SGC em Revista - 2ª Edição - Tribunal Regional do Trabalho da 1ª Região

SGC em Revista - 2ª Edição

Ir para página de .

e atualmente cumpro meu segundo mandato como membro eleito do Órgão Especial. Além das atividades judicantes, fui nomeado presidente do Comitê de Governança de Tecnologia da Informação e Comunicação, do Comitê Gestor de Tecnologia da Informação e do PJe, além de ser o atual Ouvidor. SGC em Revista: 2 — Quais são suas expectativas quanto ao trabalho como Ouvidor? O que tem percebido com relação ao relacionamento do Poder Público com os jurisdicionados e o próprio cidadão comum? O trabalho de Ouvidor nos aproxima muito dos cidadãos, há muita expectativa de que a Ouvidoria possa ajudar na solução de algum problema eventual ou até mesmo estrutural que haja no TRT. Atualmente, o Poder Público vem buscando diminuir a distância que foi colocada entre os serviços prestados e aqueles que são os beneficiários desses serviços. Posso dizer que o uso de ferramentas eletrônicas serviu para reduzir uma burocracia que emperrava a administração. Hoje é possível obter-se informações e resolver questões que antes só eram possíveis com a ida do cidadão ao local. Ainda que não seja o ideal, hoje, o serviço prestado pelo Poder Público está mais democratizado. Nisso a Ouvidoria tem relevância, pois está apta para identificar o problema e sugerir melhorias na prestação do serviço público. SGC em Revista: 3 — A “escuta ativa”, em área ligada à psicologia e à mediação, define-se como a capacidade de interagir com a necessidade do outro através da recepção de sua mensagem, o que chamam de empatia. O novo Ouvidor tem essa preocupação? Pode comentar? É muito importante para o exercício da função do Ouvidor que ele se coloque no lugar do outro, para entender de que maneira aquele problema o afeta. Entendida a necessidade, o Ouvidor precisa atuar para resolver o problema e, mais do que isso, buscar meios e formas da melhoria da prestação do serviço. De fato, é uma preocupação minha estar antenado com essa forma de interação, todavia, no caso da Ouvidoria do TRT, esta já vem sendo uma marca que vem se consolidando ao longo de cada gestão.

resgatar o compromisso ético e jurídico das instituições em prol do respeito à dignidade humana, especialmente no que toca aos direitos fundamentais à liberdade, à privacidade e à autodeterminação. A pioneira na discussão sobre essa temática foi a União Europeia, que, no idos de 1960, suscitou a preocupação com o resguardo dos dados pessoais diante da revolução tecnológica que se já insinuava naquele tempo. Em 1981, o Conselho da Europa editou a Convenção sobre Proteção de Dados Pessoais, primeiro instrumento internacional juridicamente vinculativo adotado na seara da proteção de dados. Catorze anos depois, o tema foi regulamentado pela Diretiva nº 95/46/EC, também do Conselho da Europa. No entanto, a intensa e acelerada evolução do universo tecnológico e a globalização trouxeram novas necessidades em matéria de proteção de dados pessoais. Vimos operar, na última década, uma intensa transformação econômica mundial, com o desenvolvimento do modelo de negócios da economia digital, estruturado a partir da operacionalização das informações fornecidas — voluntária ou involuntariamente — pelos usuários. Um modelo de negócios tão bem engendrado e exitoso que, atualmente, podemos dizer com tranquilidade que as bases de dados configuram o ativo mais valioso da sociedade digital. O sujeito pós-moderno vive cada vez mais conectado à rede e, com isso, a partilha e o recolhimento de dados cresce em progressão geométrica. A cada cadastro, a cada curtida, a cada clique, deixamos rastros informacionais sobre nós mesmos, e a novas soluções de tecnologias do big data permitem às instituições realizar a coleta, o processamento e a interpretação desses dados em larga escala e em alto grau de variedade e velocidade. A partir do tratamento desses dados, é possível traçar perfis, direcionar conteúdos, predizer comportamentos, localizar públicosalvo e, inclusive, comercializálos com terceiros para os mais diversos fins, independentemente da anuência ou não das pessoas a que se referem. A nova realidade econômica e social trouxe, portanto, a necessidade de uma atualização das normativas de proteção dessas informações e o estabelecimento de um regramento geral e harmonioso. Atualmente, no âmbito da União Europeia, a proteção de dados é tratada pelo Regulamento

