6.3.1 Do conceito jurídico de auditabilidade aberta em serviços digitais contínuos

p. 639

A auditabilidade aberta designa, em serviços digitais contínuos, um standard de transparência tecnicamente qualificada e institucionalmente aproveitável, exigível sempre que p. 640 o fornecedor promove alterações relevantes, sanções ou reconfigurações capazes de atingir o núcleo de fruição do Objeto Imaterial de Consumo. Não se está diante de exigência de transparência total, nem de abertura irrestrita da infraestrutura técnica, nem de obrigação de expor código-fonte, arquitetura integral do sistema ou segredos industriais sensíveis. O ponto é outro. O que se exige é um mínimo verificável que permita reconstruir, em chave juridicamente útil, o que foi alterado, quando foi alterado, por que foi alterado e com quais efeitos relevantes sobre a fruição do consumidor. Sem esse mínimo, a mutabilidade contínua do serviço tende a se converter em poder opaco, e a opacidade, por sua vez, vira uma espécie de escudo informal contra deveres de informação, de boa-fé e de controle de abusividade. Em vez de transparência real, tem-se apenas encenação documental de cumprimento, situação incompatível com o padrão de informação adequada e ostensiva exigido pelo CDC⁷²².

Essa formulação não nasce de capricho conceitual nem de fascínio por regulação tecnológica. Ela decorre da própria estrutura do fornecimento contínuo. Em serviços digitais governados, a prestação não se exaure numa entrega inicial plenamente consumada. O vínculo se projeta no tempo por meio de atualizações, correções, reequilíbrios, reconfigurações de interface, alterações de regra, migrações técnicas, restrições de uso, mudanças de compatibilidade e, não raro, sanções incidentes sobre acesso, visibilidade e permanência. Em ambiente assim, tratar a execução como se fosse um espaço neutro, vazio ou juridicamente invisível seria grosseiro demais. A boa-fé objetiva, em relações dessa natureza, projeta deveres contínuos de informação, cooperação, lealdade e proteção da confiança, de modo que o fornecedor não pode reservar para si toda a inteligibilidade do processo de mutação do serviço e deixar o consumidor apenas com o resultado final já imposto⁷²³.

p. 641 É por essa razão que auditabilidade aberta deve ser entendida como desdobramento interno do dever de informação e não como instituto estranho ao microssistema. A informação, no CDC, não cumpre sua função só porque existe em algum lugar, nem porque foi depositada em documentos extensos, remissões, FAQs ou históricos de atualização que o consumidor dificilmente localizará, compreenderá e conectará ao impacto efetivo sofrido. O que importa é sua utilidade reconstrutiva e decisória. Se o fornecedor altera obrigações, parâmetros de uso, condições de compatibilidade ou elementos centrais da fruição sem fornecer base minimamente inteligível para reconstrução do que ocorreu, ele não apenas comunica mal. Ele impede controle. E impedir controle, em contexto de forte assimetria técnica, é uma forma material de deteriorar a própria posição do consumidor dentro da relação⁷²⁴.

A crítica à transparência meramente performática ganha aqui densidade própria. Em muitos serviços digitais, a empresa produz um volume expressivo de informações, mas as distribui em fluxo, forma e hierarquia que tornam difícil perceber o essencial. A mudança existe, o aviso existe, o documento existe, o histórico existe, mas a reconstrução útil do evento não existe. O consumidor sabe que “algo mudou”, porém não consegue discernir com precisão o que mudou, qual foi o critério adotado, que efeitos práticos decorrem disso e como demonstrar institucionalmente o impacto sofrido. A transparência, então, aparece como performance de regularidade, não como condição real de verificabilidade. É precisamente por isso que a auditabilidade aberta se torna necessária. Ela não exige saber tudo. Exige saber o bastante para que a mutação do fornecimento não permaneça blindada por sua própria forma de apresentação⁷²⁵.

