LGPD no Setor Público: com Modelos Práticos

A Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018) revolucionou o tratamento de dados pessoais no Brasil, impondo desafios e oportunidades para todos os setores. No âmbito da Administração Pública, a adaptação à lei transcende a mera conformidade legal; trata-se de um imperativo ético e um pilar fundamental para a construção de um Estado mais transparente, eficiente e confiável. Este artigo, destinado a profissionais do setor público, como defensores, procuradores, promotores, juízes e auditores, explora os aspectos cruciais da LGPD na esfera governamental, fornecendo modelos práticos e orientações para a sua implementação eficaz.

O Desafio da Conformidade na Administração Pública

A Administração Pública, em suas diversas esferas e poderes, coleta, processa e armazena um volume colossal de dados pessoais, desde informações básicas de identificação até dados sensíveis, como saúde, biometria e filiação política. A LGPD exige que o tratamento desses dados seja realizado de forma lícita, transparente e segura, respeitando os direitos dos titulares e garantindo a responsabilização dos agentes de tratamento.

A conformidade com a LGPD no setor público apresenta desafios singulares. A complexidade estrutural, a pluralidade de sistemas legados, a cultura organizacional frequentemente resistente a mudanças e a necessidade de conciliar a proteção de dados com o princípio da publicidade (art. 37, caput, da Constituição Federal) exigem um esforço contínuo e multidisciplinar.

Fundamentos Legais e Princípios Norteadores

A aplicação da LGPD no setor público é regida por um conjunto de princípios e regras específicos, previstos nos artigos 23 a 30 da lei. Destacam-se os seguintes:

• Finalidade Pública: O tratamento de dados pessoais pela Administração Pública deve estar estritamente vinculado ao atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público (art. 23, caput, da LGPD).
• Transparência: A Administração Pública deve fornecer informações claras e acessíveis sobre o tratamento de dados pessoais, incluindo a finalidade, a base legal, a forma de tratamento e os direitos dos titulares.
• Uso Compartilhado de Dados: O compartilhamento de dados pessoais entre órgãos e entidades da Administração Pública é permitido, desde que haja previsão legal, consentimento do titular ou seja necessário para a execução de políticas públicas (art. 26 da LGPD).
• Responsabilização: A Administração Pública responde pelos danos causados em decorrência do tratamento irregular de dados pessoais, nos termos da lei (art. 42 da LGPD).

Implementação da LGPD no Setor Público: Um Guia Prático

A implementação da LGPD no setor público exige uma abordagem estruturada e contínua. A seguir, apresentamos um guia prático com as principais etapas para a conformidade.

1. Diagnóstico e Mapeamento de Dados

O primeiro passo é realizar um diagnóstico abrangente do tratamento de dados pessoais no órgão ou entidade. Isso envolve identificar:

• Quais dados são coletados?
• Qual a finalidade do tratamento?
• Qual a base legal para o tratamento?
• Quem tem acesso aos dados?
• Como os dados são armazenados e protegidos?
• Com quem os dados são compartilhados?

O mapeamento de dados (Data Mapping) é uma ferramenta essencial para essa etapa. Ele permite visualizar o ciclo de vida dos dados, desde a coleta até o descarte, identificando riscos e vulnerabilidades.

2. Adequação de Processos e Sistemas

Com base no diagnóstico, é necessário adequar os processos e sistemas à LGPD. Isso inclui:

• Revisar formulários, contratos, convênios e outros documentos para garantir a conformidade com a lei.
• Implementar medidas de segurança da informação para proteger os dados contra acesso não autorizado, vazamento, perda ou destruição (art. 46 da LGPD).
• Estabelecer procedimentos para o atendimento aos direitos dos titulares, como o acesso, a correção e a eliminação de dados (art. 18 da LGPD).
• Adequar os sistemas de informação para garantir a rastreabilidade das operações de tratamento de dados (art. 37 da LGPD).

3. Nomeação do Encarregado de Proteção de Dados (DPO)

A LGPD exige que os órgãos e entidades da Administração Pública nomeiem um Encarregado de Proteção de Dados (DPO), que será o responsável por orientar a instituição sobre as práticas de proteção de dados, atuar como canal de comunicação com os titulares e com a Autoridade Nacional de Proteção de Dados (ANPD) (art. 41 da LGPD). O DPO deve ter conhecimento técnico e jurídico sobre a lei e possuir autonomia para o exercício de suas funções.

4. Treinamento e Conscientização

A conformidade com a LGPD requer uma mudança de cultura organizacional. É fundamental promover o treinamento e a conscientização dos servidores públicos sobre a importância da proteção de dados, os princípios da lei e as responsabilidades de cada um no tratamento de dados pessoais.

