Privacidade, algo que passa TRI longe

Esqueci-me de postar um pedido de acesso à informação que fiz à Prefeitura de Porto Alegre sobre o TRI, o sistema de bilhete eletrônico dos ônibus portoalegrenses. Fiz o pedido em 8 de março, com prazo para 11 de abril, mas só recebi a resposta no dia 7 de maio. A despeito da demora, a pessoa que me respondeu fez a gentileza de responder-me usando meus questionamentos, ao invés de elaborar uma resposta geral e separada. Abaixo as perguntas e as respostas.

Prezado(a) Sr.(a)

Relativo ao seu pedido de informação ao Município de Porto Alegre, informamos o que segue:
 - Existe uma política de privacidade para o programa? Se sim, gostaria de receber uma cópia de tal política.
Não existe um Documento formal, entretanto a política adotada é de confidencialidade e privacidade dos dados. 

Eles lidam com uma quantidade considerável de dados, que permitem rastrear uma pessoa dentro de Porto Alegre mas não formalizaram uma política de privacidade, utilizando-se apenas da esotérica expressão "confidencialidade e privacidade dos dados".

- Por quanto tempo os dados coletados dos usuários com relação a seus dados cadastrais e viagens realizadas ficam armazenados?
Os dados pessoais são mantidos nos servidores, já os dados de viagens são transferidos para um servidor de backup, após 2 anos.
 - Quais os dados coletados dos usuários do TRI (além daqueles usados para a confecção dos cartões)?
Os dados coletados e armazenados são os mesmos do formulário de cadastro no sistema.

Os dados pessoais são permanentemente armazenados e os dados de viagem são transferidos para um servidor de backup após dois anos, o que sugere que tais dados também são armazenados permanentemente. E qual a necessidade de manter os dados de viagem em backup?

- Existe o direito de esquecimento dos dados dos usuários do TRI?
Os dados pessoais dos usuários do TRI são coletados com o objetivo de possibilitar acesso ao sistema de bilhetagem eletrônica, sendo usado com a finalidade de organizar parte do sistema de transporte público coletivo, em Porto Alegre.

Compreende-se que o direito ao esquecimento é aquele que garante ao indivíduo de não ser lembrado contra a sua vontade, especificamente no tocante a fatos desabonadores, cuja exploração possam gerar indevido prejuízo, de ordem moral ou material.

No caso, partindo-se do pressuposto que a inscrição de um usuário e o respectivo fornecimento de dados objetivando a obtenção de um cartão TRI é, de regra, o exercício de um direito (do cidadão, do trabalhador, do estudante, do idoso, etc.), e não um fato desabonador, e que a utilização de tais informações deve guardar pertinência com a gestão do sistema de bilhetagem, não se identifica correlação imediata e genérica entre o referido direito e o os dados dos usuários do TRI, ressalvando-se determinado caso concreto não formulado no presente questionamento.

Oportunamente, registra-se, a título de informação e conhecimento, a existência do Plano de Classificação e da Tabela de Temporalidade de Documentos, no Município de Porto Alegre, instrumentos que, respectivamente, categorizam a estrutura e as atribuições dos órgãos ada administração pública municipal e que determinam o prazo e a destinação dos documentos, objetivando, de um lado, eliminar os documentos que não possuem mais valor legal e, de outro, preservar a memória da administração pública porto-alegrense.

Tais instrumentos estão formalizados no Decreto Municipal n. 17.480/2011, que define normas para a classificação, avaliação, guarda e eliminação de documentos de arquivo, e no Decreto Municipal n.334/2016, que contém o Plano de Classificação e a Tabela de Temporalidade de documentos atualizados da Administração Centralizada do Município, ambos instrumentos regulamentadores alterados e atualizados pelo Decreto n. 19.957/2018.

Alguém precisa prestar mais atenção na lei geral de "proteção" de dados. A LG"P"D tem um artigo que faz de conta que o titular pode pedir a eliminação de seus dados pessoais:

Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:
I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
II - fim do período de tratamento;
III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou
IV - determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.

Atentemo-nos ao inciso III que remete ao parágrafo 5º do art. 8º. Eis o que ele diz:

Art. 8º O consentimento previsto no inciso I do art. 7º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
(...)
§ 5º O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do art. 18 desta Lei.

