Guia poder publico anpd versao final

Tratamento de
dados pessoais
pelo Poder Público
guia orientativo
versão 2.0 | jun / 2023
guia anpd · Tratamento de dados pessoais pelo Poder Público
guia orientativo
Tratamento de
dados pessoais
pelo Poder Público
Versão 2.0
Cristiane Landerdahl
Isabela Maiolino
Jeferson Dias Barbosa
Lucas Borges de Carvalho
Brasília, DF
2023
Luiz Inácio Lula da Silva
Autoridade Nacional de Proteção de Dados
Waldemar Gonçalves Ortunho Junior
Arthur Pereira Sabbat
Joacil Basilio Rael
Miriam Wimmer
Nairane Farias Rabelo Leitão
Cristiane Landerdahl
Isabela Maiolino
Jeferson Dias Barbosa
Lucas Borges de Carvalho
André Scofano
Versão 1.0
Publicação digital (janeiro / 2022)
Versão 2.0
Publicação impressa, 200 exemplares (junho / 2023)
Publicação digital (junho / 2023)
ANPD
Autoridade Nacional de Proteção de Dados
SCN, Qd. 6, Conj. A,
Ed. Venâncio 3000, Bl. A, 9º andar
Brasília, DF · Brasil · 70716-900
www.anpd.gov.br
Presidente da República
Diretor-Presidente
Diretores
Equipe de elaboração
Projeto gráfico e editoração
guia anpd · Tratamento de dados pessoais pelo Poder Público
Sumário
05  Apresentação
07  A LGPD, o Poder Público e as competências da ANPD
10 Bases Legais
10 Consentimento
13 Legítimo interesse
15 Cumprimento de obrigação legal ou regulatória
18 Execução de Políticas Públicas
22 Princípios
22 Finalidade e adequação
25 Necessidade
26 Transparência e livre acesso
29 Compartilhamento de dados pessoais
pelo Poder Público
30 Formalização e registro
31 Objeto e finalidade
32 Base legal
32 Duração do tratamento
33 Transparência e direitos dos titulares
34 Prevenção e segurança
34 Outros Requisitos
37 Divulgação de dados pessoais
44  Notas
49  Anexos
guia anpd · Tratamento de dados pessoais pelo Poder Público
5
Apresentação
O tratamento de dados pessoais pelo Poder Público possui muitas
peculiaridades, que decorrem, em geral, da necessidade de compatibilização entre o exercício de prerrogativas estatais típicas e os princípios, regras e direitos estabelecidos na Lei Geral de Proteção de Dados
Pessoais (Lei nº 13.709, de 14 de agosto de 2018 – lgpd).
Diante desse cenário, o desafio posto é o de estabelecer parâmetros
objetivos, capazes de conferir segurança jurídica às operações com
dados pessoais realizadas por órgãos e entidades públicos. Trata-se
de assegurar a celeridade e a eficiência necessárias à execução de políticas e à prestação de serviços públicos com respeito aos direitos à
proteção de dados pessoais e à privacidade.
Entre outros aspectos relevantes, muitos órgãos e entidades públicos têm questionado a Autoridade Nacional de Proteção de Dados
(anpd) sobre (i) o âmbito de incidência da lgpd e a aplicação de seus
conceitos básicos ao setor público; (ii) a adequada interpretação das
bases legais que autorizam o tratamento de dados pessoais; (iii) os
requisitos e as formalidades a serem observados nas hipóteses de uso
compartilhado de dados pessoais; e (iv) a relação entre as normas de
proteção de dados pessoais e o acesso à informação pública.
guia anpd · Tratamento de dados pessoais pelo Poder Público
6
Considerando essas questões, o presente Guia Orientativo busca
delinear parâmetros que possam auxiliar entidades e órgãos públicos nas atividades de adequação e de implementação da lgpd. As
orientações apresentadas constituem um primeiro passo no processo
de delimitação das interpretações sobre a lgpd aplicáveis ao Poder
Público. Por isso, a versão publicada ficará aberta a comentários e
contribuições de forma contínua, com o fim de atualizar o Guia oportunamente, à medida que novas regulamentações e entendimentos
forem estabelecidos, a critério da anpd. As sugestões podem ser enviadas para a Ouvidoria da anpd, por meio da Plataforma Fala.BR (https://falabr.cgu.gov.br/).
Cumpre enfatizar que não é objeto deste Guia a definição de conceitos básicos previstos na lgpd. Em caso de dúvida, sugere-se consultar
a página de documentos e publicações[ 1 ] da anpd, na qual estão disponíveis orientações mais específicas sobre esses conceitos, a exemplo do Guia Orientativo para Definições dos Agentes de Tratamento
de Dados Pessoais e do Encarregado[ 2 ].
O Guia inicia com uma breve explanação sobre a lgpd, o conceito de
Poder Público e as competências da anpd. A seguir, são apresentadas
orientações sobre as bases legais mais comuns e os mais relevantes
princípios que devem nortear o tratamento de dados pessoais por entidades e órgãos públicos. Na parte final, serão abordadas duas operações específicas de tratamento de dados pessoais pelo Poder Público: o compartilhamento e a divulgação de dados pessoais, sempre sob
o enfoque da conformidade do tratamento com a lgpd. Os Anexos i e
ii trazem, respectivamente, um sumário das recomendações apresentadas na análise dos dois casos específicos mencionados.
guia anpd · Tratamento de dados pessoais pelo Poder Público
7
A LGPD, o Poder
Público e as
competências da ANPD
A lgpd foi promulgada em 2018 e tem como objetivo regulamentar o
tratamento de dados pessoais para garantir o livre desenvolvimento
da personalidade e a dignidade da pessoa humana. Para isso, a lei estabelece uma série de regras a serem seguidas pelos agentes de tratamento, incluindo o Poder Público.
O termo “Poder Público” é definido pela lgpd de forma ampla e inclui
órgãos ou entidades dos entes federativos (União, Estados, Distrito
Federal e Municípios) e dos três Poderes (Executivo, Legislativo e Judiciário), inclusive das Cortes de Contas e do Ministério Público[ 3 ]. Assim, os tratamentos de dados pessoais realizados por essas entidades
e órgãos públicos devem observar as disposições da LGPD, ressalvadas as exceções previstas no art. 4º da lei[ 4 ].
Também se incluem no conceito de Poder Público: (i) os serviços notariais e de registro (art. 23, § 4º); e (ii) as empresas públicas e as sociedades de economia mista (art. 24), neste último caso, desde que (ii.i.)
não estejam atuando em regime de concorrência; ou (ii.ii) operacionalizem políticas públicas, no âmbito da execução destas.
