Propriedade de dados: quem é o dono da informação digital?
Propriedade de dados: quem é o dono da informação digital?
Falar em “propriedade de dados” é tentador, mas o ordenamento brasileiro não reconhece, de modo geral, um direito de propriedade civil clássico sobre dados — especialmente dados pessoais. A estrutura jurídica é funcional e se assenta em direitos da personalidade (Constituição, art. 5º, X), proteção de comunicações (art. 5º, XII), Marco Civil da Internet (Lei 12.965/2014) e, principalmente, a LGPD (Lei 13.709/2018), que confere ao titular um conjunto de direitos de controle sobre seus dados, enquanto atribui a controladores e operadores deveres de finalidade, segurança e prestação de contas. Para dados não pessoais, a discussão passa por contratos, segredo empresarial (Lei 9.279/1996), direitos autorais sobre bases de dados quando houver originalidade de seleção/organização (Lei 9.610/1998, art. 7º, XIII) e regimes setoriais (financeiro, saúde, telecom, concorrencial, ambiental).
Mensagem-chave: em dados pessoais, o “dono” é o titular no sentido de direitos e liberdades; já o controlador “manda” no processamento dentro da lei e de bases legais. Em dados não pessoais, a “titularidade” costuma ser contratual ou ligada a segredo de negócio e a direitos autorais sobre a compilação, não sobre fatos brutos.
Quem é quem na LGPD
- Titular — pessoa natural a quem os dados se referem; possui direitos de acesso, correção, portabilidade, eliminação (quando cabível), oposição, revisão de decisões automatizadas, entre outros.
- Controlador — decide finalidade e meios do tratamento; responde por base legal, transparência e segurança.
- Operador — processa dados em nome do controlador, mediante contrato.
- ANPD — regula, fiscaliza e sanciona; pode exigir Relatórios de Impacto (DPIA).
Dados pessoais vs. dados não pessoais
- Pessoais — identificam ou podem identificar uma pessoa; incluem sensíveis (origem racial, opinião política, saúde, biometria, etc.). Anonimização verdadeira retira do escopo da LGPD, mas pseudonimização não.
- Não pessoais — telemetria de máquinas, dados meteorológicos, preços públicos, séries históricas agregadas etc. Aqui prevalecem contratos, direitos autorais da compilação (quando criativa) e segredo empresarial.
Quadro prático — “Quem é o dono?” em cinco cenários comuns
- Cadastro de clientes de uma plataforma: dados pessoais → o titular detém direitos; a empresa é controladora do tratamento.
- Dataset técnico de sensores de uma fábrica: via de regra, não pessoal → titularidade definida por contrato e possível segredo de negócio.
- Banco de dados curado (seleção/organização criativa): pode haver direito autoral sobre a compilação, sem “propriedade” sobre fatos individuais.
- Dados públicos abertos (LAI): reutilização é possível, observadas licenças e limites de privacidade.
- Treinamento de IA com dados pessoais: exige base legal, transparência, minimização e avaliação de risco.
Direitos do titular e prerrogativas do controlador
Em vez de “propriedade”, a LGPD estrutura um equilíbrio entre direitos do titular e deveres/prerrogativas do controlador. O titular pode demandar acesso e cópia, saber com quem houve compartilhamento, pedir eliminação (quando não houver obrigação legal ou interesse legítimo prevalente), portar dados para outra organização e revogar consentimento. O controlador, por sua vez, pode tratar dados quando possuir base legal adequada (consentimento, contratação, obrigação legal/regulatória, exercício regular de direitos, proteção do crédito, legítimo interesse, etc.), devendo comprovar necessidade, proporcionalidade e segurança — inclusive governança e registro das operações.
Dados não pessoais: contratos, segredo e direitos autorais de bases
No Brasil não existe um direito sui generis de “banco de dados” como na UE. Ainda assim, datasets podem ser protegidos por: (i) contratos (licença de uso, cessão, confidencialidade, restrições de redistribuição); (ii) segredo empresarial (conjuntos informacionais com valor econômico protegidos por medidas razoáveis de sigilo, Lei 9.279/1996); e (iii) direitos autorais sobre a seleção ou organização criativa do banco (Lei 9.610/1998, art. 7º, XIII). Fatos brutos, medidas ou números isolados não são “apropriáveis”, mas a curadoria original da base pode ser.
