A convergência entre a transparência da administração pública, exigida pelo modelo constitucional de controle externo exercido pelos Tribunais de Contas, e a proteção de dados pessoais, imposta pela Lei Geral de Proteção de Dados (LGPD), representa um dos maiores desafios contemporâneos para a gestão pública. O Tribunal de Contas da União (TCU), como órgão de controle da União, tem desempenhado papel fundamental na harmonização desses dois pilares, buscando o equilíbrio entre o acesso à informação e a privacidade. Este artigo examina a atuação do TCU nesse cenário, analisando a fundamentação legal, a jurisprudência relevante e as orientações práticas para a implementação da LGPD no contexto do controle externo.
O Controle Externo e a Transparência Pública
O controle externo da administração pública, exercido pelo Congresso Nacional com o auxílio do TCU, encontra sua base constitucional nos artigos 70 e 71 da Constituição Federal de 1988 (CF/88). Esse controle abrange a fiscalização contábil, financeira, orçamentária, operacional e patrimonial da União e das entidades da administração direta e indireta, quanto à legalidade, legitimidade, economicidade, aplicação das subvenções e renúncia de receitas. A CF/88 estabelece como princípio fundamental da administração pública a publicidade (art. 37, caput), o que se traduz na obrigatoriedade de transparência dos atos e gastos públicos.
A Lei de Acesso à Informação (LAI - Lei nº 12.527/2011) regulamentou o direito constitucional de acesso à informação, consolidando a transparência ativa e passiva como instrumentos essenciais para o controle social e a accountability governamental. O TCU, por sua vez, tem sido um promotor ativo da transparência, publicando suas decisões, relatórios e processos em seu portal, além de exigir a mesma postura dos órgãos jurisdicionados.
A LGPD e a Proteção de Dados Pessoais
A Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018) instituiu um marco regulatório para o tratamento de dados pessoais no Brasil, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade, bem como o livre desenvolvimento da personalidade da pessoa natural (art. 1º). A LGPD aplica-se a qualquer operação de tratamento de dados pessoais realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que o tratamento seja realizado no território nacional, a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional, ou os dados pessoais objeto do tratamento tenham sido coletados no território nacional (art. 3º).
A lei estabelece princípios norteadores para o tratamento de dados, como finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas (art. 6º). Além disso, define bases legais para o tratamento, como o consentimento do titular, o cumprimento de obrigação legal ou regulatória, a execução de políticas públicas, a execução de contrato e o legítimo interesse do controlador (art. 7º).
A Intersecção entre Controle Externo e LGPD
A intersecção entre o controle externo e a LGPD levanta questionamentos complexos. Como conciliar a necessidade de transparência e o acesso à informação para o controle social e a fiscalização com a proteção dos dados pessoais dos cidadãos, servidores públicos e demais envolvidos nas ações governamentais?
O TCU, em sua atuação, tem buscado harmonizar esses dois direitos fundamentais, reconhecendo que a transparência não é absoluta e que a proteção de dados não pode ser utilizada como escudo para ocultar irregularidades ou inviabilizar o controle externo. A LGPD, em seu art. 23, estabelece que o tratamento de dados pessoais pelas pessoas jurídicas de direito público deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.
O Papel do TCU na Harmonização
O TCU tem adotado diversas medidas para orientar os órgãos jurisdicionados na implementação da LGPD e para garantir a conformidade de suas próprias ações com a nova legislação. A Corte de Contas tem emitido acórdãos, manuais e cartilhas com orientações práticas, além de realizar auditorias e fiscalizações para avaliar o grau de maturidade dos órgãos públicos na adequação à LGPD.
Um marco importante na atuação do TCU foi a publicação do Acórdão nº 2.164/2021-TCU-Plenário, que consolidou o entendimento da Corte sobre a aplicação da LGPD no âmbito da administração pública federal. O acórdão determinou a adoção de diversas medidas pelos órgãos e entidades federais, como a nomeação do encarregado pelo tratamento de dados pessoais (DPO), a elaboração de inventário de dados pessoais, a revisão de contratos e convênios para inclusão de cláusulas de proteção de dados, e a implementação de medidas de segurança da informação.