p. 642 Esse standard também possui um pressuposto probatório decisivo. No universo do OIC, a plataforma concentra registros, históricos, logs, critérios de aplicação, versões relevantes, dados transacionais, comunicações efetivamente disparadas, parâmetros de alteração e documentação técnica suficiente para narrar o acontecimento de maneira unilateral. Se o sistema jurídico aceitar que toda essa informação permaneça inteiramente sob o monopólio narrativo do fornecedor, a tutela do consumidor se desidrata. A facilitação da defesa e a redistribuição do ônus da prova deixam de ser instrumentos ocasionais e passam a ser condição de efetividade mínima do próprio regime protetivo. A auditabilidade aberta, nesse ponto, funciona como técnica de redução da assimetria informacional e probatória. Ela recoloca o conflito em terreno reconstruível e impede que a ausência de acesso aos elementos de prova se converta em impossibilidade prática de tutela⁷²⁶.

O gatilho de incidência, contudo, precisa ser delimitado com rigor para que o standard não escorregue para maximalismo. Auditabilidade aberta não é exigível diante de qualquer ajuste microscópico, qualquer mudança cosmética ou qualquer oscilação irrelevante do serviço. Seu campo próprio começa quando a alteração, a modulação unilateral, a supressão, a migração, o nerf, a descontinuação, a reconfiguração de regra ou de interface, ou ainda a sanção aplicada ao usuário, afeta de modo relevante a fruição. Essa relevância pode aparecer de várias formas. Pode atingir acesso e permanência, integridade funcional do objeto, equivalências prometidas, posição simbólica do OIC no ecossistema, ou mesmo as condições de prova e contestação do consumidor. O ponto central é que a mudança precisa ser capaz de rebaixar a fruição, frustrar expectativa legítima ou concentrar de maneira abusiva a inteligibilidade do ocorrido nas mãos do fornecedor.

p. 643 Em tais hipóteses, a exigência de auditabilidade aberta se materializa em conteúdo mínimo bem mais modesto do que a caricatura da “abertura total”, mas bem mais robusto do que a autojustificação empresarial. O fornecedor deve disponibilizar, de maneira institucionalmente útil, registro inteligível do que foi alterado e do momento da alteração; justificativa técnica mínima, isto é, a racionalidade declarada e o objetivo assumido para a mudança; descrição dos impactos relevantes na fruição e nos parâmetros do OIC; preservação de trilhas verificáveis, como históricos de versões relevantes, logs mínimos de evento, de transação ou de alteração; e, nos casos de enforcement, critérios minimamente reconstruíveis da sanção aplicada. Além disso, precisa existir possibilidade de verificação por terceiros qualificados, inclusive por órgãos de tutela, perícia ou apreciação judicial, sem que o regime de segredo técnico seja utilizado como biombo absoluto contra qualquer escrutínio⁷²⁷.

Esse ponto é importante porque a objeção empresarial costuma vir com roupagem previsível: exigir auditabilidade equivaleria a exigir abertura de código, entrega do segredo industrial, exposição de know-how ou desproteção do software. Não é disso que se trata. O ordenamento já convive, em vários contextos, com formas limitadas de escrutínio compatíveis com a preservação do ativo informacional. Segredo de justiça, acesso pericial restrito, análise funcional delimitada, utilização tecnicamente necessária para certos fins e controle institucional não são demolições da exclusividade. São formas juridicamente conhecidas de compatibilização entre proteção do ativo e necessidade de verificação. A proteção do software não o transforma em caixa-preta sagrada. Tampouco a disciplina do programa de computador converte o fornecedor em soberano sobre toda e qualquer consequência juridicamente relevante do seu funcionamento⁷²⁸.

p. 644 Na mesma linha, a proteção do segredo industrial não opera como veto absoluto ao controle externo. Invocar genericamente “segredo” ou “sensibilidade técnica” sem delimitar o que de fato precisa permanecer reservado e sem admitir qualquer forma de reconstrução institucionalmente relevante não basta. Para que o sigilo seja juridicamente respeitado, ele precisa ser identificado e recortado, não tratado como névoa mágica que dissolve toda exigência de prestação de contas. O sistema admite proteção da informação empresarial estratégica, claro. O que ele não deve admitir é que essa proteção seja instrumentalizada para impedir por completo a reconstrução dos efeitos juridicamente relevantes do fornecimento, sobretudo quando a própria licitude da conduta depende dessa reconstrução. A empresa continua podendo proteger seu segredo. O que ela não pode é querer segredo sobre o próprio impacto da mudança que impôs ao consumidor⁷²⁹.

