A Lei Geral de Proteção de Dados (LGPD) — Lei nº 13.709/2018 — estabeleceu um novo paradigma no tratamento de dados pessoais no Brasil, exigindo que organizações públicas e privadas se adaptem a um modelo rigoroso de proteção e privacidade. No âmbito dos Tribunais de Contas (TCs), a aplicação da LGPD ganha contornos específicos, dada a natureza de suas funções constitucionais e o volume expressivo de dados sensíveis que manuseiam diariamente. Este guia busca fornecer uma análise abrangente sobre a interseção entre os TCs e a LGPD, oferecendo orientações práticas e fundamentação legal para profissionais do setor público.
A LGPD e a Atividade de Controle Externo
A LGPD, embora abrangente, não se aplica de forma idêntica a todas as atividades do Estado. No contexto dos TCs, a lei incide sobre o tratamento de dados pessoais realizado no exercício de suas competências, mas com ressalvas importantes. O artigo 4º, inciso III, alínea "b" da LGPD, por exemplo, excetua a aplicação da lei ao tratamento de dados realizado para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais.
Entretanto, as atividades de controle externo, como auditorias, inspeções e análises de contas, não se enquadram nessas exceções de forma automática. O tratamento de dados pessoais no âmbito dessas atividades deve, portanto, observar os princípios e regras da LGPD, garantindo a transparência, a finalidade legítima e a segurança das informações.
A Necessidade e Proporcionalidade no Tratamento de Dados
A atuação dos TCs frequentemente exige o acesso a bases de dados contendo informações pessoais de servidores públicos, pensionistas, licitantes e outros atores envolvidos na gestão de recursos públicos. O acesso a esses dados, no entanto, deve ser pautado pelos princípios da necessidade e proporcionalidade, previstos no artigo 6º da LGPD.
O princípio da necessidade (art. 6º, III) impõe que o tratamento de dados seja limitado ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados. Na prática, isso significa que os TCs devem solicitar e analisar apenas os dados estritamente necessários para a execução de suas auditorias e fiscalizações.
O princípio da proporcionalidade, por sua vez, exige que o tratamento de dados seja adequado à finalidade pretendida, sem onerar excessivamente os direitos do titular dos dados. A análise da proporcionalidade deve ponderar o interesse público na fiscalização com o direito à privacidade e proteção de dados do indivíduo.
Compartilhamento de Dados entre TCs e Outros Órgãos
O compartilhamento de dados pessoais entre os TCs e outros órgãos públicos é uma prática comum e essencial para a eficácia do controle externo. A LGPD, em seu artigo 26, estabelece regras para o uso compartilhado de dados pelo Poder Público.
De acordo com o § 1º do art. 26, o uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º desta Lei.
No caso dos TCs, o compartilhamento de dados com órgãos de controle interno, Ministério Público e outras instituições deve ser justificado pela necessidade de instruir processos de fiscalização ou investigação, sempre observando a segurança das informações e a finalidade legítima do compartilhamento. É fundamental que os acordos de cooperação técnica e instrumentos congêneres que preveem o compartilhamento de dados estabeleçam cláusulas claras sobre a proteção e segurança das informações, em conformidade com a LGPD.
A Resolução nº 45/2021 do CNJ e a Proteção de Dados
A Resolução nº 45/2021 do Conselho Nacional de Justiça (CNJ) dispõe sobre a política de proteção de dados pessoais no âmbito do Poder Judiciário. Embora direcionada ao Judiciário, a Resolução serve de parâmetro importante para os TCs, que também exercem funções jurisdicionais.
A Resolução nº 45/2021 enfatiza a necessidade de adoção de medidas técnicas e administrativas para garantir a segurança dos dados pessoais, bem como a implementação de programas de governança em privacidade. Os TCs, em consonância com as diretrizes do CNJ, devem estabelecer políticas internas de proteção de dados, promover a capacitação de seus servidores e nomear um Encarregado de Proteção de Dados (DPO), conforme exigido pelo artigo 41 da LGPD.