(EU) 2016/679 do Parlamento e do Conselho Europeus, mais conhecido como Regulamento Geral sobre a Proteção de Dados (RGPD), normativa que entrou em vigor em 25 de maio de 2018 e se consagrou como referência mundial no tema, em razão de sua coerência e robustez. O RGPD reforçou a proteção das pessoas singulares relativamente ao tratamento de dados pessoais como um direito fundamental da pessoa humana — direito esse que já estava previsto na Carta dos Direitos Fundamentais da União Europeia e no Tratado sobre o Funcionamento da União Europeia — revalidando a máxima de que todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. A criação de um regulamento geral sobre proteção de dados na Europa acabou por evidenciar mais ainda a importância da matéria, expandindo o debate para além dos limites daquele continente, uma vez que a normativa estabeleceu critérios e exigências correlatos também para os demais países e instituições que buscassem manter relações comerciais com a União Europeia, sob pena de sofrerem algum tipo de embargo ou dificuldade nas negociações. O tema foi se tornando cada vez mais urgente, e o Brasil não poderia ficar de fora. A nossa Lei Geral de Proteção de Dados é fruto de intenso processo democrático que se iniciou muito antes de sua promulgação, com a apresentação pelo Ministério da Justiça de uma consulta pública a respeito de um anteprojeto de lei de proteção de dados pessoais, no ano de 2011. Tal consulta foi o pontapé inicial para uma série de debates perpetrados acerca da questão em âmbito nacional, que perduraram por vários anos e resultaram em diversas alterações no projeto original e na apresentação de novas propostas, até sua versão final, promulgada em 2018. O debate nacional, assim como a sua resultante — a LGPD — foram fortemente inspirados no modelo europeu, de forma que podemos identificar diversas similaridades entre as duas normativas. Não pensemos, contudo, que antes de 2018 o ordenamento jurídico brasileiro fosse silente em matéria de dados pessoais. Ao contrário. Antes da LGPD, a sociedade brasileira já contava com diversos dispositivos esparsos no ordenamento jurídico que traziam normas de proteção a dados pessoais em setores específicos, tais

como o próprio Código de Defesa do Consumidor (Lei nº 8.078, de 11 de setembro de 1990), a Lei de Acesso à Informação (Lei nº 12.527, de 18 de novembro de 2011) e o Marco Civil da Internet (Lei nº 12.965, de 23 de abril de 2014), para citar apenas algumas. Nesse sentido, veja-se que a LGPD não foi denominada de lei geral por acaso. Atento ao fato de que a realidade global vem se tornando cada vez mais movida a dados, o legislador brasileiro identificou a necessidade de uma normativa de espectro geral para sua proteção, vale dizer, um regramento capaz de alcançar a sociedade brasileira como um todo. A LGPD chega, portanto, para ampliar a rede de proteção de dados já existente, abarcando todos os setores sociais — sejam privados ou públicos — trazendo um regulamento unificado, harmônico e de forte base principiológica, a qual deixa espaço para sua acomodação às constantes transformações da era digital. Mas a discussão certamente não se encerrará com a edição da LGPD. Trata-se de um movimento global, de forte impacto regulatório e social — um tema altamente dinâmico, portanto, e que tende a evoluir juntamente com as movimentações sociais e tecnológicas. Quando a LGPD entrou em vigor? Questão que causou grande confusão entre juristas e leigos diz respeito ao início da vigência da LGPD. Alerta à necessidade de garantir tempo hábil para que as instituições pudessem se adaptar às novas regras de proteção de dados pessoais, o legislador brasileiro — seguindo a mesma linha da normativa europeia — entendeu por bem prever um amplo período de vacatio legis para a LGPD. Originalmente, a referida lei foi concebida prevendo um período de vacatio de dezoito meses contados da data de publicação — ocorrida em 15/08/2018. Ainda em 2018, esse prazo foi ampliado para vinte e quatro meses por meio da Medida Provisória (MP) nº 869/2018, convertida na Lei nº 13.853, de 8 de julho de 2019, de forma que a LGPD entraria em vigor no dia 15/8/2020. Porém, frente às turbulências e ao cenário de forte insegurança social, política e econômica causadas pela pandemia da COVID-19 no ano de 2020, foi editada a Medida Provisória nº 959/2020, determinando o adiamento do início da vigência da LGPD para maio de 2021. Paralelamente, também foi editada a Lei nº 14.010, de 10 de

junho de 2020, que, dentre outras medidas, adiou para agosto de 2021 o início da vigência das sanções por descumprimento da LGPD. No entanto, a questão não se encerrou por aí. Ao deliberar sobre o mérito da MP nº 959/2020, o Senado Federal considerou prejudicado o artigo que adiava o início da vigência da LGPD para maio de 2021, ou seja, não converteu tal dispositivo em lei — não ratificou o adiamento para maio de 2021, portanto. Desse modo, temos que considerar que, até o dia 18/9/2020 — data em que foi publicada a lei de conversão da MP, a saber, Lei nº 14.010/2020 — o dispositivo que adiava o início da vigência para maio de 2021 manteve-se integralmente em vigor, como estabelece o parágrafo 12 do artigo 62 da Constituição Federal. Dito de outro modo, o adiamento (de 15/8/2020 para 3/5/2021) foi eficaz até 18/9/2020, data em que a LGPD entrou em vigor, portanto. S u p e r a d o t o d o e s s e imbróglio, vejamos como ficou a questão da vigência da LGPD, conforme a redação atual de seu artigo 65: ¿ Dispositivos que versam sobre a Autoridade Nacional de Proteção de Dados (ANPD) e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (artigos 55-A a 58-B) – Início da vigência em 28/12/2018. ¿ Dispositivos que versam sobre sanções administrativas (artigos 52 a 54) - Início da vigência em 1º/8/2021. ¿ Demais dispositivos da LGPD – Início da vigência em 18/9/2020. Qual o âmbito de aplicação da LGPD? Antes de tudo, o regramento estabelecido pela LPGD é considerado de interesse nacional, devendo, portanto, ser observado nos âmbitos da União, Estados, Distrito Federal e Municípios, conforme prevê o seu artigo 1º. A LGPD aplica-se a todas as pessoas que realizem o tratamento de dados pessoais, sejam físicas ou jurídicas, de direito público ou privado, e, ainda, quer o tratamento seja perpetrado em meio físico ou meio digital, desde que esse tratamento: (i) ocorra no território brasileiro, (ii) tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional, ou (iii) em que os dados tenham sido coletados no território nacional. Consideram-se coletados no território nacional os dados de

