplo, é recitada com entusiasmo quase doutrinário sempre que se quer afirmar um avanço na proteção de dados pessoais. Costuma vir ladeada por palavras fetiche como “consentimento”, “transparência”, “controle”. Mas raramente se interroga o que ela significa, concretamente, diante da realidade das contratações digitais massificadas.

A retórica liberal da liberdade contratual sobreviveu, no ambiente digital, como uma espécie de ficção protocolar. O sujeito digital, como assinala Stefano Rodotà em sua obra clássica sobre a tutela da personalidade, perdeu rapidamente a centralidade na regulação do próprio dado. Cedemos fluxos informacionais em contratos cuja estrutura mesma impede o exercício da autodeterminação. Ninguém lê os termos de uso. Ninguém negocia cláusulas. E, no entanto, simulamos o regime jurídico da vontade, como se o clique representasse um ato deliberativo dotado de plena consciência e liberdade.

Essa é a contradição fundante desse novo contorno do direito contratual: contratos invocam a liberdade para legitimar a sua própria negação. Um modelo paradoxal, em que o consentimento opera menos como um fundamento de legitimidade e mais como uma ferramenta de blindagem de responsabilidade das plataformas. É uma liberdade contratual que se descola da autonomia real dos sujeitos.

A lógica da adesão compulsória, que já era problemática no século XX, assume agora feições ainda mais inquietantes. Em ambientes hiperdigitalizados, a cláusula contratual migra de exceção à regra. Trata-se de um sistema de vinculação por dispersão — onde termos genéricos, muitas vezes travestidos em linguagem amigável, escondem verdadeiras derivas de dados em favor de interesses econômicos opacos.

O problema não é apenas jurídico, mas epistêmico: como pode haver autodeterminação se o sujeito não dispõe minimamente de condições cognitivas e materiais para compreender o tratamento que será dado aos seus dados? Não se trata de invocar novamente — e de forma vazia — o “dever de informar” ou o “direito à transparência”, mas de reconhecer os limites estruturais da arquitetura contratual dominante. Dizer “sim” a algo que não se entende é o oposto de autonomia.

Nesse sentido, a boa-fé objetiva — que alguns ainda hesitam em aplicar aos contratos eletrônicos como se fossem outra espécie contratual — revela-se uma chave de correção necessária. Seu feixe de deveres laterais (como o dever de cooperação, de lealdade e de informação adequada) torna possível requalificar o consentimento não como mero ato formal, mas como decisão real, situada, compreendida. E mais: interpretações que levem a sério a dignidade da pessoa humana devem considerar que o consentimento não pode ser capturado como um fim em si mesmo. Ele é apenas uma das bases — e não a única — de legitimidade no tratamento de dados, conforme precisamente assinala o art. 7º da LGPD em sua pluralidade de hipóteses.

A proteção de dados, nessa perspectiva, não é uma técnica normativa isolada, mas uma manifestação de um projeto jurídico maior: o de reposicionar a pessoa no centro das relações privadas, mesmo em contextos assimétricos. É nesse ponto que o direito civil-constitucional precisa reassumir sua vocação emancipadora frente aos mecanismos da automação contratual. Recusar a complacência com contratos “inteligentes” que desinformam é, hoje, o mínimo tributável à ideia de dignidade.

O futuro do direito à privacidade — e da própria proteção de dados — talvez dependa de algo simples e profundo: conseguir transformar o “aceito os termos” em um gesto efetivamente livre, consciente, possível.

O post Editorial da semana: Transformações e paradoxos da privacidade apareceu primeiro em Privacidade e proteção de dados.

Virginia impõe novas regras para redes sociais e menores: avanços e dilemas da proteção digital na infância

A recente emenda à Virginia Consumer Data Protection Act, sancionada pelo governador do estado, representa mais do que uma simples atualização legislativa. Ela inaugura um novo capítulo na longa e contraditória história de tentativas de regular o acesso de crianças e adolescentes às redes sociais, em um cenário norte-americano marcado por entraves constitucionais, disputas judiciais e tensões éticas entre proteção e autonomia.

