O uso crescente de tecnologias da informação e comunicação e a popularização da internet têm aumentado exponencialmente o volume de dados pessoais gerados, tratados, armazenados e compartilhados. Para proteger a privacidade dos indivíduos e regular o uso dessas informações, diversos países têm implementado leis específicas de proteção de dados pessoais.

No Brasil, após anos de discussão, foi promulgada a Lei Geral de Proteção de Dados Pessoais - LGPD (Lei n.º 13.709, de 14 de agosto de 2018). A lei tem como finalidade regulamentar o tratamento de dados pessoais visando à proteção da dignidade da pessoa humana e ao livre desenvolvimento da personalidade. Ela estabelece uma série de normas em relação à coleta, uso, armazenamento e compartilhamento de informações pessoais a serem cumpridas pelos responsáveis pelo tratamento desses dados, incluindo o Poder Público.

Segundo a LGPD, o termo "Poder Público" é definido de maneira abrangente e inclui órgãos e entidades dos entes federativos (União, Estados, Distrito Federal e Municípios) e dos três poderes (Executivo, Legislativo e Judiciário), além dos Tribunais de Contas e do Ministério Público. Desse modo, as atividades de tratamento de dados pessoais realizadas por essas entidades públicas devem seguir as disposições da LGPD, com exceção das situações expressamente previstas na lei.

Como detentores de uma grande quantidade de informações pessoais, os órgãos públicos têm a responsabilidade de proteger esses dados contra acessos indevidos e/ou usos ilegais. Além disso, a regulamentação permite o desenvolvimento de um ambiente confiável e transparente para o compartilhamento de informações entre as entidades públicas e a sociedade. Ademais, a proteção de dados pessoais é um direito fundamental expressamente reconhecido pela Constituição Federal de 1988 (Emenda Constitucional n.º 115/2022).

Assim, o problema de pesquisa examinado neste artigo surge a partir da seguinte indagação: quais medidas para a adequação à LGPD já foram adotadas formalmente pelos 33 (trinta e três) tribunais de contas brasileiros?

E como objetivo, o estudo centra-se em explorar os aspectos da proteção de dados pessoais pelo setor público e apresentar um comparativo do grau de aderência dos tribunais de contas à Lei Geral de Proteção de Dados Pessoais.

Desse modo, o estudo foi conduzido por meio de uma pesquisa documental. A metodologia envolveu a análise de documentos públicos e informações disponíveis nas páginas eletrônicas oficiais dos órgãos, como normas internas de proteção de dados, cursos ministrados aos servidores, relatórios de transparência, pedidos de acesso à informação etc.

A coleta e análise dos dados foram realizadas de forma sistemática e criteriosa, com o intuito de verificar as diferenças e similaridades entre as políticas e práticas de proteção de dados adotadas pelas Cortes de Contas pesquisadas. O resultado da pesquisa pode ser utilizado para comparar o grau de aderência dos Tribunais de Contas, bem como detectar possíveis lacunas e identificar boas práticas.

O artigo está estruturado em quatro seções, distribuídas na seguinte ordem: (i) referencial teórico, onde foram apresentados os principais conceitos utilizados na pesquisa; (ii) metodologia, onde consta o detalhamento de sua operacionalização; (iii) resultados e discussões, onde consta o resultado da pesquisa e um quadro comparativo dos Tribunais de Contas; e (iv) conclusão, onde foram retomados os resultados e apontadas as possibilidades de pesquisas futuras que podem aprofundar ainda mais as evidências do objeto de estudo

O amplo desenvolvimento da informática e o surgimento de novas tecnologias nas últimas décadas acelerou o risco de violação das liberdades individuais, notadamente no que se refere à intimidade e à vida privada. A economia movida a dados expandiu-se muito rapidamente a partir da comoditização de dados pessoais dos usuários e da violação desses dados de forma maciça. Priorizaram-se a inovação e as vantagens dos agentes econômicos, sob o fundamento de perigoso trade-off entre os direitos dos titulares de dados e eficiências econômicas (FRAZÃO, 2020).

Esse processo oportunizou diversos questionamentos relativos ao direito de privacidade e aos limites para a detenção, uso e exploração de dados pessoais pelo Estado, e, mais recentemente, por agentes privados (SYLVESTRE, 2013).

Embora o direito à privacidade reste qualificado como um direito fundamental, a necessidade de funcionalização da proteção da privacidade — sobretudo na era pós-industrial — fez surgiu uma nova disciplina: a proteção de dados pessoais. Há, dessa forma, uma ruptura com a ordem conceitual que limitava a privacidade a uma tutela de índole patrimonialista, com o estabelecimento de institutos que permitem a efetiva tutela dos interesses da pessoa (DONEDA, 2021).

