A entrada em vigor da Lei Geral de Proteção de Dados (LGPD) no Brasil representou um marco fundamental na forma como organizações, tanto públicas quanto privadas, lidam com informações pessoais. Para as Procuradorias, órgãos essenciais na defesa dos interesses do Estado e na garantia da legalidade, a adequação à LGPD é um imperativo inadiável, exigindo uma profunda revisão de processos, sistemas e, sobretudo, de cultura institucional.
Este artigo se propõe a analisar os desafios e as melhores práticas para a implementação da LGPD no âmbito das Procuradorias, fornecendo um guia prático para procuradores, defensores e demais profissionais do setor público.
A LGPD e a Administração Pública: Uma Mudança de Paradigma
A LGPD (Lei nº 13.709/2018), com suas alterações posteriores, estabelece princípios, direitos e deveres relacionados ao tratamento de dados pessoais. A lei aplica-se a qualquer operação de tratamento de dados pessoais realizada por pessoa natural ou jurídica, de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural (art. 1º, caput).
A Administração Pública, em todas as suas esferas, está sujeita à LGPD, com algumas especificidades. O tratamento de dados pessoais pelo poder público deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público (art. 23, caput).
Desafios na Implementação da LGPD nas Procuradorias
A implementação da LGPD nas Procuradorias apresenta desafios complexos, que exigem uma abordagem multidisciplinar e um comprometimento institucional.
1. Mapeamento e Classificação de Dados
O primeiro passo para a adequação à LGPD é o mapeamento de todos os dados pessoais tratados pela Procuradoria. Isso inclui dados de servidores, estagiários, terceirizados, cidadãos, partes em processos judiciais, entre outros. É fundamental identificar a finalidade do tratamento, a base legal (art. 7º), o tempo de retenção e as medidas de segurança adotadas.
A classificação dos dados é crucial para determinar o nível de proteção adequado. Dados sensíveis (origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural) exigem medidas de segurança mais rigorosas (art. 11).
2. Revisão de Processos e Sistemas
A LGPD exige que os processos e sistemas das Procuradorias sejam revistos para garantir a conformidade com os princípios da lei, como finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas (art. 6º).
Isso pode envolver a atualização de sistemas de gestão de processos judiciais, sistemas de recursos humanos, sistemas de atendimento ao cidadão e outros sistemas que tratam dados pessoais. É importante garantir que os sistemas permitam o exercício dos direitos dos titulares (art. 18), como o acesso aos dados, a correção de dados incompletos, inexatos ou desatualizados, a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei, a portabilidade dos dados e a revogação do consentimento.
3. Capacitação e Conscientização
A implementação da LGPD exige uma mudança cultural nas Procuradorias. É fundamental que todos os servidores, estagiários e terceirizados sejam capacitados sobre os princípios e as obrigações da lei. A conscientização sobre a importância da proteção de dados pessoais é essencial para garantir a conformidade com a LGPD.
A capacitação deve abranger temas como:
- Conceitos básicos da LGPD (dado pessoal, dado sensível, tratamento de dados, titular, controlador, operador, encarregado);
- Princípios da LGPD;
- Direitos dos titulares;
- Bases legais para o tratamento de dados;
- Medidas de segurança da informação;
- Procedimentos para o atendimento aos direitos dos titulares;
- Consequências do descumprimento da LGPD.
4. Nomeação do Encarregado (DPO)
A LGPD exige que o controlador (a Procuradoria) indique um encarregado pelo tratamento de dados pessoais (Data Protection Officer - DPO) (art. 41). O DPO é o responsável por atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
O DPO deve possuir conhecimentos jurídicos e técnicos sobre proteção de dados pessoais e deve ter autonomia para exercer suas funções. As atribuições do DPO incluem:
- Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
- Receber comunicações da ANPD e adotar providências;
- Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
- Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
5. Elaboração de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD)
A LGPD exige a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando o tratamento de dados pessoais puder gerar riscos às liberdades civis e aos direitos fundamentais dos titulares (art. 38). O RIPD é um documento que descreve as operações de tratamento de dados pessoais, avalia os riscos e propõe medidas para mitigá-los.
O RIPD deve ser elaborado antes do início do tratamento de dados e deve ser atualizado sempre que houver mudanças significativas no tratamento. A elaboração do RIPD é uma ferramenta importante para garantir a conformidade com a LGPD e para demonstrar a responsabilização e a prestação de contas da Procuradoria.
Melhores Práticas para a Adequação à LGPD
Para garantir a adequação à LGPD, as Procuradorias devem adotar as seguintes melhores práticas:
- Comprometimento da Alta Gestão: O apoio da alta gestão é fundamental para o sucesso da implementação da LGPD. A alta gestão deve demonstrar comprometimento com a proteção de dados pessoais e deve fornecer os recursos necessários para a adequação à lei.
- Criação de um Comitê de Privacidade: A criação de um comitê multidisciplinar para gerenciar o projeto de adequação à LGPD pode ser uma estratégia eficaz. O comitê deve envolver representantes de diferentes áreas da Procuradoria, como a área jurídica, a área de tecnologia da informação, a área de recursos humanos e a área de comunicação.
- Elaboração de Políticas e Procedimentos: A Procuradoria deve elaborar políticas e procedimentos claros e concisos sobre a proteção de dados pessoais. As políticas devem abranger temas como a coleta, o armazenamento, o uso, o compartilhamento e a eliminação de dados pessoais. Os procedimentos devem descrever as etapas para o atendimento aos direitos dos titulares, para a gestão de incidentes de segurança e para a elaboração de RIPDs.
- Implementação de Medidas de Segurança da Informação: A Procuradoria deve implementar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 46). As medidas de segurança devem ser proporcionais aos riscos envolvidos no tratamento de dados.
- Monitoramento e Auditoria: A Procuradoria deve monitorar e auditar continuamente as suas práticas de proteção de dados pessoais para garantir a conformidade com a LGPD e com as suas próprias políticas e procedimentos. O monitoramento e a auditoria devem ser realizados de forma regular e sistemática.
Conclusão
A adequação à LGPD é um processo contínuo e desafiador para as Procuradorias. No entanto, é um processo essencial para garantir a proteção dos direitos fundamentais dos cidadãos e para fortalecer a confiança na Administração Pública. A adoção de boas práticas de proteção de dados pessoais não apenas garante a conformidade com a lei, mas também contribui para a melhoria da gestão pública e para a construção de uma sociedade mais justa e transparente.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.