Tratamento de dados pessoais pelo poder público

Apresentação

O tratamento de dados pessoais pelo Poder Público possui muitas peculiaridades, que decorrem, em geral, da necessidade de compatibilização entre o exercício de prerrogativas estatais típicas e os princípios, regras e direitos estabelecidos na Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709, de 14 de agosto de 2018 - LGPD).

Diante desse cenário, o desafio posto é o de estabelecer parâmetros objetivos, capazes de conferir segurança jurídica às operações com dados pessoais realizadas por órgãos e entidades públicos. Trata-se de assegurar a celeridade e a eficiência necessárias à execução de políticas e à prestação de serviços públicos com respeito aos direitos à proteção de dados pessoais e à privacidade.

Entre outros aspectos relevantes, muitos órgãos e entidades públicos têm questionado a Autoridade Nacional de Proteção de Dados (ANPD) sobre (i) o âmbito de incidência da LGPD e a aplicação de seus conceitos básicos ao setor público; (ii) a adequada interpretação das bases legais que autorizam o tratamento de dados pessoais; (iii) os requisitos e as formalidades a serem observados nas hipóteses de uso compartilhado de dados pessoais; e (iv) a relação entre as normas de proteção de dados pessoais e o acesso à informação pública.

Considerando essas questões, o presente Guia Orientativo busca delinear parâmetros que possam auxiliar entidades e órgãos públicos nas atividades de adequação e de implementação da LGPD. As orientações apresentadas constituem um primeiro passo no processo de delimitação das interpretações sobre a LGPD aplicáveis ao Poder Público. Por isso, a versão publicada ficará aberta a comentários e contribuições de forma contínua, com o fim de atualizar o Guia oportunamente, à medida que novas regulamentações e entendimentos forem estabelecidos, a critério da ANPD. As sugestões podem ser enviadas para a Ouvidoria da ANPD, por meio da Plataforma Fala.BR (https://falabr.cgu.gov.br/).

Cumpre enfatizar que não é objeto deste Guia a definição de conceitos básicos previstos na LGPD. Em caso de dúvida, sugere-se consultar a página de documentos e publicações da ANPD, na qual estão disponíveis orientações mais específicas sobre esses conceitos, a exemplo do Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado.

O Guia inicia com uma breve explanação sobre a LGPD, o conceito de Poder Público e as competências da ANPD. A seguir, são apresentadas orientações sobre as bases legais mais comuns e os mais relevantes princípios que devem nortear o tratamento de dados pessoais por entidades e órgãos públicos. Na parte final, serão abordadas duas operações específicas de tratamento de dados pessoais pelo Poder Público: o compartilhamento e a divulgação de dados pessoais, sempre sob o enfoque da conformidade do tratamento com a LGPD. Os Anexos l e II trazem, respectivamente, um sumário das recomendações apresentadas na análise dos dois casos específicos mencionados.

A LGPD, o poder público e as competências da ANPD

A LGPD foi promulgada em 2018 e tem como objetivo regulamentar o tratamento de dados pessoais para garantir o livre desenvolvimento da personalidade e a dignidade da pessoa humana. Para isso, a lei estabelece uma série de regras a serem seguidas pelos agentes de tratamento, incluindo o Poder Público.

O termo “Poder Público” é definido pela LGPD de forma ampla e inclui órgãos ou entidades dos entes federativos (União, Estados, Distrito Federal e Municípios) e dos três Poderes (Executivo, Legislativo e Judiciário), inclusive das Cortes de Contas e do Ministério Público. Assim, os tratamentos de dados pessoais realizados por essas entidades e órgãos públicos devem observar as disposições da LGPD, ressalvadas as exceções previstas no art. 4º da lei.

Também se incluem no conceito de Poder Público: (i) os serviços notariais e de registro (art. 23, 8 4º); e (ii) as empresas públicas e as sociedades de economia mista (art. 24), neste último caso, desde que (ii.i.) não estejam atuando em regime de concorrência; ou (ii.ii) operacionalizem políticas públicas, no âmbito da execução destas.

A LGPD visa, ainda, assegurar que dados pessoais sejam utilizados de forma transparente e com fins legítimos, ao mesmo tempo garantindo os direitos dos titulares. Especificamente em relação ao Poder Público, a LGPD (art. 55-), Xl e XVI) prevê que a ANPD pode solicitar informe específico sobre o âmbito, a natureza dos dados e demais detalhes envolvidos na operação, bem como realizar auditorias sobre o tratamento de dados pessoais. O art. 52, 8 3º, estabelece quais sanções podem ser aplicadas às entidades e aos órgãos públicos, com expressa exclusão das penalidades de multa simples ou diária previstas na LGPD.

Importante ressaltar que a ANPD é o órgão central de interpretação da LGPD e do estabelecimento de normas e diretrizes para sua implementação, no que se inclui a deliberação administrativa, em caráter terminativo, sobre a interpretação da lei e sobre as suas próprias competências e casos omissos (art. 55-K, parágrafo único; art. 55-), XX). Além disso, a autoridade nacional detém competência exclusiva para aplicar as sanções administrativas previstas na LGPD, com prevalência de suas competências sobre outras correlatas de entidades e órgãos da administração pública no que se refere à proteção de dados pessoais (art. 55-K).

Assim, a ANPD possui competência originária, específica e uniformizadora no que concerne à proteção de dados pessoais e à aplicação da LGPD, previsão legal que deve ser interpretada de forma a se compatibilizar com a atuação de outros entes públicos que possam eventualmente tratar sobre o tema. A esse respeito, a LGPD (art. 55-), 8 3º) estabelece que a ANPD deve atuar em coordenação e articulação com outros órgãos e entidades públicos, visando assegurar o cumprimento de suas atribuições com maior eficiência e promover o adequado funcionamento dos setores regulados.

Importante ressaltar, por fim, que o servidor público que infrinja a LGPD também é passível de responsabilização administrativa pessoal e autônoma, conforme o art. 28 do Decreto Lei nº 4.657, de 4 de setembro de 1942 (Lei de Introdução às normas do Direito Brasileiro). Dessa forma, tratar dados pessoais indevidamente, como, por exemplo, vendendo banco de dados, alterando ou suprimindo cadastros de forma inadequada ou usando dados pessoais para fins ilegítimos pode levar à responsabilização do servidor público que praticou o ato ilegal.

Fonte: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-poder-publico-anpd-versao-final.pdf (adaptado). Acesso em:

19 ago. 2022.