Regulação do tratamento de dados pessoais, no contexto da pandemia COVID 19 no Brasil

Escrito por: Eduardo Carvalho Silveira e Julia Libeskind

## 1. Introdução

O presente artigo tem o intuito de explicar como está sendo realizada a regulação da coleta e tratamento de dados pessoais coletados como medida de controle e prevenção à transmissão do coronavírus no Brasil. O objetivo é analisar como está sendo feita a regulação do tratamento de dados e qual o papel do Estado nesse contexto da pandemia do Covid-19, com ênfase nos dados coletados em prol da geolocalização com finalidade de rastreamento.

## 2. Contexto: Pandemia Covid-19

No ano de 2020, a pandemia da Covid-19 se alastrou pelo mundo, sendo conhecida por sua alta taxa de contágio e preocupante taxa de mortalidade. Sem vacina ou cura imediata, a única saída das autoridades de saúde foi ordenar e manter o distanciamento social e implementar drásticos protocolos de higienização.

Governos de todo o mundo passaram a tomar medidas para implementar o isolamento e diminuir os índices de contágio. Na era digital, a maior estratégia adotada para monitorar a evolução do COVID-19 foi o uso da tecnologia e estudo dos dados coletados. Dessa forma, esse momento de tentativa de controle da pandemia é marcado pelo crescimento da vigilância do Estado e de empresas privadas em relação aos cidadãos, sob a justificativa de controle do crescimento da curva de contágio da doença.

## 3. Coleta de Dados Pessoais

Para monitorar o fluxo de movimento e zonas de aglomeração, governos de diversos estados brasileiros, assim como de outros países, requisitaram os dados de localização de telefones móveis de seus habitantes. No Brasil, a coleta de dados ocorre de duas maneiras. Para os Estado do Mato Grosso do Sul, Recife, Distrito Federal, Goiás e Tocantins, os dados são fornecidos através da tecnologia de APIs variadas abastecidas de dados de localização dos usuários. Por sua vez, em São Paulo os dados são oferecidos pelas operadoras telefônicas, com base em sinais de antena.

Em São Paulo, por exemplo, o Governador João Dória instituiu o Sistema de Monitoramento Inteligente (SIMI-SP) para que, em convênio com as empresas de telefonia, realizasse o monitoramento dos dados de geolocalização dos usuários dos seus serviços, a fim de verificar se a ordem de permanecer em casa está sendo cumprida. É dito que os dados coletos são anonimizados e possuem a singular finalidade de apontar a eficácia das medidas adotas pelo governo para garantir o isolamento. No entanto, ainda não está claro qual a extensão do tratamento dos dados coletados, muito menos se é possível garantir a efetividade das medidas de anonimização adotadas, dada sua possibilidade de reversão em alguns cenários.

Os dados de localização de um indivíduo são caracterizados como dado pessoal. De acordo com o Art. 5, inciso I da Lei Geral de Proteção de Dados(LGPD), que entrou em vigor no dia 18 de Setembro de 2020, um dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável, ou seja, uma informação que é capaz de reconhecer ou distinguir um indivíduo entre os demais, como: nome, CPF, endereço, número de certão de credito, dados médicos, entre outros. Sendo assim, existem diversas obrigações por parte dos agentes de tratamento para que esses possam tratar os dados coletados para geolocalização, assim como penalidades nos casos de abuso ou negligência.

Por se tratar de dado pessoal, o tratamento desses terá de respeitar todos princípios elencados no rol do Art. 6 da Lei Geral, como por exemplo o princípio da finalidade que determina que o tratamento tenha sempre propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Outros exemplos são o princípio da responsabilidade, que prevê a demonstração, pelo agente, do cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas e o princípio da segurança, que engloba a garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento.

### 3.1 Atividade Econômica de Livre Iniciativa

É evidente o papel das operações de tratamento de dado no âmbito da Administração Pública. É recorrente a coleta e tratamento de dados por entes públicos com a finalidade de compreender as características e necessidades da população e desenvolver estratégias para organizar a oferta de serviços e de solução de problemas. A coleta e tratamento de dados é capaz, por exemplo, de direcionar uma uma campanha de vacinação ou de conscientização acerca de uma nova doença no local em que mais são mais necessários esses serviços. É capaz, também, de recolher as informações necessárias e criar estratégias para a execução de políticas públicas como o Minha Casa Minha Vida que busca proporcionar ao cidadão brasileiro condições de acesso à moradia própria.

No entanto, o mercado do tratamento de dados tornou-se popular e extremamente rentável a iniciativa privada com o desenvolvimento das tecnologias e redes sociais e digitalização de grande parte das relações e serviços. Através da coleta e tratamento de dados como gênero, padrões de consumo, histórico de busca e localização é possível desenvolver uma estratégia de marketing personalizado e extremamente rentável às empresas contratantes. São inúmeros os benefícios que operações de tratamento de dado podem trazer, como auxiliar no processo de seleção de novos trabalhadores, realizar um mapeamento de um novo mercado, medir a efetividade de uma campanha publicitária, entre muitos outros.

Existem limites e formas previstas na LGPD em relação as operações de tratamento, no entanto, é necessária a compreensão de que se tratam de atividade econômica de livre iniciativa. O Art. 2 inciso VI da Lei Geral já estabelece que a disciplina de proteção de dados pessoas deve ter como fundamento a livre iniciativa, a livre concorrência e a defesa do consumidor. Isso não quer dizer que esta atividade não deva ser regulada pelo Estado, através da própria LGPD, da criação de entidades fiscalizadora como a Autoridade Nacional de Proteção de Dados (ANPD) e elaboração de leis específicas para preencher as lacunas jurídicas existentes. É necessário a regulação por parte do Estado no que tange garantir o direito dos titulares especialmente, como de privacidade e transparência, além de garantir a responsabilização e prestação de contas dos agentes de tratamento frente a possíveis danos causados.

## 4. Regulação

### 4.1 Agências Reguladoras - Competência Regulatória

Conforme argumento construído no item anterior, o tratamento de dados pessoais deve ser entendido como atividade econômica da livre iniciativa, exercida prioritariamente pela iniciativa privada, segundo art. 170 da Constituição Federal de 1988, e excepcionalmente pelo Estado, "quando necessária aos imperativos da segurança nacional ou a relevante interesse coletivo", segundo artigo 173.