Diferentemente das legislações emblemáticas de estados como Arkansas, Califórnia e Utah — que insistiram na exigência de consentimento parental prévio para criação de contas, e por isso acabaram sendo derrubadas judicialmente —, a abordagem adotada por Virginia parece menos intrusiva, mas não menos controversa. A legislação, que entra em vigor em 1º de janeiro de 2026, autoriza a criação de contas por menores de 16 anos sem autorização explícita dos pais, mas institui um conjunto de restrições sobre o uso dessas plataformas.

O mecanismo central da nova regulação é a exigência, por parte das plataformas, de meios “comercialmente razoáveis” para identificar usuários com menos de 16 anos. Para isso, menciona-se o uso de barreiras neutras de verificação etária, como os populares questionários de idade, cuja eficácia é, no mínimo, duvidosa. Uma vez identificado como menor, o usuário terá sua navegação diária limitada a uma hora por aplicação, salvo modificação desse limite por responsáveis legais.

Contudo, um detalhe exige atenção: embora os pais possam ajustar as restrições de tempo, a lei declara que as plataformas não são obrigadas a oferecer acesso especial ou a ceder controle adicional sobre as contas dos filhos. O que se apresenta, então, não é uma política de mediação parental, mas um sistema de vigilância e contenção indireta.

Outra cláusula relevante recai sobre o uso das informações obtidas no processo de verificação etária. Tais dados só poderão ser utilizados para essa finalidade específica, com exceção dos casos em que se pretenda oferecer “experiências apropriadas por faixa etária” — um termo vago que abre margem à interpretação e eventual exploração comercial sob o pretexto de proteção.

Ao vedar o aumento de custos ou a restrição de funcionalidades para contas infantojuvenis, a legislação explicita a tentativa de equilibrar os direitos fundamentais à privacidade e ao acesso à informação. Ainda assim, persiste uma tensão entre o exercício progressivo da autonomia infantojuvenil e a atuação estatal protetiva, marcada por uma perspectiva controladora que, sob o véu do cuidado, ratifica regimes de exceção digital.

No centro desse debate, permanece a inquietação sobre como compatibilizar a autodeterminação informativa de crianças e adolescentes com os ideais de dignidade e desenvolvimento integral, sem sacrificar as liberdades civis em nome de uma tutela tecnocrática que, muitas vezes, mal disfarça seu viés econômico. Ao fim, a questão não é apenas quem protege a criança, mas de quem protegemos a infância.

O post De olho na privacidade!
Virginia Will Add to Patchwork of Laws Governing Social Media and Children (For Now?) apareceu primeiro em Privacidade e proteção de dados.

A dignidade resiste: por que dados pessoais não são mercadoria
Prof. Dr. Bernardo Grossi

Há uma ideia recorrente, naturalizada por muitos setores da economia, de que os dados pessoais seriam o “petróleo do século XXI”. A expressão, repetida como um mantra, é eficaz em provocar impacto, mas lamentavelmente míope em termos jurídicos e éticos. Justamente porque ignora a dimensão fundamental do que está em jogo: dados pessoais não são somente bens informacionais. São, antes, projeções da personalidade. Extensões da subjetividade humana. Sujeitos, e não objetos de circulação patrimonial.

Essa constatação, embora incômoda para o discurso econômico dominante, é indispensável se desejamos construir uma cultura de proteção de dados condizente com o paradigma constitucional do nosso tempo. A Constituição de 1988 não apenas reconheceu a dignidade da pessoa humana como fundamento da República (art. 1º, III), mas também redesenhou a estrutura do direito privado, impondo a ele uma função emancipatória frente aos desequilíbrios das relações sociais. O campo da privacidade, e mais recentemente da proteção de dados, não escapa a essa transformação.

Sob esse prisma, não basta olharmos para a Lei Geral de Proteção de Dados Pessoais (LGPD) como um regramento técnico de compliance. Seu substrato é de ordem jurídico-constitucional. Por isso, nos parece equivocada a leitura que tenta reduzir suas bases legais a uma enumeração estanque, como se fossem meras hipóteses legais de tratamento de dados. A legitimidade do tratamento deve sempre se submeter à proporcionalidade, à adequação e, sobretudo, à finalidade constitucional da proteção. Quando o tratamento de dados serve apenas à rentabilidade de plataformas digitais, e não à realização de nenhum valor humano, está-se diante de instrumentalização ilegítima da personalidade.