pessoa que nele se encontre no momento da coleta. Veja-se, então, que a incidência da LGPD não está restrita à cidadania ou à nacionalidade do titular dos dados pessoais, tampouco à residência do sujeito, uma vez que o objetivo é a proteção da pessoa humana, de onde quer que ela venha ou se encontre. Em contrapartida, o legislador deixou claro que a LGPD não se aplica ao tratamento de dados realizado por pessoa natural para fins particulares e não econômicos, tampouco para aquele tratamento realizado para fins exclusivamente jornalísticos, artísticos e acadêmicos (esse último caso conta com algumas regras específicas). A LGPD também não incidirá sobre ações de tratamento realizadas para fins de segurança pública, defesa nacional, segurança de Estado e atividades de investigação e repressão de infrações penais. Parece claro que a intenção do legislador foi mesmo de resguardar a dignidade humana diante das atuais formas de utilização e exploração das informações pessoais pelo modelo de negócios da economia digital, no qual os dados se firmaram como a principal ferramenta de engajamento de consumidores e impulsionamento de vendas. Principais conceitos A LGPD trouxe, em seu art. 5º, um amplo rol de terminologias e conceitos entendidos como fundamentais para a boa compreensão e aplicação do regramento. Destacamos as noções que consideramos mais fundamentais para uma noção abrangente da lei. - Dado pessoal: é toda e qualquer informação referente a uma pessoa natural identificada ou identificável. Em regra, quando pensamos em dados pessoais, vislumbramos aquelas informações mais tradicionais, tais como nome, sobrenome, idade, endereços, número de telefone, estado civil, etc. Porém, há de se ter em mente que a LGPD parte de uma noção muito mais abrangente de dados pessoais, englobando todas as informações referentes a uma pessoa humana, de forma que também devem ser considerados como tal elementos como localização, histórico de navegação na internet, endereço IP (Internet Protocol), perfis de compras, histórico de compras, e muitos outros. Até mesmo informações particulares que pareçam absolutamente irrelevantes são

alvo de proteção, pois, uma vez transferidas, cruzadas ou organizadas, podem resultar em dados bastante específicos sobre determinada pessoa, trazendo informações inclusive de caráter sensível sobre ela. Daí a necessidade de se adotar uma conceituação ampla de “dados pessoais”. Cabe ainda registrar — sem adentrar no mérito da escolha do legislador — que, para efeitos de tutela da LGPD, não são consideradas dados pessoais as informações relativas às pessoas jurídicas. A Lei Geral de Proteção de Dados é, antes de tudo, uma normativa de proteção à pessoa humana. - Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Em razão da particularidade e da relevância dessas informações, o legislador estabeleceu normas específicas para o seu tratamento, previstas nos artigos 11 a 13. - Titular: pessoa natural a quem se referem os dados pessoais que são objeto de algum tratamento. - Tratamento: toda operação realizada com dados pessoais, tais como a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, edição, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. - Agentes de tratamento: são tanto as pessoas que decidem sobre o tratamento dos dados (controladores), quanto as que efetivamente realizam a operação de tratamento (operadores). - Encarregado: pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). - Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Vale registrar que o consentimento

