Internet e protecção jurídica dos dados pessoais: a abordagem franco-europeia

Os dados pessoais (também conhecidos como "dados nominativos"), que permitem identificar tal e tal pessoa, como o nome ou número de seguro nacional, podem ser utilizados indevidamente por terceiros, mas será que podemos realmente controlar este fenómeno na web? Incluindo se alguém optou, em algum momento, por tornar públicos os seus dados pessoais?

Se certos direitos, como os direitos de propriedade intelectual, permitem proteger as próprias criações contra o uso não autorizado, pode-se proibir da mesma forma terceiros de utilizar os dados pessoais de outros, como se fossem uma criação, uma expressão da pessoa, e não um simples identificador, um instrumento policial, um alvo publicitário ou um objecto de mídia?

A legislação francesa e europeia, reflectindo-se mutuamente, pode fornecer elementos de resposta e de acção.

"Acção" uma vez que um prejuízo sofrido em França pode desencadear a jurisdição dos tribunais civis franceses (Código de Processo Civil, Artigo 46) ou penais (Código Penal, Artigo L113-2), em particular quando uma infracção tem uma ligação com a França.

O regime de protecção de dados pessoais estabelece o princípio de exigir o consentimento prévio do indivíduo antes de qualquer utilização dos seus dados pessoais

A lei francesa (Loi informatique et libertés n°78-17 de 6 de Janeiro de 1978, artigo 7, alterado pela lei n°2004-801 de 6 de Agosto de 2004) e a directiva europeia (Directiva n°95/46 de 24 de Outubro de 1995, artigo 7) subordinam o tratamento de dados pessoais ao consentimento prévio das pessoas em causa. O tratamento de dados é geralmente entendido como a integração destes dados num ficheiro colectivo, mais ou menos automatizado, que difere da simples utilização dos dados, exigida pela própria função destes dados, como veremos mais adiante.

Estas disposições tornam possível a obtenção de danos, injunções e penalidades. Assim, a recolha de dados pessoais por meios injustos é punível ao abrigo da lei penal com uma pena de prisão até cinco anos e uma multa de 300.000 euros (Código Penal, artigos 226-18, 226-18-1, 226-19, 226-28).

O artigo 7 da lei n°78-17 de 6 de Janeiro de 1978 "Informatique et libertés" declara em particular que :

Um tratamento de dados pessoais deve ter recebido o consentimento do titular dos dados ou satisfazer uma das seguintes condições

1° Cumprimento de uma obrigação legal a cargo do controlador;

2° Salvaguardar a vida da pessoa em questão ;

3° O desempenho de uma missão de serviço público confiada ao controlador ou ao destinatário do processamento;

4° A execução de um contrato em que a pessoa em causa é parte ou de medidas pré-contratuais tomadas a pedido da pessoa em causa;

5° O cumprimento do interesse legítimo perseguido pelo responsável pelo tratamento ou pelo destinatário, desde que o interesse ou os direitos e liberdades fundamentais da pessoa em causa não sejam violados.

Estas disposições aplicam-se quando os meios de tratamento dos dados estão localizados em França (Lei "Informatique et Libertés", Artigo 5).

A lei não faz distinção entre o acesso público e não público aos dados pessoais. A este respeito, seriam os dados pessoais recolhidos por terceiros quando era necessário o consentimento da pessoa em causa ilegais?

O facto de ter publicado os seus próprios dados pessoais uma vez neste ou naquele website, permitindo implícita ou explicitamente o acesso público aos mesmos e a sua indexação pelos motores de busca, não implica, pelo menos de um ponto de vista subjectivo, um consentimento geral para ver os seus dados pessoais circularem em qualquer lugar e de qualquer forma, em particular para fins de publicidade por este ou aquele meio de comunicação, nem para os ver indexados de qualquer forma.

No entanto, a permissão em princípio dada aos actores da web para indexar conteúdos públicos deve ser considerada como constitutiva da Internet. Esta permissão não é ilimitada, contudo, e pode ser confrontada, por exemplo, com as disposições aplicáveis ao lucro ilícito, à violação da tranquilidade pessoal, à violação dos direitos de autor, ou com as disposições aplicáveis aos directórios públicos, aos quais voltaremos.

