Fiscalização: TC e LGPD

A proteção de dados pessoais tornou-se um pilar fundamental da atuação do Estado, exigindo adaptações significativas na forma como os órgãos públicos coletam, tratam e compartilham informações. Nesse cenário, a Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018) impôs novos desafios e responsabilidades à Administração Pública, incluindo os Tribunais de Contas (TCs). A fiscalização do cumprimento da LGPD pelos entes jurisdicionados é uma tarefa complexa que demanda uma atuação estratégica e coordenada por parte das cortes de contas.

A integração da LGPD à rotina de fiscalização dos TCs não se resume à mera verificação formal do cumprimento da lei, mas sim à avaliação da efetividade das medidas de proteção de dados implementadas pelos órgãos públicos. A análise deve considerar não apenas a conformidade legal, mas também a adoção de boas práticas de governança de dados, a implementação de medidas de segurança adequadas e a cultura de proteção de dados no âmbito do ente fiscalizado.

Este artigo aborda os principais aspectos da fiscalização da LGPD pelos Tribunais de Contas, explorando as competências, os desafios e as melhores práticas para uma atuação eficaz e em conformidade com a legislação vigente.

Competência dos Tribunais de Contas na Fiscalização da LGPD

A competência dos Tribunais de Contas para fiscalizar a aplicação da LGPD decorre de sua missão constitucional de zelar pela boa gestão dos recursos públicos e pelo cumprimento da lei na Administração Pública. A proteção de dados pessoais é um direito fundamental, e o seu descumprimento pode acarretar prejuízos não apenas aos titulares dos dados, mas também à própria Administração, seja por meio de sanções administrativas, ações judiciais ou danos à imagem e à reputação do órgão.

A atuação dos TCs na fiscalização da LGPD encontra respaldo legal em diversos dispositivos, como o artigo 71 da Constituição Federal, que atribui aos TCs o controle externo da Administração Pública, e o artigo 33 da Lei Orgânica do Tribunal de Contas da União (LOTCU), que estabelece a competência do TCU para "fiscalizar a aplicação de quaisquer recursos repassados pela União a Estado, ao Distrito Federal ou a Município".

A LGPD, por sua vez, prevê a atuação dos órgãos de controle na fiscalização do cumprimento da lei, como o artigo 55-J, que atribui à Autoridade Nacional de Proteção de Dados (ANPD) a competência para "fiscalizar e aplicar sanções". A ANPD e os TCs podem atuar de forma complementar, compartilhando informações e coordenando ações de fiscalização para garantir a efetividade da proteção de dados na Administração Pública.

O Papel da ANPD e a Cooperação com os TCs

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão central responsável pela fiscalização e aplicação da LGPD no Brasil. No entanto, a atuação da ANPD não exclui a competência dos Tribunais de Contas para fiscalizar o cumprimento da lei no âmbito de suas respectivas jurisdições.

A cooperação entre a ANPD e os TCs é fundamental para o sucesso da implementação da LGPD na Administração Pública. A troca de informações, a realização de ações conjuntas de fiscalização e a elaboração de orientações e diretrizes comuns podem contribuir para a harmonização das práticas de proteção de dados e para a redução de custos e de esforços redundantes.

A Resolução nº 1/2021 da ANPD estabelece as diretrizes para a cooperação entre a Autoridade e os órgãos de controle, prevendo a possibilidade de celebração de acordos de cooperação técnica, a realização de ações conjuntas de fiscalização e o compartilhamento de informações. A cooperação entre a ANPD e os TCs é um passo importante para a consolidação da cultura de proteção de dados no Brasil.

Desafios na Fiscalização da LGPD pelos TCs

A fiscalização da LGPD pelos Tribunais de Contas apresenta diversos desafios, que exigem a adoção de novas abordagens e metodologias de auditoria. Alguns dos principais desafios incluem:

• Complexidade da LGPD: A LGPD é uma lei complexa, que exige um conhecimento aprofundado de seus princípios, conceitos e regras. A capacitação dos auditores e a elaboração de guias e manuais de orientação são fundamentais para o sucesso da fiscalização.
• Volume de Dados: A Administração Pública trata um volume imenso de dados pessoais, o que dificulta a fiscalização e exige o uso de ferramentas de análise de dados e de inteligência artificial para identificar riscos e irregularidades.
• Diversidade de Entes Jurisdicionados: Os TCs fiscalizam uma grande variedade de entes públicos, com diferentes níveis de maturidade em relação à proteção de dados. A adoção de abordagens proporcionais e baseadas em risco é essencial para garantir a efetividade da fiscalização.
• Falta de Recursos: A fiscalização da LGPD exige recursos financeiros e humanos, que muitas vezes são escassos nos Tribunais de Contas. A busca por parcerias e a otimização dos recursos disponíveis são fundamentais para garantir a sustentabilidade das ações de fiscalização.