do titular é uma — porém não a única — das hipóteses que autoriza o tratamento dos dados. O tratamento de dados pessoais Diante da necessidade de proteção da pessoa humana, a LGPD estabeleceu como regra geral que toda ação de tratamento de dados pessoais — seja por pessoa natural ou jurídica, de direito público ou privado, por meio físico ou meio digital — deverá estar amparada em uma hipótese legal que a fundamente. Em outras palavras, salvo nos casos expressamente excepcionados pela lei, para que a operação de tratamento seja legítima e lícita, deverá estar amparada em alguma das hipóteses nela previstas. A obtenção de consentimento do titular ganhou lugar de destaque dentre as hipóteses que possibilitam o tratamento de dados, denotando a preocupação do legislador em assegurar a participação do sujeito na decisão sobre os destinos que serão dados às informações a seu respeito. Para o caso de dados pessoais sensíveis, foram estabelecidas normas mais rígidas para o tratamento e, em se tratando de crianças, exige-se o consentimento específico e em destaque fornecido por um dos pais ou responsável legal. Conforme definido na própria LGPD, o consentimento significa manifestação livre, informada e inequívoca por meio da qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Veja-se que o legislador se preocupou em garantir a qualidade deste consentimento — que há de ser livre, informado, inequívoco e referente a uma finalidade específica — uma vez que ele instrumentaliza a promoção do direito à autodeterminação existencial e informacional do ser humano, mostrando-se imprescindível para a proteção do indivíduo e a circulação de informações. Destacou, ainda, que o consentimento deverá referirse a finalidades determinadas, específicas, sendo que qualquer tipo de autorização genérica será considerada nula. Em termos práticos, isso significa que não basta que o operador obtenha do titular um aceite geral para qualquer tipo de tratamento que venha a ser realizado com a informações fornecidas, pois o que se objetiva é que a pessoa tenha um poder real de decisão, efetiva possibilidade de concordar ou não com determinada utilização de seus dados. Ademais, para que seja

efetivo, o consentimento há de ser informado, o que significa que o titular tem de dispor de informações suficientes e em linguagem acessível para poder avaliar a situação e a forma como seus dados serão tratados. A fim de garantir o consentimento informado, a LGPD dispõe que o titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva acerca da (i) finalidade específica do tratamento, (ii) forma e duração do tratamento, (iii) identificação do controlador, (iv) informações de contato do controlador, (v) informações acerca do uso compartilhado de dados pelo controlador e a finalidade, (vi) responsabilidades dos agentes que realizarão o tratamento, e (vii) direitos do titular. Para o tratamento de dados tornados manifestamente públicos por seus titulares, o legislador dispensou a exigência do consentimento, porém resguardou os direitos dos titulares e a necessária observância aos princípios da lei. Isso significa que, no caso de o próprio titular tornar pública alguma informação pessoal, não será necessária a obtenção do seu consentimento para o tratamento desse dado. Por outro lado, mesmo nesse caso, as operações de tratamento deverão se pautar pela boa-fé e pelos demais princípios previstos na lei, tais como finalidade, adequação, necessidade, segurança prevenção, não discriminação, etc. Além da via do consentimento do titular, a LGPD também previu outras hipóteses que legitimam o tratamento de dados pessoais, tais como o tratamento operado para fins de cumprimento de obrigação legal ou regulatória, para a realização de estudos por órgão de pesquisa e para a proteção da vida ou da incolumidade física do titular ou de terceiro. Destaca-se, ainda, que, no caso de dados sensíveis, o legislador estabeleceu regramento específico e mais rigoroso para que o tratamento seja legitimado. Isso porque, como a própria nomenclatura já indica, tratase de informações especialmente delicadas sob o ponto de vista dos direitos e liberdades fundamentais, dados que tocam a esfera mais íntima do sujeito humano e cujo tratamento, portanto, pode ensejar riscos significativos para o seu titular, merecendo, assim, proteção especial e diferenciada.

Os direitos dos titulares dos dados Consagrando a máxima de que toda pessoa natural tem assegurada a titularidade de seus dados pessoais, a LGPD garantiu ao titular uma série de prerrogativas que podem ser vindicadas perante o controlador dos dados a qualquer momento mediante requerimento: (i) confirmação da existência de tratamento; (ii) acesso aos dados; (iii) correção de dados incompletos, inexatos ou desatualizados; (iv) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; (v) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial; (vi) eliminação dos dados pessoais tratados com o consentimento do titular; (vii) informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados; (viii) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; (ix) revogação do consentimento. A Autoridade Nacional de Proteção de Dados - ANPD A Autoridade Nacional de Proteção de Dados é um elemento substancial para a garantia da eficácia da Lei Geral de Proteção de Dados. Muitas das disposições contidas na LGPD dependem de regulamentações advindas desse órgão, dotado de autonomia técnica e decisória, e previsto para operar como uma espécie de guardião da proteção de dados. O modelo de criação de uma autoridade administrativa responsável pela tutela da proteção de dados tem se mostrado uma tendência mundial, inclusive no regulamento europeu, que conta com a figura da Autoridade Europeia para a Proteção de Dados. No caso brasileiro, desde a primeira versão do anteprojeto de lei, foi defendido o formato de um modelo de marco regulatório que viesse amparado pela instituição de órgão especificamente responsável por acompanhar a aplicação das regras em matéria de proteção de dados nas instituições, e também dar seguimento às reclamações dos titulares. Depois de muitas idas e vindas, a LGPD foi alterada pela Lei nº 13.853/2019, que

