Nexo de causalidade e dano moral no vazamento de dados: por uma leitura funcional da responsabilidade do operador à luz de Maria Celina Bodin de Moraes

Nexo de causalidade e dano moral no vazamento de dados: por uma leitura funcional da responsabilidade do operador à luz de Maria Celina Bodin de Moraes

A dogmática da responsabilidade civil, quando confrontada com os vazamentos de dados pessoais, insiste em replicar o esquema clássico forjado para o acidente, para o ato ilícito instantâneo, para o dano que se deixa capturar na fotografia de um momento. O resultado dessa transposição acrítica é uma jurisprudência oscilante, que ora nega qualquer indenização sob o argumento de que o titular não comprovou o prejuízo concreto decorrente da exposição, ora concede valores irrisórios a título de dano moral presumido, sem explicitar o fundamento axiológico da proteção nem o critério que distingue o incidente trivial do incidente lesivo. A questão do nexo causal, nesse cenário, torna-se o ponto de maior fragilidade teórica, porque a cadeia que liga o tratamento irregular ao prejuízo experimentado pelo titular raramente se deixa reconstruir pelas categorias tradicionais da causalidade adequada ou da equivalência das condições.

A proposta que aqui se desenvolve parte de uma inversão metodológica. Em vez de perguntar se o vazamento foi causa adequada de um dano empiricamente demonstrável, cabe perguntar qual é o bem jurídico efetivamente tutelado quando se protege o titular contra o tratamento irregular e, a partir dessa resposta, redefinir os critérios de imputação ao controlador e ao operador. É nesse ponto que o diálogo com Maria Celina Bodin de Moraes se impõe como incontornável, pois a autora oferece a chave para compreender o dano moral não como consequência psicológica aferível de um evento, mas como lesão objetiva a situações existenciais que compõem o conteúdo normativo da dignidade.

A tese defendida em Danos à Pessoa Humana desloca o eixo do dano moral da dor para a dignidade, construindo uma arquitetura em que o prejuízo extrapatrimonial se mede pela violação a um dos quatro conteúdos normativos que a autora extrai do princípio da dignidade: a liberdade entendida como autodeterminação, a igualdade material, a integridade psicofísica e a solidariedade social. Essa reconstrução tem consequência imediata para a responsabilidade por tratamento irregular de dados, porque permite afirmar que o vazamento configura, por si mesmo, violação ao conteúdo de liberdade enquanto autodeterminação informativa, independentemente de qualquer prejuízo patrimonial concreto ou de qualquer sofrimento psicológico que o titular consiga demonstrar.

A objeção previsível é a de que essa leitura conduziria a uma presunção absoluta de dano, trivializando a categoria. A objeção é improcedente. A razão de sua improcedência reside justamente na sofisticação do pensamento de Bodin de Moraes a respeito da gradação da lesão. A autora não sustenta que toda violação formal ao princípio da dignidade gere dever de indenizar, mas que o julgador deve investigar se o ato efetivamente comprometeu, em intensidade significativa, algum dos conteúdos normativos protegidos. Transposta para o campo informacional, essa gradação permite distinguir entre o incidente que expõe dados de contato de baixa sensibilidade em contexto que não autoriza inferências lesivas sobre o titular e o incidente que expõe dados capazes de permitir perfilamento, discriminação, estigmatização ou que atingem a esfera da intimidade reservada. A gradação não enfraquece a tutela, antes a qualifica, obrigando o intérprete a demonstrar por que determinado tratamento irregular comprometeu a autodeterminação informativa de modo juridicamente relevante.

Reconhecida a natureza do bem jurídico, o problema do nexo causal se reconfigura. A pergunta deixa de ser se o vazamento causou um prejuízo externo e passa a ser se o tratamento irregular integrou o percurso que comprometeu a autodeterminação do titular sobre suas próprias informações. Essa reformulação resolve dificuldades que a dogmática tradicional não conseguia enfrentar. Pense-se no caso em que o vazamento ocorre em uma camada da cadeia de tratamento e os dados são posteriormente utilizados por terceiros para fraudes contra o titular. A causalidade adequada tenderia a interromper o nexo pela conduta autônoma do fraudador, o que produziria o resultado contraintuitivo de deixar o titular sem reparação diante do agente que descumpriu seu dever de segurança. A leitura funcional, ao contrário, identifica no vazamento a violação consumada à autodeterminação, sendo a fraude posterior apenas elemento de agravamento quantitativo do dano, não condição de sua existência.

A categoria da causalidade funcional, aqui proposta como instrumento dogmático para o campo informacional, significa que a imputação ao controlador ou ao operador se faz pela demonstração de que a conduta omissiva ou comissiva integrou a cadeia normativa de produção do resultado existencialmente relevante, cadeia essa definida pelos deveres de proteção que a legislação atribui especificamente ao agente de tratamento. A relação não é causal no sentido naturalístico, mas atributiva no sentido jurídico, operando-se a imputação pela conjugação entre o dever violado e a esfera de risco que o agente era obrigado a controlar.