A lgpd visa, ainda, assegurar que dados pessoais sejam utilizados de
forma transparente e com fins legítimos, ao mesmo tempo garantindo
guia anpd · Tratamento de dados pessoais pelo Poder Público
8
os direitos dos titulares. Especificamente em relação ao Poder Público, a lgpd (art. 55–J, xi e xvi) prevê que a anpd pode solicitar informe
específico sobre o âmbito, a natureza dos dados e demais detalhes envolvidos na operação, bem como realizar auditorias sobre o tratamento de dados pessoais. O art. 52, § 3°, estabelece quais sanções podem
ser aplicadas às entidades e aos órgãos públicos, com expressa exclusão das penalidades de multa simples ou diária previstas na lgpd.
Importante ressaltar que a anpd é o órgão central de interpretação
da lgpd e do estabelecimento de normas e diretrizes para sua implementação, no que se inclui a deliberação administrativa, em caráter
terminativo, sobre a interpretação da lei e sobre as suas próprias competências e casos omissos (art. 55–K, parágrafo único; art. 55–J, xx).
Além disso, a autoridade nacional detém competência exclusiva para
aplicar as sanções administrativas previstas na lgpd, com prevalência
de suas competências sobre outras correlatas de entidades e órgãos
da administração pública no que se refere à proteção de dados pessoais (art. 55–K).
Assim, a anpd possui competência originária, específica e uniformizadora no que concerne à proteção de dados pessoais e à aplicação
da lgpd, previsão legal que deve ser interpretada de forma a se compatibilizar com a atuação de outros entes públicos que possam eventualmente tratar sobre o tema. A esse respeito, a lgpd (art. 55–J, § 3º)
estabelece que a anpd deve atuar em coordenação e articulação com
outros órgãos e entidades públicos, visando assegurar o cumprimento de suas atribuições com maior eficiência e promover o adequado
funcionamento dos setores regulados[ 5 ].
Importante ressaltar, por fim, que o servidor público que infrinja a
lgpd também é passível de responsabilização administrativa pessoal
e autônoma, conforme o art. 28 do Decreto Lei n° 4.657, de 4 de setembro de 1942 (Lei de Introdução às normas do Direito Brasileiro). Dessa
guia anpd · Tratamento de dados pessoais pelo Poder Público
9
forma, tratar dados pessoais indevidamente, como, por exemplo, vendendo banco de dados, alterando ou suprimindo cadastros de forma
inadequada ou usando dados pessoais para fins ilegítimos pode levar
à responsabilização do servidor público que praticou o ato ilegal.
guia anpd · Tratamento de dados pessoais pelo Poder Público
10
Bases legais
Uma das principais providências a serem tomadas antes de realizar o
tratamento de dados pessoais é a de identificar a base legal aplicável. O
tratamento de dados pessoais pelo Poder Público deve se amparar em
uma das hipóteses previstas no art. 7º ou, no caso de dados sensíveis, no
art. 11 da lgpd. Esses dispositivos devem ser interpretados em conjunto
e de forma sistemática com os critérios adicionais previstos no art. 23,
que complementam e auxiliam a interpretação e a aplicação prática das
bases legais no âmbito do Poder Público, conforme será demonstrado.
Considerando os questionamentos encaminhados à anpd e as peculiaridades do tratamento de dados pessoais pelo Poder Público, bem
como o previsto na Agenda Regulatória do biênio 2021–2022[ 6 ], a análise a seguir será limitada às seguintes bases legais: consentimento,
legítimo interesse, cumprimento de obrigação legal e regulatória e
execução de políticas públicas.
Consentimento
Conforme a definição legal (art. 5º, xii, lgpd), o consentimento é a
“manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade
guia anpd · Tratamento de dados pessoais pelo Poder Público
11
determinada”. Adicionalmente, no caso de dados sensíveis, o consentimento deve ser fornecido “de forma específica e destacada, para finalidades específicas” (art. 11, i, lgpd).
Assim, a autorização do titular deve ser intencional e ele deve saber
exatamente para que fim seus dados serão tratados, sendo vedada
a autorização tácita e para finalidades genéricas. Além disso, o consentimento pressupõe uma escolha efetiva entre autorizar e recusar o
tratamento dos dados pessoais, incluindo a possibilidade de revogar
o consentimento a qualquer momento.
Diante dessas características, em muitas ocasiões, o consentimento
não será a base legal mais apropriada para o tratamento de dados
pessoais pelo Poder Público, notadamente quando o tratamento for
necessário para o cumprimento de obrigações e atribuições legais.
Nesses casos, o órgão ou a entidade exerce prerrogativas estatais típicas, que se impõem sobre os titulares em uma relação de desbalanceamento de forças, na qual o cidadão não possui condições efetivas de
se manifestar livremente sobre o uso de seus dados pessoais.
Não obstante, o consentimento poderá eventualmente ser admitido
como base legal para o tratamento de dados pessoais pelo Poder Público. Para tanto, a utilização dos dados não deve ser compulsória e a
atuação estatal não deve, em regra, basear-se no exercício de prerrogativas estatais típicas, que decorrem do cumprimento de obrigações
e atribuições legais.
Assim, a utilização da base legal do consentimento no âmbito do tratamento de dados pessoais pelo Poder Público pressupõe assegurar
ao titular a efetiva possibilidade de autorizar ou não o tratamento
de seus dados, sem que de sua manifestação de vontade resultem
restrições significativas à sua condição jurídica ou ao exercício de direitos fundamentais.
guia anpd · Tratamento de dados pessoais pelo Poder Público
12
exemplo 1
Matrícula de estudante em universidade pública
Universidade pública solicita de novos estudantes o fornecimento de
dados pessoais necessários para fins de cadastro e matrícula. O procedimento é realizado online e, para prosseguir para as etapas seguintes,
com a escolha de disciplinas e horários, o estudante deve “aceitar” as
condições estipuladas para o tratamento de seus dados. Essas condições
são descritas de forma genérica, com a indicação de que os dados poderão ser utilizados para “fins educacionais e outros correlatos”. Uma
mensagem indica que, caso não fornecido o consentimento, a matrícula
não será concluída e o estudante não terá acesso ao curso e a serviços
como os de assistência estudantil e empréstimo de livros na biblioteca.