instituiu a Autoridade Nacional de Proteção de Dados — órgão da administração pública federal vinculado à Presidência da República — além de um órgão consultivo auxiliar, o Conselho Nacional de Proteção de Dados, com composição multissetorial. A existência de uma autoridade administrativa é essencial para que a os direitos e obrigações previstos na LGPD saiam do papel e ganhem concretude no seio social, uma vez que, além da necessidade de regulamentação, os tratamentos de dados e os seus efeitos são muito difíceis de serem acompanhados de forma eficaz pelos titulares, especialmente em razão da hipossuficiência técnica e jurídica do cidadão frente às grandes instituições e das constantes inovações tecnológicas. Em outras palavras, o mero estabelecimento de um regramento, se desprovido de meios concretos que assegurassem a efetiva proteção aos dados pessoais, pouco ou nada mudaria a realidade posta. Atribuir unicamente à ação singular a salvaguarda dos direitos previstos na LGPD seria uma opção política irrealista e inócua, pois é evidente a desproporção entre as possibilidades do indivíduo comum e as estruturas hoje dedicadas ao tratamento de seus dados pelas instituições, especialmente as empresas de tecnologia. Ademais, trata-se de uma seara onde os danos individuais e de pequena monta são os mais comuns, danos estes que dificilmente serão objeto de algum tipo de reivindicação individual por parte dos titulares atingidos. Porém, em escala ampliada, a situação muda de figura, e condutas que, vistas de forma isolada, poderiam parecer insignificantes, acabam por demonstrar-se intoleráveis e de consequências sociais relevantes. Basta imaginarmos a situação em que determinada empresa de telefonia, por exemplo, transfere a um terceiro os dados cadastrais referentes a um de seus usuários consumidores. Vista de forma isolada, tal conduta pode parecer incapaz de causar grandes consequências, afinal, trata-se de somente um único perfil de consumidor. Ademais, dificilmente esse consumidor, ainda que tenha ciência de tal prática, buscará a reparação civil por essa violação. No entanto, se considerarmos que essa mesma conduta foi perpetrada pela empresa de telefonia em relação aos dados

da lei. Em agosto de 2020, foi finalmente publicado o Decreto nº 10.474, de 26/8/2020, normativa que aprova a estrutura regimental e o quadro demonstrativo de cargos e funções de confiança da ANPD. O decreto descreve competências do Conselho Diretor, período de mandato e atribuições dos dirigentes, dentre outros temas. Não obstante, o artigo 6º do decreto condicionou o início de sua vigência à publicação da nomeação do Diretor-Presidente da ANPD no Diário Oficial da União, o que veio a ocorrer somente em novembro do mesmo ano. Veja-se que, desde a entrada em vigor do dispositivo legal que criou a ANPD (artigo 55-A da LGPD), em 28/12/2018, até a sua efetiva consagração em um órgão dotado de estrutura concreta por meio da nomeação do DiretorPresidente, transcorreram quase dois anos, prazo que nos parece demasiado longo para uma questão tão urgente, especialmente frente as gravíssimas ocorrências de vazamentos de dados de que se tem tido notícias. Consultando o Planejamento Estratégico da ANPD para o biênio 2021-2023¹, publicado no próprio sítio eletrônico do governo federal, percebemos que o documento é encharcado de objetivos vagos e obscuros, tais como a promoção do fortalecimento da cultura de proteção de dados e o estabelecimento de um ambiente normativo eficaz, ao passo que a edição de uma regulamentação efetiva – tão cara à concretização dos dispositivos protetivos e sancionatórios da lei – ainda parece distante. Outrossim, quanto às recentes denúncias de vazamentos de dados de milhões de brasileiros, a postura da ANPD tem se limitado à emissão de notas informando a tomada de providências cabíveis para a investigação dos casos. Em suma, parece haver, ainda, um longo caminho a se percorrer para que o sistema garantidor da proteção de dados pessoais passe de mero discurso político a uma realidade concreta no dia a dia do cidadão. Acredita-se, no entanto, que, para que tal mister venha de fato a ocorrer, cabe também à sociedade civil o importante papel de dar vida ao tema, trazendo a discussão para os lares e ruas, cobrando respostas efetivas das autoridades face às denúncias de vazamentos