Não obstante, segundo art. 174 da nossa Carta Magna, "Como agente normativo e regulador da atividade econômica, o Estado exercerá, na forma da lei, as funções de fiscalização, incentivo e planejamento, sendo este determinante para o setor público e indicativo para o setor privado." Nesse contexto, a regulação dos diferentes setores e atividades econômicas se dá, grosso modo, por meio de agências reguladoras.

Especificamente sobre o tratamento de dados pessoais, o exercício de tal atividade é regulado pela Lei Geral de Proteção de Dados, que será melhor tratada abaixo no item 4.2. Tal legislação regula o tratamento de dados pessoais em território nacional e tem escopo de aplicação bem amplo. Segundo art. 3º da lei, a LGPD “aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que: I - a operação de tratamento seja realizada no território nacional; II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional”. Desse modo, qualquer entidade que queira exercer tal atividade econômica deve agir em conformidade com a LGPD e a agência reguladora específica à esta atividade, a ANPD

Cabe, dessa forma, melhor conceituar o que é uma agência reguladora, e, sobre o tratamento de dados pessoais, qual é a agência reguladora específica desse setor.

#### 4.1.2. O que é uma Agência Reguladora

O surgimento das Agências Reguladoras no ordenamento jurídico pátrio é decorrente principalmente da Constituição Federal de 1988, a qual delega à iniciativa privada liberdade de exercer atividade econômica, principalmente no art. 170 da Carta Maior, que, por meio da redação de seu parágrafo único, prevê que: “ É assegurado a todos o livre exercício de qualquer atividade econômica, independentemente de autorização de órgãos públicos, salvo nos casos previstos em lei.” (grifo nosso). Tal redação demonstra que cabe à iniciativa privada a exploração das atividades econômicas em sentido estrito, cabendo ao Estado apenas a regulação dessa exploração, de maneira excepcional, a fim de garantir e disciplinar a atividade econômica coibindo excessos e fomentando o desenvolvimento.

Nesse contexto, surgem as agências reguladoras, que possuem natureza jurídica de autarquia com regime jurídico especial e são dotadas de autonomia com relação ao ente estatal cuja sua criação se originou. Essas características tem como base a despolitização, que objetiva conferir um tratamento técnico mais específico e maior segurança jurídica ao setor regulado.

A instituição das agências reguladoras é justificada não apenas pela necessidade de regulação dos serviços públicos concedidos aos particulares, mas também pela necessidade de controle de determinadas atividades privadas relevantes, destacadas pela lei. Tal é o caso do tratamento de dados pessoais, que a priori, se trata de atividade econômica em sentido estrito, mas que excepcionalmente, também é exercida pelo Estado em contextos específicos, como o da atual pandemia COVID-19

Vista tal questão, importante destacar duas agências reguladoras com importante competência ao tema aqui tratado:

#### 4.1.2.1 ANATEL

A Agência Nacional de Telecomunicações (ANATEL)[1], se trata de autarquia especial, criada pela Lei Geral de Telecomunicações (Lei 9.472, de 16 de julho de 1997). É vinculada ao Ministério das Comunicações, com a função de órgão regulador das telecomunicações. Suas principais competências estão previstas no art. 18 da referida lei. Dentre elas, destacam-se as competência de “expedir normas sobre prestação de serviços de telecomunicações no regime privado” e "exercer, relativamente às telecomunicações, as competências legais em matéria de controle, prevenção e repressão das infrações da ordem econômica".

Embora a mesma não tenha competência para regular questões relacionadas à proteção de dados e privacidade, a mesma tem dever legal de regular medidas tomadas pelas empresas de telecomunicação, dentre elas as que prestam serviços de telefonia fixa e serviço de telefonia móvel pessoal.

Tendo em mente esta competência, a Anatel, através de seu Presidente Leonardo Euler de Morais, manifestou-se a de maneira contrária ao compartilhamento de dados de usuários por empresas de telecomunicações prestadoras do serviço  telefônico fixo comutado e serviço móvel pessoal com o IBGE, no contexto da MP nº 954, de 17 de abril de 2020.

Esta MP, que será tratada em maior detalhe no item 5.1.2. do texto, autoriza o compartilhamento de dados entre as empresas de telecomunicações e o IBGE, para fins de realização de estatística sobre a pandemia do COVID-19. Em seu voto, há recomendações para a vedação da transferência de dados a entidades privadas, bem como medidas para prevenção da privacidade e intimidade dos titulares de dados pessoais. E, segundo o voto, é necessária a observância do Decreto n. 10.212/2020 que aprovou o Regulamento Sanitário Internacional, originária da Organização Mundial da Saúde.

Conforme texto do Regulamento Sanitário Internacional sobre o tratamento de dados pessoais: “As informações de saúde coletadas ou recebidas por um Estado (...) referentes a pessoas identificadas ou identificáveis, deverão ser mantidas em sigilo e processadas anonimamente, conforme exigido pela legislação nacional.”

Além disso, cita o regulamento que os Estados Partes apenas poderão processar dados pessoais, mesmo em um contexto de pandemia, se o fizerem em conformidade com a legislação nacional, garantindo que os dados pessoais sejam: “(a) processados de modo justo e legal, e sem outros processamentos desnecessários e incompatíveis com tal propósito; (b) adequados, relevantes e não excessivos em relação a esse propósito; (c) acurados e, quando necessário, mantidos e atualizados; todas as medidas razoáveis deverão ser tomadas a fim de garantir que dados imprecisos ou incompletos sejam apagados ou retificados; e (d) conservados pelo tempo necessário”.[2]

#### 4.1.2.2 ANPD

A Autoridade Nacional de Proteção de Dados – ANPD, foi criada após a sanção da MP 869/2018, convertida na Lei Geral de Proteção de Dados. De acordo com conceito disposto no art. 5º, XIX, da LGPD, "a Autoridade Nacional é o órgão da Administração Pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional". Sua criação é essencial para a efetiva aplicação das normas de privacidade e proteção de dados. Tendo em vista que a LGPD é considerada uma norma principiológica, ou seja, uma norma que fixa preceitos gerais, com princípios a serem seguidos, ter um órgão que estabeleça bases e diretrizes gerais para o seu cumprimento, contribui para maior eficiência da sua implementação.

