1. CONSIDERAÇÕES INICIAIS

Com o avanço da tecnologia e a crescente digitalização de serviços, tanto no setor privado quanto no público, o tratamento e a segurança de dados pessoais tornaram-se questões centrais em debates jurídicos e políticos. No âmbito governamental, a coleta e o processamento de dados de cidadãos são essenciais para a implementação de políticas públicas e a prestação de serviços. Informações sobre saúde, segurança, educação, habitação e outros aspectos da vida dos indivíduos são armazenadas e gerenciadas por órgãos públicos. Nesse contexto, a proteção de dados não é apenas uma questão técnica, mas envolve o cumprimento de direitos fundamentais, como a privacidade e a segurança da informação.

O setor público, em particular, enfrenta desafios únicos no que diz respeito à segurança de dados. A administração pública lida com uma quantidade imensa de informações pessoais sensíveis, muitas vezes sem o mesmo nível de investimento em segurança e infraestrutura encontrado no setor privado. Além disso, há uma expectativa social de que os dados fornecidos ao governo para a prestação de serviços sejam utilizados de forma ética e protegidos de possíveis violações. Por isso, garantir que o Estado atue com responsabilidade no tratamento dessas informações é uma tarefa complexa, que exige regulamentação adequada e um compromisso claro com a proteção dos direitos dos cidadãos.

A promulgação da Lei Geral de Proteção de Dados (LGPD) em 2018 trouxe uma mudança significativa na forma como o tratamento de dados pessoais é regulado no Brasil. Inspirada pelo Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, a LGPD impõe regras rigorosas para o setor privado e público, buscando estabelecer um equilíbrio entre a necessidade de tratamento de dados para fins legítimos e a proteção dos direitos dos titulares. Com a LGPD, o governo se vê obrigado a adotar medidas eficazes para garantir que os dados sob sua tutela sejam tratados de maneira segura, respeitando princípios como transparência, finalidade, adequação e necessidade.

Nesse artigo, abordaremos a relação entre a segurança de dados e o setor público, com foco nas responsabilidades impostas pela LGPD. Discutiremos como o tratamento de dados pelo governo deve ser conduzido à luz da legislação vigente, as particularidades das obrigações do poder público e os desafios que as instituições governamentais enfrentam para garantir a proteção adequada das informações pessoais. Ao final, será feita uma análise das consequências jurídicas e sociais do descumprimento dessas obrigações e as perspectivas para o futuro da segurança de dados no Brasil, especialmente no contexto da administração pública.

2. O PARADIGMA DA LEI GERAL DE PROTEÇÃO DE DADOS (LGPD)

A Lei Geral de Proteção de Dados (LGPD), Lei nº 13.709/2018,¹ é um marco regulatório fundamental no Brasil, responsável por disciplinar o tratamento de dados pessoais em âmbito nacional.² Sua promulgação foi motivada por um contexto global de crescente preocupação com a privacidade e a proteção de dados, especialmente após escândalos internacionais relacionados ao uso indevido de informações pessoais, como o caso Cambridge Analytica e a coleta massiva de dados por grandes corporações. A LGPD foi inspirada no Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, considerada uma das legislações mais avançadas no mundo em termos de proteção de dados pessoais.

2.1. Origem da LGPD e Contexto Global

A criação da LGPD no Brasil foi impulsionada tanto por fatores internos quanto externos. No plano internacional, a entrada em vigor do GDPR em maio de 2018, estabeleceu uma referência global sobre como os países deveriam tratar a questão da privacidade e dos dados pessoais.³ O regulamento europeu introduziu regras severas para empresas e governos em relação ao tratamento de dados, impondo sanções rigorosas para aqueles que não cumprissem os requisitos, como a obrigação de obter consentimento claro dos titulares e garantir a segurança dos dados armazenados.

Internamente, o Brasil já havia experimentado uma crescente digitalização de serviços públicos e privados, aumentando o volume de dados pessoais tratados por empresas e pelo Estado. O crescente uso de novas tecnologias em áreas como a saúde, educação e finanças gerou um ambiente propício para a coleta, armazenamento e tratamento de grandes quantidades de informações sensíveis. No entanto, até a LGPD, o Brasil carecia de uma legislação específica e robusta que abordasse de forma integrada a proteção de dados pessoais. A Constituição Federal de 1988⁴ já mencionava a inviolabilidade da intimidade e privacidade como direitos fundamentais, mas não havia uma regulamentação específica voltada à proteção de dados em ambiente digital.