Nos últimos 40 anos, a proteção de dados pessoais ganhou força, sendo erigido à categoria dos direitos fundamentais. Nesse sentido,

Dado pessoal é o dado relacionado a um indivíduo identificado ou identificável, entendendo-se por identificado o indivíduo que já é conhecido; e por identificável a pessoa que pode ser conhecida diretamente pelo próprio possuidor dos respectivos dados, ou indiretamente mediante recursos e meios à disposição de terceiros, sem que seja necessário o dispêndio de tempo, custo ou esforço exagerado

A proteção de dados pessoais, em apertada síntese, parte do direito à privacidade, mas modifica e aprofunda os seus termos (DONEDA, 2021). Ela estabelece como regra o controle do cidadão sobre as suas próprias informações (governança de dados pessoais), tanto em relação ao Estado — que inicialmente era o grande detentor de dados pessoais da população — quanto em face de agentes privados, que, hodiernamente, têm tratado um infindável volume de dados pessoais (PINHEIRO, 2021).

A pertinência da regulação estatal reside na distinta relevância que os dados assumiram nas dinâmicas sociais modernas — a Sociedade da Informação —, o que justifica a tutela estatal. A evolução tecnológica impactou diretamente as relações sociais, econômicas e políticas, com desmaterialização do formato até então conhecido e algoritimização da vida cotidiana.

A Lei Geral de Proteção de Dados Pessoais entrou em vigor no dia 18/09/20204 e elevou o Brasil em termos reputacionais ao alinhá-lo ao “standard mundial da proteção de dados”, conforme apontam Maldonado e Blum (2019, p. 16), inserindo-o no amplo rol de países que disciplinaram em suas legislações as questões relativas à privacidade e à proteção de dados pessoais. De acordo com informações da Organização das Nações Unidas, no continente americano apenas Venezuela, Guiana, Guatemala, Belize, Cuba e Haiti não aprovaram marcos legais sobre a matéria.

Neste cenário, a LGPD surge como uma tentativa do Estado de proteger os dados das pessoas naturais que estão sendo utilizados — de maneira desautorizada — como insumo por empresas de diversos setores. Há, assim, a imposição de diversas restrições ao tratamento de dados, o que tira o Brasil de uma situação de “terra sem lei” nesta matéria e prestigia a privacidade e a intimidade do ser humano (COTS; OLIVEIRA, 2019). Para tanto, ela prevê dispositivos que sugerem uma grande mudança na atual cultura de (coleta) de dados, pois estabelecem limites e critérios ao tratamento de dados pessoais.

Conforme disciplinado em seu art. 1º, caput, a LGPD é aplicável a todo tipo de tratamento de dados pessoais, inclusive nos meios digitais — o que pode parecer redundante, pois, atualmente, grande parte dos tratamentos de dados pessoais se dá justamente por canais digitais, mas que revela o caráter abrangente da norma —, por pessoa natural ou por pessoa jurídica de direito público ou privado. Deste modo, os órgãos e entidades públicas também deverão, em alguma medida, disciplinar a proteção de dados pessoais e harmonizá-la às suas atividades cotidianas.

Referidas medidas podem ter início, por exemplo, com a aprovação de um ato normativo para internalizar a LGPD (medida mínima) ou então para instituir uma verdadeira política de proteção de dados pessoais envolvendo todas as unidades, servidores e membros da instituição. O tratamento de dados pessoais no âmbito da Administração Pública deverá ser realizado para o atendimento de sua finalidade pública, desde que cumpridas duas exigências (art. 23 da LGPD):

a) informar as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos; e b) indicar um encarregado quando realizarem operações de tratamento de dados pessoais

Além disso, é possível o compartilhamento interno de dados, ou seja, o compartilhamento no âmbito da própria administração pública, desde que seja com o objetivo de viabilizar a execução de políticas públicas, a prestação de serviços públicos, a descentralização da atividade pública e a disseminação e ao acesso das informações pelo público em geral (art. 25 da LGPD).

Nesse contexto, o Conselho Nacional de Justiça - CNJ editou a Recomendação CNJ nº 73, de 20 de agosto de 20206, por meio da qual aconselhou aos órgãos do Poder Judiciário brasileiro a adoção de medidas preparatórias e de ações iniciais para adequação às disposições contidas na Lei Geral de Proteção de Dados Pessoais.

Já no âmbito do Ministério Público, o Conselho Nacional do Ministério Público - CNMP discute proposta de Resolução para instituir a Política Nacional de Proteção de Dados Pessoais e o Sistema Nacional de Proteção de Dados Pessoais do Ministério Público brasileiro7.

Não obstante, ao contrário do que ocorre no Poder Judiciário e no Ministério Público brasileiro8, não há atualmente um órgão nacional/unificado com atribuição para o controle administrativo dos 33 (trinta e três) tribunais de contas brasileiros e de seus serviços auxiliares, embora existam propostas legislativas em trâmite no Congresso Nacional para a criação de um Conselho Nacional dos Tribunais de Contas9.

Assim, cada Corte de Contas atua de maneira independente no que tange às questões administrativas, processuais, orçamentárias e correcionais. E, por esta razão, deve mobilizar equipe administrativa para adotar as providências cabíveis para tutelar os dados pessoais que tratam no exercício de seu mister público.