De maneira resumida, uma vez criada, a mesma passou a ser autoridade máxima no país para a regulação da proteção de dados e privacidade no país. Sendo que, de acordo com a LGPD, em seu art. 55-J, entre as competências da ANPD estão a zeladoria da proteção dos dados pessoais, a edição de regulamentos e procedimentos sobre proteção de dados pessoais e privacidade e a aplicação de sanções em caso de tratamento de dados feito de forma irregular, entre outras competências.

### 4.2 Lei Geral de Proteção de Dados

A LGPD (Lei nº 13.709) foi aprovada em agosto de 2018, mas só entrou em vigor em setembro de 2020. A nova lei cria um cenário de segurança jurídica a partir da padronização de normas e práticas do setor. Ela define categorias de dados, circunscreve para quem valem seus ditames, fixa as hipóteses de coleta e tratamento de dados, traz os direitos dos titulares de dados, detalha condições especiais para dados sensíveis e segmentos (como crianças), estabelece obrigações às empresas, institui um regime diferenciado para o Poder Público, coloca sanções em caso de violações e prevê a criação de uma autoridade nacional (ANPD)

O tratamento de dados é caracterizado na LGPD como “toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração”. Ele só pode ocorrer nas hipóteses previstas em lei. Via de regra é necessário o consentimento do titular de dados, mas existem atividades de tratamento que não exigem consentimento, desde que a situação se enquadre em uma das hipóteses listadas na lei, como para cumprimento de obrigação legal, estudos por órgão de pesquisa, proteção da vida do titular ou de terceiro, tutela da saúde por profissionais ou autoridades da área.

#### 4.2.1 Requisitos mínimos para o tratamento de dados pessoais

Um dos principais temas tratados pela LGPD são os requisitos mínimos exigidos pela lei para que a operação de tratamento de dados seja considerada lícita. Dentre eles, dois requisitos que merecem importante destaque são, principalmente, o consentimento do titular e a finalidade legítima de tratamento.

De maneira bastante resumida, o requisito da finalidade é previsto no art. 6º da LGPD, como um princípio, e positiva que “Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;”. Dessa forma, nota-se que quaisquer operações de tratamento de dados que se utilizarem de dados pessoais, de acordo com a definição dada pela Lei Geral, deveram tratar os dados dentro de uma finalidade pré-definida pelo controlador. Logo, quaisquer dados pessoais que sejam tratados fora da finalidade deverão ser considerados ilícitos. Além disso, surge o direito do titular de dados de ser informado não só de quais dados estão sendo tratados, mas também com que finalidade está sendo realizada a operação de tratamento.

De forma reflexa à finalidade, temos o princípio da adequação, que prevê que as operações de tratamento com dados pessoais devem se limitar à finalidade que foi informada ao celular. Tais princípios, conjuntamente, solidificam óbice legal para que o Estado trate os dados dos seus cidadãos de maneira arbitrária e não transparente. O princípio da adequação é positivado pelo inciso II do supramencionado art. 6º da LGPD, conforme seguinte texto legal: “II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;”.

Por sua vez, o principal requisito para que ocorra o tratamento de dados do titular é seu consentimento. O consentimento é definido pelo art. 5º da LGPD, que define, em seu inciso XXI: “consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;”.

Ainda mais importante é a previsão do artigo 7º da Lei, que em seu inciso I demonstra o caráter basilar do consentimento do titular como requisito mínimo para o tratamento de dados pessoais. Segundo a referida redação legal: “Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: I - mediante o fornecimento de consentimento pelo titular;”.

#### 4.2.2 Direitos dos titulares de dados pessoais

Como consequência do artigo 18 da LGPD, que lista os principais direitos dos titulares de dados, além dos princípios previstos na LGPD, como por exemplo, os supramencionados princípios da finalidade e adequação, surgem os direitos dos titulares de dados, que devem ser respeitados pela entidade que estiver tratando seus dados pessoais. Tais diretos tem o objetivo de dar maior transparência às operações de tratamento e diminuir o desequilíbrio informacional que se dá entre o titular de dados e o controlador que os está tratando.

Alguns exemplos de direitos dos titulares são: (i) conforme argumentado acima, o direto de ser informado sobre a finalidade da operação de tratamento; (ii) o direito de ser informado sobre a existência de operação de tratamento; (iii) o direito de corrigir dados falsos, desatualizados ou imprecisos; (iv) o direto de requerer eliminação de dados consentidos; (v)  o direito de revogar seu consentimento; e (vi) o direito à anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei, entre outros, conforme artigo 18 da Lei Geral.

#### 4.2.3 Dispensa de consentimento no contexto da pandemia

No contexto do combate a pandemia da Covid-19, a LGPD prevê, no inciso III do artigo 7o, que a Administração Pública pode coletar e tratar dados para a consecução de políticas públicas previstas em leis e regulamentos ou respaldadas em convênios. Neste caso, o tratamento de dados está condicionado ao seu compartilhamento, seja com um ente público ou privado, bem como à existência de normas que regulem a execução da política pública. Como inexiste uma lei específica sobre o assunto, cabe averiguar se o compartilhamento de dados estaria fundado em algum contrato ou convênio para averiguar a adequação deste tratamento.

O uso de dados pessoais para realizar o monitoramento dos cidadãos também pode ser justificado pelo inciso VII, do artigo 7o. Neste caso, o uso de informações pessoais pode ocorrer sem o consentimento do titular "para a proteção da vida ou da incolumidade física do titular ou de terceiro". Assim, o uso de dados de geolocaliação para monitorar o fluxo dos cidadãos e evitar a propagação do vírus de fato atenderia a este interesse de proteger a vida e a saúde do titular e de terceiros.

Qualquer que seja a base legal que justifique o tratamento de dados pessoais, devem ser observados os princípios listados no artigo 6o da LGPD. No atual contexto do uso de dados pessoais, ganham especial relevância os princípios da: finalidade, adequação, necessidade, transparência e não discriminação. Em outras palavras, mesmo que a pandemia COVID-19 configure situação de dispensa de consentimento do titular para tratamento de dados pessoais, a administração pública ainda deve se atentar aos princípios de privacidade e de proteção de dados previstos na LGPD, para que o tratamento de dados não ocorra de forma arbitrária e não transparente. Mesmo com a referida dispensa, os dados ainda devem ser tratados dentro de uma finalidade específica, os titulares ainda devem ser garantidos acesso aos dados, e o Estado ainda deve cumprir com requisitos mínimos de segurança da informação.

