Vivemos na era da informação, onde nossos dados pessoais podem ser considerados o "novo petróleo", pois são valorosos para as grandes empresas. O legislador percebeu que a proteção à intimidade e à vida privada (Art. 5º, X) de forma isolada já não era suficiente para lidar com algoritmos, bancos de dados e inteligência artificial.
Art. 5º, LXXIX, CF/88: "é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais."
O inciso foi inserido pela EC 115, de 10 de fevereiro de 2022. Ela não apenas criou esse inciso, mas também alterou o Art. 22 da Constituição para dizer que compete privativamente à União legislar sobre proteção e tratamento de dados pessoais. Ou seja, Estado e Município não podem criar leis próprias inventando regras diferentes sobre proteção de dados.
O texto do inciso diz "nos termos da lei". É a famosa Lei Geral de Proteção de Dados Pessoais (LGPD).
A LGPD foi criada em 2018 (antes da Emenda Constitucional). Até 2022, a proteção de dados era apenas um direito infraconstitucional. Com a EC 115/2022, ela foi elevada ao status de Direito Fundamental. Portanto, a proteção de dados agora é cláusula pétrea (protegida no Art. 5º).
Mesmo antes da EC 115/2022 colocar esse direito de maneira expressa, o Supremo Tribunal Federal (STF) já havia reconhecido a proteção de dados como um direito fundamental autônomo.
Durante a pandemia de Covid-19, o Governo Federal editou uma Medida Provisória (MP 954/2020) obrigando as empresas de telefonia a repassarem os dados de todos os brasileiros (nome, telefone, endereço) para o IBGE fazer pesquisas, sem deixar claro como esses dados seriam protegidos ou descartados depois.
O STF barrou a MP. A Corte decidiu que, com base na dignidade da pessoa humana, no habeas data e no direito à privacidade, existia um direito fundamental autônomo à proteção de dados pessoais.
Portanto, a EC 115/2022 veio apenas para "oficializar" no texto da Constituição o que o STF já havia decidido na prática.