STJ: "A LGPD e o Marco Civil da Internet são aplicáveis aos dados armazenados e transmitidos pela B3"

 

Tese Jurídica Oficial

A LGPD e o Marco Civil da Internet são aplicáveis aos dados armazenados e transmitidos pela B3, no âmbito de plataforma virtual por ela mantida.

Resumo Oficial

A Lei Geral de Proteção de Dados Pessoais - LGPD (Lei n. 13.709/2018), conforme dispõe o seu art. 3º, se aplica a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, desde que configurada ao menos uma das seguintes hipóteses: I) a operação de tratamento seja realizada no território nacional; II) a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou III) os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Em seu art. 5º, X, a LGPD conceitua "tratamento" como "toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência difusão ou extração".

A doutrina especializada no tema, por sua vez, afirma que as hipóteses previstas na lei não são cumulativas, ou seja, a subsunção da conduta a uma única atividade daquelas enumeradas no art. 5º é suficiente para o enquadramento no conceito de tratamento de dados, de modo que, por exemplo, armazenar dados pessoais sem utilizá-los, pode ser enquadrado como tratamento de dados.

Registra-se, ainda, que dado pessoal, nos termos do art. 5º, I, da LGPD, consiste em "informação relacionada a pessoa natural identificada ou identificável".

Desse modo, a B3, ao manter um sistema que armazena e utiliza dados dos investidores referentes à sua identificação pessoal (p.ex. nome, CPF, e-mail e número de telefone), realiza operação de tratamento de dados pessoais, razão pela qual se submete às normas previstas na LGPD, inclusive às obrigações nela previstas.

Ademais, a B3 se enquadra também no conceito de provedor de aplicação de internet, em razão da sua função de administrar e fornecer uma plataforma virtual de uso exclusivo dos investidores, que é acessada por dispositivos conectados à internet, incidindo, no âmbito dessa atividade, as normas previstas no Marco Civil da Internet.