Checklist — cláusulas essenciais para contratos de dados
- Definições (dados pessoais, não pessoais, metadados, dados derivados).
- Titularidade e licenças (quem é dono do dataset original, quem pode criar e explorar derivados).
- Finalidades e limites de uso (incluindo IA/treinamento e redistribuição).
- Segurança e confidencialidade (medidas técnicas, auditoria, incidentes).
- Portabilidade/saída (formato aberto, prazos, destruição e logs).
- Regime LGPD quando houver dados pessoais (papéis, bases legais, DPA, DPIA, transferência internacional).
Dados públicos, abertos e reuso
A Lei de Acesso à Informação (Lei 12.527/2011) incentiva dados abertos, mas a abertura deve respeitar sigilo legal, segurança nacional e privacidade (LGPD). Recomenda-se publicar em formatos abertos com licenças claras (p. ex., CC BY, ODC-BY, ODbL) e metadados que descrevam qualidade, periodicidade e restrições.
Dados no trabalho, cloud e cadeias globais
- Ambiente laboral: dados gerados por empregados em equipamentos corporativos e sistemas são, em regra, ativos da empresa (não pessoais); já os dados pessoais de empregados seguem a LGPD, com base em execução de contrato, obrigação legal e limites de monitoramento proporcional.
- Cloud: cláusulas de soberania de dados, localização, transferência internacional (art. 33 da LGPD) e resposta a ordens governamentais são críticas, inclusive com logs e chaves sob controle do cliente.
- Concorrencial: trocas de dados entre competidores pedem cuidados antitruste (informações sensíveis, preços futuros, quotas de mercado).
Tópicos (+) de atenção para IA e analytics
- Base legal para treinamento e inferência quando houver pessoais; minimização e propósito compatível.
- Dados sintéticos e anonimização: avalie risco de reidentificação; documente técnica e testes.
- Licenças de conteúdo: verifique termos de plataformas e de repositórios; defina se derivados são compartilháveis.
- Transparência algorítmica proporcional e governança (comitê, RACI, trilhas de auditoria).
Erros frequentes
- Confundir “posse” técnica do dado com “propriedade” jurídica.
- Assumir que anonimização é irreversível sem avaliar riscos de reidentificação.
- Ignorar direitos autorais da curadoria de bases e usar sem licença.
- Falta de planos de saída em contratos de SaaS/DaaS, gerando lock-in.
Roteiro executivo de due diligence de dados
- Inventariar ativos informacionais (pessoais, não pessoais, sensíveis, metadados, logs, modelos).
- Mapear bases legais e regimes setoriais; elaborar DPIA para tratamentos de maior risco.
- Revisar contratos (licenças, titularidade, derivados, confidencialidade, segurança, portabilidade, auditoria).
- Definir política de retenção e minimização; classificar informação (pública, interna, confidencial, restrita).
- Estabelecer gestão de incidentes, notificação, planos de backup e resiliência.
Conclusão
Na economia digital, a pergunta “quem é o dono da informação?” raramente se resolve com uma resposta única. Em dados pessoais, o titular não “vende” sua pessoa: ele exerce direitos e o controlador assume deveres. Em dados não pessoais, a “propriedade” emerge de contratos bem redigidos, de segredo de negócio e, às vezes, de direitos autorais sobre a curadoria da base. O caminho prático é construir governança: clareza de papéis, bases legais, licenças e trilhas de auditoria; planos de saída e interoperabilidade; segurança proporcional ao risco; e transparência para gerar confiança. Com isso, organizações conseguem extrair valor econômico legítimo dos dados, respeitando direitos fundamentais e reduzindo riscos jurídicos e reputacionais.
Este conteúdo é informativo e educacional. Ele não substitui a atuação de um(a) profissional habilitado(a), capaz de analisar seus fluxos específicos de dados, redigir contratos de licenciamento e processamento, conduzir DPIAs, adequar transferências internacionais e desenhar um programa de governança que equilibre valor de negócio e conformidade regulatória.