Para além das disposições específicas ao processamento de dados, outros regimes têm o efeito de sancionar a utilização não autorizada de dados pessoais.

Direitos ao próprio nome e imagem contra a invasão de privacidade

O uso não autorizado do nome ou imagem de uma pessoa pode constituir uma invasão de privacidade e ser punível ao abrigo dos artigos 9 e 1382 do Código Civil e 226-1 do Código Penal (até um ano de prisão e uma multa de 45.000 euros).

O uso privado dos dados pessoais de outra pessoa não requer o consentimento dessa outra pessoa. Este é o caso típico da manutenção de um livro de endereços pessoais, coberto pelo Artigo 2 da Lei de Protecção de Dados. A revelação não autorizada de tais dados, inicialmente detidos em privado, pode atrair uma pena civil ou criminal como invasão de privacidade, dependendo da sensibilidade da informação revelada e da extensão da sua divulgação, e do desejo de causar danos.

E também :

- Roubo de identidade, confusão (artigos 434-23 e 226-4-1 do Código Penal);

- Golpe (Artigo 313-1 do Código Penal);

- Edição áudio e vídeo (Artigo 226-8 do Código Penal) ;

- Lucro ilegítimo (Artigo 1382 do Código Civil);

- Difamação (Lei de 29 de Julho de 1881 sobre a imprensa) ;

- Abuso do uso de um nome como nome de domínio (Artigo R.20-44-46 do Código Postal) ;

- Quebras do segredo profissional (Código Penal, art. 226-13);

- Violação da confidencialidade das fontes jornalísticas (Lei de 29 de Julho de 1881 sobre a imprensa) ;

- Violação dos direitos de autor (Código da Propriedade Intelectual) ;

- Violação de uma obrigação contratual de confidencialidade ;

- Violação do sigilo da correspondência (Código Penal).

Isto significa que qualquer uso de dados pessoais sem o consentimento prévio do sujeito dos dados é proibido? Não, existem amplas excepções em nome da protecção de interesses legítimos igualmente amplos, principalmente: ordem pública, transparência, liberdade de expressão.

Onde está o princípio, onde está a excepção? Nada parece ter sido decidido ainda se considerarmos, por um lado, que na era da informática a utilização de dados pessoais implica necessariamente uma forma de "tratamento" destes dados e, portanto, a aplicação generalizada da regra do consentimento prévio e, por outro lado, que a liberdade de expressão, uma liberdade fundamental, bem como outras necessidades, exige uma fluidez incompatível com esta regra.

Existem certos imperativos que permitem que a regra do consentimento prévio seja posta de lado

Políticas públicas e objectivos específicos

A manutenção de registos é proibida ou pelo menos sujeita a restrições, em particular as previstas pelos regulamentos sobre a protecção de dados pessoais (em particular a "Lei de Protecção de Dados" acima referida), e sancionada por pesadas sanções penais.

Contudo, a regra do "consentimento prévio" pode ser derrogada quando a recolha de dados pessoais é necessária para o cumprimento de obrigações legais ou contratuais: o funcionamento dos serviços públicos, a protecção da segurança nacional, a luta contra a criminalidade, a preservação da saúde pública, a segurança da Internet, a promoção do trabalho científico, ou mais simplesmente o funcionamento técnico de um determinado serviço contratual.

Nestes casos, os dados pessoais devem ser mantidos confidenciais e utilizados apenas pelas autoridades ou serviços operacionais relevantes, numa base restrita e através de procedimentos e regimes específicos. Se os dados recolhidos nestas condições forem divulgados indevidamente, as regras que sancionam a confidencialidade podem aplicar-se e fornecer uma base para uma acção civil, criminal ou disciplinar (por exemplo, violação do sigilo da correspondência punível ao abrigo do Artigo 226-15 do Código Penal com uma pena de prisão até 1 ano e uma multa até 45.000 euros, e do Artigo 432-9 do Código Penal com uma pena de prisão até 3 anos e uma multa até 45.000 euros)

Transparência e directórios públicos: uma abordagem mista

De acordo com a CNIL (Commission Nationale Informatique et Libertés):