No curso da atividade fiscalizatória — conduzida por meio de auditorias, inspeções, representações, análise de denúncias etc. —, os servidores e membros do Tribunal de Contas têm contato com diversos dados pessoais para a extração de informações. Além disso, no próprio desenvolvimento das atividades internas e funções administrativas, o órgão lida com dados de servidores, membros e funcionários terceirizados, como, por exemplo, os assentamentos funcionais, cadastros pessoais, declaração de imposto de renda, contratos de limpeza e vigilância, prontuários médicos arquivados na Divisão de Saúde etc.

Dessarte, considerando que a atuação dos órgãos se revela como um trabalho de verificação (fiscalização) da atuação de pessoas, órgãos e entidades públicas e privadas, mediante a comparação dos atos por eles praticados frente ao padrão de comportamento esperado, os dados tratados estão em alguma medida categorizados como “dados pessoais” ou “dados pessoais sensíveis”, nos termos da recente Lei Geral de Proteção de Dados Pessoais10.

Assim, entende-se oportuna a avaliação do grau de aderência dos órgãos integrantes do Sistema Tribunal de Contas à LGPD, com o registro das convergências e divergências no processo de adequação. Os resultados da pesquisa podem, portanto, servir como um guia para gestores públicos que buscam aprimorar as políticas de proteção de dados em suas instituições.

Existem vários métodos que podem ser utilizados para a obtenção de informação e dados. No percurso metodológico desta pesquisa, fez-se um levantamento diagnóstico das medidas formalmente adotadas pelos tribunais de contas brasileiros para a implementação da Lei Geral de Proteção de Dados Pessoais.

Desta forma, quanto à abordagem, a pesquisa é qualitativa, pois baseia-se em fenômenos únicos e inseparáveis de seu contexto. Segundo Creswell (2004), a pesquisa qualitativa é um conjunto de práticas que transformam o mundo visível em dados representativos, incluindo notas, entrevistas, fotografias, registros e lembretes. Os pesquisadores qualitativos buscam entender um fenômeno em seu contexto natural.

No tocante à epistemologia, a implementação da LGPD no âmbito dos tribunais de contas foi analisada de forma positivista, ou seja, da maneira como ela se concretizou (a “realidade dada”). Todavia, a interação dos atores institucionais foi apreciada de forma interpretativista, ou seja, em uma perspectiva voltada à compreensão dos fenômenos.

Em todas as etapas, utilizou-se, predominantemente, como fontes de pesquisa, a literatura nacional a respeito do tema, constituída por livros, artigos científicos, dissertações e teses de doutorado, bem como do exame da legislação aplicável; embora tenham sido utilizados outros documentos para a compreensão geral da matéria, como reportagens de jornal, relatórios de pesquisa, documentos oficiais e estatísticas dos tribunais de contas.

Neste palmilhar, o problema de pesquisa examinado neste artigo surge a partir da seguinte indagação: quais medidas para a adequação à LGPD já foram adotadas formalmente pelos 33 (trinta e três) tribunais de contas brasileiros?

Assim, considerando que a pesquisa com abordagem qualitativa não requer necessariamente a indicação de uma hipótese11  — no estrito sentido técnico do termo, ou seja, de uma afirmação que precisa ser testada e comprovada/refutada, o que se amolda às pesquisas com abordagem quantitativa —, o pesquisador optou por formular uma resposta inicial, ou seja, uma sugestão do que poderia ser encontrado, mas despida do parâmetro objetivista típico da hipótese. De acordo com Rodrigues e Grubba a(s) hipótese(s) nas pesquisas qualitativas corresponde(m) às respostas iniciais (conjecturas) e, por isso, são chamadas de expectativas (RODRIGUES; GRUBBA, 2023).

Nesse contexto, apontou-se como resposta inicial a sugestão de que o processo de adequação à Lei Geral de Proteção de Dados Pessoais está sendo implementado de maneira paulatina pelos tribunais de contas, de sorte que, com base nas características dos órgãos (orçamento, estrutura de pessoal, investimento em tecnologia etc.), é provável que determinados órgãos estejam em um estágio mais avançado de maturação da norma do que outros.

Assim, considerando a similaridade na forma de atuação e funcionamento entre órgãos integrantes do Sistema Tribunal de Contas12, é possível, a partir da experiência dos órgãos congêneres, observar as boas práticas e acelerar o processo de adequação dos tribunais de contas à Lei Geral de Proteção de Dados Pessoais.

Conforme mencionado alhures, o trabalho apresenta como produto um diagnóstico do grau de aderência dos órgãos integrantes do Sistema Tribunal de Contas à Lei nº 13.709/2018. Isso envolve, por exemplo, a instauração de comissões e/ou grupos de trabalho; a definição do controlador e a indicação do encarregado de proteção de dados; o desenvolvimento de ações de sensibilização; o fornecimento de capacitação aos servidores e membros; e/ou outras medidas adotadas pelos órgãos. Referido diagnóstico, abaixo condensado, representa uma “fotografia” da realidade encontrada nos tribunais de contas no período de 15 a 22 de janeiro de 2022.