2.2. A Elevação da Proteção de Dados a um Direito Fundamental

A aprovação da LGPD consolidou a ideia de que a proteção de dados é um direito fundamental dos cidadãos. A sua importância foi posteriormente reforçada pela Emenda Constitucional nº 115, de 2022, que elevou a proteção de dados pessoais, incluindo nos meios digitais, ao status de direito fundamental, inserindo-o no artigo 5º da Constituição Federal. Essa mudança significou um reconhecimento explícito do papel central que a proteção de dados desempenha em uma sociedade contemporânea digitalizada, colocando o Brasil em consonância com tendências globais de garantir o controle dos indivíduos sobre suas informações pessoais.

Com essa elevação constitucional, os órgãos públicos e privados são agora obrigados a tratar os dados pessoais com o devido respeito aos direitos fundamentais de privacidade, intimidade, liberdade e livre desenvolvimento da personalidade.⁵ Esse direito, tal como previsto na LGPD e na Constituição, busca equilibrar o uso legítimo de dados para finalidades econômicas e administrativas com a necessidade de garantir a autonomia do indivíduo sobre suas informações.

2.3. Responsabilidade no Âmbito da LGPD

A responsabilidade pelo tratamento de dados recai sobre duas figuras principais: o controlador e o operador. O controlador é a pessoa física ou jurídica, pública ou privada, que toma as decisões sobre o tratamento de dados, definindo as finalidades e os meios. O operador, por sua vez, é quem efetivamente realiza o tratamento dos dados em nome do controlador, seguindo suas instruções. Ambos são responsáveis por garantir que o tratamento de dados ocorra em conformidade com a LGPD, e ambos podem ser responsabilizados em caso de violação da lei.

A LGPD prevê uma abordagem de responsabilização objetiva, ou seja, independentemente de culpa, o controlador e o operador podem ser responsabilizados por danos causados aos titulares de dados pessoais em decorrência de violações à lei. Isso significa que, em caso de falha no tratamento seguro dos dados, os responsáveis podem ser obrigados a reparar danos materiais ou morais causados aos titulares. No entanto, a lei também estabelece exceções à responsabilidade, como quando o controlador demonstrar que não houve violação à legislação de proteção de dados ou que o dano foi causado exclusivamente por culpa do titular ou de terceiros.

Além disso, a LGPD introduz o conceito de accountability (prestação de contas), que exige que os controladores e operadores sejam proativos na adoção de medidas para garantir o cumprimento da lei e estejam preparados para demonstrar, a qualquer momento, que seguem as boas práticas de governança de dados. Isso inclui a criação de programas de conformidade, a nomeação de um encarregado de proteção de dados (DPO), a implementação de medidas de segurança da informação e a realização de auditorias periódicas.

2.4. Sanções e Fiscalização pela ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável pela fiscalização e aplicação das normas da LGPD no Brasil.⁶ Ela possui o poder de aplicar sanções administrativas em caso de descumprimento da lei, que podem variar desde advertências até multas significativas. As multas podem chegar a 2% do faturamento da empresa ou órgão, limitadas a R$ 50 milhões por infração. Outras sanções incluem a suspensão ou proibição do tratamento de dados, o que pode ter impactos severos no funcionamento de órgãos públicos e empresas que dependem de dados para suas atividades.

No setor público, a aplicação das sanções administrativas é um pouco diferente, uma vez que a legislação prevê formas alternativas de responsabilização, como a advertência e a necessidade de corrigir o tratamento de dados em desacordo com a lei. No entanto, os órgãos públicos também estão sujeitos a controles rígidos e à necessidade de conformidade, especialmente considerando que muitas das informações que tratam são de extrema sensibilidade.⁷

Em suma, a LGPD representa um avanço crucial na regulação do tratamento de dados pessoais no Brasil, impondo um novo padrão de responsabilidade para os controladores e operadores. No setor público, essa responsabilidade é amplificada, dada a natureza sensível dos dados tratados e o impacto direto que o uso inadequado dessas informações pode ter na vida dos cidadãos. O cumprimento da lei é uma obrigação não apenas legal, mas também ética, que visa garantir a confiança pública nas instituições e o respeito aos direitos fundamentais de privacidade e proteção de dados.

