Brasil — PL 4675: falta coerência regulatória entre proteção da concorrência e proteção de dados pessoais

Estão em curso, no Brasil, debates sobre como proteger a economia, os consumidores e garantir o desenvolvimento tecnológico nos mercados digitais.  Projetos de lei sobre mercados digitais e inteligência artificial convivem com políticas públicas de inovação e com legislação protetiva da privacidade, segurança informática e dados pessoais dos cidadãos. Nesse ambiente de complexidade regulatória, há o desafio de assegurar que as intervenções sejam coerentes.

Essa preocupação não é abstrata. Em artigo anterior, mostramos que a atuação do Conselho Administrativo de Defesa Econômica (Cade) em relação a parcerias entre grandes empresas de tecnologia e startups de inteligência artificial pode estar desalinhada ao objetivo de desenvolver essa tecnologia no Brasil. Há tensão entre os objetivos de estímulo à concorrencia, proteção da cibersegurança e da privacidade.

JOTA PRO Poder traz previsibilidade e antecipação de riscos nas decisões dos Três Poderes

Vale observar, nesse sentido, a experiência europeia, pela influência de sua legislação sobre os debates brasileiros no campo digital. O European Data Protection Board (EDPB) reconhece que normas como o Digital Markets Act (DMA), que regula a concorrência entre plataformas digitais e o Digital Services Act (DSA), que regula os serviços digitais repercutem sobre a privacidade e a proteção de dados e destaca a necessidade de promover a cooperação com outras autoridades reguladoras para preservar esses direitos.

Tal diretriz traduziu-se em iniciativa concreta de coordenação institucional. Em outubro de 2025, o EDPB e a Comissão Europeiam (CE) submeteram à consulta pública minuta de orientação conjunta sobre a interação entre o DMA e o General Data Protection Regulation (GDPR). O documento procura esclarecer como as duas normas devem ser interpretadas e aplicadas de maneira coerente, sem desconsiderar seus objetivos próprios, nem as competências distintas das autoridades responsáveis por sua aplicação. A minuta aborda, entre outros temas, as condições para a combinação e a utilização cruzada de dados pessoais pelos gatekeepers; a distribuição de aplicativos por lojas e canais alternativos; a portabilidade de dados; os pedidos de acesso a dados; e a interoperabilidade de dados entre diferentes serviços digitais. Em todos esses casos, a questão central é como assegurar a efetividade das obrigações concorrenciais estabelecidas pelo DMA sem comprometer as exigências de proteção de dados previstas no GDPR.

Em 28 de abril de 2026, o EDPB e a CE anunciaram um novo trabalho conjunto para elaborar orientações sobre a relação entre o direito concorrencial europeu e a legislação de proteção de dados. A iniciativa pretende esclarecer situações em que as normas de proteção de dados são relevantes para a análise concorrencial e, no sentido inverso, em que o direito concorrencial pode impactar a proteção de dados.

No Brasil, ANPD e CADE já reconheceram a necessidade de coordenação institucional. Em julho de 2026, as autoridades renovaram por mais cinco anos seu Acordo de Cooperação Técnica, prevendo ações conjuntas e coordenadas em situações de intersecção entre suas competências. As manifestações institucionais dos órgãos destacaram a convergência entre as agendas de proteção de dados, defesa da concorrência e políticas digitais, além da importância do compartilhamento de informações e da cooperação em análises e investigações. O reconhecimento institucional, contudo, ainda precisa se traduzir em práticas concretas e visíveis de coordenação em casos nos quais medidas concorrenciais possam produzir consequências relevantes para a proteção de dados pessoais.

Um exemplo é o processo do CADE contra a Apple, que culminou, em dezembro de 2025, na homologação de Termo de Compromisso de Cessação destinado a ampliar as possibilidades de distribuição de aplicativos e de processamento de pagamentos no ecossistema iOS. A abertura a lojas alternativas e a outros canais de distribuição suscita questões que ultrapassam a dimensão concorrencial, alcançando também a cybersegurança dos dispositivos e a privacidade dos usuários. Embora esses riscos não eliminem a necessidade de enfrentar eventuais restrições à concorrência, deveriam integrar a avaliação das medidas adotadas e de suas salvaguardas.

