Odélio Porto Júnior*
Rafaella Resck Braoios**
1. Introdução
O uso da inteligência artificial (IA) está cada vez mais presente no nosso dia a dia, fazendo com que novos questionamentos de ordem jurídica surjam à medida que novas aplicações aparecem. A inteligência artificial tem como um dos objetivos a otimização dos processos de convivência e a transformação de dispositivos eletrônicos em peças-chave para a geração de valor individual.
Este artigo tem como foco a contextualização dos dados coletados por inteligência artificial para assistentes de voz pessoais e como essa tecnologia influencia o futuro das relações entre pessoas e tecnologias. O objetivo deste texto é discutir como ocorre a coleta de dados pessoais através da inteligência artificial para assistentes pessoais de voz, como Apple Siri, Amazon Echo e Google Home, destacando o impacto da legislação sobre proteção de dados e usando como parâmetro a regulamentação sobre o tema no cenário internacional.
2. Assistentes de voz e inteligência artificial
A primeira assistente virtual de voz voltada ao consumo geral surgiu em 2011, com o lançamento da Apple Siri. O software apresentou recursos como reconhecimento de voz, obediência a comandos e ativação de vários recursos do celular. Apresentado inicialmente como um recurso para smartphone, a tecnologia sofreu avanços e passou para aparelhos exclusivos, que também reconhecem voz e funcionam através de comandos.
De acordo com o relatório do Sistema Federação das Indústrias do Estado do Paraná (Sistema FIEP) de 2019, uma das maiores tendências para o ano no setor de tecnologia eram justamente as assistentes virtuais com interfaces de voz. A tendência se concretizou e, segundo dados da Strategy Analytics, foram vendidas 39,3 milhões de unidades de smart speakers, um recorde para o terceiro trimestre de 2021. No entanto, ainda muito se questiona sobre o funcionamento desses aparelhos.
Do ponto de vista técnico, o aparelho consiste em um conjunto de alto-falantes, controlados por um processador que, com ajuda de algoritmos de IA, envia e recebe informações para a nuvem, atualizando o processador e fazendo com que o aparelho forneça respostas rápidas ao seu usuário. Deixando de lado a parte técnica, as assistentes de voz funcionam como facilitadores do cotidiano, e realizam atividades de maneira otimizada e tecnológica.
Além das funcionalidades que as próprias assistentes de voz fornecem por si só, é possível conectá-las com outros objetos e aplicativos que otimizam seus serviços e exploram novidades, como a utilização de lâmpadas inteligentes que respondem ao comando de voz.
Entretanto, a preocupação em torno das assistentes de voz não diz respeito apenas ao seu funcionamento técnico e prático. A preocupação ultrapassa a esfera da tecnologia e chega à temática de privacidade e proteção de dados pessoais: afinal, como os dados pessoais são coletados e armazenados? E principalmente: quais dados pessoais são efetivamente coletados?
3. Análise dos serviços de assistente virtual sob a perspectiva das normas de proteção de dados
O European Data Protection Board (EDPB), órgão independente que auxilia na interpretação das regras de proteção de dados pessoais na União Europeia, editou um guia sobre assistentes de voz virtuais. De acordo com o guia, os atores envolvidos no desenvolvimento e oferta de uma assistente virtual podem ser:
- Provedor ou designer: responsável pelo projeto, funcionalidades, ativação, arquitetura, acesso a dados e gerenciamento de registros etc.;
- Desenvolvedor de aplicativos: responsável pela criação de aplicativos para o desenvolvimento das funcionalidades da assistente;
- Integrador: fabricante dos equipamentos que serão conectados por uma assistente;
- Proprietário: responsável pelo espaço físico de recebimento de pessoas e que deseja fornecer uma assistente para seu público, que pode ter aplicativos dedicados – exemplos: hotéis, ambientes profissionais, locadora de veículos etc.;
- Usuário: aquele que efetivamente faz uso das assistentes em seu dia a dia, e pode conectá-las com outros dispositivos.
O guia dispõe que esses os responsáveis pelo tratamento de dados estão obrigados a informar os utilizadores do tratamento de seus dados pessoais de forma concisa, transparente e facilmente acessível, devendo inclusive garantir o direito do usuário de se recusar ao processamento de seus dados pessoais.