Metodologia de Fiscalização da LGPD

A fiscalização da LGPD pelos Tribunais de Contas deve ser baseada em uma metodologia estruturada e adaptável às características de cada ente jurisdicionado. A metodologia deve contemplar as seguintes etapas:

• Planejamento: A fase de planejamento envolve a identificação dos riscos, a definição do escopo da fiscalização e a elaboração do plano de auditoria. O plano de auditoria deve contemplar os objetivos da fiscalização, os critérios de auditoria, os procedimentos a serem adotados e o cronograma das atividades.
• Execução: A fase de execução envolve a coleta de evidências, a realização de entrevistas, a análise de documentos e a aplicação de testes de conformidade. A coleta de evidências deve ser realizada de forma objetiva e imparcial, e os resultados devem ser documentados de forma clara e concisa.
• Relatório: A fase de relatório envolve a elaboração do relatório de auditoria, que deve conter os achados da fiscalização, as conclusões e as recomendações. O relatório de auditoria deve ser claro, conciso e objetivo, e deve ser apresentado ao ente jurisdicionado para que este possa se manifestar e apresentar um plano de ação para a correção das irregularidades identificadas.
• Monitoramento: A fase de monitoramento envolve o acompanhamento da implementação das recomendações e do plano de ação apresentado pelo ente jurisdicionado. O monitoramento deve ser realizado de forma contínua e sistemática, e os resultados devem ser comunicados ao ente jurisdicionado e à sociedade.

Aspectos a serem avaliados na Fiscalização

A fiscalização da LGPD pelos Tribunais de Contas deve avaliar os seguintes aspectos:

• Governança de Dados: A existência de uma política de proteção de dados, a nomeação de um Encarregado pelo Tratamento de Dados Pessoais (DPO) e a implementação de um programa de governança de dados.
• Transparência e Consentimento: A disponibilização de informações claras e acessíveis sobre o tratamento de dados pessoais, a obtenção do consentimento do titular dos dados quando necessário e a garantia dos direitos dos titulares dos dados.
• Segurança da Informação: A implementação de medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, perdas, destruição ou alterações acidentais ou ilícitas.
• Compartilhamento de Dados: A existência de acordos de compartilhamento de dados que garantam a proteção dos dados pessoais e a conformidade com a LGPD.
• Gestão de Incidentes de Segurança: A existência de um plano de resposta a incidentes de segurança e a notificação da ANPD e dos titulares dos dados em caso de incidentes que possam acarretar risco ou dano relevante.

Jurisprudência e Normativas Relevantes

A jurisprudência e as normativas relacionadas à LGPD estão em constante evolução, e é fundamental que os Tribunais de Contas acompanhem as decisões e as orientações da ANPD, do Poder Judiciário e de outros órgãos de controle:

• Decisões da ANPD: A ANPD tem emitido diversas decisões e orientações sobre a aplicação da LGPD, que devem ser consideradas pelos Tribunais de Contas na fiscalização da lei.
• Jurisprudência do STF e do STJ: O Supremo Tribunal Federal (STF) e o Superior Tribunal de Justiça (STJ) têm proferido decisões importantes sobre a proteção de dados pessoais, que podem impactar a atuação dos Tribunais de Contas.
• Normativas dos TCs: Diversos Tribunais de Contas têm editado normativas e guias de orientação sobre a fiscalização da LGPD, que podem servir de referência para outros TCs.

Orientações Práticas para a Fiscalização da LGPD

A fiscalização da LGPD pelos Tribunais de Contas deve ser orientada por princípios de proporcionalidade, razoabilidade e eficiência. Algumas orientações práticas para a fiscalização da LGPD incluem:

• Foco no Risco: A fiscalização deve priorizar os entes jurisdicionados e as atividades que apresentam maior risco de descumprimento da LGPD e de danos aos titulares dos dados.
• Abordagem Educativa e Preventiva: A fiscalização deve ter um caráter educativo e preventivo, buscando orientar e capacitar os entes jurisdicionados para o cumprimento da LGPD.
• Cooperação e Compartilhamento de Informações: A cooperação com a ANPD e com outros órgãos de controle é fundamental para o sucesso da fiscalização da LGPD.
• Uso de Tecnologia: O uso de ferramentas de análise de dados e de inteligência artificial pode otimizar a fiscalização da LGPD e aumentar a sua efetividade.

Conclusão

A fiscalização da LGPD pelos Tribunais de Contas é um desafio complexo e importante, que exige uma atuação estratégica, coordenada e baseada em risco. A proteção de dados pessoais é um direito fundamental, e o seu cumprimento pela Administração Pública é essencial para a garantia da transparência, da responsabilidade e da confiança da sociedade nas instituições públicas. A atuação dos TCs, em cooperação com a ANPD e com outros órgãos de controle, é fundamental para o sucesso da implementação da LGPD no Brasil e para a consolidação de uma cultura de proteção de dados no setor público.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.