No exemplo citado, o consentimento eventualmente obtido
será nulo, pois: (i) os estudantes não possuem condições efetivas
de aceitar ou recusar o tratamento de seus dados pessoais, haja
vista o caráter compulsório do tratamento realizado pela universidade; e (ii) a autorização é fornecida para uma finalidade
genérica. Com o objetivo de adequar as suas práticas ao disposto
na lgpd, a universidade deve fornecer informações claras e precisas sobre a finalidade específica do tratamento, identificando outra base legal mais apropriada para a hipótese, que não o
consentimento. Ainda, em atenção ao princípio da necessidade,
não devem ser solicitados mais dados do que o necessário para
atingir as finalidades informadas ao titular.
exemplo 2
Inscrição em evento acadêmico
Estudante realiza inscrição para participar de um evento organizado por uma universidade pública. O procedimento é realizado online,
ocasião em que são solicitadas informações básicas de cadastro, como
guia anpd · Tratamento de dados pessoais pelo Poder Público
13
nome e número de matrícula, este para o fim específico de concessão
da gratuidade da inscrição, benefício exclusivo para estudantes. Adicionalmente, o estudante tem a opção de fornecer e-mail, caso queira
“receber informações de outros eventos organizados pela universidade”.
Uma mensagem esclarece que o fornecimento do e-mail é facultativo e
a recusa não impede a participação no evento. Ademais, as informações
sobre os outros eventos são rotineiramente divulgadas na página da
universidade na Internet.
Na hipótese, o consentimento é a base legal apropriada para a
coleta do e-mail do estudante, podendo ser considerado válido, haja vista a finalidade específica informada ao titular, bem
como a existência de condições efetivas para a livre, informada e
inequívoca manifestação de vontade.
Legítimo interesse
A base legal do legítimo interesse autoriza o tratamento de dados
pessoais de natureza não sensível quando necessário ao atendimento
de interesses legítimos do controlador ou de terceiros, “exceto no caso
de prevalecerem direitos e liberdades fundamentais do titular que
exijam a proteção dos dados pessoais” (art. 7º, ix). Trata-se, portanto,
de base legal não aplicável ao tratamento de dados pessoais sensíveis.
Por ser uma base legal mais flexível, sua adoção deve ser precedida de
uma avaliação em que seja demonstrada a proporcionalidade entre,
de um lado, os interesses do controlador ou de terceiro para a utilização do dado pessoal e, de outro, os direitos e as legítimas expectativas
do titular. Além disso, deve-se considerar que, conforme o art. 18, § 2º,
o titular tem o direito de se opor ao tratamento realizado com base no
legítimo interesse, em caso de descumprimento dos requisitos previstos na lgpd.
guia anpd · Tratamento de dados pessoais pelo Poder Público
14
De forma similar ao que ocorre com o consentimento, a aplicação do
legítimo interesse é limitada no âmbito do setor público. Em particular,
a sua utilização não é apropriada quando o tratamento de dados pessoais é realizado de forma compulsória ou quando for necessário para
o cumprimento de obrigações e atribuições legais do Poder Público.
Nessas situações, não há como se realizar, propriamente, uma ponderação entre as expectativas dos titulares e os supostos interesses estatais, visto que estes, por definição legal ou regulamentar, conforme
o caso, tendem a estabelecer restrições aos direitos individuais nele
envolvidos. Isto é, a própria legislação estabelece essa ponderação, ao
fixar as condições a serem observadas para a realização do tratamento de dados pessoais. Por isso, é recomendável que, em geral, órgãos
e entidades públicos evitem recorrer ao legítimo interesse, preferindo outras bases legais, a exemplo de execução de políticas públicas e
cumprimento de obrigação legal, para fundamentar os tratamentos
de dados pessoais que realizam nessas condições.
Não obstante, o legítimo interesse poderá eventualmente ser admitido como base legal para o tratamento de dados pessoais pelo Poder
Público. Para tanto, a utilização dos dados não deve ser compulsória
ou, ainda, a atuação estatal não deve se basear no exercício de prerrogativas estatais típicas, que decorrem do cumprimento de obrigações
e atribuições legais. Nesse contexto, torna-se efetivamente possível
realizar uma ponderação entre, de um lado, os interesses legítimos
do controlador ou de terceiro e, de outro, as expectativas legítimas e
os direitos dos titulares[ 7 ].
Exemplo 3
Segurança da informação
Entidade pública realiza tratamento de dados pessoais de seus servidores com a finalidade de garantir a segurança dos sistemas de infor-
guia anpd · Tratamento de dados pessoais pelo Poder Público
15
mação utilizados, como, por exemplo, para viabilizar a autenticação de
usuários e prevenir que softwares maliciosos possam criar vulnerabilidades na rede interna.
Considerando que o tratamento não está associado ao exercício
de prerrogativas estatais típicas, é possível recorrer à base legal
do legítimo interesse. Nesse caso, devem ser observados os requisitos previstos na lgpd, em particular a necessidade de ponderação entre os interesses da entidade pública e os direitos e
as expectativas legítimas dos titulares. É necessário, ainda, que
sejam adotadas medidas para garantir a transparência do tratamento de dados pessoais baseado no legítimo interesse.
Cumprimento de obrigação legal ou regulatória
Conforme o art. 7º, ii, da lgpd, o tratamento de dados pessoais pelo
Poder Público poderá ser realizado “para o cumprimento de obrigação legal ou regulatória pelo controlador”. A mesma hipótese está
prevista no art. 11, ii, a, que rege o tratamento de dados sensíveis.
De forma geral, a aplicação desses dispositivos será efetuada em dois
contextos normativos distintos, que se diferenciam em razão da espécie de norma jurídica que estabelece a obrigação a ser cumprida. É
o caso, em especial, das normas de conduta e das normas de organização [ 8 ].
Na primeira hipótese, a obrigação legal decorre de uma norma de
conduta, isto é, uma regra que disciplina um comportamento, em geral estabelecendo um fato ou uma hipótese legal, com uma possível
consequência jurídica em caso de descumprimento. Caso o responsável não cumpra a obrigação legal (como, por exemplo, a divulgação
da agenda de compromissos públicos de autoridades, conforme art.
guia anpd · Tratamento de dados pessoais pelo Poder Público
16
11 da Lei nº 12.813/2013), poderá ser objeto das penalidades administrativas previstas na legislação[ 9 ].
Nessas situações, o tratamento de dados pessoais é necessário para
atender a uma regra específica, ou seja, uma determinação legal expressa ou uma obrigação de natureza regulatória estabelecida por
um órgão regulador. Não há, por isso, um vínculo necessário e direto
entre o tratamento de dados e o exercício de atribuições e competências legais do controlador.
Já na segunda hipótese, a obrigação legal decorre de normas de organização, assim entendidas as normas que estruturam órgãos e
entidades e estabelecem suas competências e atribuições[ 10 ]. Nesse
contexto normativo, o tratamento de dados pessoais é parte essencial
do exercício de prerrogativas estatais típicas, uma vez que necessário
para viabilizar a própria execução das atribuições, competências e finalidades públicas da entidade ou do órgão público.