O guia também deixa claro que o tratamento de dados deve ser amparado em uma das bases legais previstas no artigo 6º da GDPR, e informa que, quando a base legal for o consentimento, não é possível se valer de ativações acidentais por parte do usuário. Disposição similar se aplica em relação às crianças de até 16 anos, vez que o consentimento só será aplicável se concedido pelos pais ou responsáveis legais da criança. Assim, o guia publicado pelo EDPB torna mais claro como as disposições de proteção de dados podem ser aplicáveis a assistentes de voz.
LGPD
No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD) não regula especificamente o tema e a Autoridade Nacional de Proteção de Dados (ANPD) ainda não elaborou regras ou orientação sobre assistentes de voz. Porém, resta claro que o tratamento existe e deve ser pautado pelas lacunas já preenchidas pela legislação em vigência atual no Brasil. A seguir, exploraremos conceitos já existentes da LGPD que se aplicam ao tema.
3.1 Princípio da transparência
O princípio da transparência, de acordo com artigo 6º, inciso VI da LGPD, pode ser definido como a garantia ao titular, de maneira clara, precisa e facilmente acessível, sobre como ocorre o tratamento de seus dados pessoais e os responsáveis pelo tratamento. Cumprir o princípio da transparência permite que o usuário possa exercer seus direitos e controlar como seus dados são tratados.
Em consulta a sites de desenvolvedores de assistentes virtuais, identificamos que existem páginas específicas que abordam o tema de privacidade e proteção de dados. Ao observar as páginas disponibilizadas pelos desenvolvedores, percebe-se que há pontos de melhoria em relação à transparência quanto às funcionalidades do dispositivo, ao exercício de seus direitos e ao tratamento de dados pessoais propriamente realizado por cada empresa.
Adicionalmente, outras formas de tratamento de dados pessoais para além das elencadas pelas empresas acabam sendo possíveis no uso de assistentes de voz. A prova disso é a ocorrência em 2019 de um homicídio nos Estados Unidos, no qual a empresa Amazon foi intimada a entregar as gravações de voz feitas pelo dispositivo Alexa durante a briga de um casal, pois a polícia suspeitou que a vítima acionou a Alexa antes de ser assassinada.
Além disso, em estudo recente de pesquisadores da Universidade de Washington, descobriu-se que assistentes de voz podem ser treinados para detectar alterações no estado de seus usuários, como ataques cardíacos, e acionar automaticamente os serviços de emergência. São incontáveis as formas com que as assistentes virtuais poderão contribuir com situações humanas normais no futuro, e isso torna ainda mais clara a preocupação em torno da interação entre assistente e usuário, justamente por não estar tão claro como ela efetivamente pode ocorrer.
Informações aos usuários
A questão a ser discutida é qual a forma mais viável para informar aos usuários sobre o tratamento de seus dados pessoais e qual é o momento oportuno para fazê-lo, e a resposta é que as informações devem ser dadas o quanto antes e, no mais tardar, quando houver a obtenção dos dados pessoais.
Os agentes de tratamento devem buscar formas interativas de informarem acerca da transparência do tratamento de dados pessoais, utilizando-se de links de fácil entendimento, que podem ser enviados diretamente ao e-mail do titular, ou até mesmo de informação oral, quando o titular possuir limitações, garantindo o direito à igualdade de oportunidade a pessoas com deficiências. Essas informações devem estar contidas em políticas ou avisos de privacidade, cujo fim é realmente informar de maneira clara e precisa como os dados pessoais dos titulares são tratados e garantir uma relação mais transparente entre agente e usuário.
Funcionalidades de terceiros
Deve ficar claro também a possibilidade de se adicionar funcionalidades de terceiros, como aplicativos ou objetos que podem ser conectados às assistentes de voz. Embora exista hoje informações gerais ao usuário sobre a utilização “normal” do dispositivo de voz, é preciso que ele também esteja suficientemente informado sobre como e por quem seus dados são tratados, e até que pontos são tratados, nos casos específicos de adição de funcionalidades.