A isso soma-se outro fenômeno preocupante: a colonização da lógica negocial, dos contratos de adesão, em particular, como espaço de consentimento artificial. A ideia de que bastaria a manifestação formal de vontade do titular para legitimar o uso irrestrito de seus dados ignora os limites da autonomia privada diante das assimetrias estruturais. Não se trata, aqui, de paternalismo jurídico, mas do reconhecimento de que atos jurídicos praticados sob desequilíbrio informacional grave desafiam os próprios fundamentos da liberdade contratual. Rodotà, ao tratar da autodeterminação informativa, já advertia que o desafio não era apenas normativo, mas político: resistir à mercantilização da subjetividade por meio do direito.

Nesse contexto, o papel da boa-fé objetiva torna-se decisivo. Não apenas como critério de controle de conteúdo negocial, mas como princípio construtivo da confiança legítima nas relações digitais. Práticas que se valem de engajamento compulsivo, engenharia comportamental e dark patterns, como os já mapeados “nagging”, “roach motel” ou “privacy zuckering”, fragmentam a autonomia e corrompem o processo decisório do titular. O que se viola, nesse caso, não é um dever contratual acessório, mas a própria ideia de reciprocidade e respeito mútuo no espaço relacional.

Frente a esse cenário, insistir na proteção de dados como direito fundamental é mais do que um gesto de coerência normativa. É um imperativo democrático. Porque reconhecer que os dados pessoais não são simples ativos de mercado, mas elementos constitutivos da identidade, é afirmar que nem tudo se compra, nem tudo se vende. E que há bens, ou melhor, há pessoas, que resistem à lógica da mercadoria.

Porque, afinal, a dignidade não é negociável. E é exatamente por isso que ela continua a ser um princípio incômodo.

Prof. Dr. Bernardo Grossi

O post Editorial da semana: A dignidade resiste: por que dados pessoais não são mercadoria apareceu primeiro em Privacidade e proteção de dados.

Após análise da Nota Técnica nº 12/2025 da ANPD, apresento considerações críticas sobre a regulamentação do Art. 20 da LGPD no contexto de sistemas de IA, a partir de uma perspectiva civil-constitucional. Essas considerações são fundamentais para avançarmos no aperfeiçoamento da governança de dados e na governança da inteligência artificial.

Fundamentação teórica e considerações preliminares

A compreensão contemporânea do direito à proteção de dados transcende a concepção proprietária dos dados para alcançar uma dimensão existencial da personalidade, como defendido historicamente por Rodotà e reconhecido pela nossa legislação (art. 2º, LGPD). A autodeterminação informativa, princípio basilar nesse contexto, encontra desafios significativos diante da opacidade inerente aos sistemas de IA, especialmente os de propósito geral (GPAI).

A nota técnica da ANPD revela um esforço louvável de compilação das contribuições recebidas, mas carece de uma análise valorativa que situe essas contribuições dentro de uma interpretação civil-constitucional da LGPD, particularmente quanto ao princípio da não-discriminação (Art. 6º, IX, LGPD).

Pontos críticos identificados

1. Sobre o princípio da necessidade e proporcionalidade

A tensão entre a necessidade técnica de grandes volumes de dados para treinamento de sistemas de IA e o princípio da minimização (Art. 6º, III, LGPD) é, ainda, tratada de forma superficial. Uma abordagem baseada na proporcionalidade exigiria uma análise contextual mais profunda sobre a legitimidade da finalidade e a necessidade estrita dos dados coletados.

As salvaguardas elencadas (anonimização, pseudonimização, privacy by design) são pertinentes, mas insuficientes sem um quadro normativo que estabeleça parâmetros objetivos de avaliação contextual, em consonância com os princípios da ISO 27701 sobre gerenciamento de informações de privacidade.

Porque digo isso? A anonimização não é um estado binário, mas um espectro probabilístico. Um dado aparentemente anonimizado no momento pode ser reidentificável amanhã em razão de avanços tecnológicos ou em razão do cruzamento com novos bancos de dados. Essa dinamicidade exige uma avaliação contínua, senão perpétua, que as organizações raramente implementam e é necessário que existam controles sobre isso.

No que se refere à implementação do privacy by design, ainda carece a existência de elementos um pouco mais objetivos para orientação sobre sua implementação. Permanece aberta a questão sobre como verificar se um sistema efetivamente incorporou essa principiologia. A definição dessas métricas ainda permanecem um grande desafio e um item em aberto em caso de conflito.