Assim, diferentemente das normas de conduta, que estabelecem
obrigações de forma direta e expressa, prevendo uma consequência
específica em caso de descumprimento, as normas de organização
estabelecem obrigações que estão associadas, de forma mais geral,
ao próprio cumprimento e à execução de atribuições legais típicas
da entidade ou do órgão público responsável pelo tratamento de
dados pessoais.
Vale ressaltar que essa interpretação do conceito de obrigação legal,
conforme previsto no art. 7º, ii, e no art. 11, ii, a, da lgpd, é reforçada
pelo disposto no art. 23 da mesma lei, segundo o qual o tratamento de
dados pessoais no setor público deverá ser realizado “com o objetivo
de executar as competências legais ou cumprir as atribuições legais
do serviço público”, observando-se o interesse público e o atendimento da finalidade pública do controlador.
guia anpd · Tratamento de dados pessoais pelo Poder Público
17
exemplo 4
Canal de TV
Assembleia Legislativa pretende lançar canal de TV próprio. Para tanto, entre outros requisitos, o órgão regulador determinou a apresentação de dados pessoais de parlamentares e servidores responsáveis pela
direção do canal, sob pena de ter o pedido de outorga indeferido.
O tratamento dos dados pessoais pela Assembleia Legislativa é
legítimo, uma vez que, nos termos do art. 7º, ii, da lgpd, vincula-se diretamente ao cumprimento de normas de conduta, no
caso, obrigações regulatórias definidas pelo órgão regulador
competente, em conformidade com a legislação aplicável.
exemplo 5
Processo legislativo
Assembleia Legislativa trata dados pessoais contidos em documentos
relacionados ao processo legislativo, tais como atas de reunião, pareceres e projetos de lei. Os dados pessoais em questão se referem, entre outros, a parlamentares, servidores públicos, membros da sociedade civil
e especialistas ouvidos em audiências públicas.
O tratamento dos dados pessoais é legítimo, na medida em que
diretamente vinculado ao cumprimento de obrigações e à execução de competências típicas do órgão legislativo, que decorrem de normas de organização previstas na Constituição Estadual, em conformidade com a base legal prevista no art. 7º, ii, e
com o disposto no art. 23, da lgpd.
guia anpd · Tratamento de dados pessoais pelo Poder Público
18
exemplo 6
Agência reguladora
Uma agência reguladora trata dados pessoais de seus servidores públicos com a finalidade específica de realizar o pagamento de salários e
benefícios previdenciários, como pensões e aposentadorias. Essas obrigações estão expressamente previstas na legislação que dispõe sobre
o regime jurídico dos servidores. A mesma agência reguladora tem a
atribuição legal de fiscalizar prestadoras de um determinado serviço
público. Para cumprir essa competência geral de fiscalização, conforme
estipulado na lei que dispõe sobre a sua estrutura e funcionamento, a
agência reguladora trata dados pessoais, como, por exemplo, aqueles
provenientes de reclamações de usuários do serviço.
Embora atendam a finalidades distintas, em ambos os casos o
tratamento dos dados pessoais pela agência reguladora se fundamenta na hipótese de cumprimento de obrigação legal, nos
termos do art. 7º, ii, da lgpd.
Execução de políticas públicas
O inciso III do art. 7º da lgpd estabelece que a “administração pública”
pode realizar “o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres”. Por sua vez, em relação aos dados sensíveis, o art. 11, ii, b,
refere-se ao “tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em
leis ou regulamentos”.
A aplicação dessa base legal por entidades e órgãos públicos pressupõe a adequada compreensão sobre os principais termos utilizados
guia anpd · Tratamento de dados pessoais pelo Poder Público
19
nos artigos da lgpd acima citados. Com esse intuito, destacamos a
seguir orientações práticas sobre a interpretação dos seguintes conceitos: (i) administração pública; e (ii) políticas públicas.
( i ) administração pública
O conceito de “administração pública” deve ser delimitado a partir da
definição de Poder Público, conforme já exposta neste Guia. Assim,
abrange tanto órgãos e entidades do Poder Executivo quanto dos Poderes Legislativo e Judiciário, inclusive das Cortes de Contas e do Ministério Público, desde que estejam atuando no exercício de funções
administrativas.
De fato, embora a função administrativa seja típica do Poder Executivo, órgãos dos demais Poderes também a exercem em determinadas
circunstâncias. Ou seja, ao lado de suas funções típicas, tais como as
de legislar e aplicar a lei, órgãos dos Poderes Legislativo e Judiciário
também exercem atividades administrativas. É o que ocorre, por
exemplo, quando são firmados convênios ou acordos de cooperação
técnica com outros órgãos públicos ou entidades sem fins lucrativos
visando ao atendimento de alguma finalidade pública. Como explica
José dos Santos Carvalho Filho:
A Administração Pública, sob o ângulo subjetivo, não deve ser confundida com qualquer dos Poderes estruturais do Estado, sobretudo o Poder
Executivo, ao qual se atribui usualmente a função administrativa. Para a
perfeita noção de sua extensão é necessário pôr em relevo a função administrativa em si, e não o Poder em que é ela exercida. Embora seja o
Poder Executivo o administrador por excelência, nos Poderes Legislativo
e Judiciário há numerosas tarefas que constituem atividade administrativa, como é o caso, por exemplo, das que se referem à organização interna
dos seus serviços e dos seus servidores. Desse modo, todos os órgãos e
guia anpd · Tratamento de dados pessoais pelo Poder Público
20
agentes que, em qualquer desses Poderes, estejam exercendo função administrativa, serão integrantes da Administração Pública[ 11 ].
Portanto, com base nessa definição de administração pública, pode-se afirmar que a base legal referida nos artigos 7º, iii e 11, ii, b, da
lgpd, é aplicável a órgãos e entidades dos três Poderes e entes federativos, inclusive das Cortes de Contas e do Ministério Público, desde
que estejam atuando no exercício de suas funções administrativas,
com vistas à execução de políticas públicas.
( ii ) políticas públicas
O conceito de políticas públicas não é definido na lgpd, não tendo
sido editada regulamentação da anpd sobre o tema até o presente
momento. Assim, recomenda-se que sejam consideradas as definições usuais do termo, conforme a praxe administrativa e as orientações a seguir apresentadas.
Nesse sentido, devem ser considerados, ao menos, dois aspectos. O
primeiro é a existência de ato formal que institui a política pública, o
que pode ocorrer mediante ato normativo (lei ou regulamento) ou por
ajustes contratuais (contratos, convênios e instrumentos congêneres).
