Reflexões sobre a Lei de Proteção de Dados Pessoais no Poder Público

Não só o Setor Privado está à mercê da Lei de Proteção de Dados como também o Poder Público. Pessoas Jurídicas de Direito Público são obrigadas a realizar o tratamento de dados pessoais, respeitando também todas as fases e módulos de adequação, devendo igualmente implementar medidas técnicas e organizacionais, responsabilizando-se como agentes de tratamento que são e exercendo tanto o controle, quanto a operação, dependendo da natureza de sua atividade, sendo ela essencial ou não.

E, por estarmos enfrentando essa mudança cultural ainda resistente que se deve, em essência, ao crescimento exponencial das novas tecnologias, da utilização de sistemas cada dia mais modernos e disruptivos, é que a Administração Pública acaba tendo de se adequar e se sujeitar a novas obrigações, sendo algumas delas inerentes aos princípios que guarnecem a Lei Geral de Proteção de Dados Pessoais, em aparente contrapartida a transparência tão debatida na Lei de Acesso a Informação.

Aparente pois, apesar de parecerem diametralmente opostas, tanto a Lei Geral de Proteção de Dados quanto a Lei de Acesso a Informação convergem em muitos pontos. Ou seja, ao mesmo tempo em que a Administração produz informação pública no exercício de suas atribuições, ela passa a resguardar e a proteger as informações privadas, de titularidade do indivíduo.

Hoje, a pessoa natural também chamada pela Lei de titular, pode exercer o direito de gestão e de guarda dos seus dados, petição e autodeterminação informativa, possuindo o completo controle de suas informações, dispondo sobre elas, consentindo, alterando, revogando seu consentimento etc., salvo exceções legais.

Ao Poder Público cabe a realização do tratamento dos dados conforme os ditames legais, respeitando todas as fases e módulos de adequação, assim como medidas técnicas e organizativas, se responsabilizando como verdadeiro agente de tratamento, exercendo tanto o controle, quanto a operação, a depender da natureza de sua atividade, seja ela essencial ou não.

E em razão disso a Lei Geral de Proteção de Dados dedicou a ela um Capítulo especial segundo o qual ainda pende e, muito, de regulamentações posteriores sobre diversas brechas ainda em aberto, mas que, ainda assim traz as peculiaridades inerentes a Administração Pública, sua finalidade e persecução pelo interesse público.

O art. 23 e seguintes da LGPD determinam as diretrizes basilares do tratamento de dados pessoais pelas pessoas jurídicas de direito público, quais sejam: União, Estados, Distrito Federal e Municípios, órgãos públicos integrantes da administração direta dos Poderes Executivo, Legislativo, incluindo as Cortes de Contas, e Judiciário, além do Ministério Público.

Incluem-se também nessa subordinação legal as autarquias, fundações públicas, empresas públicas, sociedades de economia mista e demais entidades controladas direta ou indiretamente pela União, Estados, Distrito Federal e Municípios. De certo que se excepcionam dessa lista as empresas públicas e sociedades de economia mista que atuem em regime de concorrência, situação em que deverão responder como pessoas jurídicas de direito privado.

Ou seja, verifica-se que em um processo de adequação a LGPD, seja na esfera pública quanto na privada serão demandadas considerações a respeito de eventuais semelhanças técnicas assim como diferenças estabelecidas por meio de leis e de regulamentos.

Em relação as diferenças entre o tratamento de dados pessoais realizado pelo Poder Público face ao que ocorre no setor privado, podemos citar: a necessidade de interoperabilidade e estruturação dos sistemas para uso compartilhado e a ausência de sanções pecuniárias; Situação em que, na ocorrência de ilicitude, será a Autoridade Nacional quem enviará os informes com recomendações e orientará as medidas cabíveis para cessar qualquer violação.

No tocante as semelhanças, verifica-se a obrigatoriedade no fornecimento de informações aos titulares de dados pessoais, que devem ser claras e atualizadas sobre a previsão legal, finalidade, os procedimentos e as práticas utilizadas para a sua execução. As informações devem ser comunicadas por acesso facilitado, como em sítios eletrônicos, por exemplo, assim como em relação aos canais de atendimento. Ainda, também deve haver a indicação de um encarregado de dados pessoais, para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).

Ressalta-se, por fim, que diante da ocorrência de tamanhas mudanças no nosso cenário tecnológico, social, profissional e pessoal, principalmente neste período posterior a pandemia que enfrentamos, com inúmeros casos diariamente noticiados de vazamentos de dados pessoais e relevantes incidentes de segurança, seja necessário um processo de adaptação a esta cultura, especialmente no que tange os entes públicos. Os desafios são a criação e modernização de uma nova governança, alinhada às boas práticas, construindo-se um modelo de gestão pública atualizado, que deve ser adaptativo e transformador, atentos ao mesmo tempo a finalidade pública e aos direitos fundamentais do indivíduo.

Juliana Costa, especialista em Compliance e em Proteção de Dados Pessoais, de PG Advogados, DPO certificada EXIN - IAPP member – Membro do Comitê Jurídico da Associação Nacional de Profissionais de Proteção à Privacidade – ANPPD e da Comissão de Proteção de Dados da OAB/S