A esse respeito, a ISO 27701 constitui-se como um modelo de referência para estabelecer parâmetros contextuais. que poderiam ter sido mais explorados pela Nota Técnica (Cláusula 7.2.8, Cláusula 9.2 e Cláusula 10, por exemplo).

2. Questões de bases legais e consentimento

A nota reconhece corretamente as limitações do consentimento como base legal para IA, mas subestima as implicações dessa constatação. A assimetria informacional torna o consentimento frequentemente ilusório no contexto digital, o que se intensifica exponencialmente nos ambientes de IA.

Quanto ao legítimo interesse, a nota não estabelece diretivas claras para a realização do teste de balanceamento, particularmente em casos de raspagem de dados (web scraping). Esta prática demandaria um framework de avaliação similar ao proposto pelo NIST Privacy Framework (PR.PO-1, PR.PO-2), que destaca a necessidade de estabelecer e documentar propósitos específicos para a coleta de dados.

No contexto do web scraping, a adoção do PR.PO-1 implica objetivamente na obrigação de documentar políticas explícitas para cada finalidade de coleta, estabelecer critérios para determinar quando o tratamento é apropriado e implementar mecanismos de aprovação interna quando novas finalidades forem adotadas (inclusive a realização de um teste de proporcionalidade dessa finalidade). Além disso, a obrigação de documentar as fontes de onde os dados são extraídos, o metodo de coleta (incluindo frequência, volume e o mecanismo), as limitações autoimpostas e o processo de avaliação da legitimidade de cada fonte com sua respectiva análise crítica.

Poderíamos ter avançado um pouco mais ao ter contemplado a abordagem da ENISA (Agência da União Europeia para Cibersegurança) em seu documento “Artificial Intelligence Risk Assessment” que complementa perfeitamente o framework NIST com métodos concretos para instrumentalizar o teste de balanceamento.

Por exemplo, de acordo com a Nota Técnica nº 12/2025 da ANPD, uma empresa que realiza a raspagem massiva de dados públicos pode justificar genericamente o processamento de dados como sendo necessário para o treinamento de sua IA sem documentar de forma profunda e objetiva o teste de balanceamento e sem implementar mecanismos específicos para mitigar riscos aos titulares.

Caso considerados os vetores abordados pela ENISA, teríamos obrigações bem mais definidas no sentido de especificar o domínio do modelo (ex: assistente médico, ferramenta jurídica, etc), realizar a documentação de cada fonte com nível de confiabilidade e processo de verificação, realizar o mapeamento entre os tipos de conteúdo e capacidades específicas do modelo e de apresentar justificativa para inclusão de cada categoria de dados, além de ter que realizar a avaliação de impacto e o balanceamento estruturado. Ou seja, um modelo muito mais maduro, robusto e comprometido com accountability, governança e a tutela dos direitos fundamentais.

3. Transparência e inteligibilidade

A tensão entre transparência e proteção de segredos comerciais é apresentada sem aprofundamento sobre os critérios para determinar o equilíbrio adequado. Falta uma abordagem que considere os diferentes níveis de transparência (modelo, dado, processamento) apresentados tanto pela ISO 29184 quanto pelo framework NIST para IA.

Modelos de explicabilidade em camadas, como proposto pelo NIST AI RMF (Governança 3.3), seriam uma alternativa mais sofisticada do que a dicotomia simplificada apresentada na nota técnica.

4. Direitos dos titulares e a revisão de decisões automatizadas

A nota apresenta visões divergentes sobre a obrigatoriedade de revisão humana, sem consolidar um entendimento que garanta efetividade aos direitos dos titulares. O princípio da centralidade da pessoa humana, como preconizado pelo modelo hermenêutico direito civil-constitucional, exigiria uma interpretação que privilegiasse a efetiva possibilidade de contestação e revisão material das decisões.

A perspectiva de algumas contribuições que defendem a inviabilidade técnica da exclusão de dados (machine unlearning) representa um retrocesso preocupante, pois subordina direitos fundamentais a limitações tecnológicas contingentes, invertendo a lógica constitucional. Quando a máquina não pode desaprender, é o indivíduo que se programa para esquecer de seus direitos. Nesse caso, a inviabilidade técnica parece figurar apenas como um álibi econômico para a amnésia constitucional coletiva, uma verdadeira alucinação incompatível com o Estado Democrático de Direito.