Logo chegarei no ponto em que quero chegar. Vamos para o art. 18, inciso VI:

Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:
(...)
VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;

Apareceu o cheirinho de exceção! E quais são as "hipóteses previstas no art. 16"?

Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:
I - cumprimento de obrigação legal ou regulatória pelo controlador;
II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou
IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Traduzindo para o português, eliminação de dados pessoais pela LG"P"D é algo basicamente impossível de acontecer. Comentarei por incisos.

1. O primeiro inciso é bem fácil, basta apenas que um, com uma caneta mágica, baixe um edito dizendo que os dados deverão ser armazenados ad aeternum junto com os dados que permitam a identificação do titular;
2. O inciso II também é bem simples. É só dizer as palavras mágicas "estudo por órgão de pesquisa" e teus dados serão indeléveis e essa garantia de anonimização é uma das lendas urbanas que circulam por aí;
3. A terceira cláusula é certamente a mais ultrajante, pois é necessária apenas a transferência dos dados para um terceiro qualquer e teus dados perdudarão pela eternidade, desde que fique essa ciranda da violação da privacidade rodando. Diga-se de passagem, tal possibilidade não é possível no Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, pois esse inciso é um acinte sem precedentes e
4. O último inciso permite que o controlador mantenha teus dados se ele provar que tais dados foram anonimizados, levando em consideração a falácia da anonimização.

Mesmo na remotíssima hipótese do titular dos dados conseguir passar pelas armadilhas do art. 16, a invocação do dado não ser desabonador, não é defesa para impedir a "eliminação" do dado pessoal. E já que estamos a discutir a resposta da EPTC, os decretos citados nada falam de dados coletados pelo TRI.

- Quem pode acessar os dados dos usuários, e seus trajetos, sem o consentimento dos usuários? Somente o próprio usuário pode solicitar informações. Terceiros somente através de Ordem Judicial. 

Menos mal que há uma barreira de um terceiro ao acesso às informações do TRI.

- Existe algum estudo para adequação do TRI à Lei Federal 13709/2018? Se sim, gostaria de receber uma cópia de tal política.
Não existe em curso estudo de adequação dos dados dos usuários do TRI à Lei Federal que dispõe sobre a proteção de dados pessoais e que altera a Lei do Marco Civil da Internet, notadamente em virtude da compreensão de que referido diploma legal já é respeitado. Considerada a complexidade do referido instrumento legal e a pluralidade de ferramentas nele tutelados, carece o questionamento de especificidade capaz de gerar análise mais aprofundada sobre determinado aspecto da Lei em comento. 

Faltando pouco mais de um ano para a entrada em "vigor" da LG"P"D (que, para variar, tem um artigo dando leniência pós-vacatio legis para a grande maioria dos dados pessoais coletados no Brasil), a EPTC não fez nenhum estudo para ver como o TRI se adequaria as "rígidas" normas da LG"P"D. Outra, eu não aguento mais pessoas citando o Marcocô Civil da Internet como legislação de privacidade, ainda mais sabendo que o Marcocô Civil fez mais é acabar com a privacidade na Internet no Brasil (hello retenção de dados e acesso livre a dados cadastrais de pessoas na Internet!).

- Por que não é disponibilizada a opção de um cartão TRI anônimo (algo que ocorre nas grandes cidades do mundo)?
O modelo de vinculação do TRI garante a segurança do sistema, previne fraudes e resguarda os direitos do usuário em caso de perda e/ou roubo do cartão.

A título de informação, registra-se que outras cidades que possuem opção de cartões anônimos, já abandonaram ou estão em processo de abandono da prático, uma vez que verificaram vários problemas de segurança.

Atenciosamente,

Serviço de Informação ao Cidadão
Empresa Pública de Transporte e Circulação – EPTC

Por favor, é possível ter um cartão TRI anônimo e permitir a recuperação dos créditos em caso de extravio ou subtração criminosa do cartão, bastaria a criação de um login com o número do cartão e a criação de uma senha para acompanhamento do cartão via Internet, sem a necessidade de vincular o cartão a dados pessoais. Acho muito curioso começar um parágrafo com "[a] títuo de informação" e não citar as "outras cidades" que já abandonaram os cartões anônimos de transporte e os "problemas de segurança" que surgiram do anonimato. Só me recordo de uma cidade fazendo isso, São Paulo. Cidades como Curitiba, Rio de Janeiro e Belo Horizonte possuem cartões anônimos e aparentemente o caos no transporte público não se instalou.