A Transparência e a Pseudonimização
Uma das principais ferramentas para conciliar a transparência com a proteção de dados é a pseudonimização, definida pela LGPD (art. 5º, XI) como o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.
O TCU tem recomendado a utilização da pseudonimização na divulgação de informações públicas que contenham dados pessoais, como remunerações de servidores, benefícios sociais e contratações públicas. Dessa forma, é possível garantir o acesso à informação para o controle social, preservando a identidade dos titulares dos dados.
A LGPD e as Auditorias do TCU
A LGPD não impede o acesso do TCU a dados pessoais necessários para a realização de suas auditorias e fiscalizações. O tratamento de dados pessoais pelo TCU para fins de controle externo encontra respaldo legal no cumprimento de obrigação legal ou regulatória (art. 7º, II, da LGPD) e na execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres (art. 7º, III, da LGPD).
No entanto, o TCU deve observar os princípios da LGPD em suas ações, como a finalidade, a adequação e a necessidade, coletando apenas os dados estritamente necessários para a realização da auditoria e garantindo a segurança e a confidencialidade das informações.
Orientações Práticas para Profissionais do Setor Público
A implementação da LGPD no setor público exige uma mudança de cultura e a adoção de medidas práticas para garantir a conformidade com a legislação. Algumas orientações importantes para profissionais do setor público incluem:
- Nomeação do Encarregado (DPO): É fundamental designar um encarregado pelo tratamento de dados pessoais, com conhecimento da LGPD e capacidade de atuar como canal de comunicação entre o órgão, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
- Inventário de Dados: Realizar um mapeamento completo dos dados pessoais tratados pelo órgão, identificando a finalidade, a base legal, o tempo de retenção e as medidas de segurança adotadas.
- Revisão de Processos e Contratos: Revisar os processos internos e os contratos com terceiros para garantir a conformidade com a LGPD, incluindo cláusulas de proteção de dados e estabelecendo responsabilidades claras.
- Implementação de Medidas de Segurança: Adotar medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, perdas, destruição ou alterações.
- Treinamento e Conscientização: Promover o treinamento e a conscientização dos servidores públicos sobre a importância da proteção de dados e as obrigações impostas pela LGPD.
- Políticas de Privacidade e Termos de Uso: Elaborar e publicar políticas de privacidade e termos de uso claros e acessíveis, informando aos titulares dos dados sobre como suas informações são tratadas.
- Atendimento aos Direitos dos Titulares: Estabelecer procedimentos para atender às solicitações dos titulares de dados, como acesso, retificação, exclusão e portabilidade.
A Evolução Jurisprudencial e Normativa até 2026
Até o ano de 2026, espera-se uma consolidação da jurisprudência do TCU e da atuação da ANPD em relação à aplicação da LGPD no setor público. A ANPD deverá publicar regulamentações específicas sobre temas como a transferência internacional de dados, a comunicação de incidentes de segurança e a aplicação de sanções administrativas.
O TCU, por sua vez, continuará a monitorar a implementação da LGPD pelos órgãos jurisdicionados, aprimorando suas metodologias de auditoria e emitindo novas orientações para garantir a efetividade da proteção de dados na administração pública federal. A integração entre o TCU, a ANPD e outros órgãos de controle será fundamental para o desenvolvimento de uma cultura de proteção de dados no setor público brasileiro.
Conclusão
A harmonização entre a transparência exigida pelo controle externo e a proteção de dados pessoais imposta pela LGPD é um desafio contínuo para a administração pública. O TCU tem desempenhado um papel crucial na orientação e fiscalização dos órgãos públicos, buscando garantir o acesso à informação sem violar a privacidade dos cidadãos. A implementação efetiva da LGPD no setor público exige o comprometimento de todos os envolvidos, a adoção de medidas práticas e a constante atualização sobre as normas e jurisprudências aplicáveis, assegurando que o Estado atue de forma transparente e responsável na gestão dos dados pessoais.
Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.