O Papel do Encarregado de Proteção de Dados (DPO) nos TCs
A LGPD, em seu artigo 41, exige que o controlador de dados indique um Encarregado pelo Tratamento de Dados Pessoais (DPO). No âmbito dos TCs, a figura do DPO é fundamental para garantir a conformidade com a lei e orientar as práticas internas de tratamento de dados.
O DPO nos TCs deve ter autonomia e independência para exercer suas funções, que incluem:
- Aceitar reclamações e comunicações dos titulares: Receber e responder a solicitações dos titulares de dados, como pedidos de acesso, retificação ou exclusão de informações.
- Prestar esclarecimentos e adotar providências: Orientar os servidores do TC sobre as melhores práticas de proteção de dados e atuar na resolução de incidentes de segurança.
- Receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD): Interagir com a ANPD, prestando informações e respondendo a questionamentos sobre o tratamento de dados pelo TC.
- Orientar os funcionários e os contratados do TC: Promover treinamentos e ações de conscientização sobre a LGPD e a importância da proteção de dados.
A escolha do DPO deve recair sobre um profissional com conhecimento jurídico e técnico em proteção de dados, capaz de dialogar com as áreas técnicas e jurídicas do TC.
Jurisprudência e Normativas Relevantes
A jurisprudência brasileira tem se consolidado no sentido de reconhecer a importância da proteção de dados pessoais no âmbito da administração pública. Decisões recentes do Supremo Tribunal Federal (STF) e do Superior Tribunal de Justiça (STJ) têm reafirmado a necessidade de observância da LGPD pelas instituições públicas.
O STF, por exemplo, na Ação Direta de Inconstitucionalidade (ADI) 6387, reconheceu o direito fundamental à proteção de dados pessoais, limitando o compartilhamento de dados de telecomunicações com o Instituto Brasileiro de Geografia e Estatística (IBGE). Essa decisão, embora não se refira diretamente aos TCs, estabelece um precedente importante sobre os limites do tratamento de dados pelo Estado.
No âmbito dos TCs, diversas cortes de contas têm editado resoluções e normativas internas para adequar suas atividades à LGPD. O Tribunal de Contas da União (TCU), por exemplo, aprovou a Resolução-TCU nº 331/2021, que institui a Política de Privacidade e Proteção de Dados Pessoais do TCU. A Resolução estabelece diretrizes para o tratamento de dados pessoais no TCU, incluindo a necessidade de consentimento, a transparência e a segurança das informações.
Orientações Práticas para Profissionais do Setor Público
Para os profissionais que atuam no âmbito dos TCs, a adequação à LGPD exige a adoção de medidas práticas e a mudança de cultura organizacional. Algumas orientações importantes incluem:
- Mapeamento de Dados: Realizar um inventário detalhado de todos os dados pessoais tratados pelo TC, identificando a finalidade, a base legal e o fluxo das informações.
- Adequação de Contratos e Convênios: Revisar os contratos e convênios firmados pelo TC, inserindo cláusulas que garantam a proteção de dados pessoais em conformidade com a LGPD.
- Implementação de Medidas de Segurança: Adotar medidas técnicas e administrativas robustas para proteger os dados pessoais contra acessos não autorizados, vazamentos e outras violações de segurança.
- Capacitação Contínua: Promover treinamentos periódicos para os servidores do TC sobre a LGPD, as políticas internas de proteção de dados e as melhores práticas de segurança da informação.
- Criação de Canais de Atendimento: Estabelecer canais eficientes para o atendimento às solicitações dos titulares de dados, garantindo o exercício de seus direitos previstos na LGPD.
- Transparência: Divulgar a Política de Privacidade e Proteção de Dados do TC de forma clara e acessível ao público, informando sobre as práticas de tratamento de dados da instituição.
Conclusão
A adequação dos Tribunais de Contas à LGPD é um processo contínuo que exige o comprometimento de todos os servidores e a adoção de medidas técnicas, administrativas e jurídicas. A proteção de dados pessoais não deve ser vista como um obstáculo à atividade de controle externo, mas sim como um princípio fundamental que fortalece a confiança da sociedade nas instituições públicas. A observância da LGPD pelos TCs garante a transparência, a segurança e a legalidade no tratamento de dados, contribuindo para a consolidação de um Estado Democrático de Direito pautado pelo respeito aos direitos fundamentais.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.