Ressalte-se que o art. 11, I, b, da lgpd, não fez referência às políticas públicas instituídas em ajustes contratuais. Por isso, no caso de tratamento
de dados sensíveis pelo Poder Público, a base legal é mais restrita, uma
vez que limitada a políticas públicas previstas em “leis e regulamentos”.
Quanto ao aspecto material, uma política pública envolve, em geral,
a definição de um programa ou ação governamental específico, a ser
executado por uma entidade ou por um órgão público. Nessa linha,
Maria Paula Dallari Bucci destaca que, “como tipo ideal, a política pú-
guia anpd · Tratamento de dados pessoais pelo Poder Público
21
blica deve visar a realização de objetivos definidos, expressando a seleção de prioridades, a reserva de meios necessários à sua consecução e o
intervalo de tempo em que se espera o atingimento dos resultados”[ 12 ].
Assim, considerando os elementos expostos, recomenda-se que o
conceito de política pública seja interpretado de forma ampla, de
modo a abranger qualquer programa ou ação governamental, definido em instrumento formal, isto é, lei, regulamento ou ajuste contratual, conforme o caso, cujo conteúdo inclui, em regra, objetivos,
metas, prazos e meios de execução.
Por fim, também na hipótese de execução de política pública deve ser
observado o disposto no art. 23 da lgpd, em especial a exigência de que
o tratamento seja realizado para o atendimento da finalidade pública,
na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.
exemplo 7
Política de controle do tabagismo
Secretaria de Saúde realiza tratamento de dados pessoais de pessoas
fumantes, atendidas em hospitais públicos, para fins de planejamento
e execução de política pública de controle do tabagismo e prevenção e
tratamento do câncer de pulmão. A política foi estabelecida em norma
infralegal, da qual constam, entre outros elementos, objetivos, competências e meios de financiamento. Os dados pessoais são tratados pela
própria Secretaria de Saúde e, eventualmente, compartilhados com a
autarquia responsável por executar programa de orientação e auxílio a
pessoas que desejam parar de fumar. Por envolver dados sensíveis, o tratamento dos dados pessoais é realizado com base no art. 11, II, b, da lgpd.
A finalidade é específica de execução de política pública, estabelecida em regulamento, em conformidade com a lgpd.
guia anpd · Tratamento de dados pessoais pelo Poder Público
22
Princípios
A observância dos princípios (art. 6º, lgpd) constitui parte essencial do tratamento de dados pessoais. Seguindo os propósitos deste
Guia, serão apresentadas a seguir orientações não exaustivas, com
foco nas peculiaridades do setor público, considerando os seguintes
princípios: finalidade; adequação; necessidade; transparência; e livre
acesso. Como regra geral, os princípios devem ser interpretados em
conjunto e de forma sistemática com as disposições do Capítulo iv da
lgpd (arts. 23 a 30), no qual se encontram normas específicas direcionadas ao Poder Público.
Finalidade e adequação
De acordo com o princípio da finalidade (art. 6º, i), o tratamento dos dados pessoais deve ser realizado para “propósitos legítimos, específicos,
explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.” Adicionalmente,
no âmbito do setor público, o tratamento de dados pessoais deve atender a uma “finalidade pública”, conforme previsto no art. 23 da lgpd.
Portanto, o tratamento de dados pessoais pelo Poder Público deve estar sempre associado a uma finalidade pública, que seja: (i) legítima,
guia anpd · Tratamento de dados pessoais pelo Poder Público
23
isto é, lícita e compatível com o ordenamento jurídico, além de amparada em uma base legal, que autorize o tratamento; (ii) específica, de
maneira que a partir da finalidade seja possível delimitar o escopo do
tratamento e estabelecer as garantias necessárias para a proteção dos
dados pessoais; (iii) explícita, isto é, expressa de uma maneira clara e
precisa; e (iv) informada, isto é, disponibilizada em linguagem simples e de fácil compreensão e acesso ao titular dos dados.
Além disso, o princípio da finalidade estabelece uma limitação ao tratamento posterior dos dados pessoais. Assim, eventual uso secundário dos dados pessoais somente pode ser realizado para uma finalidade que seja compatível com a finalidade original do tratamento dos
dados pessoais. Em sentido similar, o princípio da adequação (art. 6º,
ii) impõe a observância da compatibilidade entre o tratamento dos
dados pessoais e as finalidades que são informadas ao titular, observado o contexto em que é realizado. Dessa forma, o tratamento do
dado deve ser compatível com o propósito informado ao titular.
Essa determinação possui elevada importância prática, em especial
nos casos de tratamento posterior de dados publicamente disponíveis e de uso compartilhado de dados pessoais pelo Poder Público.
Em relação aos dados disponíveis publicamente, a lgpd autoriza o seu
tratamento, desde que observadas a finalidade, a boa-fé e o interesse
público que justificaram a sua disponibilização (art. 7º, § 3º). Além disso, o tratamento posterior para novas finalidades somente poderá ser
realizado se “observados os propósitos legítimos e específicos para o
novo tratamento e a preservação dos direitos do titular, assim como
os fundamentos e os princípios previstos nesta Lei” (art. 7º, § 7º).
No caso de uso compartilhado de dados pessoais pelo Poder Público,
entre outras regras, o art. 26 da lgpd exige que sejam atendidas “finalidades específicas de execução de políticas públicas e atribuição le-
guia anpd · Tratamento de dados pessoais pelo Poder Público
24
gal pelos órgãos e pelas entidades públicas, respeitados os princípios
de proteção de dados pessoais elencados no art. 6º desta Lei”.
Diante do que estabelece a lgpd e tendo em vista a experiência internacional em torno do assunto[ 13 ], recomenda-se a avaliação da compatibilidade entre a finalidade original e a do uso secundário dos dados pessoais. Essa avaliação deve levar em consideração os seguintes
aspectos: (i) o contexto e as circunstâncias relevantes do caso concreto; (ii) a existência de conexão fática ou jurídica entre a finalidade original e a que fundamenta o tratamento posterior; (iii) a natureza dos
dados pessoais, adotando-se posição de maior cautela quando abrangidos dados sensíveis; (iv) as expectativas legítimas dos titulares e os
possíveis impactos do tratamento posterior sobre seus direitos; e (v) o
interesse público e a finalidade pública específica do tratamento posterior, bem como o seu vínculo com as competências legais dos órgãos
ou entidades envolvidos, nos termos do art. 23 da lgpd.
Exemplo 8
Política pública de vacinação
A Secretaria de Saúde de um município coleta dados de casos confirmados de uma doença infecciosa para fins de desenho, implementação
e monitoramento de uma política pública de vacinação. Os dados são
compartilhados com um órgão de pesquisa, para a finalidade específica
de realização de estudos em saúde pública.