## 5. Soluções Regulatórias no Brasil

Ao longo do artigo, buscou-se defender a ideia de que a atual crise causada pela pandemia de Covid-19 vem exigindo um esforço improcedente de coordenação estatal, incentivando a inovação regulatória e criando um verdadeiro caleidoscópio de ferramentas jurídicas, tanto por meio do revigoramento de instrumentos tradicionais como também pela abertura de espaço para inovações.

Nesse contexto, e tendo em vista o fato de diversos meses da pandemia terem ocorrido anteriormente à entrada em vigor da LGPD, demonstra-se ser importante investigar as principais maneiras que o Estado brasileiro buscou regular o tratamento de dados pessoais na pandemia fora do escopo da LGPD e demais leis de privacidade.

### 5.1 Governo Federal

#### 5.1.1. Acordos do Ministério da Ciência e Tecnologia com empresas de telecomunicação

Em abril de 2020 o Governo Federal anunciou que o Ministério da Ciência e Tecnologia havia fechado acordo com cinco grandes empresas de telecomunicação para ter acesso a dados anonimizados de geolocalização de celulares para monitorar o deslocamento de cidadãos durante a pandemia. O acordo envolve as operadoras Oi, Claro, Algar, Vivo e Tim e — conforme as partes envolvidas — visam unicamente o combate à Covid-19.

    Tal medida assustou diversos especialistas da área de proteção de dados, que estavam muito céticos quanto à maneira como seriam tratados tais dados, uma vez que a Agência Nacional de Proteção de Dados ainda não estava constituída. Dessa forma, sem uma agência regulatória cumprindo papel fiscalizador, havia medo de que os dados fossem usados fora de sua finalidade e não fossem apagados finda a crise causada pela pandemia de Covid-19. Além disso, discutia-se como tais tratativas violavam dispositivos legais que protegiam o direito de privacidade dos cidadãos anteriormente à entrada em vigor da LGPD, como o art. 21 do Código Civil e o Marco Civil da Internet.

Tal é a opinião do especialista em segurança de sistemas Diego Aranha, professor do departamento de Engenharia da Aarhus University, na Dinamarca. Conforme defendo o professor, é importante estar atento às novas formas de controle que vão surgir nesse momento de enfrentamento da pandemia.

"A estrutura de vigilância, depois de montada, é muito difícil de ser revertida. Por mais que seja justificada a necessidade de se instalar agora, para esse caso específico, é muito tentador para governos rapidamente encontrarem outras formas de usar aquela mesma infraestrutura de vigilância, que fica normalizada e pode se tornar permanente", alerta. "Foi o que aconteceu com o reconhecimento facial na China", exemplifica.

Apesar disso, ele não vê um risco alto no uso de dados anônimos e agregados para medir o isolamento social durante a pandemia: "Eu fiquei bem surpreso com a reação aos mapas de calor, que me parece uma solução pouco invasiva se corretamente implementada, ter gerado algum tipo de controvérsia e politização. É uma solução menos invasiva, inclusive, que muitos outros acessos de dados que as pessoas já fornecem ao governo e a empresas", ressalta. "Dada alguma garantia de que essa infraestrutura seja eliminada ao final da crise, eu vejo como um bom compromisso entre privacidade e controle", disse ainda.

De qualquer forma, exatamente sobre a prerrogativa de que os riscos à privacidade precisavam ser mais bem avaliados, o presidente Jair Bolsonaro determinou que o Ministério da Ciência, Tecnologia, Inovações e Comunicações (MCTIC) interrompesse tratativa com operadoras de telefonia para uso dessas informações pelo governo federal.

#### 5.1.2. MP 954/2020

Em caso parecido, o Supremo Tribunal Federal (STF) decidiu suspender a eficácia da MP 954/2020. Tal medida provisória obrigava que as empresas de telefonia fixa e móvel repassassem ao IBGE as relações de nomes, números de telefone e endereços de seus consumidores, sejam pessoas físicas ou jurídicas. A norma, segundo o Executivo, foi um pedido do próprio instituto para manter a continuidade de pesquisas antes feitas em visitas domiciliares, impedidas de continuar em caráter pessoal em razão da pandemia de Covid-19.

No entanto, partidos de oposição e também a Ordem dos Advogados do Brasil (OAB) ingressaram com ações diretas de inconstitucionalidade contra a MP, alegando que o repasse dessas informações viola o direito à privacidade. Embora a LGPD não estivesse em vigor à época, conforme apontada anteriormente, entende-se que o referido direito à privacidade era protegido pelo Marco Civil da Internet, além do art. 5º, X, da Constituição Federal e de artigos específicos do Código Civil e Código de Defesa ao Consumidor.

### 5.2 Governos Estaduais E Municipais

Não obstante à regulação federal, diversos estados e alguns municípios estão buscando regular a questão do tratamento de dados pessoais para fins de controle da pandemia dentro de suas próprias competências específicas.

Enquanto o governo federal reluta em aprovar o uso de quaisquer ferramentas que coletem dados dos cidadãos, alguns Estados e municípios já têm usado ferramentas, que, conforme exemplificado e defendido abaixo, buscam soluções menos invasivas aos direitos dos titulares.

O governo de São Paulo e a prefeitura do Rio de Janeiro, por exemplo, firmaram parcerias com empresas de telefonia. A maioria, no entanto, tem usando os dados da In Loco, companhia brasileira de segurança digital que está presente em cerca de 60 milhões de celulares por meio de aplicativos que usam sua tecnologia.

É o caso dos governos de Alagoas, Amapá, Amazonas, Ceará, Maranhão, Goiás, Mato Grosso do Sul, Mato Grosso, Minas Gerais, Pará, Paraíba, Piauí, Santa Catarina e Rio Grande do Sul, além das prefeituras do Recife, de Teresina e de Aracaju.