Considerando que a publicação de listas de assinantes ou utilizadores de redes ou serviços de telecomunicações é gratuita, sujeita à protecção dos direitos das pessoas em causa; que o tratamento implementado para a elaboração destas listas constitui um tratamento automático de informações pessoais na acepção da lei de 6 de Janeiro de 1978; que, por conseguinte, as disposições de protecção da liberdade e da vida privada das pessoas previstas por esta lei são aplicáveis às listas de assinantes que, independentemente do suporte em que são publicadas (papel ou electrónico), são geralmente designadas por listas; (deliberação n°97 - 060 de 8 de Julho de 1997).

Os artigos L34 e L34-5 do Código Francês dos Correios e Comunicações Electrónicas especificam que :

"A publicação de listas de assinantes ou utilizadores de redes ou serviços de comunicações electrónicas será gratuita, sujeita à protecção dos direitos dos indivíduos.

Os direitos garantidos incluem o direito de cada pessoa de ser incluída em listas de assinantes ou utilizadores publicadas em directórios ou consultáveis através de um serviço de consulta ou de não ser incluída, de se opor à inclusão de certos dados que lhe digam respeito, na medida em que seja compatível com os requisitos dos directórios e serviços de consulta aos quais as listas se destinam, de ser informada antecipadamente das finalidades para as quais as listas são utilizadas, directórios e serviços de informação e as possibilidades de utilização baseadas em funções de pesquisa integradas na sua versão electrónica, para proibir a utilização das informações pessoais que lhe dizem respeito em operações comerciais, bem como para poder obter a comunicação das referidas informações pessoais e exigir a sua rectificação, preenchimento, clarificação, actualização ou supressão, nas condições previstas nos artigos 39º e 40º da Lei nº 78-17 de 6 de Janeiro de 1978 relativa à informática, aos ficheiros e às liberdades." (art.L34 al.2).

Este regime desencadeia as penas previstas pela "Lei de Protecção de Dados", ou seja, até cinco anos de prisão e uma multa de 300.000 euros, e mais no caso de pessoas colectivas envolvidas.

"O consentimento prévio dos assinantes de um operador de telemóvel é necessário para qualquer entrada nas listas de assinantes ou utilizadores elaboradas pelo seu operador móvel, destinadas a serem publicadas em directórios ou consultáveis através de um serviço de informação, de dados pessoais que lhes digam respeito. (Art.L34 para.3)

Em suma, algumas informações são publicadas por defeito, outras não, mas em todos os casos o assinante deve poder intervir, gratuitamente, para modificar as opções por defeito (ver também Decreto n.º 2006-606 de 27 de Maio de 2005, que altera o Código Postal, Artigos R10, R10-12).

(Direito a ser esquecido, direito a ser apagado) - No ProximusNo seu acórdão de 27 de Outubro de 2022, o Tribunal de Justiça da União Europeia interpreta as disposições da Directiva 2002/58 aplicáveis às listas telefónicas e as do RGPD.

A transmissão dos dados de um assinante por um operador telefónico a uma lista deve ser consentida por um opt-in e não um opt-out e deve poder ser retirado com a mesma facilidade com que foi dado. Além disso, ao exercer o direito de ser esquecido, o subscritor pode contactar qualquer controlador que será responsável por comunicar o pedido a outros controladores, bem como aos motores de busca on-line.

Hiperligações e permissão para hiperligações que constituem a Internet

Os conteúdos nocivos disponíveis em França podem ser condenados pelos tribunais civis ou penais franceses. A não remoção de links para tais conteúdos pode resultar em danos, veja por exemplo um extracto da saga LICRA v/ Yahoo em http://caselaw.findlaw.com/us-9th-circuit/1144098.html.

É permitido a um website ou motor de busca expor dados pessoais nos seus hiperlinks ou utilizar dados pessoais como termo de pesquisa para fins publicitários? Não, se os dados pessoais forem mantidos em segredo pela pessoa a quem se referem ou se estiverem associados a conteúdos ilegais não consentidos por essa pessoa.