5. Elaboração de Documentos Essenciais

A implementação da LGPD exige a elaboração de diversos documentos, como:

• Política de Privacidade: Documento que descreve as práticas de tratamento de dados pessoais do órgão ou entidade, incluindo a finalidade, a base legal, a forma de tratamento, os direitos dos titulares e as medidas de segurança adotadas.
• Termo de Uso e Consentimento: Documento que formaliza o consentimento do titular para o tratamento de seus dados pessoais, quando necessário.
• Relatório de Impacto à Proteção de Dados Pessoais (RIPD): Documento que avalia os riscos do tratamento de dados pessoais e as medidas para mitigá-los (art. 38 da LGPD).
• Plano de Resposta a Incidentes de Segurança: Documento que define os procedimentos a serem adotados em caso de vazamento ou outro incidente de segurança envolvendo dados pessoais (art. 48 da LGPD).

Jurisprudência e Normativas Relevantes

A jurisprudência e as normativas sobre a LGPD no setor público estão em constante evolução. Destacam-se:

• Acórdãos do Tribunal de Contas da União (TCU): O TCU tem proferido decisões importantes sobre a aplicação da LGPD na Administração Pública Federal, orientando os órgãos e entidades sobre a necessidade de adequação à lei e a importância da segurança da informação.
• Resoluções da Autoridade Nacional de Proteção de Dados (ANPD): A ANPD tem editado resoluções que regulamentam a aplicação da LGPD, como a Resolução nº 2/2022, que estabelece diretrizes para a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
• Guias e Manuais do Governo Federal: O Governo Federal tem publicado guias e manuais para orientar os órgãos e entidades da Administração Pública Federal na implementação da LGPD, como o Guia de Boas Práticas em Proteção de Dados Pessoais.

Modelos Práticos para a Administração Pública

Para auxiliar os profissionais do setor público na implementação da LGPD, disponibilizamos modelos práticos que podem ser adaptados à realidade de cada órgão ou entidade.

Modelo 1: Termo de Consentimento para Tratamento de Dados Pessoais

Este termo deve ser utilizado quando o consentimento do titular for a base legal para o tratamento de dados pessoais (art. 7º, I, da LGPD).

TERMO DE CONSENTIMENTO PARA TRATAMENTO DE DADOS PESSOAIS

Eu, [Nome do Titular], portador do CPF nº [Número do CPF], concordo e consinto expressamente com o tratamento de meus dados pessoais pelo [Nome do Órgão ou Entidade], para a finalidade de [Descrever a finalidade do tratamento de forma clara e específica].

Estou ciente de que o tratamento dos meus dados pessoais será realizado em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e com a Política de Privacidade do [Nome do Órgão ou Entidade].

Tenho ciência de que posso revogar este consentimento a qualquer momento, mediante solicitação formal ao [Nome do Órgão ou Entidade], por meio do e-mail [E-mail do DPO] ou do portal [Endereço do Portal].

[Local e Data]

[Assinatura do Titular]

Modelo 2: Cláusula de Proteção de Dados em Contratos Administrativos

Esta cláusula deve ser incluída em todos os contratos administrativos que envolvam o tratamento de dados pessoais (art. 26, § 1º, da LGPD).

CLÁUSULA X - DA PROTEÇÃO DE DADOS PESSOAIS

As partes comprometem-se a cumprir a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) e demais legislações aplicáveis à proteção de dados pessoais, no âmbito da execução deste contrato.

A CONTRATADA deverá adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

A CONTRATADA deverá notificar a CONTRATANTE, no prazo máximo de 24 (vinte e quatro) horas, caso tenha conhecimento de qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados.

A CONTRATADA deverá colaborar com a CONTRATANTE no atendimento aos direitos dos titulares dos dados e nas solicitações da Autoridade Nacional de Proteção de Dados (ANPD).

Modelo 3: Aviso de Privacidade para o Site do Órgão ou Entidade

Este aviso deve estar disponível no site do órgão ou entidade, informando os usuários sobre as práticas de tratamento de dados pessoais.

AVISO DE PRIVACIDADE

O [Nome do Órgão ou Entidade] tem o compromisso de proteger a privacidade e os dados pessoais de seus usuários, em conformidade com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Ao utilizar nosso site, você concorda com a nossa Política de Privacidade, que descreve como coletamos, usamos, armazenamos e protegemos seus dados pessoais.

Para exercer seus direitos como titular de dados, entre em contato com nosso Encarregado de Proteção de Dados (DPO) pelo e-mail [E-mail do DPO].

Conclusão

A adequação à LGPD no setor público é um processo complexo, mas fundamental para garantir a proteção dos dados pessoais dos cidadãos e a transparência da Administração Pública. A implementação de medidas de segurança da informação, a nomeação do Encarregado de Proteção de Dados (DPO), a elaboração de documentos essenciais e a conscientização dos servidores públicos são passos cruciais para a conformidade com a lei. A utilização de modelos práticos, como os apresentados neste artigo, pode facilitar o processo de adequação e garantir que o tratamento de dados pessoais seja realizado de forma lícita, transparente e segura.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse minuta.tech para mais recursos.