Além disso, a empresa tem disponibilizado em seu site diariamente o índice de isolamento médio nacional e em cada Estados do país. Para realizar esse cálculo, a In Loco dividiu o território brasileiro em hexágonos com raio de 450 metros, área capaz de abranger algumas ruas de um bairro, por exemplo. O índice mede o percentual de moradores que saíram dessa área delimitada no dia.

O objetivo, diz a empresa, é que os governos, sabendo as regiões da cidade ou do Estado que estão com menor ou maior adesão ao isolamento social, possam direcionar melhor suas políticas de saúde, conscientização e segurança.

A ferramenta permite, por exemplo, a contagem de visitas anonimizadas (sem identificação pessoal) a hospitais, clínicas e postos de saúde, para "possibilitar que órgãos responsáveis aloquem de forma inteligente pacientes e profissionais de saúde, evitando superlotação".

Além disso, embora a tecnologia que a empresa In Loco desenvolveu possibilite geolocalização de alta precisão (entre um e três metros), segundo a empresa, "não há coleta de dados que permita vinculação direta da geolocalização à identidade de um indivíduo usuário do aplicativo". Além disso, tais dados são armazenados nos servidores da In Loco, onde são criptografados e armazenados.

Tais medidas de anonimização de proteção dos dados pessoais dos cidadãos vem sendo vistas de forma muito positiva pelos reguladores e, *a priori*, parece se coadunar à LGPD e demais legislações de privacidade, uma vez que aposta em uma política de coleta de dados agregados. Importante pontuar que essa tecnologia é considerada menos invasiva, não só porque usa dados agregados, mas também porque não possibilita a identificação dos titulares, tem finalidade clara e bem definida de combate à pandemia e se utiliza de avançadas tecnologias de proteção às informações armazenadas. Também nesse sentido parecem estar os entendimentos da Advocacia Geral da União e inclusive a do Comitê Europeu da Proteção de Dados, que defendeu, por meio da Diretriz 4/2020 a supramencionada coleta de dados agregadas por meio de aplicações, conforme será demonstrado abaixo.

#### 5.2.1. Opinião da Advocacia da União

Conforme demonstrado no item 5.1.1 Bolsonaro e da cúpula do Executivo Federal decidiram suspender as tratativas e os acordos fechados entre o Ministério da Ciência e Tecnologia e operadoras de telecomunicação. Essa decisão, porém, foi tomada a despeito de a Advocacia Geral da União ter dado sinal verde para o acordo de cooperação.

Segundo parecer do órgão de 2 de abril de 2020, o compartilhamento de dados pelas empresas de telefonia "na forma anônima e agregada" para "fins de combate ao covid-19" está de acordo com a legislação brasileira.

À BBC News Brasil, o advogado Ronaldo Lemos, diretor do Instituto de Tecnologia e Sociedade do Rio de Janeiro (ITS Rio), explicou que a Lei Geral de Telecomunicação permite que as companhias compartilhem dados agregados, desde que o formato não permita a identificação direta ou indireta do indivíduo.

## 6. Contact Tracing - Rastreamento de Contatos

Outra maneira de realizar o monitoramento é através do c*ontact tracing* ou rastreamento de contato, que é, por sua vez, baseado no consentimento do titular de dados. Esse recurso não é uma novidade. Consiste em uma estratégia utilizada para controlar doenças infecciosas, por meio da qual se busca: (i) identificar os indivíduos doentes; (ii) estabelecer a rede de contatos com a qual esse paciente interagiu; e (iii) identificar essas pessoas, alertando-as e evitando que tenham contato com outros indivíduos, de forma a impedir que a doença se propague. Assim, por meio da identificação dos doentes e dos possíveis infectados, torna-se mais fácil realizar testes e passar orientações, bem como monitorá-los e tratá-los.

Nesse contexto, vem sendo desenvolvidos diversos aplicativos para a realização do *contact tracing*, inclusive com a recomendação destes ou mesmo imposição de seu uso por parte de muitos países. A grande maioria desses aplicativos faz o rastreamento dos contatos ocorridos com base em dados de geolocalização e bluetooth, medindo a proximidade de outros usuários. A partir do momento em que um usuário registra estar infectado pelo Coronavírus, realiza-se uma análise de seu histórico de localização nos últimos 14 dias e é feita uma comparação com o banco de dados de todos os outros usuários do aplicativo. Dessa forma, são emitidos alertas para todos aqueles que estiveram em contato com o usuário infectado, noticiando o possível contato e a necessidade de iniciar quarentena.

O argumento das empresas que desenvolvem esses aplicativos é de que os usuários consentem em ser rastreados e que os dados são anonimizados e seguros. No entanto, é necessário analisar as condições para esse download e consentimento. A Índia, por exemplo, tornou obrigatório o download do aplicativo responsável pelo rastreamento, ou seja, por mais que haja o consentimento para o compartilhamento dos dados, a decisão de baixar o aplicativo não foi livre. Ademais, as telas de consentimento de acesso aos dados de localização, na maior parte das vezes, não informam de maneira clara e transparente como é feito a coleta e o tratamento.

### 6.1. Iniciativa Privada - Parceria Google e Apple

Em muitos países, o contact tracing e o consentimento para a coleta de dados tem sido a porta de entrada da iniciativa privada. Por meio do consentimento dos titulares, as empresas começaram a tratar dados visando o combate do coronavírus. Em maio de 2020, nos Estados Unidos, a Google e a Apple anunciaram um raro projeto conjunto para criar as bases para aplicações de rastreio de contactos baseadas em Bluetooth que podem funcionar tanto em telefones iOS como em telefones Android. tendo a privacidade e segurança do usuário como pontos centrais. Juntas, as empresas lançaram, em meados de setembro, um programa que permite que as autoridades de saúde pública utilizem smartphones para auxiliar no rastreamento de contatos sem a necessidade de desenvolver um aplicativo. A API permitirá que essas aplicações utilizem o bluetooth de um telefone para saber se o proprietário de um smartphone entrou em contacto com alguém que mais tarde se revela ter sido infectado pelo Covid-19. Uma vez alertado, esse indivíduo pode então se isolar ou fazer um teste.