Existe um princípio geral de não responsabilidade por hiperligações, que é considerado uma actividade constitutiva da Internet. No entanto, quando conteúdos ilegais, tais como dados pessoais mantidos em segredo, são comunicados ao linker, este último torna-se responsável se ele não remover o link e os comentários associados. A sua responsabilidade é mais ou menos grande, de acordo com o seu papel e o seu grau de envolvimento no acto ilegal. Veremos abaixo que a lei organiza procedimentos de notificação, para além dos que são postos em prática pelos vários actores.

No entanto, a questão é mais delicada no que diz respeito aos dados pessoais deixados em acesso público de uma vez ou de outra pela pessoa em questão. Estes dados podem ser recolhidos por vários sites para fins publicitários, para atrair cliques, rede e conteúdo, e para vender espaço publicitário.

A jurisprudência francesa parece relutante em punir aqueles que usam nomes de terceiros como palavras-chave publicitárias, se olharmos para a jurisprudência aplicável a nomes de marcas usadas como palavras-chave por não-proprietários da marca, que não pune estes "não-proprietários".

A utilização de dados pessoais, em particular para fins publicitários, sem o consentimento prévio do indivíduo, mas após ele ou ela ter tornado os dados publicamente disponíveis noutros sites, pode estar sujeita às disposições aplicáveis aos directórios públicos, como visto acima, bem como às regras sobre lucro ilegal, violação dos direitos de autor e violação da privacidade pessoal.

As disposições da "Lei de Protecção de Dados" e a regra do consentimento prévio, por outro lado, tornam-se novamente aplicáveis após um período de tempo razoável desde que a pessoa teve o acesso público inicial aos seus dados pessoais retirados.

Os dados públicos que não seriam removidos, que permaneceriam acessíveis pelos motores de busca habituais, poderiam ser reutilizados por sites de terceiros, especialmente aqueles que actuam como directórios?

Estes sites de directórios exibem mais frequentemente estes dados pessoais com conteúdo publicitário, ou com o conteúdo de pessoas homónimas, misturando assim géneros e confundindo a autoria do conteúdo ou a identidade das pessoas visadas por este conteúdo. Vários tipos de disposições podem ser usadas para sancionar estes abusos:

- A lei aplicável aos directórios, como visto acima, não é necessariamente favorável ao utilizador da Internet, pelo que se deve ter o cuidado de verificar a qualificação de "directório público" para evitar este regulamento;

- O direito de autor, que tem sanções civis e penais, sanciona o direito moral do autor de consentir na divulgação do seu conteúdo e as condições dessa divulgação; o direito de citação breve não autoriza uma mistura de géneros, nem a exibição de dados com conteúdo publicitário não solicitado;

- A penalidade civil por lucro ilegal feita por um editor de websites que atrai tráfego ao exibir ou usar como palavra-chave os dados pessoais de um terceiro sem o seu consentimento;

- As disposições penais que punem a perturbação da paz e do sossego das pessoas; a este respeito, recordamos o Artigo L226-4-1 do Código Penal, que estabelece que :

"O facto de usurpar a identidade de um terceiro ou de usar um ou mais dados de qualquer tipo que lhe permitam ser identificado com vista a perturbar a sua paz de espírito ou a dos outros, ou prejudicar a sua honra ou consideração, é punível com um ano de prisão e uma multa de 15.000 euros.

Esta infracção é punível com as mesmas penas quando cometida numa rede de comunicação pública online.

Liberdade de expressão

Esta liberdade fundamental está consagrada em particular na Convenção Europeia dos Direitos do Homem (CEDH), Artigo 10. Escrever sobre outros no exercício da liberdade de expressão ou criação artística é permitido, em princípio. Esta liberdade é complementada por uma série de excepções aos direitos de autor (por exemplo, o artigo L122-5 do Código da Propriedade Intelectual prevê a possibilidade de mencionar a existência de uma criação na condição de o autor ser mencionado) ou ao direito aos dados pessoais (excepções previstas em matéria literária, artística e jornalística pelo artigo 67 da lei "Tecnologias da Informação e Liberdades Civis").

Esta liberdade é, no entanto, limitada pelas disposições clássicas da lei de imprensa, tal como estabelecido na lei de 29 de Julho de 1881, em particular as disposições penais sobre insultos e difamação.

