Controle: TC e LGPD

A Lei Geral de Proteção de Dados (LGPD) — Lei nº 13.709/2018 — transformou a gestão da informação no Brasil, exigindo adaptações significativas de todos os setores, especialmente da Administração Pública. No cerne dessa transformação encontra-se o delicado equilíbrio entre a transparência, pilar do Estado Democrático de Direito, e a proteção dos dados pessoais dos cidadãos. É nesse contexto que os Tribunais de Contas (TCs) desempenham um papel crucial, não apenas como órgãos de controle externo, mas também como agentes indutores e fiscalizadores da conformidade com a LGPD no âmbito público.

Este artigo explora a interseção entre o controle exercido pelos Tribunais de Contas e a aplicação da LGPD, analisando os desafios, as normativas pertinentes e as orientações práticas para os profissionais do setor público envolvidos nesse processo.

A LGPD e a Administração Pública: Um Paradigma em Evolução

A LGPD, em seu artigo 23, estabelece que o tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527/2011 (Lei de Acesso à Informação - LAI) deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.

Essa premissa fundamental exige que a Administração Pública justifique a coleta, o armazenamento e o tratamento de dados pessoais, demonstrando a necessidade e a adequação dessas ações para o cumprimento de suas funções. A LAI, por sua vez, garante o direito fundamental de acesso à informação, princípio basilar da transparência pública. A aparente tensão entre essas duas legislações exige uma interpretação harmoniosa, buscando conciliar o direito à informação com o direito à privacidade e à proteção de dados.

A Atuação dos Tribunais de Contas na Era da LGPD

Os Tribunais de Contas, como órgãos de controle externo, têm a responsabilidade de fiscalizar a aplicação dos recursos públicos e a legalidade, legitimidade e economicidade dos atos da Administração Pública. Com o advento da LGPD, essa fiscalização se expande para abranger a conformidade dos órgãos jurisdicionados com as normas de proteção de dados.

A atuação dos TCs nesse novo cenário se desdobra em duas frentes principais:

1. Fiscalização da Conformidade: Os TCs devem avaliar se os órgãos e entidades públicas estão implementando as medidas necessárias para garantir a proteção dos dados pessoais sob sua guarda, incluindo a nomeação do Encarregado de Proteção de Dados (DPO), a elaboração de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD) e a adoção de medidas de segurança da informação.
2. Orientação e Indução: Os TCs desempenham um papel pedagógico fundamental, orientando os gestores públicos sobre a correta aplicação da LGPD, promovendo a capacitação dos servidores e elaborando manuais e cartilhas com boas práticas.

O Controle Externo e a LGPD: Desafios e Oportunidades

A integração da LGPD nas práticas de controle externo apresenta desafios significativos, mas também abre oportunidades para o aprimoramento da gestão pública.

O Acesso a Dados Pessoais pelos Tribunais de Contas

Um dos principais desafios reside no acesso aos dados pessoais necessários para o exercício do controle externo. A LGPD, em seu artigo 7º, inciso III, autoriza o tratamento de dados pessoais pela Administração Pública para a execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres. No entanto, o acesso a dados sensíveis, como informações de saúde ou dados bancários, exige cautela redobrada e justificativa robusta, observando os princípios da finalidade, necessidade e adequação.

A jurisprudência tem se consolidado no sentido de reconhecer a legitimidade do acesso dos TCs a dados pessoais, desde que estritamente necessários para o cumprimento de suas atribuições constitucionais e legais, resguardando-se o sigilo das informações e a proteção da privacidade dos titulares. O Supremo Tribunal Federal (STF), em diversas decisões, tem reafirmado a importância do controle externo, ponderando-o com os direitos fundamentais à privacidade e à intimidade.

A Fiscalização da Conformidade com a LGPD

A fiscalização da conformidade com a LGPD pelos TCs exige o desenvolvimento de novas metodologias e ferramentas de auditoria. É necessário avaliar a governança de dados, a gestão de riscos, a segurança da informação e a cultura de privacidade nos órgãos jurisdicionados.

A Resolução nº 01/2021 da Associação dos Membros dos Tribunais de Contas do Brasil (Atricon), por exemplo, estabelece diretrizes para a atuação dos TCs na fiscalização da LGPD, recomendando a inclusão de quesitos específicos sobre a proteção de dados nas auditorias e inspeções.

Orientações Práticas para Profissionais do Setor Público

Para os profissionais do setor público envolvidos na gestão e no controle da informação, a LGPD exige a adoção de medidas práticas para garantir a conformidade e mitigar os riscos de sanções.

1. Mapeamento de Dados e Inventário

O primeiro passo é realizar um mapeamento completo dos dados pessoais tratados pelo órgão, identificando a finalidade, a base legal, o tempo de retenção e as medidas de segurança adotadas para cada categoria de dados. O inventário de dados é fundamental para a elaboração do Registro de Operações de Tratamento de Dados Pessoais (ROPA), exigido pela LGPD.

2. Nomeação do Encarregado de Proteção de Dados (DPO)

A LGPD exige a nomeação de um Encarregado de Proteção de Dados (DPO), responsável por atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). O DPO deve possuir conhecimentos jurídicos e técnicos sobre a LGPD e ter autonomia para exercer suas funções.

3. Elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD)

O RIPD é um documento que descreve as operações de tratamento de dados pessoais, os riscos envolvidos e as medidas adotadas para mitigá-los. A elaboração do RIPD é obrigatória em casos de tratamento de dados sensíveis ou quando houver alto risco para os direitos e liberdades fundamentais dos titulares.

4. Implementação de Medidas de Segurança da Informação

A adoção de medidas técnicas e administrativas de segurança da informação é essencial para proteger os dados pessoais contra acessos não autorizados, perda, alteração ou destruição. Isso inclui o controle de acesso, a criptografia, o backup de dados e a realização de testes de vulnerabilidade.

5. Capacitação e Conscientização

A cultura de privacidade e proteção de dados deve ser disseminada em todos os níveis do órgão. A capacitação contínua dos servidores sobre a LGPD e as boas práticas de segurança da informação é fundamental para garantir a conformidade e prevenir incidentes.

A Evolução Legislativa e Normativa (até 2026)

A legislação e as normativas relacionadas à LGPD e ao controle externo encontram-se em constante evolução. É fundamental que os profissionais do setor público acompanhem as atualizações e as novas diretrizes emitidas pela ANPD, pelo Conselho Nacional de Justiça (CNJ), pelo Conselho Nacional do Ministério Público (CNMP) e pelos próprios Tribunais de Contas.

Até 2026, espera-se uma maior consolidação da jurisprudência sobre o acesso a dados pessoais pelos TCs, bem como o aprimoramento das ferramentas e metodologias de auditoria da conformidade com a LGPD. A atuação proativa dos TCs, orientando e fiscalizando a Administração Pública, será crucial para garantir a efetividade da proteção de dados no Brasil.

Conclusão

A integração da LGPD nas práticas da Administração Pública e do controle externo representa um desafio complexo, mas necessário para garantir a transparência, a accountability e a proteção dos direitos fundamentais dos cidadãos. Os Tribunais de Contas desempenham um papel fundamental nesse processo, atuando como agentes indutores da conformidade e garantindo o equilíbrio entre o direito à informação e o direito à privacidade. A adoção de medidas práticas, a capacitação contínua e o acompanhamento das atualizações normativas são essenciais para que os profissionais do setor público naveguem com segurança nesse novo cenário, assegurando a efetividade da proteção de dados no Brasil.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.