Assine a Curadoria Poder e receba análises do JOTA PRO sobre Legislativo, Executivo e Judiciário. Toda sexta-feira no seu e-mail

Já no âmbito de regulações ex ante, ainda é necessário aprofundar a discussão sobre a coerência regulatória e impactos na segurança da informação e proteção de dados no PL 4675/2025, que tramita em regime de urgência na Câmara dos Deputados. O PL prevê, no art. 47-E, que o CADE poderá impor obrigações especiais aos agentes designados – incluindo obrigações de interoperabilidade, permissão de instalação de aplicações de terceiros, acesso a dados agregados e não agregados, entre outras – e ao fazê-lo deverá considerar aspectos dos produtos e dos serviços que visem à segurança da informação, bem como o cumprimento de obrigações legais e regulatórias aplicáveis ao agente designado.

Contudo, essa menção à segurança e ao cumprimento legal está longe de configurar um standard claro e previsível de como balancear os diferentes objetivos envolvidos. Por exemplo, tratando-se de interoperabilidade ou de permissão para instalação de aplicativos de terceiros, qual margem deve ser preservada para que agentes designados possam fazer verificação de malwares e quais padrões de segurança e confidencialidade pode-se exigir de terceiros? A possibilidade de estabelecer condições técnicas para esse acesso não constitui necessariamente uma restrição injustificada à concorrência, tratando-se também de um mecanismo de proteção da integridade dos serviços e dos próprios usuários.

A insegurança jurídica é clara, na medida em que essas obrigações serão aplicadas por uma autoridade concorrencial que não tem expertise em cibersegurança e proteção de dados, nem histórico de cooperação com autoridades responsáveis por esses temas. O problema ainda se agrava diante das sanções previstas no projeto, já que, na ausência de uma salvaguarda clara para medidas legítimas de proteção, cria-se o risco de que as empresas sejam incentivadas a priorizar o cumprimento formal das obrigações de interoperabilidade e acesso, ao invés de aplicar padrões mais rígidos de segurança e confidencialidade.

Nesse ponto, o próprio DMA europeu, que inspira a legislação brasileira, possui salvaguardas claras. O DMA reconhece expressamente a possibilidade de adoção de medidas estritamente necessárias e proporcionais para proteger a integridade dos serviços dos gatekeepers. Uma previsão de salvaguarda semelhante no PL nº 4.675/2025 contribuiria para compatibilizar a abertura dos mercados com a segurança das infraestruturas digitais – que, aliás, são frequentemente a base de serviços essenciais à população brasileira, como sistemas financeiros e governamentais.

Não se trata de subordinar a política concorrencial à proteção de dados, mas de estabelecer mecanismos efetivos pelos quais a cibersegurança possa ser preservada e a agência especializada em proteção de dados possa contribuir, desde as etapas pertinentes da análise, para identificar riscos e alternativas regulatórias, permitindo que as medidas concorrenciais e as obrigações discutidas no âmbito de regulações ex ante sejam desenhadas de modo compatível com a proteção dos direitos dos usuários.

Quer receber reportagens do JOTA com mais frequência? Clique aqui e selecione o JOTA como fonte de informação no Google Notícias

Essa articulação passa necessariamente pelo fortalecimento de outras instituições, como o Comitê Nacional de Cibersegurança (CNCiber) e a ANPD, que não publicaram qualquer análise sobre potenciais impactos do PL 4675, o que seria fundamental. No caso da ANPD, sem incremento de capacidade para acompanhar mercados complexos e participar tempestivamente de processos regulatórios relevantes, a cooperação pode acrescentar novas demandas a uma autoridade já pressionada por múltiplas responsabilidades, já que em 2026 a agência tornou-se responsável por outros temas além da LGPD, como o Marco Civil da Internet e o ECA Digital. A efetividade da regulação digital depende tanto da coordenação entre as instituições quanto das condições para que cada uma exerça adequadamente suas competências.