Se a publicação de dados pessoais for feita sem o consentimento do interessado, deve ser para fins de informação, criação, formação, discussão científica, política ou sindical, em conformidade com as regras aplicáveis à liberdade de imprensa, que exigem o respeito de um rigoroso código de ética. Este código de ética pode ser a base de sanções civis, penais ou disciplinares, ou mesmo de medidas preventivas.

Estas regras destinam-se a proibir qualquer comportamento que possa prejudicar a reputação ou dignidade de uma pessoa, interferir com a sua vida privada ou correspondência (pense no "sensacionalismo" que vende um determinado jornal), ou incitar à violência e discriminação.

A exploração comercial continua sujeita à regra do consentimento prévio, como é o caso das redes sociais, por exemplo, que são remuneradas através da venda de conteúdos drenados.

No contexto da lei de imprensa, e para a promoção da liberdade de expressão, a não procura de consentimento prévio não é sancionada, mas a tentativa de obter tal consentimento será tida em conta em acções civis ou penais contra, por exemplo, actos de difamação.

Na maioria dos casos, só depois de o acto infractor ter sido cometido é que a violação da privacidade ou reputação pode ser sancionada numa acção civil ou criminal.

A título de ilustração, o caso Mosley (ECHR, Mosley v/UK, 10 de Maio de 2011, no. 48009/08 (comentado http://www.droits-libertes.org) indica que a crítica de que o Estado não prevê uma sanção pelo não cumprimento da regra do consentimento prévio não é bem sucedida. Este caso dizia respeito à divulgação de artigos e vídeos que revelavam a vida sexual de um cidadão, que de outra forma era sancionada por outros motivos.

Disposições específicas aplicam-se no contexto da protecção da presunção de inocência, e da dignidade da pessoa (Artigo 35 ter, 35 quater da Lei de 29 de Julho de 1881):

35b

1. - A divulgação, por qualquer meio e em qualquer suporte, da imagem de uma pessoa identificada ou identificável implicada num processo penal mas não condenada e que demonstre que a pessoa está a usar algemas ou algemas ou que está a ser mantida em prisão preventiva, sem o consentimento do interessado, é punível com uma multa de 15.000 euros.
2. - A mesma pena será imposta para :

- conduzir, publicar ou comentar uma sondagem de opinião ou outra consulta sobre a culpa de um arguido em processo penal ou sobre a sentença que pode ser pronunciada sobre ele;

- publicar informação que dê acesso às pesquisas ou consultas referidas no parágrafo anterior.

35c

A divulgação, por qualquer meio e em qualquer suporte, de uma reprodução das circunstâncias de um crime ou infracção, quando tal reprodução afectar gravemente a dignidade de uma vítima e for feita sem o consentimento da vítima, é punível com uma multa de 15 000 euros.

Acções

Os procedimentos previstos pela lei de confiança na economia digital (LCEN)

Certos procedimentos são específicos para os utilizadores da Internet e estão previstos no LCEN. O facto de os dados serem divulgados na Internet leva à aplicação de regulamentos específicos que prevêem procedimentos que permitem às vítimas obter uma rápida remoção do conteúdo ofensivo por parte daqueles que o controlam. As vítimas podem notificar irregularidades, numa ordem sequencial, ao autor, ao hospedeiro, ao fornecedor de acesso, a fim de desencadear as suas diferentes responsabilidades (por exemplo, os intermediários técnicos, tais como os hospedeiros, não têm uma obrigação geral de monitorização do conteúdo que hospedam, mas devem intervir quando notificados), e solicitar a correcção ou remoção do conteúdo, em formas específicas. Estes intermediários são obrigados a alertar as autoridades sobre os conteúdos mais sensíveis (por exemplo: pedido de desculpas por crimes contra a humanidade).

Os notificados devem reagir rapidamente. Uma recusa pode ser contestada em tribunal, mas deve ser notado que o ónus da prova recai sobre a vítima. É a vítima que tem de provar a impropriedade do conteúdo, o que pode ser difícil se a impropriedade não for óbvia em si mesma. A pessoa notificada não tem de prestar aconselhamento jurídico à alegada vítima, e pode processar a "vítima" por abuso de notificação, punível ao abrigo do artigo 226-10 do Código Penal com uma pena de prisão até cinco anos e uma multa de até 45 000 euros.

