LGPD no Exame de Ordem
Na última prova do XXXV Exame de Ordem, conhecido popularmente como "Prova da OAB", a questão nº 35, da prova tipo 1, branca, aplicada em 03.07.2022 trouxe a LGPD. A lei já vinha prevista nos editais desde o XXXII Exame.
A questão cobrada traz um típico caso de coleta de dados em excesso. Um dos mandamentos da proteção de dados é coletar somente o que for necessário, além da higienização frequente no banco de dados para descartar (de forma correta) o que não for mais necessário.
O caso hipotético narrado na questão remete a uma notificação real por excesso de dados coletados, ocorrido contra uma rede de farmácias em 2021. Na situação concreta, o PROCON/SP notificou a farmácia, pois no cadastro do programa de fidelidade - aquele utilizado para obtenção de descontos na loja -, era exigida a coleta de dados biométricos dos titulares de dados.
Na questão do Exame de Ordem, Raquel se vê obrigada a fornecer inúmeros dados para receber um cartão de consumo em um bar e, havendo recusa, não seria possível consumir no local.
Lembramos que Raquel, eu e você podemos questionar como nossos dados pessoais e/ou sensíveis estão sendo coletados e armazenados por qualquer estabelecimento comercial. Nós somos os titulares de dados e temos proteção da LGPD e da própria Constituição Federal, pois proteção de dados também é um direito fundamental.
A LGPD é regida por alguns princípios elencados no artigo 6º, entre eles o da "necessidade". Assim, o controlador que na questão seria o "bar" ou o "dono do bar" deveria se perguntar: "É necessário coletar o nome completo, data de nascimento, CPF, identidade, nome dos pais, endereço, estado civil e e-mail para que um cliente tenha acesso ao meu bar?" A resposta é NÃO. Houve um claro excesso na conduta e vamos além do que dito na questão. Raquel não foi informada de por quanto tempo, nem como os dados seriam tratados ou quem era o DPO para ter acesso a essas informações quando ela quisesse.
Lembramos ainda que os dados biométricos são considerados como dados sensíveis pela LGPD, devendo ter total atenção em sua coleta e tratamento. Assim, também houve uma violação do princípio da necessidade, no caso concreto da farmácia. O uso do CPF ou RG, por exemplo, seria suficiente para identificar o cliente em programas de fidelidade e parcerias de desconto, como a firmada pela própria OAB para que advogados tenham descontos em algumas farmácias.
Sempre que possível, recomendamos ainda a substituição de dado sensível por dado pessoal para evitar maiores problemas ao Controlador e Operador.
.