Porque é que um produto de software não está sujeito a uma só lei

Como equipa que desenvolve software, encontramos esta pergunta sobretudo no início dos projetos. A organização pergunta que regras o software tem de cumprir, e a resposta não está numa só lei. Ter esta dispersão em conta na fase de conceção é muito mais barato do que remendar depois.

A pergunta "o que diz o direito digital sobre isto" não tem resposta, porque não existe um único texto chamado direito digital. Isto é a primeira coisa que qualquer pessoa que trabalhe nesta área aprende, e a mais difícil de explicar a um cliente.

Na Turquia, as atividades digitais são reguladas na interseção de pelo menos seis leis distintas. Nenhuma delas abrange as outras. Todas funcionam segundo a sua própria lógica, o seu próprio regime sancionatório e a sua própria autoridade de controlo. O resultado é o seguinte. Não é possível elaborar uma lista de obrigações a partir de um único texto, e o mesmo facto pode produzir consequências simultâneas ao abrigo de mais do que um regime ao mesmo tempo.

Uma violação de dados aparece em três lugares distintos

Convém ver isto com um exemplo concreto. Suponha-se que se obteve acesso não autorizado à base de dados de clientes de uma empresa de comércio eletrónico e os dados foram extraídos.

A primeira via é administrativa. O artigo 12.º da Lei 6698 regula as obrigações de segurança dos dados, e o parágrafo quinto desse mesmo artigo exige que a violação seja notificada ao Conselho. O Conselho avalia a suficiência das medidas técnicas e administrativas adotadas e, se as considerar insuficientes, aplica uma coima administrativa.

A segunda via é criminal. O facto praticado por quem obteve o acesso pode constituir o crime de acesso a um sistema informático nos termos do artigo 243.º da Lei n.º 5237, e a extração dos dados pode constituir o crime de transmissão ou obtenção ilícita de dados nos termos do artigo 136.º. Esta investigação decorre independentemente da responsabilidade administrativa da empresa.

A terceira via é de direito privado. A pessoa cujos dados foram divulgados pode pedir a reparação do dano sofrido. A última alínea do artigo 11.º da Lei reserva expressamente este direito.

As três vias não são alternativas entre si, funcionam ao mesmo tempo. Ter pago a coima do Conselho não põe fim à investigação criminal, e o resultado do processo penal não resolve por si só o pedido de indemnização.

A que pergunta responde cada lei

A forma mais prática de compreender a dispersão desta área é ver a que pergunta cada texto responde.

A Lei 6698 responde à pergunta "pode tratar este dado?". Aqui estão as condições de tratamento, o dever de informar, as medidas de segurança e os direitos do titular dos dados.

A Lei n.º 5651 responde à pergunta "quem é responsável por este conteúdo?". Esta lei regula a distinção entre fornecedor de conteúdo, fornecedor de alojamento, fornecedor de acesso e fornecedor de uso coletivo, bem como os procedimentos de remoção de conteúdo e de bloqueio do acesso. O regime de responsabilidade muda por completo consoante qual destas quatro qualidades a pessoa tenha.

A Lei n.º 5237 responde à pergunta "este facto é crime?".

A Lei n.º 6563 responde à pergunta "pode enviar esta comunicação comercial e o que é obrigado a declarar como prestador de serviços?".

A Lei n.º 5070 responde à pergunta "esta assinatura eletrónica substitui a assinatura manuscrita?".

Num projeto, normalmente todas estas perguntas surgem ao mesmo tempo. Uma decisão tomada olhando apenas para uma delas cria cegueira em relação às outras quatro.

Competência dispersa significa controlo disperso

O que torna este quadro ainda mais complicado é o facto de leis diferentes estarem confiadas a organismos diferentes.

A Autoridade de Proteção de Dados Pessoais fiscaliza as atividades de tratamento de dados. O organismo turco de tecnologias da informação e comunicação é competente na área das comunicações eletrónicas e participa na execução das decisões de bloqueio de acesso. O Ministério do Comércio é responsável pela aplicação da legislação de comércio eletrónico.

A consequência prática disto é a seguinte. Num único produto, pode ser responsável perante mais do que uma autoridade de controlo, e essas autoridades não estão vinculadas pela decisão umas das outras. Um parecer favorável de uma delas não impede que a outra chegue a uma conclusão diferente.

Onde se erra na prática

A grande maioria dos erros que vejo nesta área partilha uma característica comum. A avaliação jurídica é feita depois de as decisões técnicas já terem sido tomadas.

O modelo de dados já está construído, as tabelas já estão criadas, as integrações já estão escritas. Quando o produto está prestes a entrar em produção, diz-se ao advogado "pode dar uma vista de olhos, por favor". Nessa fase, o que pode ser dito é limitado, porque tudo o que se diz já implica uma correção retroativa, e essa correção retroativa cria um problema à parte quanto aos dados recolhidos até então.

No entanto, todas as perguntas seguintes são perguntas que poderiam ter sido respondidas ao construir o modelo de dados. Que categorias de dados pessoais serão tratadas. Em que base jurídica assentará cada categoria. Qual será o prazo de conservação e que componente o aplicará. A que tabelas se terá de aceder quando chegar um pedido de apagamento. Haverá transferência internacional de dados.

Cinco perguntas. Todas podem ter resposta numa única reunião. O custo que surge quando não têm resposta é muitas vezes superior ao custo dessa reunião.

A verdadeira dificuldade da área

A dificuldade do direito digital não está na complexidade das regras. As regras, lidas uma a uma, são compreensíveis.

A dificuldade está em saber em que momento cada regra entra em jogo. A decisão de um engenheiro de "guardemos também este campo, pode vir a ser preciso" produz consequências ao abrigo de três leis distintas, e quem toma essa decisão na maior parte das vezes não o sabe. A forma de colmatar esta lacuna de conhecimento não é preparar um dossiê de conformidade mais volumoso, é ter o jurista presente na mesa onde a decisão é tomada.