Muitas das grandes desenvolvedoras compartilharam o entendimento de que o rastreamento dos contatos realizado com base em dados de geolocalização (GPS) é perigoso para a privacidade dos titulares, sendo altamente suscetíveis a ataques cibernéticos e a mercantilização dos dados. Na Europa, onde a legislação é mais protetiva, foi determinado que os aplicativos devem ser instalados de forma voluntária e baseados apenas na proximidade (bluetooth). A API desenvolvida pela Google e Apple não irá utilizar esses dados de GPS, apenas bluetooth.

A Google e a Apple disseram que o sistema não envolverá a localização dos titulares ou o recolhimento de quaisquer dados de identificação a serem armazenados em um servidor. O consórcio garantiu que não iria  monetizar, de qualquer forma os dados coletados e demonstrou outras preocupações com a preservação da privacidade dos cidadãos, exigindo que todos os governos que desenvolverem aplicativos baseados na plataforma deverão obter o consentimento do usuário, tanto antes de usar a API de notificação de exposição quanto para o compartilhamento dos resultados positivos dos testes com as autoridades de saúde pública. Além disso, a coleta de dados deve ser minimizada e usada apenas para o controle da pandemia, sendo a sua utilização para publicidade ou policiamento proibida, assim como a coleta de outros dados.

Assim, vemos que a ideia do consórcio é que o consentimento seja premissa para a utilização da API e dos aplicativos oriundos da tecnologia.

### 6.2. Alguns Desafios para Implementação

A tecnologia do *contact tracing* é muito promissora e vem sendo empregada por governos ao redor do mundo como método para frear o contágio da Covid-19, mas é preciso atentar-se aos desafios de implementação desse recurso.

Inicialmente, é preciso que uma grande parcela da população faça o download do aplicativo, e mesmo em países que estão tornando isso obrigatório, o percentual não é muito expressivo. Além disso, é necessário que o bluetooth permaneça ligado e que a pessoa, uma vez diagnosticada com coronavírus, insira a informação no aplicativo para dar início aos alertas aos usuários que estiveram em contato.

Essa dinâmica já demonstra a complexidade do funcionamento desses aplicativos, mas existe uma outra grande dificuldade a ser enfrentada, especialmente em países subdesenvolvidos ou em desenvolvimento. O uso de smartphones ainda não é unanimidade. De acordo com pesquisa do Pew Research Center, mesmo nos Estados Unidos, o percentual de indivíduos que possuem um celular com bluetooth é de 53% entre aqueles com mais de 65 anos, 71% entre os moradores de áreas rurais e 71% entre as pessoas. No Brasil, a situação é extremamente mais drástica, dada a enorme desigualdade social e o fato da maior parte da população pertencer à classe baixa ou classe média baixa.

Além disso, a testagem em massa é essencial para o sucesso dessa tecnologia e o Brasil está longe de possuir os recursos e a infraestrutura para realizar a testagem de seus habitantes nessa escala.

No caso dos aplicativos que utilizam dados de geolocalização, existe um desafio ligado à eficácia da notificação de pessoas que realmente entraram em contato com alguém que testou positivo para a Covid-19. Como o aplicativo não faz a distinção entre pessoas que efetivamente estiveram próximas fisicamente e pessoas que apenas estiveram no mesmo prédio (em andares diferentes) ou trabalham no mesmo local (em horários diferentes), é possível que pessoas que nunca estiveram em contato direto recebam alertas equivocados.  Uma parede ou laje impede a troca entre aplicativos utilizando bluetooth, assim como impedem o contágio entre pessoas.

## 7. Experiência Internacional

Conforme apontado ao longo do texto, existem diversas experiências e respostar internacionais quanto ao tratamento de dados pessoais, principalmente a coleta de dados de geolocalização, como medida de prevenção à pandemia Covid-19. Cada ordenamento jurídico, porém, vem apontando respostas diferentes para o problema. O presente item deste artigo pretende explorar algumas dessas respostas, com foco principal para a resposta regulatória da União Europeia. Isso se deve pelo fato de a regulação europeia de proteção de dados, a *General Data Protection Regulation* ("GDPR"), ser importante e paradigmático marco regulatório a nível internacional sobre o tema.

### 7.1. Coleta de Dados na Europa e a GDPR

A General Data Protection Regulation (GDPR) é um marco regulatório do Parlamento Europeu e do Conselho da União Europeia que estabelece regras sobre a privacidade e proteção de dados dos cidadãos da União Europeia e Espaço Econômico Europeu, vigente desde 2018. Por ser uma das primeiras regulações sobre o tema, e devido a sua preocupação em reconhecer o cidadão/pessoa física como titular (proprietário) dos seus dados pessoais, este regulamento vem sendo importante paradigma para a regulação internacional de privacidade e proteção de dados.

A qualidade das legislações e das proteções que cada país oferece a seus cidadãos geralmente é reconhecida em comparação com os padrões previamente estabelecidos pela GDPR. Nesse sentido, a própria LGPD brasileira tem, explicitamente, forte inspiração na legislação europeia, principalmente nas questões dos direitos dos titulares e dos deveres de transparência e responsabilidade das empresas que tratam dados pessoais.

No contexto da pandemia COVID-19, e tendo em conta o artigo 70º, nº 1, alínea e) e f), da GDPR, é papel da do Comitê Europeu da Proteção de Dados (“Comitê” ou “CEPD”) emitir parecer, em forma de diretrizes, recomendações e melhores práticas, sobre questões relativas à aplicação da própria GDPR em casos de grande insegurança jurídica. A publicação dessas diretrizes, se dá por análise, por iniciativa própria, a pedido de um dos seus membros da Comissão e tem por objetivo incentivar a aplicação coerente da GDPR.

Não resta dúvidas que a atual crise causada pela pandemia COVID-19 traz consigo cenária de grande instabilidade e insegurança jurídica. Nesse sentido, os governos e entes privados estão a ponderar o recurso a soluções baseadas em dados como parte da resposta à pandemia de COVID-19, o que suscita inúmeras preocupações em matéria de privacidade.

Assim, o CEPD, publicou a Diretriz 4/2020 sobre a utilização de dados de localização e meios de rastreio de contatos no contexto do surto de COVID-19, adotadas em 21 de abril de 2020.