A legislação brasileira de proteção de dados estabelece, em seu artigo 42, parágrafo primeiro, inciso primeiro, que o operador responde solidariamente quando descumpre as obrigações da lei ou quando não segue as instruções lícitas do controlador. A doutrina majoritária tem lido esse dispositivo como consagração de uma responsabilidade subjetiva atenuada, exigindo-se a demonstração da violação específica ao dever legal ou contratual. Essa leitura, embora correta em sua literalidade, revela-se insuficiente quando confrontada com a realidade das cadeias contemporâneas de tratamento, em que a distinção entre controlador e operador frequentemente se dilui, em que subcontratações sucessivas tornam opaca a identificação do agente efetivamente responsável pela falha, e em que o titular enfrenta assimetria informacional intransponível para reconstruir o percurso técnico do incidente.

A leitura funcional que aqui se propõe autoriza uma reconstrução dogmática mais sofisticada. Se o bem jurídico tutelado é a autodeterminação informativa do titular e a responsabilidade pela sua preservação se distribui normativamente ao longo da cadeia de tratamento, então o descumprimento pelo operador deve ser aferido à luz dos deveres específicos que lhe cabiam no fragmento do tratamento sob seu controle operacional. Não se trata de criar hipótese autônoma de responsabilidade objetiva do operador, o que contrariaria o texto legal, mas de reconhecer que o descumprimento das instruções lícitas do controlador se configura sempre que o operador, no espaço de autonomia técnica que efetivamente detém, falha em implementar as medidas de segurança compatíveis com o estado da arte e com a sensibilidade dos dados tratados. A inversão probatória decorre naturalmente da assimetria informacional entre titular e cadeia de tratamento, cabendo ao operador demonstrar que atuou dentro dos limites das instruções recebidas e segundo os padrões técnicos exigíveis.

As excludentes classicamente invocadas em matéria de vazamentos exigem reinterpretação à luz dos deveres específicos que a legislação de proteção de dados impõe aos agentes de tratamento. O ataque cibernético por terceiro somente pode operar como excludente quando o controlador demonstrar que adotou todas as medidas de segurança técnica e administrativa compatíveis com o estado da arte e com os riscos específicos da operação, hipótese em que o evento se qualifica como fortuito externo. A simples invocação do caráter criminoso da conduta de terceiro não basta, porque o dever de segurança abrange, por definição normativa, a prevenção contra ataques previsíveis, dado que o cenário de tratamento massivo torna tais ataques estatisticamente ordinários.

Quanto à conduta do titular, a excludente opera em hipóteses muito estreitas, especialmente quando se trata de dados fornecidos pelo próprio titular em contextos de risco por ele conscientemente assumidos. A tendência jurisprudencial de atribuir ao titular ônus de autoproteção informacional desproporcionais deve ser rejeitada: transfere ao polo vulnerável da relação a responsabilidade que a legislação distribui ao agente de tratamento. A autodeterminação informativa, na leitura de Bodin de Moraes aplicada ao campo, exige que o ambiente de tratamento seja estruturado de modo a tornar a decisão do titular efetivamente livre, o que pressupõe arquitetura técnica e informacional que não transfira a ele riscos cuja gestão cabe ao agente profissional.

A reconstrução proposta sugere critérios interpretativos enunciáveis com relativa precisão. O critério da significatividade existencial estabelece que o dano moral por vazamento se configura quando o tratamento irregular comprometeu, em intensidade juridicamente relevante, algum dos conteúdos normativos da dignidade, especialmente a autodeterminação informativa, exigindo-se do julgador fundamentação explícita sobre qual conteúdo foi atingido e em que medida. O critério da imputação funcional substitui a investigação da causalidade naturalística pela demonstração de que o agente violou dever específico cuja observância teria evitado ou mitigado a lesão existencial. O critério da esfera de risco controlável, aplicável à responsabilidade do operador, delimita o descumprimento das instruções lícitas pelo padrão técnico exigível no fragmento da cadeia sob seu controle efetivo.

A adoção desses critérios permite afastar tanto a jurisprudência da negativa sistemática de indenização por ausência de prova de prejuízo concreto, que ignora a natureza existencial do bem jurídico, quanto a jurisprudência da indenização automática em valores simbólicos, que trivializa o dano moral e falha em oferecer resposta proporcional à gravidade da lesão. Permite também redistribuir adequadamente o ônus probatório ao longo da cadeia de tratamento, reconhecendo a assimetria informacional estrutural que separa o titular do agente profissional. Devolve à responsabilidade civil, no campo informacional, sua função de instrumento de tutela efetiva da pessoa humana nas suas situações jurídicas existenciais, projeto doutrinário que Bodin de Moraes construiu com rigor incomum e que aguarda, no terreno da proteção de dados, aplicações à altura de sua sofisticação teórica. Se essa altura será alcançada pela jurisprudência brasileira, ou se os tribunais continuarão oscilando entre a negativa cômoda e a concessão simbólica, é pergunta que o estado atual do direito não autoriza responder com otimismo.