Guia rápido
- Propriedade de dados não significa “ser dono” no sentido civil tradicional. Em dados pessoais, o titular tem direitos de controle; o controlador possui deveres e poder de tratamento.
- Dados não pessoais podem ser protegidos por contratos, segredo de negócio ou direito autoral sobre a base de dados organizada.
- O uso de dados deve obedecer à LGPD, ao Marco Civil da Internet e a leis setoriais como as de sigilo bancário e fiscal.
- É essencial definir titularidade, licenças e limites de uso em contratos de compartilhamento e parcerias tecnológicas.
- Anonimização não elimina todos os riscos jurídicos; reidentificação indevida pode gerar responsabilidade.
Dica prática: trate dados como ativos jurídicos, mas não como “propriedade plena”. Crie governança documental e técnica para justificar o uso, transferência e retenção de cada conjunto de informações.
FAQ
Quem é o dono dos dados pessoais?
O titular é a pessoa a quem os dados se referem e possui direitos de controle (acesso, correção, exclusão, portabilidade e oposição). O controlador é quem decide como esses dados são tratados e deve garantir o uso legal e transparente.
Empresas podem “vender” dados pessoais?
Somente quando houver base legal válida na LGPD — como consentimento específico, obrigação legal ou legítimo interesse comprovado — e respeitando direitos dos titulares. A “venda” indiscriminada de cadastros é ilegal e sujeita a sanções.
Como ficam os dados públicos e compartilhados?
Dados públicos não são “sem dono”. Seu uso deve respeitar finalidades originais e princípios de transparência e proporcionalidade. A reutilização é permitida com observância da Lei de Acesso à Informação e da LGPD.
Quem responde em caso de vazamento de dados?
O controlador é o principal responsável, devendo comunicar o incidente à ANPD e aos titulares afetados. O operador também pode ser corresponsável se agir fora das instruções contratuais ou com negligência técnica.
Referencial técnico e jurídico
- Constituição Federal: art. 5º, X e XII — assegura a intimidade, vida privada e sigilo das comunicações.
- Lei 13.709/2018 (LGPD): define direitos do titular, deveres do controlador e regras de tratamento de dados pessoais.
- Lei 12.965/2014 (Marco Civil da Internet): regula a coleta, armazenamento e uso de dados por provedores de serviços.
- Lei 9.279/1996 (Propriedade Industrial): protege segredos industriais e dados técnicos sigilosos.
- Lei 9.610/1998 (Direitos Autorais): assegura proteção a bases de dados com curadoria criativa.
- Lei 12.527/2011 (Lei de Acesso à Informação): regula a disponibilização de dados públicos com limites de privacidade e segurança.
- Resolução ANPD nº 2/2022: estabelece diretrizes de boas práticas e governança em tratamento de dados pessoais.
- Jurisprudência: decisões recentes do STJ reconhecem a aplicação da LGPD em relações contratuais e o dever de indenizar em caso de vazamento por falha de segurança.
Checklist essencial:
- Mapeie quem coleta, armazena e compartilha dados em sua empresa.
- Classifique as informações (pessoais, sensíveis, anônimas, estratégicas).
- Formalize contratos com cláusulas de confidencialidade e propriedade de dados.
- Estabeleça política de retenção e descarte seguro.
- Implemente planos de resposta a incidentes e treinamentos periódicos.
Considerações finais
A noção de “propriedade de dados” é, na prática, um direito de uso e controle regulado por bases legais, contratos e princípios constitucionais. O desafio é equilibrar liberdade econômica e proteção da privacidade, garantindo segurança jurídica e ética no uso da informação digital. Empresas que investem em governança de dados, contratos claros e conformidade com a LGPD reduzem riscos e constroem confiança no mercado digital.
Este artigo tem caráter informativo e educativo. Ele não substitui a orientação de um(a) profissional especializado(a), capaz de analisar a estrutura de dados da sua organização, revisar contratos de tecnologia e assegurar conformidade regulatória personalizada ao seu caso.