A supracitada Diretriz busca esclarecer as condições para o tratamento de dados pessoais para dois fins específicos: (i) a utilização de dados de localização para apoiar a resposta à pandemia; e (ii) o rastreamento de contatos, com o objetivo de notificar os cidadãos do fato de terem estado na proximidade imediata de alguém que estava contaminada pelo vírus.

O CEPD considera, de um modo geral, que os dados e a tecnologia utilizados para ajudar a combater a COVID-19 devem ser utilizados para capacitar, e não para controlar ou reprimir os cidadãos. Além disso, os princípios gerais de eficácia, necessidade e proporcionalidade devem orientar qualquer medida adotada pelos Estados-Membros ou pelas instituições da UE que envolva o tratamento de dados pessoais para combater a COVID-19.

O CEPD salienta que a GPDR contém regras específicas que permitem a utilização de dados anónimos ou pessoais para apoiar as autoridades públicas e outros intervenientes a nível nacional e da União Europeia na monitorização e contenção da propagação do vírus COVID-19. A este respeito, a CEPD já tomou posição sobre o facto de a utilização de aplicações de rastreio de contatos dever ser voluntária e não dever depender do rastreio de movimentos individuais, mas sim de informações sobre a proximidade dos utilizadores.

Há duas fontes principais de dados de localização disponíveis caso o Estado busque se utilizar de tais informações para monitorar a pandemia: (i) os dados de localização recolhidos por prestadores de serviços de comunicações eletrônicas (como operadores de telecomunicações móveis) no decurso da prestação do seu serviço; e (ii) os dados de localização recolhidos pelas aplicações dos prestadores de serviços da sociedade da informação cuja funcionalidade exige a utilização de tais dados (por exemplo, navegação, serviços de transporte, etc.). Tendo em vista a regulação da GDPR, em especial os artigos 6º e 9º, os dados de localização recolhidos junto dos prestadores de serviços de comunicações eletrônicas e tratados devem ser sempre anonimizados pelo prestador ou, no caso dos dados que indiquem a posição geográfica do equipamento terminal de um utilizador, que não sejam dados de tráfego, deve constar sempre o consentimento prévio dos utilizadores. De maneira semelhante, a reutilização dos dados de localização recolhidos por um prestador de serviços da sociedade da informação para fins de modelização (por exemplo, através do sistema operativo ou de alguma aplicação previamente instalada), somente poderão ser tratados com o consentimento do titular, de acordo com os artigos 3º e 5º da GDPR.

Dessa forma, é possível aferir que a conclusão que a CEPD chega em sua diretriz é que a utilização de dados pessoais para combater a pandemia é sim resposta cabível, porém existe importante necessidade de se respeitar a privacidade e o direito dos titulares. A coleta de dados como geolocalização e lista de contatos não pode se dar de maneira massificada sem respeitar os princípios mais básicos da proteção de dados: dentre eles o principal sendo o consentimento do titular. Tais dados não poderiam ser ofertados a terceiros, como órgãos governamentais, sem expresso consentimento do titular e, preferencialmente, deveriam ser transferidos após serem anonimizados para evitar, exatamente, que seu titular seja identificado. Dessa maneira, a CEPD recomenda que as coleta de dados ocorra em aplicações de rastreio, maneira muito mais segura de fazê-lo respeitando os direitos e o consentimento voluntário do titular. São as chamadas coletas de dados agregadas, mencionadas anteriormente ao longo do artigo.

Tal recomendação é muito diferente, por exemplo, da proposta do Ministério da Ciência e Tecnologia do Brasil de fechar acordo com grandes empresas de telecomunicação para ter acesso a dados de geolocalização de celulares para monitorar o deslocamento de cidadãos durante a pandemia. No caso Brasileiro, não há consentimento do titular. Além disso, seus dados estão sendo transferidos para terceiros e sendo utilizados para finalidades diferentes àquelas que o titular originalmente consentiu, provando assim a ilegalidade de tal proposta. Por outro lado, os acordos feitos entre os governos estaduais e municipais para coleta de dados agregados com empresas como a In Loco, por se tratarem de coleta de dados agregados onde não é possível identificar o titular e com finalidade específica ao combate a pandemia, configuram soluções regulatórias menos invasivas que, inclusive, parecem estar em concordância com a LGPD. Resta-se esperar e observar quais dos modelos o governo brasileiro decidirá adotar com a continuidade da pandemia.

### 7.2. Novos Limites em Israel

O governo israelense aprovou medidas de emergência que autorizam suas agências de segurança a rastrear os dados de telefones celulares de pessoas com suspeita de coronavírus. Esse tipo de poder são geralmente reservados para atividades de combate ao terrorismo, mas no contexto atual, o Executivo entendeu pertinente para reforçar a quarentena e alertar aqueles que entraram em contato com pessoas infectadas.

O contexto atual israelense é duro. O país passa por uma segundo onda de contagio e se aproxima de um período de festas religiosas, onda o distanciamento social será ainda mais difícil de garantir. No fim de setembro. o governo determinou um segundo lockdown de três semanas em cerca de 40 cidades do país, mas não obteve sucesso em impedir o aumento do número de casos.

As leis temporárias foram aprovadas em reunião do Executivo durante a noite, ignorando o Parlamento. Frente a isso, associações de direitos humanos e civis se manifestaram dizendo que essa decisão abre precedente perigoso.

Ainda não foram divulgados os detalhes de como o "monitoramento cibernético" irá funcionar, mas entende-se que os dados de localização coletados pela Shin Bet, a agência de segurança doméstica, serão compartilhados com as autoridades de saúde. Assim, uma vez identificada um possível caso de coronavírus, o Ministério da Saúde poderá monitorar se a pessoa está cumprindo ou não as regras de quarentena. Ele pode, também, enviar uma mensagem de texto para pessoas que podem ter entrado em contato com elas antes que os sintomas surgissem.

### 7.3 A solução da Coreia do Sul

A Coreia do Sul teve significativo sucesso no controle da letalidade e da transmissão da pandemia coronavírus. Esse êxito foi fruto de duas medidas: testes em massa e o monitoramento através de ferramentas de geolocalização de pessoas contaminadas - rastreamento de contato*.*

Em 2015, a Coreia do Sul passou por uma experiência traumática, foi o segundo país com o maior número de casos confirmados da MERS (Síndrome Respiratória do Oriente Médio). Uma das grandes causas da tragédia foi a falta de transparência do Ministério da Saúde, cuja atuação foi marcada pela divulgação tardia de informações pelo receio de causar ansiedade na população.