Neste caso, o tratamento posterior dos dados é compatível com
a finalidade original da coleta, em conformidade com o princípio
da finalidade. Por se tratar de dados sensíveis, relativos à saúde, o
órgão deve ter cautela ao compartilhá-los ou divulgá-los, sempre
observando o art. 13 e o Capítulo iv da lgpd. Nesse sentido, é preferível que o compartilhamento dessas informações inclua, sempre
que possível, a pseudonimização ou a anonimização dos dados.
guia anpd · Tratamento de dados pessoais pelo Poder Público
25
Necessidade
O princípio da necessidade estabelece que o tratamento deve ser limitado ao “mínimo necessário para a realização de suas finalidades”,
abrangendo apenas os “dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados” (art. 6º, iii
lgpd). O princípio da necessidade impõe, portanto, que a coleta se atenha à menor quantidade possível de dados para o alcance da finalidade proposta. Da mesma forma, esse princípio desaconselha o próprio
tratamento de dados pessoais quando a finalidade que se almeja pode
ser atingida por outros meios menos gravosos ao titular de dados.
No que tange a esse princípio, entidades e órgãos públicos devem verificar se as informações usualmente coletadas de cidadãos – a exemplo de cópias de documentos de identidade ou de dados solicitados
em formulários-padrão – são, efetivamente, necessárias para as finalidades para as quais serão utilizadas, não se admitindo a prática de
coleta indistinta de dados pessoais, em particular de dados para os
quais não se tenha identificado uma finalidade específica e legítima
para o tratamento. Mesmo após a coleta de dados pessoais, o princípio
da necessidade ainda é importante no sentido de avaliar a necessidade de outros tratamentos, como o armazenamento e processamento.
É importante, ainda, que entidades do Poder Público exerçam cautela em eventuais tratamentos discriminatórios injustificados que
possam ocorrer em decorrência do tratamento de dados pessoais
desnecessários.
exemplo 9
Dados coletados para elaboração de contrato administrativo
A Secretaria de Educação de um Município contrata, por licitação, uma
empresa para fornecer merenda nas escolas. Para firmar o contrato
guia anpd · Tratamento de dados pessoais pelo Poder Público
26
com a Secretaria, tanto o representante da empresa quanto o servidor
público que assinará o contrato fornecem os seus dados, como nome,
profissão, cpf, rg, estado civil e endereço residencial. Para atender a
outros dispositivos legais e dar publicidade à contratação da empresa, o
contrato é divulgado no sítio eletrônico da Secretaria de Educação.
É possível que dados como estado civil e endereço residencial
não sejam necessários para a identificação dos responsáveis
pela contratação e para viabilizar o exercício do controle social
sobre a atividade do órgão público. Assim, a fim de limitar o tratamento ao mínimo necessário para a realização de suas finalidades, o ideal é não coletar esses tipos de dados.
Transparência e livre acesso
O princípio da transparência (art. 6º, vi) garante ao titular a disponibilização de informações claras, precisas e facilmente acessíveis sobre
a realização do tratamento de seus próprios dados pessoais e os seus
respectivos agentes de tratamento. De forma similar, o princípio do livre acesso (art. 6º, iv) garante aos titulares consulta facilitada e gratuita
sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais. Assim, enquanto o princípio da transparência impõe obrigações de cunho geral e que demandam uma postura ativa do agente de tratamento, que tem o dever de disponibilizar as
informações exigidas pela lei, independentemente de solicitação do titular; o princípio do livre acesso, por sua vez, enfatiza a necessidade de
o agente de tratamento disponibilizar mecanismos efetivos para que o
titular possa solicitar e ter acesso facilitado e gratuito a determinadas
informações referentes ao tratamento de seus dados pessoais. Esses
princípios também são essenciais para garantir o direito fundamental
de todos os indivíduos à informação administrativa.
guia anpd · Tratamento de dados pessoais pelo Poder Público
27
Em conformidade com o que estabelecem os princípios da transparência e do livre acesso, o art. 9º da lgpd delimita as informações
que devem ser disponibilizadas aos titulares, entre as quais: (i) forma, duração e finalidade específica do tratamento; (ii) identificação
e informações de contato do controlador; (iii) informações sobre o
uso compartilhado de dados e a finalidade; (iv) responsabilidades
dos agentes que realizarão o tratamento; e (v) direitos do titular, com
menção explícita aos direitos contidos no art. 18. Além dessas informações, deve ser objeto de divulgação a identidade e as informações
de contato do encarregado (art. 41, § 1º).
Em complemento a essas disposições gerais, a lgpd prevê o dever de
publicidade em relação aos tratamentos realizados pelo Poder Público. Nesse sentido, os órgãos e entidades devem fornecer “informações
claras e atualizadas sobre a previsão legal, finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades”, nos termos do art. 23, i. Tais informações devem estar em meios de fácil acesso, preferencialmente em sítios eletrônicos. Nos termos do art. 23, §
1º, da lgpd, a anpd poderá dispor sobre as formas de publicidade das
operações de tratamento[ 14 ].
Demonstrando a importância da publicidade no setor público, o art.
25 da lgpd prevê também que os dados devem ser mantidos “em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas”, visando, entre outras finalidades,
“à disseminação e ao acesso das informações pelo público em geral”,
sem, contudo, que deixem de ser observados os princípios que asseguram a proteção dos dados pessoais e a privacidade dos seus titulares.
As informações exigidas pela lgpd devem ser disponibilizadas de forma clara, adequada e ostensiva, em linguagem simples e acessível, de
modo a assegurar o efetivo conhecimento do titular a respeito das ati-
guia anpd · Tratamento de dados pessoais pelo Poder Público
28
vidades de tratamento realizadas pelo controlador, bem como sobre
os seus direitos e a forma de exercê-los. Nesse sentido, constitui uma
boa prática a disponibilização dessas informações na página eletrônica do órgão ou entidade responsável, da qual podem constar seções
específicas relacionadas à “Lei Geral de Proteção de Dados Pessoais” e
documentos como política de privacidade ou equivalente.
exemplo 10
Princípio da transparência no setor público
Uma pessoa tem seus dados coletados pela recepção de um órgão público
para fins de segurança patrimonial e dos servidores. Para atender a outros dispositivos legais e dar publicidade a atos do órgão, caso essa pessoa
realize uma reunião com uma autoridade, seu nome poderá ser divulgado na agenda pública da autoridade, salvo eventual restrição legal.