O "procedimento sumário na Internet" é um procedimento acelerado que permite às vítimas obter medidas preventivas ou curativas perante os tribunais civis (artigo 6.I.8 LCEN) (por favor verifique as sucessivas reformas do LCEN)

Lei de imprensa

Aplicam-se disposições penais (em particular o direito de resposta previsto no Artigo 13 da Lei de 29 de Julho de 1881), incluindo aos não profissionais da imprensa, mesmo que não beneficiem do privilégio de sigilo das fontes ou de outros privilégios estatutários de que gozam apenas os profissionais da imprensa.

O Artigo 6 V do LCEN estende aos serviços de comunicação online as disposições da lei de imprensa, em particular aquelas que estabelecem uma presunção de responsabilidade do director da publicação. Este regime é detalhado no artigo 93-3 da Lei n°82-652 de 29 de Julho de 1982 sobre comunicação audiovisual, recentemente alterada pela Lei n°2009-669 do HADOPI de 12 de Junho de 2009, artigo 27.II, e descreve um regime adaptado do regime clássico do artigo 42 da Lei de 1881.

A liberdade de imprensa é temperada por um direito de resposta de qualquer pessoa citada, e este direito também é exercido no contexto dos serviços de comunicação online, como previsto no Artigo 6 IV do LCEN e no Decreto n.º 2007-1527.

Estatuto habitual de prescrição de delitos de imprensa: 3 meses a contar da data de publicação (verifique as sucessivas reformas na área do estatuto de prescrição, bem como os estatutos especiais de prescrição)

Procedimentos da CNIL

A Commission Nationale Informatique et Libertés ("CNIL") é a instituição que intervém para supervisionar a implementação dos regulamentos sobre a protecção de dados pessoais. Ela tem uma contraparte em cada um dos Estados-Membros da UE. A CNIL pode emitir avisos, regulamentos, injunções, sanções financeiras, e pode iniciar acções junto dos tribunais competentes para obter medidas de emergência. Ela pode decidir publicar sanções. Pode emitir recomendações que servirão como padrão ou critério para a interpretação da legislação sobre protecção de dados pessoais e a noção de privacidade, por exemplo no que diz respeito à utilização de dados pessoais em registos públicos e decisões judiciais.

Um procedimento CNIL pode ser iniciado por qualquer cidadão por meio de uma simples carta.

Os tribunais penais

O Código Penal reúne num capítulo dedicado às infracções contra a personalidade as disposições que punem as infracções contra a privacidade, a tranquilidade dos indivíduos, o sigilo, a protecção dos dados pessoais e o respeito pelo direito de resposta. Os direitos de autor são também penalizados no Código da Propriedade Intelectual.

Estatuto habitual de limitações por crimes contra a personalidade: 3 anos / 1 ano (verifique as sucessivas reformas do estatuto de limitações e os estatutos especiais de limitações)

Tribunais civis :

O código civil permite a atribuição de indemnizações por danos se for possível demonstrar que existe uma ligação entre o dano e o uso indevido de dados pessoais. Este será particularmente o caso em questões de direitos de autor, invasão de privacidade e lucro ilícito.

Também pode ser possível obter medidas preventivas através de procedimentos de emergência (procedimentos sumários ou petições) explicitamente previstos no contexto da actividade da Internet pelo Artigo 6.I.8 do LCEN.

No entanto, o direito civil não pode ter o efeito de acrescentar restrições à liberdade de expressão para além das já previstas na lei de imprensa, conhecidas como "delitos de imprensa", tais como insultos e difamações, e sujeitas a regimes processuais específicos.

Estatuto civil habitual de limitações: 3 anos, 5 anos (não se esqueça de verificar as sucessivas reformas do estatuto de limitações, assim como os estatutos especiais de limitações)

gdpr : procedimentos de emergência contra o controlador ao abrigo dos regulamentos da UE e da lei processual francesa