Como hospitais e autoridades municipais não eram notificados sobre o número de casos, o planejamento e a preparação foram prejudicados. Esse evento desencadeou, entre outros pontos, maior desenvolvimento da capacidade de diagnóstico em futuras crises de saúde e uma sofisticação nos procedimentos de combate a pandemias.

Em 2011, a Coreia do Sul aprovou sua Lei Geral de Proteção de Dados Pessoais (*Personal Information Protection Act* – PIPA) e formou um arcabouço jurídico de regulação do tema que combinava a PIPA com as leis setoriais já vigentes. No entanto, como a maioria das leis de proteção de dados, a PIPA apresenta algumas exceções quanto ao âmbito de atuação, como por exemplo no atual contexto da pandemia. Assim, o principal regulamento que rege as medidas da pandemia, inclusive a utilização dos dados pessoais, é a Lei nº 14286/2016 - IDCPA.

A Lei de Controle e Prevenção de Doenças Infecciosas (*Infectious Disease Control and Prevention Act* – IDCPA,) é a regulação mais relevante no contexto da Covid-19. A IDCPA e suas diversas regulamentações concede ao governo meios específicos para distribuir recursos aos órgãos envolvidos e a pessoas infectadas; mobilizar e estimular os diversos atores da sociedade; além de determinar direitos e obrigações do poder público e cidadãos, incluindo os relacionados ao tratamento de dados pessoais.

A lei determina através do artigo 76-2 (1), que, para prevenir e bloquear a propagação de doenças infecciosas, o ministro da Saúde, ou o diretor dos Centros de Controle e Prevenção de Doenças, poderá solicitar às agências administrativas centrais, governos locais, instituições médicas, farmácias, corporações, organizações e indivíduos informações pessoais sobre pacientes com doenças infecciosas e pessoas suscetíveis de serem infectadas. O artigo 76-2 (2) acrescenta que, empresas de telecomunicações e a polícia compartilhem as informações de localização dos pacientes e prováveis pessoas infectadas com as autoridades de saúde quando solicitadas.

Há anos a Coreia do Sul investe em Cyber Segurança por conta da profunda digitalização do país e constantes ataques cibernéticos, especialmente por parte da Coreia do Norte. Assim, já existe um certo grau de conformismo com o contexto de constante observação e monitoramento por parte da população. No entanto, desde a implementação da nova estratégia de rastreamento e alerta, questionamentos relacionados à privacidade têm sido levantados. Isso porque em comunidades pequenas por exemplo, quando gênero, idade e histórico de movimentação da pessoa contaminada é divulgado, existe a possibilidade do reconhecimento do indivíduo pela comunidade, o que pode acarretar discriminação.

Em março, um paciente em Busan, teve seu histórico de viagem revelado e acionou a Comissão Nacional de Direitos Humanos da Coreia do Sul, e condenou a publicação indiscriminada – não a coleta – de dados pessoais e solicitou a revisão de diretrizes sobre o monitoramento da pandemia para que somente dados necessários sejam utilizados e divulgados. No mesmo mês, o Centro de Controle e Prevenção de Doenças divulgou novas diretrizes para coleta e divulgação de dados de pacientes, entre eles: que as informações de identificação pessoal – incluindo endereços comerciais – não poderiam ser mais divulgadas.

Outros questionamentos estão sendo levantados na esfera da privacidade, com relação aos amplos poderes concedidos às autoridades através da IDCPA no tratamento de dados, e o risco das práticas de exceção abrirem brechas para futuros tratamentos abusivos. O debate entre os diversos setores permanece, e alterações e adaptações continuarão.

## 8. Vídeos Relacionados ao Tema

Por que proteção de dados pessoais importa? | Bruno Bioni | TEDxPinheiros. Disponível no link:

https://www.youtube.com/watch?v=TzI5VfvQA6I

Webinar JOTA: Dados pessoais, tecnologia e pandemia | 29/04/20. Disponível no link:

https://www.youtube.com/watch?v=QoerL6LcuE8

Privacidade de dados pessoais na pandemia do novo coronavírus, TV SENADO. Disponível no link:

https://www.youtube.com/watch?v=VU30ARx4JFY

## 9. Notas e Referências

1. BBC News: Coronavírus: uso de dados de geolocalização contra a pandemia põe em risco sua privacidade? https://www.bbc.com/portuguese/brasil-52357879
2. Canaltech: O que é API? https://canaltech.com.br/software/o-que-e-api/
3. Plano São Paulo: Sistema de Monitoramento Inteligente https://www.saopaulo.sp.gov.br/planosp/simi/
4. Lei Geral de Proteção de Dados http://www.planalto.gov.br/ccivil\_03/\_ato2015-2018/2018/lei/L13709.htm
5. Constituição Federal http://www.planalto.gov.br/ccivil\_03/constituicao/constituicao.htm
6. Lei Geral de Telecomunicações http://www.planalto.gov.br/ccivil\_03/leis/l9472.htm
7. Valor - Governo fecha acordo com empresas de telefonia para monitorar aglomerações https://valor.globo.com/brasil/noticia/2020/03/27/governo-fecha-acordo-com-empresas-de-telefonia-para-monitorar-aglomeracoes-diz-fonte.ghtml
8. Jota. Direito Econômico em tempos de pandemia https://www.jota.info/tributos-e-empresas/regulacao/direito-economico-em-tempos-de-pandemia-20082020#\_edn16
9. Wired - How Apple and Google Are Enabling Covid-19 Contact-Tracing https://www.wired.com/story/apple-google-bluetooth-contact-tracing-covid-19/
10. Diretriz 04/2020 Comitê Europeu de Proteção de Dados https://edpb.europa.eu/sites/edpb/files/files/file1/edpb\_guidelines\_20200420\_contact\_tracing\_covid\_with\_annex\_pt.pdf
11. Veja - Rastreamento de contatos: o que é e como ele ajuda a conter o coronavírus https://saude.abril.com.br/medicina/rastreamento-de-contatos-o-que-e-e-como-ele-ajuda-a-conter-o-coronavirus/

1. ↑ [3]