3. TRATAMENTO DE DADOS PELO PODER PÚBLICO

O tratamento de dados pessoais pelo poder público é uma questão central dentro da Lei Geral de Proteção de Dados (LGPD).⁸ O governo, em suas diversas esferas – federal, estadual e municipal –, lida diariamente com volumes massivos de informações pessoais, abrangendo desde dados cadastrais básicos até dados sensíveis, como históricos médicos, registros financeiros e informações sobre segurança pública. Por lidar com dados de natureza crítica e de milhões de cidadãos, a administração pública assume uma responsabilidade ampliada em relação à privacidade e segurança dessas informações. O cumprimento da LGPD, portanto, é indispensável não apenas para garantir a conformidade legal, mas também para assegurar a confiança do público nos serviços prestados pelos órgãos governamentais.

A LGPD aplica-se integralmente ao setor público, impondo regras claras e rígidas sobre como o Estado deve tratar os dados pessoais. No entanto, o tratamento de dados pelo governo possui algumas particularidades em relação ao setor privado. Enquanto empresas privadas necessitam, na maioria dos casos, obter o consentimento explícito do titular dos dados para realizar seu tratamento, o poder público, em certas situações, pode processar informações pessoais sem a necessidade de consentimento. Isso ocorre, por exemplo, quando o tratamento de dados é necessário para a execução de políticas públicas, ou quando for imprescindível para o cumprimento de obrigações legais e regulatórias. Mesmo assim, essa flexibilização não isenta os órgãos públicos de seguir os princípios estabelecidos pela LGPD, como finalidade, adequação, necessidade e transparência. O governo deve limitar-se a tratar os dados estritamente necessários para o cumprimento de suas funções e assegurar que as informações sejam utilizadas de forma compatível com a finalidade prevista.

Um dos grandes desafios enfrentados pela administração pública é o equilíbrio entre a necessidade de transparência e publicidade de suas ações e a proteção da privacidade dos cidadãos. O princípio da publicidade, consagrado na Constituição Federal, exige que os atos da administração pública sejam transparentes, permitindo o controle social e o acesso à informação. Contudo, a LGPD impõe limites a essa transparência quando envolve dados pessoais, especialmente quando esses dados são sensíveis. Assim, as informações tratadas pelo poder público precisam ser devidamente protegidas contra acessos não autorizados e usos indevidos. Por exemplo, dados relacionados à saúde dos cidadãos, armazenados em sistemas do Sistema Único de Saúde (SUS), ou informações financeiras e fiscais geridas pela Receita Federal, são altamente sensíveis e exigem robustos mecanismos de segurança. Vazamentos ou o uso indevido desses dados podem resultar não apenas em danos individuais, mas em crises de confiança no próprio sistema público.

A responsabilidade pelo tratamento adequado de dados pessoais no setor público também é regulada de maneira específica pela LGPD. A lei exige que os órgãos governamentais adotem medidas técnicas e administrativas apropriadas para proteger os dados contra acessos não autorizados, destruição acidental, vazamentos e outros incidentes que possam comprometer a privacidade dos cidadãos. Nesse contexto, a segurança da informação se torna uma preocupação central para a administração pública. Instituições governamentais precisam implementar sistemas de segurança cibernética eficientes, além de desenvolver protocolos internos de proteção de dados e promover a conscientização de seus servidores quanto à importância da privacidade.⁹

Além disso, a LGPD introduziu o conceito de “encarregado de proteção de dados” ou Data Protection Officer (DPO), figura que também deve ser instituída no setor público. O encarregado atua como um elo entre o órgão governamental e a Autoridade Nacional de Proteção de Dados (ANPD), sendo responsável por supervisionar a conformidade com a LGPD, prestar esclarecimentos aos titulares dos dados e monitorar as operações de tratamento realizadas pelos órgãos públicos. A nomeação de encarregados de dados é essencial para garantir que a administração pública adote práticas consistentes de proteção de dados e promova uma cultura de privacidade em todas as suas esferas.

Embora a LGPD tenha imposto obrigações rígidas, a implementação dessas diretrizes no setor público enfrenta desafios consideráveis. Muitos órgãos ainda operam com sistemas de tecnologia obsoletos, sem a infraestrutura adequada para garantir a segurança das informações. Além disso, a falta de investimentos contínuos em segurança da informação e capacitação de servidores agrava a vulnerabilidade dos sistemas públicos, tornando-os alvos atraentes para ataques cibernéticos. Casos de vazamentos de dados por parte de instituições públicas já ocorreram no Brasil, revelando fragilidades no sistema de proteção de dados do governo. Um exemplo notório foi o vazamento de dados do SUS, que expôs informações de milhões de brasileiros. Esses incidentes ressaltam a necessidade de modernização tecnológica urgente, bem como a importância de políticas robustas de segurança cibernética no setor público.¹⁰