diariamente; • a maior demanda de esforço que esse setor historicamente exige para sedimentar alterações estruturais e culturais; • a sua lenta adaptação aos meios digitais. Diante da era da transformação digital, contudo, o setor público tem incorporado progressivamente ferramentas de suporte tecnológico, o que tem gerado incremento no processamento massivo de dados, e, também a sua entrada cautelosa, mas irrecusável, no universo da inteligência artificial. O cenário das restrições impostas pela pandemia da Covid-19 foi crucial para acelerar ainda mais esse processo, de forma a impedir a paralisação de determinados serviços públicos. Assim, as ferramentas tecnológicas, antes vistas com desconfiança ou sem legitimidade, passaram a ser utilizadas como única alternativa para a continuidade das atividades públicas: sua assimilação foi um processo que se tornou urgente e exigiu formas rápidas de adaptação. Dito isto, todas as inovações tecnológicas que vêm sendo implementadas na Administração Pública visam à maior eficiência e à aproximação das relações do Estado com os cidadãos e com os seus agentes públicos. Entretanto, esse processo de adaptação às mais variadas soluções tecnológicas pode acarretar compartilhamento de informações pessoais desnecessário ou sem finalidade, seja entre unidades dentro de uma mesma instituição, entre órgãos ou mesmo com a sociedade em geral. A falta de planejamento adequado pode, ainda, propiciar certa vulnerabilidade na privacidade dos usuários. PROTEGENDO DADOS FÍSICOS E DIGITAIS Embora a vigência da LGPD coincida com o momento de maior estruturação do setor público para um ambiente digital adequado e seguro, não se deve perder de vista que referida lei visa à preservação dos dados pessoais armazenados em quaisquer suportes, sejam físicos ou digitais. O ponto crucial da conformação à lei, portanto, não é a tecnologia, mas sim a governança, que envolve o conhecimento dos dados pessoais tratados e a qualidade na comunicação entre o titular e o controlador. Nesse contexto,

LEGITIMIDADE DO SETOR PÚBLICO PARA TRATAMENTO DE DADOS PESSOAIS: A CHAVE É O INTERESSE PÚBLICO O interesse público é a pedra angular da LGPD para o tratamento de dados pessoais pela Administração, que deve ocorrer para execução de políticas públicas, tendo como objetivo o atendimento de sua finalidade pública e a execução das competências legais. Portanto, o interesse público é a principal justificativa para o tratamento de dados pessoais pela Administração Pública. Cabe aqui uma observação: o Poder Judiciário, embora não execute políticas públicas, cumpre competência constitucional e tem o interesse público inerente à sua própria existência. Ocorre que muitas vezes o interesse público mitiga o direito individual à privacidade. Isto ocorre, por exemplo, em duas situações, como na possibilidade de dispensa do consentimento do titular para o tratamento de seus dados pessoais e na hipótese de compartilhamento público de dados pessoais para atendimento das finalidades públicas impostas pelo princípio da publicidade. Por outro lado, a LGPD dispõe que o tratamento dos dados pelo setor público deve considerar estritamente a finalidade e a essencialidade para o regular exercício das atribuições legais. É fundamental garantir o respeito aos princípios de proteção de dados e a total transparência na sua coleta e processamento. Importante: independentemente do consentimento do titular, do meio em que estão armazenados ou da publicidade conferida pela lei, todos os dados pessoais tratados no âmbito da Administração Pública são protegidos pelos princípios da LGPD. TRATAMENTO DOS DADOS PESSOAIS PELA ADMINISTRAÇÃO PÚBLICA Não se pode esquecer que a supremacia do interesse público, que rege os atos administrativos, não exime a Administração do dever de garantir, no tratamento de dados pessoais, o cumprimento dos princípios de adequação, necessidade, livre acesso, qualidade, segurança, prevenção, não discriminação, responsabilização e prestação de contas. É recomendável ajuste de termos de confidencialidade com todos

INFORMAÇÕES AO TITULAR É importante que os cidadãos saibam que o tratamento dos seus dados somente pode ser feito com propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Assim, o tratamento só será válido se forem disponibilizadas ao titular, preferencialmente nos sítios eletrônicos, informações claras e atualizadas sobre a finalidade e a forma como o dado será tratado. Nesse processo de adequação à LGPD, tem sido recomendada a revisão do compartilhamento de dados em contratos e convênios para inclusão de cláusula expressa quanto ao tratamento de dados pessoais eventualmente coletados, para que se alinhem com todas as regras previstas na LGPD. DIREITO DE ACESSO O direito de acesso garante aos titulares consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade de seus dados pessoais. Para a Administração, os prazos e as formalidades mínimas para o fornecimento das informações solicitadas são estabelecidos: • pela Lei de Acesso à Informação; • pela lei que regula o processo administrativo; • em sede judicial, pela lei do habeas data. ENCARREGADO É dever da Administração indicar um agente, que exercerá a função de encarregado, para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador. INTEROPERABILIDADE DOS DADOS A LGPD preocupa-se com a peculiaridade da Administração quanto ao princípio da publicidade e ao acesso às informações para fins de interesse público. A autoridade nacional poderá dispor sobre padrões de interoperabilidade para fins de portabilidade, livre acesso aos dados e segurança, assim como sobre o tempo de guarda dos registros, tendo em vista, especialmente, a necessidade e a transparência. Portanto, os dados devem ser mantidos em formato interoperável.

