A implementação da Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018) no setor público brasileiro, embora já em vigor há alguns anos, continua a apresentar um cenário complexo e em constante evolução. Para os profissionais que atuam na administração pública – desde defensores e procuradores até juízes e auditores –, compreender as nuances da LGPD, suas tendências e os desafios inerentes à sua aplicação é fundamental para garantir a conformidade legal, a segurança da informação e a proteção dos direitos dos cidadãos. Este artigo explora as principais diretrizes da LGPD aplicadas ao setor público, analisando as tendências e desafios que se desenham no horizonte, com base na legislação atualizada até 2026.
O Contexto da LGPD no Setor Público
A LGPD, em seu artigo 1º, estabelece que a lei se aplica ao tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
No entanto, o artigo 23 da mesma lei traz disposições específicas para o tratamento de dados pelo Poder Público. O caput do artigo 23 determina que as pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei de Acesso à Informação (Lei nº 12.527/2011) devem realizar o tratamento de dados pessoais para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.
O Princípio da Finalidade Pública
A pedra angular do tratamento de dados no setor público é a finalidade pública. O artigo 23, I, da LGPD, exige que as entidades públicas informem as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.
Isso significa que a administração pública não pode coletar dados de forma indiscriminada. Cada dado coletado deve ter um propósito claro e diretamente ligado ao cumprimento das obrigações legais do órgão. A transparência, prevista no artigo 6º, VI, da LGPD, é essencial: o cidadão deve saber exatamente por que seus dados estão sendo coletados e como serão utilizados.
Desafios na Implementação da LGPD no Setor Público
Apesar da clareza dos princípios da LGPD, sua aplicação prática na administração pública enfrenta diversos obstáculos.
1. Adequação da Infraestrutura e Cultura Organizacional
Muitos órgãos públicos ainda operam com sistemas legados e infraestrutura de TI obsoleta, o que dificulta a implementação de medidas robustas de segurança da informação, como a anonimização ou pseudonimização de dados, conforme previsto no artigo 13 da LGPD.
Além disso, a mudança cultural é um desafio significativo. É necessário treinar servidores públicos, desde o atendimento ao público até os gestores, para que compreendam a importância da proteção de dados e incorporem as práticas da LGPD em suas rotinas de trabalho. A criação de uma cultura de privacidade é tão importante quanto a adequação tecnológica.
2. Compartilhamento de Dados entre Órgãos Públicos
O compartilhamento de dados entre diferentes órgãos da administração pública é fundamental para a eficiência dos serviços prestados. No entanto, a LGPD impõe restrições a esse compartilhamento. O artigo 26 da lei estabelece que o uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º da LGPD.
O desafio reside em garantir que o compartilhamento seja feito de forma segura, transparente e apenas quando estritamente necessário para o cumprimento da finalidade pública. A Autoridade Nacional de Proteção de Dados (ANPD) tem emitido orientações e resoluções para guiar esse processo, mas a complexidade das relações interinstitucionais exige atenção constante.
3. A Figura do Encarregado pelo Tratamento de Dados Pessoais (DPO)
A LGPD, em seu artigo 39, determina que os órgãos públicos devem indicar um encarregado pelo tratamento de dados pessoais. O DPO (Data Protection Officer) é o ponto de contato entre o controlador (o órgão público), os titulares dos dados e a ANPD.
A escolha do DPO no setor público apresenta desafios. É necessário encontrar um profissional com conhecimento jurídico e técnico em proteção de dados, além de garantir que ele tenha autonomia e recursos para exercer suas funções de forma independente, sem conflito de interesses com as atividades do órgão. A ausência de um plano de carreira específico para DPOs no serviço público é um fator que dificulta a atração e retenção de talentos para essa função.
4. Gestão de Riscos e Incidentes de Segurança
A administração pública é um alvo frequente de ataques cibernéticos. A gestão de riscos de segurança da informação é crucial para proteger os dados pessoais sob sua guarda. A LGPD, no artigo 48, obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
Os órgãos públicos devem implementar planos de resposta a incidentes de segurança, garantindo a rápida identificação, contenção e comunicação de vazamentos de dados. A falta de recursos financeiros e de pessoal qualificado muitas vezes dificulta a criação e manutenção desses planos.
Tendências para a LGPD no Setor Público (2024-2026)
Observando a evolução da jurisprudência e as normativas da ANPD, algumas tendências se destacam para os próximos anos.
