Regime jurídico brasileiro de proteção de dados pessoais (Lei nº 13.709/2018), inspirado no GDPR europeu, que regula o ciclo de tratamento de dados — incluindo dados sensíveis e perfis psicográficos — e cuja interface com a segurança cognitiva opera por via indireta, ao disciplinar a matéria-prima informacional sobre a qual se erguem operações contemporâneas de influência e microtargeting.
1. Definição e Escopo
A Lei Geral de Proteção de Dados Pessoais (LGPD), sancionada como Lei nº 13.709, de 14 de agosto de 2018, e profundamente alterada pela Lei nº 13.853, de 8 de julho de 2019, instituiu o regime brasileiro de proteção de dados pessoais. Tem por objeto o tratamento de dados pessoais — definidos no Art. 5º, I, como informação relacionada a pessoa natural identificada ou identificável — por pessoa natural ou jurídica, de direito público ou privado, com o propósito de proteger os direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade da pessoa natural (Art. 1º).
A relação entre a LGPD e a segurança cognitiva é mediada e estrutural. A LGPD não regula diretamente operações de influência, propaganda computacional ou desinformação; regula o substrato informacional — dados pessoais, perfis comportamentais, dados sensíveis ideológicos — sobre o qual se constroem as arquiteturas algorítmicas de microtargeting cognitivo. Nesse sentido, a LGPD opera como camada normativa de proteção das condições materiais da autonomia cognitiva individual e coletiva.
2. Etimologia e Origem Conceitual
A expressão “proteção de dados pessoais” (Datenschutz, na matriz alemã; data protection, na anglo-saxônica) designa um conjunto de garantias jurídicas formuladas a partir da década de 1970, com a Lei do Land de Hessen (1970) e a Lei Federal Alemã de Proteção de Dados (BDSG, 1977) como marcos pioneiros. O conceito desloca o eixo da privacidade — categoria jurídica clássica centrada no direito de ser deixado em paz (right to be let alone) — para a autodeterminação informativa (informationelle Selbstbestimmung), reconhecida pelo Tribunal Constitucional Federal alemão na decisão do Censo de 1983 (Volkszählungsurteil).
A trajetória brasileira do conceito é tributária dessa tradição europeia. Danilo Doneda (2006), em obra seminal, descreveu a transição “da privacidade à proteção de dados pessoais” como passagem de um direito negativo (não-interferência) a um direito positivo de controle ativo sobre o fluxo informacional pessoal. Stefano Rodotà (2008) acrescentou a categoria de “sociedade da vigilância” para nomear o contexto sociotécnico em que a proteção de dados se torna garantia constitucional de cidadania.
3. Desenvolvimento Histórico
A formulação da LGPD originou-se em três frentes paralelas: o anteprojeto do Ministério da Justiça (2010, com consulta pública sob a coordenação de Doneda), o PL 4.060/2012 e o PLS 330/2013. A convergência se deu no PL 5.276/2016, que, fundido aos demais, deu origem à Lei nº 13.709/2018, sancionada com vetos parciais — sobretudo os relativos à autoridade reguladora, então inexistente.
A criação da Autoridade Nacional de Proteção de Dados (ANPD) ocorreu apenas em julho de 2019, pela Medida Provisória nº 869/2018 convertida na Lei nº 13.853/2019. Inicialmente vinculada à Presidência da República, a ANPD foi transformada em autarquia de natureza especial pela Lei nº 14.460/2022, com autonomia técnica e decisória.
A vigência integral da LGPD efetivou-se em fases: as obrigações substantivas em agosto de 2020 e as sanções administrativas em agosto de 2021. Em 2022, a Emenda Constitucional nº 115 incluiu a proteção de dados pessoais entre os direitos fundamentais (Art. 5º, LXXIX) e atribuiu competência privativa à União para legislar sobre o tema (Art. 22, XXX), conferindo estatura constitucional à matéria.
Paralelamente, a referência externa permanece o Regulamento Geral de Proteção de Dados europeu (Regulamento UE 2016/679 — GDPR), em vigor desde maio de 2018, do qual a LGPD herda categorias centrais — bases legais de tratamento, direitos do titular, dados sensíveis, decisões automatizadas — adaptadas à arquitetura jurídica brasileira (BIONI, 2019).
4. Debate Teórico
O debate teórico sobre a interface entre LGPD e segurança cognitiva organiza-se em torno de quatro eixos.
Primeiro, perfilização e dados sensíveis. O Art. 5º, II, da LGPD define como dados pessoais sensíveis aqueles relativos a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. O Art. 11 estabelece regime mais rigoroso para seu tratamento, exigindo consentimento específico e destacado ou hipótese legal qualificada. A categoria, contudo, foi formulada para tratamento ostensivo: ela não captura adequadamente a inferência probabilística de orientação ideológica a partir de pegadas digitais aparentemente inócuas — curtidas, padrões de consumo, redes sociais —, prática nuclear do microtargeting psicográfico contemporâneo (ZAROUALI et al., 2020).
Segundo, decisões automatizadas. O Art. 20 assegura ao titular o direito à revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. A redação original previa revisão por pessoa natural, dispositivo vetado pela Lei nº 13.853/2019 — desfalcando o regime brasileiro de uma garantia análoga ao Art. 22 do GDPR. A lacuna é particularmente relevante para sistemas de recomendação e moderação algorítmica de conteúdo, cuja opacidade impede o exercício efetivo do direito.