5. Governança e responsabilização

A ausência de um modelo claro e mais robusto de governança de IA representa uma oportunidade perdida. Um framework integrado, como proposto pelo COSO para tecnologias emergentes, estabeleceria responsabilidades em múltiplos níveis organizacionais e facilitaria a conformidade com o princípio de responsabilização e prestação de contas da LGPD.

Considerações finais

A nota técnica consolidou importantes contribuições, mas evidencia a necessidade de uma abordagem regulatória que equilibre a inovação tecnológica com a proteção efetiva dos direitos fundamentais. A perspectiva civil-constitucional demanda uma interpretação da LGPD que não se limite aos aspectos procedimentais da proteção de dados, mas considere sua dimensão existencial.

Recomendo uma abordagem regulatória que:

1. Estabeleça níveis de risco para sistemas de IA com requisitos proporcionais;
2. Defina critérios objetivos para avaliação do legítimo interesse em contextos de IA;
3. Adote um modelo de transparência algorítmica em camadas;
4. Fortaleça os mecanismos de revisão humana significativa para decisões de alto impacto;
5. Incorpore requisitos específicos de documentação e rastreabilidade alinhados com frameworks internacionais como NIST AI RMF e ISO 27701.

A proteção de dados no contexto de IA não é apenas uma questão técnica ou procedimental, mas cada vez mais um imperativo ético-jurídico que demanda um compromisso institucional com a dignidade da pessoa humana e a efetividade dos direitos fundamentais.

O post Análise Crítica da Nota Técnica nº 12/2025/CON1/CGN/ANPD apareceu primeiro em Privacidade e proteção de dados.

Uma das dimensões mais esquecidas da privacidade é justamente aquela que não se deixa capturar. Paradoxal? Não exatamente. A tradição da filosofia política nos demonstra que a ideia de privacidade sempre esteve atrelada à ideia de liberdade negativa, de fronteira, de limite ao poder, seja esse o poder público do Leviatã, seja o poder silencioso e contínuo da vigilância privada digital.

É comum que se pense a proteção de dados pessoais como um instrumento de regulação da circulação de informações. Porém, a lógica subjacente à Lei Geral de Proteção de Dados (LGPD) não é apenas uma gramática de fluxos e permissão. Ou ao menos não deveríamos permitir que o fosse. A LGPD aborda, sim, de hipóteses para o tratamento de dados pessoais, vincula bases legais,  finalidades e contextos. Mas, acima de tudo, trata da contenção da devassa. E não apenas para nos proteger de abusos eventuais, mas para preservar um espaço irredutível de vida que não se compartilha porque não se negocia. Um espaço de existência que nos pertence não porque está juridicamente atribuído a nós, mas porque constitui o que somos e porque sem ele, nada, nem pessoa, nem autonomia, nem liberdade, pode subsistir.

A lógica civil-constitucional do direito brasileiro, ancorada no postulado da dignidade da pessoa humana, compreende o sujeito não como um átomo solto num mercado de relações voluntárias, mas como alguém situado numa teia de vínculos, expectativas legítimas e espaços de integridade pessoal. Judith Martins-Costa já advertia que a boa-fé objetiva não se esgota em deveres instrumentais, mas revela uma ética da confiança e da lealdade recíproca. Nesse contexto, o dado pessoal não é meramente um bem, mas uma extensão da própria pessoa. Quem o trata não assume apenas uma função econômica; assume uma responsabilidade existencial e é essa a percepção que escapa à superficialidade das análises mais comuns.

É por isso que a privacidade, como espaço de não direito, no sentido rodotàiano e perlingieriano do termo, não pode ser erodida por um reles consentimento tácito, tampouco reduzida a um ativo transacionável no mercado digital (que o diga a Tools for Humanity). A privatização da intimidade, quando capturada pela lógica da conveniência contratual, trai sua própria essência. Pois aquilo que se tenta transformar em moeda (o que lemos, onde andamos, com quem conversamos na madrugada e o que pensamos) é precisamente aquilo que, por sua natureza, precisa permanecer incomensurável.