Por exemplo, se um assistente de voz pode se conectar a um aplicativo desenvolvido por terceiro, é preciso que o titular seja informado que esse terceiro ou outros parceiros no desenvolvimento desse aplicativo poderão tratar seus dados pessoais – e em qual medida eles serão tratados. Conceder esse tipo de informação, e outras tantas outras que devem ser explícitas, é atender ao princípio da transparência.
3.2 Direitos do titular
A LGPD aborda, em seu artigo 18, um rol de direitos do titular dos dados pessoais. Para cumprir esses e outros dispositivos, os agentes responsáveis pelo tratamento devem permitir que os usuários exerçam seus direitos. Para tanto, devem implementar ferramentas específicas que proporcionam meios eficazes e efetivos que facilitem o exercício de direitos do titular, como, por exemplo, um sistema de gestão de perfil, ferramenta de autosserviço que permite ao titular gerenciar quais dados pessoais podem ser tratados pelo agente, ou até mesmo a disponibilização de um canal direto com o desenvolvedor das assistentes de voz ou de um encarregado pelo tratamento dos dados.
É também responsabilidade dos agentes de tratamento informarem aos titulares de que seus direitos foram levados em consideração e/ou que foram atendidos, através de um e-mail, notificação ou qualquer outro meio escolhido pelo agente, que especifica e dá ciência de que o direito foi atendido ou, quando não for possível fazê-lo, dando transparência dos motivos que levaram os agentes a não acatarem o pedido do titular.
Importante ressaltar que, havendo múltiplos utilizadores das assistentes de voz, registrados formalmente ou não, é preciso garantir que o titular exerça seus direitos sem prejudicar os direitos de outros utilizadores.
3.3 Bases legais aplicáveis
Qualquer tratamento de dados pessoais só pode ser realizado quando possuir base jurídica válida e legítima. O artigo 7º da LGPD e seus incisos representam rol taxativo das hipóteses de tratamento de dados, assim como o artigo 11º e seus incisos regulam o tratamento de dados pessoais sensíveis. Cada situação deve ser considerada especificamente para permitir a atribuição de uma base legal que faça jus à realidade que ela regula.
No entanto, em linhas gerais, entendemos que esta relação é passível de três bases legais: (i) atendimento de legítimo interesse do controlador ou de terceiros, (ii) consentimento e (iii) execução de contrato.
Na medida em que os dados pessoais sejam usados para executar os pedidos do usuário, ou seja, com a finalidade de fornecer o serviço solicitado pelo usuário, os responsáveis pelo tratamento se isentam do consentimento e podem alegar base legal de atendimento de legítimo interesse, exceto quando prevalecerem direitos e liberdades fundamentais do titular.
O tratamento neste caso é usado para fins legítimos considerados com base em casos concretos, como a prestação de serviços que beneficiem o titular. No entanto, em caso de dúvidas quanto à aplicação desta base legal, pode ser realizado um teste de legítimo interesse para verificar se esta é a base legal cabível ou um relatório de impacto à proteção de dados pessoais, documento que aponta os dados coletados, a maneira como foram adquiridos e usados, e como os agentes de tratamento podem mitigar eventuais riscos envolvendo estes dados. A utilização dessa base legal ainda tem pouco apoio teórico e depende de uma análise casuística das situações, para que possa efetivamente ser definida dessa forma.
Consentimento
No guia editado pelo EDPB, a base legal mais adequada ao tratamento de dados por assistentes de voz é o consentimento. Isso porque o titular se manifesta livre, informado e de forma inequívoca pela concordância com o tratamento de seus dados pessoais para finalidades determinadas, que envolvem desde a armazenagem até o acesso propriamente dito aos dados. Essa base é adequada inclusive em relação ao tratamento de dados pessoais sensíveis.
Além disso, o consentimento também é base legal cabível em se tratando de dados pessoais sensíveis, como é o caso do reconhecimento de voz, considerado dado biométrico pela legislação brasileira, e tratado, portanto, como dado pessoal sensível.
Relação contratual
Por fim, quando o usuário decide utilizar assistentes de voz, normalmente ele precisa se registrar para ativá-la. Esse registro pode ser considerado então uma espécie de relação contratual entre o usuário e o agente de tratamento. Esse contrato tem por objeto a utilização da assistente de voz para executar o pedido do usuário, que inclui a captação de voz do usuário, a transcrição para texto e a interpretação por parte do assistente, a preparação da resposta e a resposta vocal que encerra o pedido do usuário.