Outro aspecto relevante é o tratamento de dados sensíveis.¹¹ Enquanto no setor privado o tratamento de dados sensíveis requer maior cuidado e o consentimento explícito dos titulares, no setor público o manejo dessas informações pode ser feito sem consentimento quando há interesse público envolvido. No entanto, a LGPD exige que o tratamento de dados sensíveis pelo poder público siga estritamente as finalidades legais e seja feito de forma proporcional e limitada. Isso significa que, mesmo diante de uma necessidade legal ou regulatória, os órgãos públicos devem evitar a coleta excessiva de dados e garantir que as informações tratadas sejam as estritamente necessárias para o cumprimento de suas funções. Dessa forma, busca-se evitar o uso desproporcional de dados pessoais e minimizar riscos de violações.

A responsabilidade do poder público no tratamento de dados pessoais vai além do cumprimento das diretrizes impostas pela LGPD. Ela está diretamente relacionada à confiança dos cidadãos nas instituições públicas. O descumprimento da LGPD por parte de um órgão governamental, além de sujeitá-lo a sanções e medidas corretivas aplicadas pela ANPD, pode gerar um desgaste na relação entre o governo e a população, prejudicando a legitimidade das políticas públicas e da própria administração pública. Portanto, garantir a segurança de dados e a privacidade dos cidadãos não é apenas uma questão legal, mas também uma condição essencial para o fortalecimento da democracia e do estado de direito.

Em suma, o tratamento de dados pessoais pelo poder público à luz da LGPD envolve uma série de desafios e responsabilidades. A legislação trouxe um novo patamar de exigências para a administração pública, que precisa modernizar suas práticas e sistemas, capacitar seus servidores e adotar uma cultura de privacidade robusta. Embora o poder público tenha maior flexibilidade para tratar dados sem consentimento, ele também tem a responsabilidade de assegurar que esses dados sejam protegidos e utilizados de forma ética e proporcional. Nesse cenário, o equilíbrio entre transparência e privacidade se torna fundamental para garantir tanto a eficácia dos serviços públicos quanto a proteção dos direitos individuais.

4. CONSIDERAÇÕES FINAIS

A Lei Geral de Proteção de Dados (LGPD) representa um marco fundamental na legislação brasileira ao regular o tratamento de dados pessoais, estabelecendo um novo paradigma de proteção à privacidade no Brasil. O setor público, devido à sua natureza, enfrenta desafios distintos e complexos em relação ao cumprimento dessa legislação. Embora a LGPD tenha sido elaborada com o objetivo de proteger os direitos fundamentais dos indivíduos, no caso da administração pública, ela também visa equilibrar a necessidade do governo em tratar dados pessoais para a implementação de políticas públicas e a prestação de serviços essenciais à sociedade.

O poder público, por sua vez, lida com dados em grande escala e de natureza muitas vezes sensível, como informações de saúde, segurança e registros financeiros. Nesse contexto, a LGPD impõe obrigações claras, destacando a importância de princípios como a finalidade, necessidade, transparência e segurança no tratamento de dados. Embora a administração pública tenha maior flexibilidade em certas circunstâncias, como no caso do tratamento de dados sem o consentimento explícito dos titulares para fins de cumprimento de obrigações legais ou execução de políticas públicas, isso não diminui sua responsabilidade quanto à proteção dessas informações. A adoção de medidas técnicas e organizacionais para garantir a segurança dos dados e a conformidade com a lei é um imperativo que deve ser seguido à risca.

A criação da Autoridade Nacional de Proteção de Dados (ANPD) e a figura do encarregado de proteção de dados são elementos centrais na supervisão e aplicação da LGPD no setor público. A ANPD tem um papel fundamental na fiscalização, enquanto o encarregado age como um ponto de contato para a conformidade interna, garantindo que os órgãos públicos mantenham um alto padrão de governança de dados. Entretanto, apesar do arcabouço normativo, a implementação efetiva da LGPD no setor público encontra obstáculos significativos, como a falta de infraestrutura tecnológica adequada, a carência de investimentos em segurança da informação e a necessidade de capacitação contínua dos servidores.

Além das questões operacionais, é importante destacar o impacto que a LGPD tem sobre a confiança pública nas instituições. O tratamento inadequado de dados pessoais pode gerar uma crise de legitimidade e um profundo desgaste na relação entre o governo e a população. Em um cenário de digitalização crescente, em que os dados se tornam uma moeda valiosa tanto para o desenvolvimento de políticas públicas quanto para o setor privado, o respeito à privacidade e à proteção de dados torna-se essencial para o fortalecimento da democracia e para o pleno exercício dos direitos fundamentais. Nesse sentido, a administração pública não pode ser vista apenas como uma mera coletora de informações, mas como uma guardiã da privacidade dos cidadãos.