1. Maior Atuação da ANPD na Fiscalização e Sanções
A ANPD, que inicialmente adotou uma postura mais educativa, tem intensificado sua atuação fiscalizatória. Espera-se que, até 2026, a autoridade aplique sanções mais rigorosas a órgãos públicos que não cumprirem a LGPD. As multas podem chegar a 2% do faturamento (no caso de empresas públicas) ou, no caso de órgãos da administração direta, a aplicação de sanções administrativas, como advertência, publicização da infração e até mesmo a suspensão do funcionamento do banco de dados (artigo 52 da LGPD).
A Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, que aprovou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, estabeleceu critérios mais claros para a aplicação de penalidades, aumentando a previsibilidade e a segurança jurídica.
2. Integração da LGPD com a Lei de Acesso à Informação (LAI)
A harmonização entre a LGPD e a LAI é um tema recorrente. A LAI garante o direito de acesso à informação pública, enquanto a LGPD protege os dados pessoais. O desafio é encontrar o equilíbrio entre a transparência e a privacidade.
A jurisprudência tem se consolidado no sentido de que a LAI não autoriza a divulgação indiscriminada de dados pessoais, devendo ser observado o princípio da minimização (artigo 6º, III, da LGPD). A tendência é que os órgãos públicos aprimorem seus processos de resposta a pedidos de informação, garantindo o acesso aos dados públicos e protegendo os dados pessoais sensíveis ou irrelevantes para o interesse público.
3. Uso de Inteligência Artificial e Big Data
A administração pública tem utilizado cada vez mais tecnologias como Inteligência Artificial (IA) e Big Data para otimizar serviços e subsidiar a tomada de decisões. O uso dessas tecnologias no tratamento de dados pessoais exige cautela.
A LGPD, no artigo 20, garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. A tendência é que a ANPD publique diretrizes específicas para o uso de IA e algoritmos no setor público, exigindo transparência, explicabilidade e a realização de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD) em casos de alto risco.
4. O Papel do Ministério Público e dos Tribunais de Contas
O Ministério Público (MP) e os Tribunais de Contas (TCs) têm um papel fundamental na fiscalização do cumprimento da LGPD no setor público. O MP pode instaurar inquéritos civis e ajuizar ações civis públicas para garantir a proteção dos dados pessoais. Os TCs, por sua vez, podem realizar auditorias e aplicar sanções a gestores públicos que descumprirem a lei.
A tendência é que a atuação desses órgãos se intensifique, com a criação de núcleos especializados em proteção de dados e a emissão de recomendações e orientações aos gestores públicos.
Orientações Práticas para Profissionais do Setor Público
Para os profissionais que atuam na administração pública, algumas medidas práticas são essenciais para garantir a conformidade com a LGPD:
- Mapeamento de Dados: Realizar um mapeamento detalhado de todos os dados pessoais tratados pelo órgão, identificando a base legal, a finalidade e o ciclo de vida dos dados.
- Elaboração de Políticas de Privacidade e Termos de Uso: Criar documentos claros e acessíveis que informem aos cidadãos como seus dados são tratados.
- Nomeação e Capacitação do DPO: Designar um encarregado pelo tratamento de dados e garantir que ele tenha a capacitação e os recursos necessários para exercer suas funções.
- Treinamento Contínuo dos Servidores: Promover a conscientização sobre a importância da proteção de dados e treinar os servidores nas melhores práticas de segurança da informação.
- Revisão de Contratos: Revisar os contratos com fornecedores e parceiros que envolvam o tratamento de dados pessoais, incluindo cláusulas que garantam a conformidade com a LGPD.
- Elaboração de RIPD: Realizar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) em casos de tratamento de dados de alto risco, como o uso de tecnologias inovadoras ou o tratamento de dados sensíveis em larga escala.
- Plano de Resposta a Incidentes: Desenvolver e testar um plano de resposta a incidentes de segurança, garantindo a rápida comunicação à ANPD e aos titulares em caso de vazamento de dados.
Conclusão
A LGPD no setor público não é apenas uma obrigação legal, mas um imperativo ético e um pilar para a construção de uma administração pública moderna, transparente e confiável. O caminho para a conformidade é complexo e exige esforço contínuo, adaptação tecnológica e mudança cultural. A superação dos desafios e o acompanhamento das tendências legislativas e jurisprudenciais são essenciais para que os profissionais do setor público possam garantir a proteção dos dados pessoais dos cidadãos, assegurando o cumprimento da finalidade pública com segurança e respeito aos direitos fundamentais. A constante atualização e a adoção de boas práticas são as chaves para navegar com sucesso no cenário da proteção de dados no Brasil.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.