(que acontece quando os dados estão sendo geridos por um sistema que tem a capacidade de se comunicar de forma transparente com outro sistema). Para um sistema ser considerado interoperável, é muito importante que ele trabalhe com padrões abertos e seja estruturado para o uso compartilhado. P R O G R A M A D E G O V E R N A N Ç A E RELATÓRIO DE IMPACTO Apesar de não obrigatório, é recomendável um programa de governança em privacidade voltado ao tratamento seguro e adequado de dados e à adoção de política de boas práticas, com elaboração de relatório de impacto. Relatório de impacto é a documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos aos direitos fundamentais, bem como os mecanismos de mitigação de risco. A autoridade nacional de proteção de dados poderá determinar que o controlador de dados pessoais elabore o relatório de impacto à proteção de dados pessoais e pode exigir a demonstração da metodologia utilizada para a coleta e para a garantia da segurança das informações. Dessa forma, tais medidas são altamente recomendadas como mecanismos de controle e proteção dos dados pessoais geridos pela Administração. RESPONSABILIDADE Fique atento! A Administração Pública não está sujeita a sanções pecuniárias em razão da infração aos preceitos da LGPD, diferentemente do setor privado. Em caso de descumprimento das regras do tratamento de dados pessoais pelo Poder Público, a Autoridade Nacional poderá enviar informe com medidas cabíveis para fazer cessar a violação. ACESSO À INFORMAÇÃO E LGPD Parte substancial dos direitos dos titulares perante o Poder Público é efetivada pelo direito de acesso à informação, o que exige que a LGPD e a Lei de Acesso à Informação sejam interpretadas sistematicamente e aplicadas de forma integrada. ANTES DA LGPD... Antes da LGPD, a Lei de Acesso à Informação (LAI) já previa procedimentos e diretrizes básicas

para o tratamento de dados pessoais no âmbito público como: • o tratamento transparente; • a garantia expressa aos direitos de personalidade; • o consentimento do titular para a disponibilização de suas informações àqueles que não possuíssem a necessidade de conhecê-la no exercício de sua função pública. Além disso, a LAI apresenta regras específicas para o acesso a documentos que, embora apresentem dados pessoais, possuem valor permanente e foram recolhidos a instituições arquivísticas públicas. A LGPD reconhece esse legado e submete o exercício dos direitos do titular aos prazos e aos procedimentos dispostos já estabelecidos pela LAI, inclusive quanto ao recebimento dos requerimentos junto ao Serviço de Informação ao Cidadão. Pode causar certa confusão o fato de que tanto a LGPD quanto a LAI tratam sobre direitos dos titulares e responsabilidades dos agentes de tratamento dos dados pessoais. Então, como diferenciar a aplicação das duas leis? Para responder a essa pergunta, o agente público deve verificar qual o teor do acesso solicitado pelo cidadão, se pessoal ou coletivo. A depender da informação requerida, poderá ser aplicada a LAI ou a LGPD. Ou até mesmo as duas legislações. A LAI rege o acesso à informação de interesse coletivo contida em registros ou documentos. Isso significa, por exemplo, que qualquer pessoa poderá ter acesso, para fins de fiscalização e controle da atividade pública, a processos licitatórios, contratos administrativos, prestações de contas e demais dados que não sejam considerados sigilosos, segundo a Lei. A pedra angular do acesso à informação perante a LAI é o princípio constitucional da publicidade. Já para a LGPD, o acesso à informação é firmado pelo princípio do acesso livre por interesse particular. Nesse sentido, apenas o titular dos dados pessoais tem direito a requerer acesso a informações com base na LGPD, em regra. E QUANTO AOS DADOS QUE JÁ SE ENCONTRAVAM DISPONIBILIZADOS PARA ACESSO PÚBLICO? A LAI determina a observância da publicidade como preceito geral e do sigilo como exceção, zelando pelas informações pessoais e pelo seu tratamento. Outro questionamento bem comum é sobre os dados pessoais

GESTÃO DOCUMENTAL E LGPD Os dados pessoais controlados pela Administração estão contidos em documentos arquivísticos, em qualquer suporte. Desse ponto de vista, os dados pessoais coletados passam a compor o que se denomina arquivo público, e a sua eliminação deverá obedecer aos procedimentos de gestão de documentos. Para documentos em suporte papel, é adotado o uso de envelopes lacrados com a indicação do grau de sigilo. Para documentos em suporte digital, que se apresentam em diversos formatos (como texto não estruturado, planilhas, páginas web, fotografias, vídeos, áudios e mídias sociais), é necessário que os sistemas informatizados de Gestão de Documentos adotem mecanismos de segurança para se adequarem ao determinado na legislação. A Gestão Documental é o conjunto de procedimentos e operações técnicas referentes à produção, à tramitação, ao uso, à avaliação, ao arquivamento e à destinação de documentos e processos no âmbito da Administração no exercício de suas atividades, inclusive as administrativas Os princípios relacionados à privacidade devem nortear as ações voltadas à gestão documental. Isso significa que na custódia de acervos públicos, físicos ou digitais, deve ser observada a legislação relativa a documentos sigilosos e pessoais. Os procedimentos quanto à organização de informações classificadas como sigilosas seguem as mesmas orientações destinadas aos documentos não sigilosos. Porém, todas as informações sigilosas devem ser resguardadas enquanto perdurar o prazo indicado pelo grau de sigilo. Nesse sentido, a LGPD dispõe sobre o tempo de retenção de dados, que somente devem ser mantidos enquanto as informações forem necessárias. Decorrido o prazo determinado, devem ser eliminados. P a r a a e l i m i n a ç ã o d e documentos arquivísticos, é imprescindível a utilização dos instrumentos técnicos de gestão de documentos, isto é, o Plano de Classificação de Documentos (PCD) e suas respectivas Tabelas de Temporalidade e Destinação de Documentos de Arquivo (TTDD), relativas às áreas meio e fim da Administração. Muito importante: Mesmo após exaurida a finalidade da coleta de determinado dado pessoal, caso o documento que compõe o dado seja

