PL 4675 e a lacuna entre defesa da concorrência e proteção de dados

O PL 4675/2025 coloca no centro da agenda a necessidade de conciliar instrumentos concorrenciais com exigências de proteção de dados e segurança digital, atribuindo ao CADE poderes para impor obrigações técnicas que podem repercutir diretamente na proteção da privacidade. A proposta abre espaço para tensão entre medidas ex post e ex ante, exigindo calibragem normativa e coordenação entre autoridades.

Contexto

Nas últimas épocas observamos um afluxo de iniciativas legislativas e regulatórias voltadas ao ambiente digital: projetos de lei sobre mercados digitais e inteligência artificial, políticas públicas de inovação e normas de proteção de dados. A experiência internacional, em especial a europeia, demonstra que instrumentos concorrenciais (como o Digital Markets Act) e regimes de proteção de dados (como o GDPR) possuem pontos de contato relevantes, exigindo mecanismos de cooperação entre autoridades. No Brasil, o CADE (defesa da concorrência) e a ANPD (proteção de dados) têm firmado acordos de cooperação e reconhecido interdependência de agendas, mas a transposição desse reconhecimento para prática regulatória concreta ainda é incipiente.

No plano interno, a proposição legislativa em exame prevê, no seu art. 47-E, a possibilidade de o CADE impor obrigações especiais a agentes designados, entre as quais medidas de interoperabilidade e permissão de instalação de aplicações de terceiros. Se bem direcionadas, essas medidas podem mitigar barreiras à entrada e comportamentos anticompetitivos em ecossistemas digitais; se mal calibradas, podem criar riscos para a segurança da informação, aumentar a superfície de ataque e fragilizar garantias de privacidade dos titulares de dados.

O que foi decidido

Ainda que o PL esteja em tramitação e não seja uma decisão jurisdicional, a análise jurídica exige avaliar o alcance prático da norma proposta: transferir ao CADE competência para determinar obrigações de caráter técnico e operacional introduz um agente regulador concorrencial com impacto direto sobre arquiteturas de dados e modalidades de processamento. A escolha por esse desenho institucional reconhece a capacidade do CADE em lidar com efeitos de mercado, mas simultaneamente impõe ao legislador e aos aplicadores a necessidade de compatibilizar tais medidas com requisitos de proteção de dados pessoais e de segurança cibernética.

A principal consequência imediata é que avaliações concorrenciais que exigirem medidas de interoperabilidade, APIs abertas ou instalação de aplicativos de terceiros deverão considerar riscos e mitigantes relacionados à proteção de dados — e a ausência de critérios técnicos e procedimentais claros pode gerar decisões que conflitem com princípios e direitos fundamentais garantidos pela Lei Geral de Proteção de Dados (Lei 13.709/2018) e pela Constituição Federal (art. 5º, incisos X e XII, e art. 5º, LXXVIII, quando couber). A compatibilização exige parâmetros técnicos, avaliação de riscos e, idealmente, mecanismos formais de coordenação entre órgãos reguladores.

Base normativa e precedentes

• Art. 5º, CF/88 — proteção à intimidade, à vida privada e à inviolabilidade de dados pessoais como garantia fundamental.
• Art. 170, CF/88 — ordem econômica que visa promover a concorrência e o desenvolvimento tecnológico.
• LGPD (Lei 13.709/2018) — princípios e bases legais para tratamento de dados pessoais, responsabilidades do controlador e do operador, e direitos dos titulares.
• Lei 8.078/1990 (CDC) — quando aplicável, proteção do consumidor no ambiente digital e dever de informação.
• Lei 12.529/2011 (estrutura do CADE) — competências do Conselho Administrativo de Defesa Econômica para apurar e remediar infrações à ordem econômica; interação com medidas não necessariamente sancionatórias.
• GDPR e Digital Markets Act (DMA) — referências europeias que inspiram a necessidade de coordenação entre regimes concorrenciais e de proteção de dados; documentos do EDPB e da Comissão Europeia apontam para orientações conjuntas.
• Jurisprudência consolidada dos tribunais — entendimento sobre limitação de poderes administrativos e necessidade de observância de direitos fundamentais quando medidas técnicas afetem dados pessoais.

Impacto prático

• Para advogados de tecnologia e concorrencialistas: necessidade de elaborar defesas e pareceres que articulem análise de mercado com avaliação de proteção de dados e segurança, apresentando alternativas técnicas e salvaguardas.
• Para empresas de tecnologia e plataformas: medidas impostas pelo CADE podem exigir abertura de APIs, interoperabilidade ou mudanças em modelos de distribuição de apps; essas medidas devem ser avaliadas quanto ao impacto sobre compliance em LGPD e práticas de segurança.
• Para a ANPD: maior demanda por participação técnica em processos concorrenciais, elaboração de orientações conjuntas e atuação ativa em memorandos técnicos para mitigar riscos à privacidade.
• Para titulares e consumidores: potencial aumento de opções e concorrência, mas também riscos acrescidos à privacidade e à segurança se mitigantes não forem implementados.
• Para o legislador e reguladores setoriais: pressão por normatização complementar, desenvolvimento de padrões técnicos mínimos e procedimentos de cooperação interinstitucional.

O que observar

• Necessidade de criar procedimentos formais de cooperação entre CADE e ANPD, com fluxo de informações, prazo para manifestação técnica e critérios para ponderação entre proteção da concorrência e proteção de dados.
• Importância de exigência de estudos de impacto de privacidade (DPIA) e de segurança quando forem impostas obrigações técnicas; esses estudos devem constar do próprio processo administrativo concorrencial como condição para implementação de medidas.
• Risco de decisões fragmentadas sem mitigantes técnicos: sem salvaguardas, interoperabilidade e abertura a terceiros podem aumentar vulnerabilidades cibernéticas e violações de dados.
• Possibilidade de ações judiciais questionando medidas administrativas que não observem LGPD ou princípios constitucionais; cabível controle judicial e, em casos específicos, ação cautelar visando suspender efeitos prejudiciais.
• Acompanhamento das iniciativas europeias de orientação conjunta (EDPB/CE) como paradigma para elaboração de protocolos nacionais e harmonização normativa.
• Monitorar proposições regulamentares e emendas ao PL durante a tramitação, buscando incluir cláusulas de coordenação e exigências técnicas mínimas para proteção de dados e segurança.