Dessa maneira, qualquer tratamento de dados pessoais que seja necessário para executar o pedido do usuário pode então invocar base legal de execução de contrato. Caso esta seja a base legal aplicável ao tratamento de dados por assistentes de voz, em relação ao tratamento de dados biométricos, deve-se fazer uso de uma outra base legal, a do exercício regular de direitos, inclusive em contratos, conforme previsto no artigo 11, inciso II, item “d”.
Portanto, afirmamos mais uma vez a necessidade da avaliação de cada situação específica antes de se ponderar qual é a base legal mais adequada àquele tratamento. Isso porque cada base legal possui especificidades que precisam refletir a situação fática analisada e, para além disso, essa definição é mais subjetiva do que objetiva, reforçando a necessidade de uma análise cuidadosa que considera o tratamento de dados pessoais e dados pessoais sensíveis.
Fica claro que a LGPD possui bases legais que validam o tratamento de dados pessoais por assistentes de voz, mas é preciso considerar o impacto em relação ao titular dos dados pessoais e o escopo definido no tratamento de dados pessoais desses titulares para então decidir sobre a base legal mais adequada para a situação analisada.
4. Conclusão
Ao abordarmos o tratamento de dados pessoais realizados por assistentes virtuais de voz, constatamos que, ainda que a legislação brasileira não regule especificamente o tema, a LGPD apresenta parâmetros gerais e claros para o tratamento de dados, que podem – e devem – ser aplicados ao tratamento de dados pessoais por assistentes de voz.
Com base nesses parâmetros, discorremos sobre importantes pontos que devem ser considerados, como o atendimento ao princípio da transparência, o respeito aos direitos dos titulares de dados e, por fim, a aplicação de base legal válida e legítima para o tratamento de dados pessoais por assistentes de voz.
Aproximar as duas pontas dessa operação, agentes de tratamento e usuários, não apenas propiciará a melhor adequação da atividade exercida pelos agentes de tratamento, como também possibilitará um incremento na qualidade das informações por eles tratadas. Isso porque o tratamento de dados pessoais feito de forma correta reflete quem o consumidor é, sua identidade.
Desconsiderar a qualidade dos dados faz com que informações sobre o usuário sejam equivocadas, e afetam os serviços que as assistentes de voz oferecem. A proteção de dados pessoais do titular é um limiar de confiança: sem isso, o usuário perde o controle do que realmente está em jogo e pode se desestimular a consumir, a compartilhar dados com as empresas para a aprimoração dos serviços.
Muito além, hoje a privacidade e proteção de dados não são só um diferencial de mercado a ser oferecido ao usuário, mas sim um direito e um dever constitucional imperioso que continua a tutelar a pessoa humana, sobretudo na condição de consumidora que, por consequência, é hipervulnerável.
Acreditamos que a carência de regulamentação específica sobre o tema no Brasil faz com que as observações realizadas neste texto não sejam evidentes, mas cremos que, da mesma forma que a LGPD foi influenciada pela União Europeia, a regulação dos assistentes de voz no Brasil também deve sofrer influência do que tem sido discutido no cenário europeu. E, em um futuro próximo, é provável que o tratamento de dados pessoais por assistentes de voz seja tema específico de regulamentação da própria ANPD.
Leia também
- LGPD – A requisição de direitos como uma forma de vazamento de dado
- Dificuldades na Aplicação do Conceito de “Controlador de Dados” e Tentativas de Solução – debate na União Europeia e reflexos no Brasil
*Odélio Porto Júnior é formado em Direito pela UFMG, e é graduando em Sistemas de Informação na USP. Faz parte da área de Proteção de Dados Pessoais do Baptista Luz Advogados, tendo também atuado no Instituto de Referência em Internet & Sociedade (IRIS). Realizou cursos de especialização em direito e tecnologia na University of Kent, University of Geneva, e National Law University (Delhi).
**Rafaella Resck Braoios é graduada em Direito pela Pontifícia Universidade Católica de Campinas – PUC Campinas em 2020. Atua como Associate – Data Privacy & Protection no Baptista Luz Advogados.