P O R T A L E L G P D . . . T R A N S P A R Ê N C I A E PRIVACIDADE O Portal é a principal ferramenta para dar publicidade e transparência às operações de tratamento dos dados pessoais. As recomendações ao Poder Judiciário destacam a relevância dos sítios eletrônicos para divulgação das informações sobre a Lei Geral de Proteção de Dados, incluindo os requisitos para o tratamento legítimo de dados, os deveres e direitos dos titulares dos dados e as informações sobre o encarregado por esse tratamento em cada tribunal. Na medida em que a transparência e prestação de contas são princípios da LGPD, a gestão de conteúdo do portal institucional também é instrumento de proteção de dados pessoais. Assim, o direito de acesso à informação é melhor resguardado através da gestão do conteúdo com estabelecimento de responsabilidades, deveres, direitos e prerrogativas de setores e agentes públicos atuantes no tratamento e na publicação das informações. É m u i t o i m p o r t a n t e o aprimoramento da política de transparência com a finalidade de garantir a adequação dos conteúdos aos requisitos legais e aos normativos dos órgãos superiores do Poder Judiciário, assegurando-se também direitos e garantias fundamentais relacionados à privacidade. Assim, as unidades responsáveis pela elaboração do conteúdo e pela atualização no portal devem conhecer as regras de transparência, inclusive quanto ao uso de dados contidos em arquivos, que devem ser disponibilizados em formato aberto e não proprietário. Além disso, devem aplicar as políticas e diretrizes de proteção de dados pessoais. Nessa linha, deve ser vedada a veiculação de conteúdo no sítio eletrônico e/ou portais com finalidade de armazenar, distribuir, transmitir, difundir, ou pôr à disposição de terceiros qualquer material que por si mesmo ou cuja veiculação: – seja contrária à lei, aos direitos e garantias fundamentais e à ordem pública; – seja contrário ao direito, à honra, à intimidade pessoal e familiar ou à própria imagem das pessoas; – infrinja norma sobre segredo das comunicações. Em relação ao usuário do sítio eletrônico, deve ficar ciente de que é proibido por lei prejudicar os direitos e interesses de terceiros e tentar violar os meios técnicos de proteção ao conteúdo do sítio, de acordo com termo de uso e política de privacidade do sítio eletrônico. • As informações cadastradas no sítio (nome, números de documentos pessoais, endereço, telefone, e-mail, dados de conexão) devem ser mantidas em sigilo nos bancos de dados do sítio eletrônico do órgão.

Somente servidores autorizados têm acesso às informações pessoais fornecidas pelo usuário; • O órgão não utilizará os dados pessoais do usuário, salvo por força de lei. Atualmente, os portais eletrônicos já devem providenciar a apresentação dos avisos de cookies e a política de privacidade para navegação. S E G U R A N Ç A D A INFORMAÇÃO E LGPD O tema “segurança da informação” deve ser visto com muita atenção pelas instituições sob a perspectiva da proteção e da integridade de dados pessoais. As atividades de tratamento de dados pessoais deverão observar o princípio da segurança, que consiste na utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. É importante dizer que as normas acerca dos incidentes de violações não são detalhadas em termos de processos ou ferramentas, consistindo em diretrizes para melhor governança dos dados pessoais. De acordo com a LGPD, o tratamento de dados pessoais será irregular quando não fornecer a segurança que o titular dele pode esperar, considerando-se a análise do modo pelo qual é realizado, o resultado e os riscos que razoavelmente dele se esperam e as técnicas de tratamento de dados disponíveis à época em que foi realizado. Em caso de violações aos dados pessoais, a lei determina a comunicação, em tempo razoável, à autoridade nacional de proteção de dados e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano aos titulares. Estabelece os requisitos mínimos da comunicação, que incluem a descrição dos dados afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, os riscos relacionados ao incidente, os motivos da demora, no caso de a comunicação não ter sido imediata e, ainda, as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo. A autoridade nacional verificará a gravidade do incidente e poderá determinar que o controlador faça ampla divulgação nos meios de comunicação sobre o fato e tome medidas para reverter ou mitigar suas consequências. O juízo de gravidade do incidente deverá levar em consideração a comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los

Voltar ao topo

SGC em Revista - 2ª Edição

Sumário