Em geral, essa pessoa deverá ser informada das finalidades que
justificam a coleta e o tratamento, incluindo a de que parte ou
a totalidade deles poderá ser divulgada para atender normas
específicas que tratem de divulgação de agenda pública. Entre
outras possibilidades, essas informações podem constar da política de privacidade ou documento equivalente, disponibilizado na página do órgão público na internet.
guia anpd · Tratamento de dados pessoais pelo Poder Público
29
Compartilhamento
de dados pessoais
pelo Poder Público
O compartilhamento de dados pessoais é a operação de tratamento
pela qual órgãos e entidades públicos conferem permissão de acesso
ou transferem uma base de dados pessoais a outro ente público ou a
entidades privadas visando ao atendimento de uma finalidade pública. De forma mais específica, a lgpd utiliza o termo “uso compartilhado de dados”, que é definido como a “comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento
compartilhado de bancos de dados pessoais por órgãos e entidades
públicos no cumprimento de suas competências legais, ou entre esses
e entes privados, reciprocamente, com autorização específica, para
uma ou mais modalidades de tratamento permitidas por esses entes
públicos, ou entre entes privados.”
O uso compartilhado de dados é um mecanismo relevante para a execução de atividades típicas e rotineiras do Poder Público, a exemplo
de pagamento de servidores e prestação de serviços públicos. A lgpd
reconhece essa relevância ao estabelecer, em seu art. 25, que os dados
devem ser mantidos “em formato interoperável e estruturado para o
uso compartilhado”, visando, entre outras finalidades, “à execução de
políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação e ao acesso das informações pelo público em geral”.
guia anpd · Tratamento de dados pessoais pelo Poder Público
30
Não obstante, assim como ocorre com as demais operações de tratamento, o uso compartilhado de dados pessoais deve ser realizado em
conformidade com a lgpd, notadamente com os princípios, as bases
legais, garantia dos direitos dos titulares e outras regras específicas
aplicáveis ao Poder Público. Além de conferir maior previsibilidade,
transparência e segurança jurídica ao uso compartilhado de dados,
a observância dessas disposições legais constitui peça-chave para a
promoção de uma relação de confiança com os titulares e para a adequada gestão de riscos pelos controladores, inclusive para evitar a
ocorrência de abusos e desvios de finalidades[ 15 ].
Com esse intuito, a título de orientação a entidades e órgão públicos,
são indicados a seguir os principais requisitos que devem ser observados nos processos de compartilhamento de dados pessoais pelo
Poder Público. Importante ressaltar que esses requisitos expressam
diretrizes gerais, que decorrem da própria lgpd, podendo ser ajustados ou complementados com parâmetros e requisitos adicionais de
acordo com o contexto e as peculiaridades de cada caso concreto.
( a ) Formalização e registro
O uso compartilhado de dados pessoais pelo Poder Público deve ser
formalizado, seja em atenção às normas gerais que regem os procedimentos administrativos, seja em atenção à obrigatoriedade de registro
das operações de tratamento, conforme disposto no art. 37 da lgpd. Para
tanto, recomenda-se a instauração de processo administrativo, do qual
constem os documentos e as informações pertinentes, incluindo análise
técnica e jurídica, conforme o caso, que exponham a motivação para a
realização do compartilhamento e a sua aderência à legislação em vigor.
Além disso, recomenda-se que o compartilhamento seja estabelecido em ato formal, a exemplo de contratos, convênios ou instrumentos
guia anpd · Tratamento de dados pessoais pelo Poder Público
31
congêneres firmados entre as partes. Outra possibilidade é a expedição de decisão administrativa pela autoridade competente, que autorize o acesso aos dados e estabeleça os requisitos definidos como
condição para o compartilhamento[ 16 ].
Especialmente nos casos em que o órgão ou a entidade pública compartilha dados pessoais com frequência, sugere-se avaliar a conveniência de editar ato normativo interno, a exemplo de portarias e
instruções normativas, com o objetivo de, além de proporcionar o
devido formalismo, conferir maior padronização e celeridade a essas
operações. O ato normativo pode, por exemplo, definir competências
e estabelecer procedimentos, prazos e requisitos essenciais a serem
observados nos processos de compartilhamento.
( b ) Objeto e finalidade
Independentemente da opção adotada para a formalização e registro,
os dados pessoais, objeto de compartilhamento, devem ser indicados
de forma objetiva e detalhada, limitando-se ao que for estritamente
necessário para as finalidades do tratamento, em conformidade com
o princípio da necessidade.
Por sua vez, a finalidade deve ser específica, com a indicação precisa, por exemplo, de qual iniciativa, ação ou programa será executado ou, ainda, de qual atribuição legal será cumprida mediante
o compartilhamento dos dados pessoais. Nessa linha, o art. 26 da
lgpd estabelece que “o uso compartilhado de dados pessoais pelo
Poder Público deve atender a finalidades específicas de execução de
políticas públicas e atribuição legal pelos órgãos e pelas entidades
públicas, respeitados os princípios de proteção de dados pessoais
elencados no art. 6º desta Lei.” Finalidades descritas de forma genérica ou indeterminada contrariam as disposições da lgpd, além de
guia anpd · Tratamento de dados pessoais pelo Poder Público
32
precedentes firmados pelo Supremo Tribunal Federal (stf) em casos
similares[ 17 ].
Deve ficar claro, em suma, quais dados pessoais serão compartilhados, bem como por que e para que serão compartilhados. Por exemplo, o ato formal pode prever que “serão compartilhados com a Entidade Pública x os dados pessoais que constam da base de dados do
Órgão Público y, consistentes em nome, cpf e endereço residencial,
para a finalidade específica de realização de cadastro e identificação
de cidadãos aptos ao recebimento do benefício social de que trata a
Lei nº xyz”.
Por fim, em qualquer hipótese, deve ser avaliada a compatibilidade
entre a finalidade original da coleta e a finalidade do compartilhamento dos dados, conforme as orientações constantes deste Guia.
( c ) Base legal
O terceiro requisito a ser atendido para o uso compartilhado de dados pessoais pelo Poder Público é a definição da base legal, conforme
art. 7º ou, no caso de dados sensíveis, art. 11 da lgpd, nos termos das
orientações apresentadas neste Guia. Recomenda-se, nesse sentido,
que o ato que autoriza ou formaliza o compartilhamento contenha
expressa indicação da base legal utilizada.
( d ) Duração do tratamento
O tratamento de dados pessoais é um processo com duração definida, após o qual, em regra, os dados pessoais devem ser eliminados,
observados as condições e os prazos previstos em normas específicas
que regem a gestão de documentos e arquivos. Vale ressaltar que o
guia anpd · Tratamento de dados pessoais pelo Poder Público
33
art. 16 da lgpd estabelece hipóteses gerais em que é autorizada a conservação de dados pessoais.
A delimitação do período de duração do uso compartilhado dos dados também é relevante para o fim de reavaliação periódica do instrumento que autorizou o compartilhamento, incluindo a possibilidade
de sua adequação a novas disposições legais e regulamentares ou a
previsão de novas medidas de segurança, de acordo com as tecnologias disponíveis.