Portanto, a implementação da LGPD no setor público requer uma abordagem integrada, que combine modernização tecnológica, transparência, capacitação de recursos humanos e a adoção de boas práticas de governança de dados.¹² A responsabilidade do Estado no tratamento de dados é ampla, abrangendo desde a proteção técnica contra vazamentos e ataques cibernéticos até a gestão ética e proporcional das informações sensíveis dos cidadãos. A segurança de dados, no entanto, vai além de uma simples exigência legal: é um compromisso social e ético que reforça o papel do governo como garantidor dos direitos fundamentais em uma era marcada pela transformação digital.

O futuro da proteção de dados no Brasil, especialmente no âmbito do setor público, depende de uma contínua evolução legislativa, regulatória e técnica. A adaptação constante a novas ameaças e o desenvolvimento de uma cultura sólida de privacidade dentro das instituições governamentais são passos fundamentais para assegurar que a LGPD seja eficaz. O cumprimento da legislação não só preserva a privacidade dos cidadãos, mas também contribui para um governo mais eficiente, transparente e confiável, capaz de utilizar as informações de forma responsável e segura para o benefício da sociedade como um todo.

Em síntese, a LGPD impõe ao poder público uma responsabilidade que transcende a simples observância de normas jurídicas. Trata-se de assegurar a dignidade, a privacidade e os direitos fundamentais dos cidadãos em um ambiente onde a informação é um recurso estratégico. A proteção de dados no setor público, portanto, não é apenas uma questão de conformidade, mas de promoção de valores democráticos e de confiança mútua entre Estado e população. A segurança de dados se revela como um pilar fundamental para o desenvolvimento de uma administração pública moderna, eficiente e respeitosa dos direitos individuais, em consonância com os desafios de uma sociedade cada vez mais conectada e dependente do tratamento seguro de informações pessoais.

Referências

____________________

1. BRASIL. Lei Geral de Proteção de Dados Pessoais (LGPD). Lei nº 13.709. 2018. Disponível em: link. Acesso em: 16 out. 2024.

2. KREPKE, André Felipe. Proteção de dados, contexto social e a necessária lembrança de uma agenda brasileira. Magis: Portal Jurídico. 2023. Disponível em: link. Acesso em: 16 out. 2024.

3. OLIVEIRA, Júlio Moraes. A importância da proteção de dados na sociedade da informação. Magis: Portal Jurídico. 2022. Disponível em: link. Acesso em: 16 out. 2024.

4. BRASIL. Constituição da República Federativa do Brasil. 1988. Disponível em: link. Acesso em: 16 out. 2024.

5. SOUSA, Mariana Almirão de. O impacto da modernidade líquida na privacidade. Magis: Portal Jurídico. 2022. Disponível em: link. Acesso em: 16 out. 2024.

6. CHAFFIM, Luiza Rafaela Vasconcelos; CHACON, Eduarda. Vazamento de Dados pelo Poder Público: sanções e o papel da ANPD. BFBM. 2024. Disponível em: link. Acesso em: 16 out. 2024.

7. COELHO, Alexander. A ameaça dos dados pessoais no setor público. Migalhas. 2024. Disponível em: link. Acesso em: 16 out. 2024.

8. MARINI, Bruno; MONÇÃO, Amanda Marques. Da proteção aos dados pessoais sensíveis sob a luz da lei geral de proteção de dados (LGPD). Magis: Portal Jurídico. 2024. Disponível em: link. Acesso em: 16 out. 2024.

9. MORATTO, Juliana. Incidentes de ciberataques ao governo triplicam em 2024, alerta CTIR Gov. Contábeis. 2024. Disponível em: link. Acesso em: 16 out. 2024.

10. DKRLI. Conheça alguns dos principais casos de vazamentos de dados e suas lições. DKRLI. 2024. Disponível em: link. Acesso em: 16 out. 2024.

11. CSIRT – UFPA, Grupo de Resposta a Incidentes de Segurança UFPA. Vazamento expõe dados de milhares de brasileiros. CSIRT – UFPA. 2021. Disponível em: link. Acesso em: 16 out. 2024.

12. INOVALLY. Os custos dos vazamentos de dados no Setor Público: o que você precisa saber? Inovally. 2024. Disponível em: link. Acesso em: 16 out. 2024.