Tomemos, por exemplo, a base legal do “interesse legítimo” do controlador, prevista no inciso IX do artigo 7º da LGPD. Ela não é uma autorização genérica para submeter o titular ao escrutínio das métricas comportamentais; ao contrário, exige compatibilidade com finalidades conhecidas, relação concreta com os interesses do titular e o respeito à expectativa socialmente legítima de não invasão. O que vem acontecendo, contudo, é a tentativa de capturar essa base jurídica como véu do consentimento (potencialmente) negado, a prática disfarçada da coleta indiscriminada sob um pretexto técnico qualquer.

Precisamos resgatar o caráter contramajoritário do direito à privacidade. Ele não serve para garantir o pleno funcionamento dos modelos de negócio baseados no tráfego de dados. Serve para impedir que sejamos dissolvidos em estatísticas e tendências.

Por trás dos algoritmos há vontades. E há corpos. E há escolhas. Quando tudo é perfilado, nada é privado e quando nada é privado, não há o que resistir. A privacidade, então, é mais do que um direito: é uma recusa. Uma recusa de sermos integralmente legíveis, uma recusa de estarmos integralmente disponíveis ao escrutínio de softwares e mercados.

E é exatamente nesse não compartilhável, nesse resíduo de silêncio, de opacidade, de incomunicabilidade radical que reside a dignidade do comum.

O post Editorial da semana: Privacidade como espaço de resistência: o não compartilhável como fundamento do comum apareceu primeiro em Privacidade e proteção de dados.

Em uma decisão que ressoa além das fronteiras da Bélgica, a Autoridade de Proteção de Dados belga declarou ilícitas as transferências sistemáticas de dados fiscais de cidadãos com dupla nacionalidade — os chamados “americanos acidentais” — à Receita Federal dos Estados Unidos (IRS). Trata-se de uma intervenção não apenas jurídica, mas moral, na tênue fronteira entre acordos internacionais e a proteção da dignidade individual.

O caso gira em torno da aplicação do Foreign Account Tax Compliance Act (FATCA), legislação norte-americana voltada a combater a evasão fiscal. Mesmo residentes permanentes na Bélgica, que herdaram involuntariamente a cidadania norte-americana, foram compelidos a ter seus dados financeiros transmitidos ao governo dos EUA com base em um acordo bilateral firmado em 2014, anterior ao Regulamento Geral sobre a Proteção de Dados (GDPR). Contudo, a Autoridade belga, ao analisar a legitimidade dessas transferências à luz da legislação anterior e posterior ao GDPR, concluiu que tal prática excedia os limites da proporcionalidade e da necessidade.

O ponto nevrálgico da decisão repousa na ausência de salvaguardas adequadas no controle e na transmissão de dados sensíveis. A lógica do FATCA, ao operar indiscriminadamente sobre qualquer titular de cidadania americana, independentemente de sua efetiva ligação com os EUA, confronta o núcleo dos direitos fundamentais europeus: o respeito à vida privada e à autodeterminação informacional. Não se trata apenas de verificar o cumprimento de formalidades normativas, mas de exigir substância em qualquer tratamento de dados transfronteiriço.

A autoridade belga determinou que, em até um ano, o Ministério das Finanças limite drasticamente o volume de informações partilhadas, realize avaliações de impacto e melhore a transparência perante os cidadãos afetados. Essa decisão, embora fundada em contornos técnicos, sugere algo mais profundo: há limites éticos para o exercício da soberania fiscal quando este colide com a dignidade dos indivíduos. O fato de um cidadão possuir determinado passaporte não pode, por si só, justificar a exposição irrestrita de sua esfera íntima.

Esta deliberação belga poderia ser a primeira fissura em uma engrenagem internacional que, sob o pretexto da segurança e do combate à fraude, banaliza o indivíduo em nome de uma lógica de governo algorítmica e extraterritorial. Mais do que uma controvérsia tributária, estamos diante de uma disputa sobre os contornos da cidadania contemporânea. Em tempos de governos datificadores e vigilância transfronteiriça, lembrar que a proteção de dados é também uma luta por espaço público, por limite ao poder e por ética nas relações institucionais torna-se não apenas urgente, mas indispensável.

O post De olho na privacidade!
Belgian DPA Finds Broad Tax Information Transfers to IRS Unlawful apareceu primeiro em Privacidade e proteção de dados.