Dados no aparelho

Um celular ou um computador em reparo é, ao mesmo tempo, um bem e um arquivo de dados pessoais de outra pessoa — e às vezes de várias. A assistência técnica é uma das poucas atividades em que isso acontece em cada ordem de serviço.

Por que a LGPD alcança a bancada

A Lei 13.709/2018 define, no art. 5º, I, dado pessoal como informação relacionada a pessoa natural identificada ou identificável, e, no inciso X, tratamento como toda operação realizada com dados pessoais — incluindo acesso, consulta, armazenamento, transferência e eliminação.

Ligar um aparelho, navegar por pastas, copiar arquivos para um disco antes de formatar, testar a câmera abrindo a galeria: tudo isso é tratamento de dados pessoais de um titular que não é a assistência técnica.

E parte desses dados é sensível. O art. 5º, II define dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Um aparelho pessoal contém, com frequência, itens de mais de uma dessas categorias — e o art. 11 submete o tratamento de dado sensível a hipóteses mais estreitas que as do art. 7º.

Qual é a base legal do acesso

O art. 7º lista as hipóteses que autorizam o tratamento. Duas interessam diretamente:

Art. 7º, V — execução de contrato

Tratamento necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular. É a base natural do acesso indispensável ao reparo contratado.

Art. 7º, I — consentimento

Consentimento do titular. Necessário quando o tratamento vai além do indispensável à execução — por exemplo, backup, recuperação de dados ou acesso a conteúdo específico.

A distinção importa porque o art. 6º, III impõe o princípio da necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos.

A tradução prática do princípio da necessidade. Testar se a câmera funciona não requer olhar as fotos que estão no aparelho. Verificar se o touch responde não requer abrir conversas. Acesso além do necessário ao reparo é tratamento sem base legal, ainda que o aparelho esteja legitimamente na bancada e ainda que ninguém copie nada.

Senha

Situação diária: o reparo exige testar o funcionamento após o conserto, e isso pede desbloqueio. Alguns pontos da moldura:

Pedir a senha é legítimo quando o teste a exige. O que precisa existir é a informação sobre por que ela é necessária e sobre o que será acessado — art. 9º da LGPD, que assegura ao titular o acesso facilitado às informações sobre o tratamento.
A senha é ela própria informação a ser protegida. Anotada em papel no balcão, colada na ordem de serviço em local visível ou registrada em planilha compartilhada, ela passa a ser um problema autônomo.
Muitos aparelhos oferecem modo de diagnóstico ou conta de teste que dispensa acesso ao conteúdo. Quando esse caminho existe, ele é o compatível com o princípio da necessidade.
Devolvido o aparelho, o registro da senha deixa de ter finalidade. O art. 15 trata do término do tratamento, e o art. 16, da eliminação dos dados após ele.

Backup e perda de conteúdo

É a origem do conflito mais doloroso do setor: o aparelho volta funcionando e sem as fotos.

Quando o backup foi contratado

É obrigação assumida. Falha na execução se examina como vício do serviço na moldura do art. 20 do CDC, e a perda do conteúdo pode configurar dano a ser discutido.

Quando não foi contratado

A discussão passa a ser sobre o dever de informar (art. 6º, III do CDC) e sobre o que foi advertido antes do procedimento de risco. Cláusula que simplesmente exonere a responsabilidade esbarra nos arts. 25 e 51, I.

O ponto que decide essas discussões. Não é a existência de uma cláusula de isenção — ela tende a ser inválida —, e sim a existência de advertência específica, registrada e anterior ao procedimento, informando que aquela intervenção pode implicar perda de dados e que o backup é recomendado ou indispensável. Advertência genérica impressa no rodapé da nota é diferente de ciência assinada sobre aquele procedimento naquele aparelho. A avaliação de um caso concreto depende dos documentos e é atividade privativa de advocacia.

Segurança e incidente

O art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

O art. 48 impõe ao controlador comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável.

O cenário concreto na assistência técnica. Funcionário que copia conteúdo de um aparelho de cliente é, simultaneamente, um problema trabalhista, um possível ilícito penal e um incidente de segurança na acepção da LGPD — com dever de comunicação. Vazamento de conteúdo íntimo tem, ainda, moldura penal própria. A avaliação de cada uma dessas dimensões depende de exame individual.

Medidas de ordem prática

Descritas como organização documental e operacional, não como aconselhamento sobre um caso:

Termo de ciência na entrada, informando o que será acessado, por que, e o que não será
Registro de quem acessou cada aparelho e quando, vinculado à ordem de serviço
Política escrita de acesso, conhecida e assinada por cada funcionário, com previsão das consequências do descumprimento
Backup, quando contratado, em mídia controlada, com prazo de guarda definido e eliminação registrada ao término
Descarte seguro de mídia — disco, cartão, placa com memória — quando o aparelho é descartado ou a peça substituída é descartada; jogar fora não é eliminar
Encarregado pelo tratamento de dados indicado na forma do art. 41, com o contato divulgado
Contrato com o operador, quando há terceiro envolvido no reparo, prevendo as obrigações de tratamento

Uma distinção necessária

Parte do que a LGPD exige é técnico e operacional: configuração de acesso, controle de mídia, rotina de registro. Depende de profissional de tecnologia e de organização interna.

Outra parte é jurídica: a identificação da base legal aplicável a cada tratamento, a redação dos termos e contratos, a análise de um incidente concreto e a definição do dever de comunicação, a defesa em processo administrativo e a discussão sobre responsabilidade por conteúdo perdido ou exposto. Essas são atividades privativas de advocacia, na forma do art. 1º da Lei 8.906/1994, e dependem de análise individual.

Este texto descreve a estrutura da LGPD aplicada à atividade. A base legal adequada a cada tratamento concreto, a qualificação de um incidente e a responsabilidade por perda de conteúdo dependem dos documentos, do contrato e da prova disponível. Nada aqui constitui parecer.

Abrir o checklist da ordem de serviço Dados de contato do escritório