Terceiro, consentimento e assimetria informacional. Bioni (2019) demonstrou que o consentimento — base legal central da LGPD (Art. 7º, I) — opera em condições estruturais de assimetria informacional e cognitiva, sendo insuficiente como garantia isolada de autonomia. A crítica é especialmente aguda no contexto de operações de influência, em que a manipulação opera precisamente sobre os processos decisórios cuja autenticidade o consentimento pressupõe.
Quarto, articulação com a regulação eleitoral. A LGPD prevê regime especial para tratamento de dados pessoais por partidos políticos e candidatos, mas a interface com a legislação eleitoral (Lei nº 9.504/1997 e resoluções do TSE) permanece subdesenvolvida. A ANPD e o TSE firmaram acordo de cooperação técnica em 2022, mas a fiscalização sistemática do uso de dados em campanhas digitais ainda é embrionária.
5. Casos Documentados
(i) Cambridge Analytica — Brasil (2018). Embora as investigações centrais tenham se concentrado nos EUA e no Reino Unido, vazamentos e reportagens posteriores documentaram a atuação da empresa em campanhas brasileiras antes de sua dissolução. O caso evidenciou o uso de perfis psicográficos derivados de dados aparentemente triviais (curtidas no Facebook) para microtargeting político — modelo de operação que a LGPD, em vigor desde 2020, ainda não testou plenamente.
(ii) ANPD vs. Serasa (2021). A ANPD instaurou processo sancionador contra a Serasa Experian por compartilhamento massivo de dados pessoais sem base legal adequada. O caso firmou interpretação de que a coleta e a comercialização de bases de dados — incluindo dados de comportamento de consumo, frequentemente utilizados em segmentação publicitária e política — exige base legal específica e proporcionalidade.
(iii) Eleições 2022 — disparos segmentados. O TSE, com base em interpretação combinada da LGPD e da legislação eleitoral, determinou medidas contra disparos massivos de mensagens políticas segmentadas via aplicativos de mensageria, exigindo transparência sobre as bases de dados utilizadas para segmentação — primeiro precedente de aplicação cruzada dos dois regimes em contexto eleitoral.
6. Implicações para o Contexto Brasileiro
A análise das lacunas regulatórias da LGPD para a segurança cognitiva identifica seis vazios estruturais.
Primeiro, inferência de dados sensíveis. A LGPD protege o tratamento ostensivo de dados ideológicos, mas não disciplina explicitamente a inferência probabilística desses atributos a partir de dados não sensíveis — modalidade dominante no microtargeting moderno.
Segundo, ausência de regime específico para influência política não eleitoral. Fora do período eleitoral formal, o uso de dados pessoais para campanhas de influência política, polarização ou desestabilização permanece sem disciplina específica, regulado apenas pelas bases legais genéricas do Art. 7º.
Terceiro, fraqueza do regime de decisões automatizadas. O veto à revisão por pessoa natural desfalcou o Art. 20, deixando o regime brasileiro aquém do GDPR europeu na proteção contra arquiteturas algorítmicas opacas que mediam o acesso à informação política.
Quarto, capacidade institucional da ANPD. A autoridade dispõe de quadro técnico limitado em face do volume e da complexidade dos tratamentos algorítmicos contemporâneos, em particular daqueles operados por plataformas globais cujo enforcement transnacional permanece desafiador.
Quinto, ausência de articulação com regime de segurança nacional e contrainteligência. A LGPD exclui de seu âmbito o tratamento de dados em atividades de investigação e repressão a infrações penais (Art. 4º, III), mas não disciplina explicitamente a interface entre proteção de dados e OSINT estatal ou análise de atribuição de operações de influência estrangeira — exigindo, ademais, lei específica que jamais foi editada.
Sexto, transferência internacional e soberania de dados. O regime de transferência internacional (Arts. 33–36) opera por adequação ou garantias contratuais, sem dispositivos específicos para os fluxos de dados que alimentam infraestruturas algorítmicas estrangeiras com impacto sobre o espaço público brasileiro.
A LGPD constitui, portanto, condição necessária, mas insuficiente, para a proteção da resiliência informacional da sociedade brasileira. Sua articulação com o Marco Civil da Internet, com a legislação sobre desinformação e com a regulação eleitoral configura agenda crítica para a próxima geração da política pública brasileira de segurança cognitiva.
7. Ver Também
- Marco Civil da Internet e Operações de Influência
- Legislação Brasileira sobre Desinformação
- Regulação Internacional de Guerra Informacional
- Microtargeting
- Segurança Cognitiva
- Propaganda Computacional
- Inautenticidade Coordenada (CIB)
8. Referências
BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2019.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018.
BRASIL. Lei nº 13.853, de 8 de julho de 2019. Altera a Lei nº 13.709, de 14 de agosto de 2018, para dispor sobre a proteção de dados pessoais e para criar a Autoridade Nacional de Proteção de Dados; e dá outras providências. Diário Oficial da União, Brasília, DF, 9 jul. 2019.
DONEDA, Danilo. Da privacidade à proteção de dados pessoais. Rio de Janeiro: Renovar, 2006.
EUROPEAN UNION. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation). Official Journal of the European Union, Brussels, L 119/1, 27 abr. 2016.
RODOTÀ, Stefano. A vida na sociedade da vigilância: a privacidade hoje. Rio de Janeiro: Renovar, 2008.
ZAROUALI, Brahim; DOBBER, Tom; DE PAUW, Guy; DE VREESE, Claes. “Emotionally charged” political microtargeting based on psychological profiling: an experimental study of political and data privacy perceptions. Digital Journalism, v. 8, n. 3, p. 348-369, 2020.
Verbete submetido ao NEGISC — Núcleo de Estudos em Guerra Informacional e Segurança Cognitiva / GEPSI / IREL / UnB. Licença CC BY-SA 4.0.