O avanço da Covid-19 desafia governos e empresas a agir de forma rápida no controle da pandemia. Nessa luta, a proteção de dados pessoais não deve impedir medidas emergenciais, cujo alcance depende da utilização de informações para fins não autorizados por seus titulares.

Para conter a epidemia, diversos países estabelecem medidas que geram questionamentos em relação à proteção dos dados de seus cidadãos.

A China determinou medidas agressivas de vigilância digital para evitar a circulação e reconstruir as rotas de infectados. A Itália obriga indivíduos provenientes de zonas de risco epidemiológico a comunicar seus dados à autoridade sanitária. A Alemanha exige que passageiros vindos de países em emergência sanitária preencham formulários de desembarque e estuda o monitoramento por dados de localização dos celulares. Já a Rússia utiliza o reconhecimento facial para monitorar o isolamento domiciliar.

Outros países certamente adotarão medidas semelhantes e impactantes sobre a privacidade. Qual o limite dessas medidas?

As ações governamentais que visam a contenção do coronavírus, em sua maioria estão acobertadas pelo interesse público, pois são medidas para a proteção contra grave ameaça para a saúde da população. A GDPR (General Data Protection Regulation), regulamento europeu para a proteção de dados, estabelece a permissão para o tratamento de dados pessoais sob essa justificativa. Portanto, o limite dessas medidas é a efetiva necessidade para a defesa da saúde pública.

E as empresas? Qual o limite do tratamento de dados pessoais para a preservação do ambiente saudável?

Em uma emergência sanitária, é legitimo que as empresas tratem dados de seus colaboradores para a efetividade das iniciativas de controle do surto em suas dependências. Assim, empresas europeias estão apoiadas na GRPD, pois o tratamento é essencial para a promoção da segurança e proteção social.

No entanto, como as informações de saúde são consideradas dados sensíveis, a empresa deve manter um cuidado peculiar na sua proteção, com acesso restrito ao necessário para o fim a que se destina.

E como ficam as empresas brasileiras nesse contexto?

Mesmo que a Lei Geral de Proteção de Dados (LGPD) ainda não esteja em vigor, empresas brasileiras com operações fora do território nacional devem estar atentas às regras de utilização de dados pessoais sob às leis dos países em que atua. A exemplo da GDPR, as normas de proteção de dados podem ter aplicação extraterritorial, atingindo entidades localizadas fora da União Europeia que tratem dados de pessoas que estejam em território europeu.

A LGPD disciplina o tratamento de dados pessoais para a proteção da vida ou da incolumidade do titular dos dados ou de terceiros. Assim, em uma futura emergência sanitária, poderia uma empresa brasileira tratar legalmente os dados de seus colaboradores como medida de prevenção.