L'inclusion de la responsabilité civile pour fuite de données est très bien réglementée par la Loi Générale sur la Protection des Données (LGPD). Cependant, le sujet commence également à être traité dans le Code civil, avec les modifications qui y sont apportées et la création du Droit numérique.
Traiter du même sujet dans deux lois ou règlements distincts, même de niveaux différents, peut entraîner des confusions et des difficultés d'interprétation. Il est du rôle des juristes – qu'ils soient avocats, juges, procureurs ou procureurs publics – d'apaiser les doutes, et il revient aux tribunaux d'uniformiser la compréhension des questions soumises à leur appréciation.
La concomitance des lois tend à engendrer une insécurité juridique et une complexité accrue pour la vie du citoyen et des personnes morales. Cependant, il reste encore beaucoup à mûrir, tant au Brésil qu'ailleurs, en ce qui concerne la fuite de données. Bien que les cas survenus attirent beaucoup l'attention, leur nombre reste encore considéré comme faible par rapport au flux de données existant dans le monde.
As alterações do Código Civil introduzem conceitos e regras sobre a prestação de serviços digitais (art. 609), bens digitais do falecido (art. 1791-A), legados de bens digitais (art. 1918-A) e alguns conceitos, princípios e regras do Direito Digital. Ils abordent le sujet des données à plusieurs reprises, comme dans l'article 1791-A, paragraphe 3°, qui prévoit que « sont nulles de plein droit toutes clauses contractuelles visant à restreindre les pouvoirs de la personne de disposer de ses propres données, sauf celles qui, par leur nature, structure et fonction, ont des limites d'utilisation, de jouissance ou de disposition ».
Des critères sont également indiqués pour définir la licéité et la régularité des actes et des activités qui se déroulent dans l'environnement numérique. Il est caractérisé comme « l'espace virtuel interconnecté par Internet, comprenant des réseaux mondiaux d'ordinateurs, des appareils mobiles, des plateformes numériques, des systèmes de communication en ligne et toutes autres technologies interactives permettant la création, le stockage, la transmission et la réception de données et d'informations ».
En énumérant les fondements de la discipline appelée Droit Numérique, le Code civil modifié indique « le respect de la vie privée, la protection des données personnelles et patrimoniales, ainsi que l'autodétermination informationnelle ». La LGPD ne se limite pas à régulation des données circulant sur Internet, elle couvre également les données traitées dans les environnements internes et externes des contrôleurs et opérateurs, que ce soit par écrit, physiquement ou même verbalement.
Le Code civil modifié et la LGPD coexistent. Ils ne sont pas contradictoires. De cette manière, le Code civil servira de base pour l'interprétation d'éventuelles lacunes de la LGPD. Par exemple, on analyse la question soulevée concernant si la personne décédée a droit à la protection des données. De même pour la transmission héréditaire des données. La LGPD ne traite pas cette question spécifique, mais les modifications du Code civil clarifient que le défunt possède ce droit.
Sinon, il est possible d'analyser la question de la fuite de données. A LGPD est claire en établissant des sanctions pour la fuite. Les modifications du Code civil, à leur tour, établissent des définitions conceptuelles pour le sujet. Cela se produit, par exemple, lorsque l'on introduit la garantie de sécurité de l'environnement numérique, révélée par les systèmes de protection des données, comme paramètre fondamental pour l'interprétation des faits survenus dans l'environnement numérique.
Les modifications du Code civil vont jusqu'à répéter certaines dispositions de la LGPD, comme celle qui stipule que la protection des données est un droit des personnes physiques. Il ne faut pas perdre de vue qu'elles ajoutent à la LGPD la protection des données pour les personnes morales si les faits se produisent dans l'environnement numérique : « Ce sont des droits des personnes, physiques ou morales, dans l'environnement numérique, en plus d'autres prévus par la loi ou par des documents et traités internationaux auxquels le Brésil est signataire : I – la reconnaissance de leur identité, présence et liberté dans l'environnement numérique ; II – la protection des données et informations personnelles, conformément à la législation sur la protection des données personnelles ; »
Le Code civil modifié ajoute également des dispositions relatives aux données cérébrales, telles que : « (…)VI – droit à la protection contre les pratiques discriminatoires, biaisées, fondées sur les données cérébrales. § 3 Les droits neurologiques et l’utilisation ou l’accès aux données cérébrales peuvent être réglementés par des règles spécifiques, à condition que les protections et garanties accordées aux droits de la personnalité soient préservées.
En ce qui concerne spécifiquement les fuites de données, le nouvel article 609-E prévoit que « les fournisseurs de services numériques doivent prendre des mesures pour garantir la sécurité attendue et nécessaire du support numérique et de la nature du contrat, notamment contre la fraude, contre les programmes informatiques malveillants, contre les violations de données ou contre la création d'autres risques de cybersécurité. Paragraphe unique. Les prestataires de services numériques sont civilement responsables, dans les conditions prévues par le présent Code et le Code de la consommation, des fuites d’informations et de données émanant des utilisateurs ou de tiers.
En résumé, les modifications du Code civil répètent ou ajoutent des protections par rapport à celles établies par la LGPD, mais toujours en ce qui concerne les données présentes dans l'environnement numérique. La Cour suprême de justice (STF) est le meilleur paramètre à avoir lorsqu'on analyse la jurisprudence sur la fuite de données, car tous les recours seront décidés par elle en dernière instance.
Actuellement, la STF a décidé que le titulaire des données divulguées doit prouver le dommage effectif pour obtenir une indemnisation. Par conséquent, le dommage n'est pas considéré comme présumé. S'il n'y a pas de dommage, il n'y aura pas d'indemnisation, bien que le responsable puisse être sanctionné par l'ANPD (Autorité Nationale de Protection des Données).
Au fil des années, il sera possible d'observer les occurrences pratiques afin de légiférer plus efficacement sur le sujet, sans retirer la liberté d'action nécessaire aux entreprises dans ce domaine. Il faut parvenir à un point d'équilibre entre interdictions, sanctions et permissions, afin que tous puissent mieux profiter de la circulation des données. Les compréhensions sur le sujet s'harmoniseront à mesure que le volume de questions juridiques augmentera et sera soumis à l'appréciation.