Isso é ainda mais evidente porque a exclusividade técnica, em si, não elimina a possibilidade de exame institucional dos efeitos operacionais do sistema. O que interessa para o Direito do Consumidor não é, em regra, a contemplação integral da engenhosidade interna do programa, mas a possibilidade de verificar como certo regime de funcionamento, certa alteração ou certo critério aplicado repercutiu sobre a fruição, a continuidade, a equivalência ou a posição do consumidor no ecossistema. O exame juridicamente relevante incide sobre o funcionamento para fins de controle, não sobre a apropriação parasitária do ativo. Por isso, a existência de segredo ou de software protegido não exclui formas limitadas de análise técnica, pericial e institucionalmente mediada. A auditabilidade aberta não disputa com a exclusividade. Ela limita o uso abusivo da exclusividade como desculpa para a irresponsabilidade⁷³⁰.

p. 645 A função dogmática do standard, então, torna-se mais clara. Auditabilidade aberta é tecnologia jurídica de controlabilidade. Ela reduz a assimetria informacional e probatória própria da governança privada do OIC e reconduz a mutabilidade contínua a um campo minimamente verificável. Isso permite que vício, inadequação, abusividade, violação do dever de informar e quebra da confiança sejam discutidos sobre base reconstruível, e não em confronto tosco entre narrativa corporativa e sensação subjetiva do consumidor. Sem esse standard, o fornecedor pode sempre alegar que mudou por razões técnicas, que informou como pôde, que o impacto foi pequeno, que a alteração estava prevista em algum documento e que o consumidor apenas não entendeu ou não gostou. Com ele, passa a ser possível perguntar com seriedade o que foi mudado, com que base, com qual efeito e com quais trilhas objetivas de reconstrução.

Esse ganho tem enorme importância em contratos duradouros. Em relações de execução continuada, o consumidor não deposita confiança apenas numa utilidade inicial, mas na permanência minimamente inteligível do vínculo e na possibilidade de compreender suas mudanças relevantes. A relação de longa duração exige cooperação, adaptação e preservação das expectativas legítimas formadas no curso do contrato. Não basta, portanto, manter o contrato vivo no plano nominal enquanto sua execução se torna opaca e unilateralmente reconfigurável em termos não reconstruíveis. A confiança do consumidor não se protege com slogans de evolução contínua nem com promessa genérica de “melhorias do serviço”. Ela exige um regime mínimo de continuidade verificável da informação sobre a execução do vínculo⁷³¹.

Por isso mesmo, a auditabilidade aberta também se conecta aos mecanismos de tutela específica. O CDC não foi desenhado para permitir ao fornecedor transformar a lesão em mero custo contábil e seguir adiante. Quando a mutação relevante do fornecimento depende de registros, versões, critérios e documentação concentrados nas mãos da empresa, o sistema já dispõe de instrumentos compatíveis com exibição, produção antecipada de prova, tutela p. 646 específica e providências destinadas a reconstruir o vínculo tal como concretamente executado. Isso é especialmente importante em serviços digitais contínuos, nos quais o instrumento contratual abstrato quase nunca basta para revelar o conteúdo efetivo da prestação. Sem acesso às versões relevantes, aos registros de execução e aos elementos que demonstrem o fornecimento realizado, a discussão jurídica corre o risco de ficar refém da ficção documental do contrato-base, que muitas vezes diz pouco sobre a vida real do serviço⁷³².

