O recall de dados no direito do consumidor: por uma categoria dogmática autônoma a partir da funcionalização perlingieriana

O recall de dados no direito do consumidor: por uma categoria dogmática autônoma a partir da funcionalização perlingieriana

Quando um fabricante de automóveis descobre falha estrutural no sistema de freios, o ordenamento brasileiro oferece resposta consolidada: o artigo 10, parágrafo primeiro, do Código de Defesa do Consumidor impõe o dever de comunicação às autoridades e aos consumidores, deflagrando o procedimento de recall. A dogmática construída em torno desse instituto, embora não isenta de controvérsias quanto à sua extensão e eficácia, assenta-se em pressupostos relativamente estáveis: existe um produto físico, há um defeito aferível, há consumidores identificáveis por critérios objetivos, e há uma medida corretiva possível, geralmente a substituição, o reparo ou a devolução do preço. O que ocorre, então, quando o defeito recai não sobre a coisa, mas sobre o tratamento de dados pessoais que compõe a camada informacional do produto ou serviço — ou quando o próprio tratamento algorítmico que forma o perfil do consumidor revela-se viciado em sua estrutura, produzindo decisões automatizadas discriminatórias, inferências equivocadas ou classificações que distorcem a oferta, o preço e o acesso ao mercado? A hipótese é a de que o direito brasileiro ainda não possui, de modo articulado, uma categoria dogmática de recall de dados, e que a construção dessa categoria exige mais do que a aplicação analógica do artigo 10 do CDC. Exige a reconstrução funcional do próprio instituto à luz das situações jurídicas existenciais do consumidor perfilado, tarefa que encontra em Pietro Perlingieri o aparato categorial mais fecundo.

A tentação inicial do intérprete é tratar o vício do tratamento de dados como mais uma espécie de vício do produto ou do serviço, resolvendo o problema pela subsunção ao artigo 18 ou ao artigo 20 do CDC, conforme o caso. A operação é tecnicamente possível e, em muitas hipóteses, suficiente. Quando o aplicativo de uma instituição financeira apresenta falha que expõe o extrato de um cliente a outro, há vício de qualidade do serviço, há responsabilidade objetiva, há dever de reparação. O que escapa a essa leitura é a dimensão estrutural do defeito informacional nas economias de perfilamento. O vício, nesses casos, não se exaure no episódio singular do vazamento ou da falha pontual: ele se instala no modo de funcionamento do próprio sistema que converte comportamentos de consumo em predições, em escores, em categorias de risco, em segmentos publicitários, em preferências inferidas. O defeito pode estar na base de treinamento do modelo, na proxy escolhida para representar determinada característica, no peso atribuído a uma variável que opera como marcador discriminatório indireto, na opacidade da arquitetura decisória. Reconhecer isso significa admitir que a categoria do defeito, no CDC, precisa ser lida de maneira funcionalizada — perguntando-se não apenas se o produto corresponde ao padrão de segurança legitimamente esperado em termos físicos, mas se o tratamento algorítmico que o acompanha corresponde ao padrão de legitimidade existencial que o consumidor pode esperar enquanto pessoa, e não apenas enquanto comprador.

É aqui que o diálogo com Pietro Perlingieri se impõe. A categoria perlingieriana da situação jurídica existencial não se limita a reconhecer que determinados interesses da pessoa não se reduzem ao esquema patrimonial. Ela produz uma consequência metodológica mais ambiciosa: impõe ao intérprete que, diante de qualquer instituto do direito privado, examine se os bens em jogo pertencem à esfera patrimonial, à esfera existencial, ou se há intersecção entre ambas, extraindo daí o regime jurídico aplicável. O princípio do merecimento de tutela, nessa construção, não funciona como mera cláusula geral de controle da autonomia privada, mas como critério de aferição da legitimidade funcional de cada ato, de cada relação, de cada instituto — inclusive dos institutos de proteção que o próprio ordenamento constrói. Transposto ao problema do recall de dados, isso significa que o instituto do artigo 10 do CDC, originalmente desenhado para a tutela da incolumidade física e patrimonial do consumidor diante de produtos perigosos, não pode ser aplicado por simples analogia ao universo do tratamento de dados sem passar pelo crivo de sua adequação funcional à natureza existencial dos interesses em jogo. A analogia formal produziria resposta tecnicamente correta e substancialmente insuficiente, porque mediria a dimensão da reparação pela extensão do dano patrimonial, deixando intocada a lesão ao perfilamento ilegítimo enquanto experiência vivida pelo titular.

A funcionalização, no sentido perlingieriano, exige inverter a pergunta. Em vez de indagar como o recall do artigo 10 se aplica aos dados pessoais, deve-se perguntar qual seria o instituto que, se não existisse, precisaria ser inventado para tutelar funcionalmente a situação existencial do consumidor cuja identidade digital foi comprometida por tratamento algorítmico viciado. A resposta, construída a partir dessa inversão metodológica, aponta para um recall de dados que não se limita à comunicação de incidentes, nos moldes do artigo 48 da Lei Geral de Proteção de Dados, mas que se estrutura como dever de retificação sistêmica do tratamento, com reversibilidade das inferências produzidas, com desconstituição ativa dos efeitos jurídicos e econômicos decorrentes do perfilamento viciado, e com reconstrução da posição do titular no mercado como se o tratamento ilegítimo não tivesse ocorrido.

A categoria do recall de dados, assim compreendida, articula-se em torno de elementos que convém explicitar para fins de operacionalidade dogmática. O pressuposto é o do defeito estrutural, que se distingue do incidente de segurança isolado. Enquanto o incidente de segurança, previsto no artigo 48 da LGPD, deflagra deveres de comunicação à autoridade e aos titulares, o defeito estrutural de tratamento revela vício na própria arquitetura decisória, exigindo intervenção que ultrapassa a comunicação e alcança a reformatação do sistema. A identificação do universo de titulares afetados — operação que no recall tradicional se faz por critérios físicos de distribuição do produto — precisa, aqui, fazer-se por critérios de exposição ao tratamento: abrange aqueles cujos dados foram utilizados como base de treinamento, aqueles cujos perfis foram construídos pelo modelo viciado, e aqueles que sofreram decisões automatizadas fundadas em tais perfis. Quanto à medida corretiva, ela não pode esgotar-se no apagamento, porque o apagamento em muitos casos consolida o dano em vez de repará-lo — apaga também os rastros que permitiriam ao titular demonstrar a lesão sofrida e postular a reconstituição de sua posição. A medida corretiva deve estruturar-se como obrigação de fazer complexa, envolvendo retificação, reprocessamento, revisão humana substantiva das decisões automatizadas e, quando apropriado, publicização das categorias de inferência utilizadas, de modo a permitir o controle intersubjetivo da legitimidade do tratamento.

A vulnerabilidade do consumidor, princípio estrutural do microssistema do CDC, ganha no ambiente do perfilamento algorítmico uma dimensão qualitativamente nova, que a dogmática tradicional da hipossuficiência técnica e informacional capta apenas parcialmente. O consumidor perfilado não é apenas hipossuficiente em relação à informação sobre o produto, mas sobre si mesmo, porque a representação de sua identidade que circula no mercado é construída, mantida e explorada por agentes que detêm o monopólio epistêmico dessa representação. A publicidade comportamental dirigida, o preço personalizado, o acesso diferencial a ofertas e condições contratuais — tudo isso opera sobre uma imagem do consumidor que lhe é inacessível em seu funcionamento interno. Perlingieri, ao insistir que o direito civil deve ser lido como instrumento de promoção da pessoa, oferece o fundamento para sustentar que essa assimetria epistêmica não é dado neutro do mercado, mas situação de desequilíbrio existencial que o ordenamento tem o dever funcional de corrigir, mesmo que isso implique reconfigurar institutos consolidados como o recall, originalmente pensado para outra ordem de problemas. O merecimento de tutela, nesse horizonte, deixa de operar apenas como critério negativo de rejeição de atos abusivos e passa a funcionar como critério positivo de reconstrução de institutos cuja função original precisa ser atualizada para enfrentar riscos que a economia dos dados tornou cotidianos.

A assunção dessa categoria dogmática produz consequências práticas relevantes para o intérprete e para o aplicador. O dever de deflagrar o recall de dados não depende da ocorrência de incidente de segurança, mas da constatação de vício estrutural no tratamento, podendo ser imposto por decisão administrativa da autoridade competente, por decisão judicial em ação coletiva, ou por determinação resultante de relatório de impacto que identifique o defeito. A extensão temporal do dever não se exaure no evento, prolongando-se enquanto perdurarem os efeitos do tratamento viciado sobre a posição jurídica dos titulares — o que inclui a desconstituição ativa de contratos celebrados sob condições determinadas por perfilamento ilegítimo, a revisão de recusas de crédito, a reparação de perdas de chance decorrentes de segmentação discriminatória. O critério de aferição da adequação da medida corretiva, por fim, não é o da restauração do status quo ante no sentido patrimonial estrito, mas o da reconstrução funcional da situação existencial do titular, aferida à luz de sua autonomia e de sua capacidade de participar do mercado como pessoa cuja identidade digital não está sequestrada por representações viciadas.

A construção dogmática aqui esboçada não pretende substituir os institutos existentes nem desconsiderar a importância do artigo 48 da LGPD e do artigo 10 do CDC em seus respectivos âmbitos de aplicação. Pretende identificar um espaço de insuficiência dogmática que a leitura puramente analógica desses dispositivos não preenche, e sustentar que o aparato categorial perlingieriano oferece o fundamento metodológico para preencher esse espaço. A tarefa do civilista, no horizonte da proteção de dados pessoais, não é a de replicar categorias forjadas para outra ordem de problemas, mas de reconstruí-las funcionalmente a partir das situações existenciais que a economia dos dados torna juridicamente relevantes. O recall de dados, compreendido como categoria autônoma, é um dos instrumentos dessa reconstrução. Que a dogmática brasileira ainda não o tenha elaborado com o rigor que a matéria exige é, em si, um dado que merece atenção.