Daí decorre a consequência jurídica da não-auditabilidade. Quando o fornecedor, diante de alteração relevante, não fornece o mínimo auditável compatível com a relação de consumo, a transparência deve ser tratada como inadequada. E, conforme a intensidade do caso, essa inadequação pode funcionar como indício ou manifestação direta de abusividade estrutural do regime de fornecimento. Não se está diante de falta periférica de polidez informacional. Está-se diante de frustração de dever essencial à controlabilidade do vínculo. Em termos práticos, isso legitima a imposição de deveres de fazer voltados à preservação e exibição de registros, a redistribuição dinâmica do ônus probatório, a adoção de presunções favoráveis ao consumidor diante de recusa injustificada de cooperação e o controle da validade ou da eficácia de cláusulas e políticas que pretendam blindar alterações não verificáveis. Onde a mudança relevante não pode ser minimamente reconstruída, a governança privada já entrou em zona juridicamente suspeita.

Esse efeito é ainda mais importante porque o problema contemporâneo não é só ausência de informação, mas organização estratégica da informação. A plataforma pode inundar o consumidor com comunicados, changelogs, banners, caixas de diálogo, políticas, disclaimers e FAQs, e ainda assim preservar para si o monopólio efetivo sobre a inteligibilidade do que interessa. A auditabilidade aberta aparece justamente para quebrar essa falsa suficiência. Não basta informar que algo mudou. É preciso tornar institucionalmente reconstruível o significado da mudança para a fruição consumida. Sem isso, a mutabilidade do serviço e a concentração técnica de registros produzem, juntas, uma espécie de fortaleza probatória privada.

p. 647 Também por isso o standard prepara a próxima etapa da seção. Sozinha, a auditabilidade aberta não resolve toda a controvérsia, porque demonstrar o que mudou e como mudou não esgota a pergunta sobre a legitimidade material da mudança. Ainda será preciso aferir se a alteração preservou ou não a substância da fruição legitimamente adquirida. Mas sem auditabilidade aberta esse juízo se torna frágil, porque falta base para reconstruir a própria mutação. O standard funciona, então, como condição institucional de inteligibilidade para o exame subsequente da equivalência de valor funcional. Primeiro, reconstrói-se a mudança. Depois, mede-se sua legitimidade material. Essa ordem importa. Sem ela, o fornecedor sempre terá a vantagem da névoa.

No plano metodológico, a auditabilidade aberta cumpre papel semelhante ao que a vulnerabilidade semiótica cumpriu anteriormente. Ela transforma um diagnóstico estrutural em operador dogmático. Já não se diz apenas que a plataforma controla o ambiente, os signos, as métricas e a prova. Passa-se a exigir, diante dessa concentração, um mínimo verificável de reconstrução do fornecimento. Já não se afirma apenas que a transparência pode ser performática. Passa-se a dispor de critério para separar a transparência útil da transparência cenográfica. Já não se denuncia apenas a opacidade da governança privada. Passa-se a qualificá-la como insuficiência jurídica controlável.

Por isso, a auditabilidade aberta deve ser compreendida como critério de legitimidade das arquiteturas de plataforma, e não como sua hostilidade abstrata. Plataformas podem inovar, atualizar, corrigir, reequilibrar, migrar e proteger seus ativos técnicos. O que não podem é fazê-lo em regime de irreconstrutibilidade institucional, como se a própria complexidade do sistema as autorizasse a decidir sozinhas o que importa, o que foi alterado e o que pode ou não ser conhecido por quem frui o serviço e por quem o controla juridicamente. Em relações de consumo contínuo, a complexidade não revoga a boa-fé. A técnica não suspende o dever de informar. E o segredo industrial, embora legítimo, não absolve a empresa da obrigação de permitir que o fornecimento seja minimamente reconstituído quando suas mutações atingem de modo relevante a fruição do consumidor⁷³³.

p. 648 No fim das contas, esse é o núcleo do conceito jurídico de auditabilidade aberta em serviços digitais contínuos. Um standard de verificabilidade mínima, compatível com a proteção do software e do segredo empresarial, mas incompatível com a blindagem opaca da execução; um desdobramento do dever de informação, da boa-fé objetiva e da facilitação da defesa do consumidor; um critério de redução de assimetria probatória e informacional; e uma condição institucional para que mutações relevantes do OIC deixem de ser aceitas como fatos consumados narrados apenas pelo próprio fornecedor. Sem esse standard, a governança privada se aproxima demais de soberania prática. Com ele, a mutabilidade do serviço permanece possível, mas já não paira acima do controle jurídico.