Portanto, o instrumento que autoriza ou formaliza o compartilhamento deve estabelecer, de forma expressa, o período de duração do
uso compartilhado dos dados, além de esclarecer, conforme o caso, se
há a possibilidade de conservação ou se os dados devem ser eliminados após o término do tratamento.
(e) Transparência e direitos dos titulares
Os atos que regem e autorizam o compartilhamento de dados pessoais devem prever as formas de atendimento ao princípio da transparência (art. 6º, vi), assegurando a disponibilização de informações
claras, precisas e facilmente acessíveis aos titulares sobre a realização
do compartilhamento e sobre como exercer seus direitos, conforme
as orientações apresentadas neste Guia. Constitui uma boa prática divulgar, na página eletrônica dos órgãos e das entidades responsáveis,
as informações pertinentes, nos termos do art. 23, i, da lgpd.
Adicionalmente, recomenda-se que sejam delimitadas as obrigações
das partes no que se refere: (i) à divulgação das informações exigidas
pela lgpd; e (ii) às responsabilidades e aos procedimentos a serem
observados visando ao atendimento de solicitações apresentadas pelos titulares.
guia anpd · Tratamento de dados pessoais pelo Poder Público
34
( f ) Prevenção e segurança
Também é importante que sejam estabelecidas as medidas de segurança, técnicas e administrativas, que serão adotadas para proteger os
dados pessoais de acessos não autorizados e de situações acidentais
ou ilícitas de destruição, perda, alteração, comunicação ou difusão
(art. 6º, vii, e 46, da lgpd). Estas medidas, que devem ser proporcionais aos riscos às liberdades civis e aos direitos fundamentais dos cidadãos envolvidos no caso concreto, deverão estar previstas nos atos
que regem e autorizam o compartilhamento dos dados.
( g ) Outros requisitos
Além dos indicados acima, pode ser necessário atender a outros requisitos, que decorram das peculiaridades do caso concreto ou de determinações provenientes de normas específicas.
É o caso de eventual novo compartilhamento ou transferência posterior dos dados, a ser efetuado pelo recebedor dos dados no âmbito
do próprio setor público ou para entes do setor privado. Entre outras
possibilidades, o instrumento que rege o uso compartilhado dos dados pode vedar a realização de novo compartilhamento ou, ainda,
autorizá-lo sob determinadas condições, observadas as normas aplicáveis. Por exemplo, no caso de dados pessoais disponibilizados para
a realização de estudos em saúde pública, a lgpd veda que o órgão de
pesquisa responsável transfira os dados a terceiro (art. 13, § 2º).
Outro ponto a ser considerado é a definição sobre eventual ônus financeiro decorrente da operação. O ato que rege o compartilhamento
pode, se for o caso, indicar a remuneração a ser paga ou, simplesmente, prever que não haverá transferência de recursos financeiros na hipótese, conforme as disposições legais aplicáveis.
guia anpd · Tratamento de dados pessoais pelo Poder Público
35
Por sua vez, nos casos de uso compartilhado de dados pessoais entre
entes públicos e entidades privadas, é necessário observar os requisitos adicionais e específicos indicados no art. 26, § 1º e no art. 27 da
lgpd. Em especial, deve-se considerar que eventual transferência de
dados pessoais para entidades privadas somente será admitida se
amparada em uma das seguintes hipóteses: (i) nos casos de execução
descentralizada da atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado; (ii) nos casos de
dados acessíveis publicamente; (iii) quando houver previsão legal ou
a transferência for respaldada em contratos e instrumentos congêneres; ou (iv) na hipótese de a transferência objetivar exclusivamente a
prevenção de fraudes e irregularidades, ou proteger e resguardar a
segurança e a integridade do titular dos dados, desde que vedado o
tratamento para outras finalidades.
A elaboração de relatório de impacto à proteção de dados pessoais
pode auxiliar a motivação da decisão a ser proferida pela autoridade
competente, além de fortalecer a sua conformidade com a legislação
de proteção de dados pessoais. A avaliação quanto à necessidade de
elaboração do documento deve considerar as peculiaridades do caso
concreto, em particular, a existência de riscos às liberdades civis e aos
direitos fundamentais dos cidadãos, observado o disposto nos art. 5º,
xvii e no art. 38 da lgpd.
Por fim, em muitos casos pode ser necessário identificar as funções
e responsabilidades dos agentes de tratamento envolvidos no uso
compartilhado de dados pessoais. Em caso de compartilhamento de
dados entre controlador e operador, por exemplo, podem ser detalhadas as instruções e as condições que devem ser observadas pelo
operador ao realizar o tratamento dos dados pessoais, conforme art.
39 da lgpd.
guia anpd · Tratamento de dados pessoais pelo Poder Público
36
exemplo 11
Compartilhamento de dados de servidores com entidade financeira
Uma autarquia federal trata dados pessoais de seus servidores, como
nome, telefone e e-mail para fins de gestão de pessoas. Uma entidade financeira privada solicita ao setor de recursos humanos dessa autarquia
os dados de contato dos servidores para oferecer empréstimo consignado.
O pedido foi negado pela autoridade competente, com base em
análise técnica e jurídica, que concluiu pela impossibilidade de
realização do compartilhamento dos dados, tendo em vista: (i)
a incompatibilidade entre a finalidade original da coleta e a finalidade proposta para o compartilhamento; (ii) a inexistência
de base legal válida a amparar o uso compartilhado dos dados,
em particular a inexistência de consentimentos dos titulares, de
obrigação legal ou de qualquer vínculo com a execução de políticas públicas na hipótese; e (iii) a vedação prevista no art. 26, § 1º,
da lgpd e o não enquadramento do caso em uma das exceções
previstas nos incisos do mesmo dispositivo.
guia anpd · Tratamento de dados pessoais pelo Poder Público
37
Divulgação de
dados pessoais
No setor público, o processo de adequação às disposições da lgpd
tem suscitado muitas dúvidas a respeito dos parâmetros a serem
observados para a disponibilização pública de informações pessoais. De forma geral, a análise dessas situações envolve uma ponderação entre direitos: de um lado, o direito à privacidade e o direito
à proteção de dados pessoais e, de outro, o direito de todos os indivíduos à informação sobre as atividades do Poder Público. Este último se traduz, por exemplo, na divulgação, com base no interesse
público, de informações relativas à execução de políticas públicas e
ao exercício de competências legais pelos órgãos e entes públicos
que permitam aos cidadãos o exercício do controle social sobre as
atividades do Poder Público. Frequentemente, todavia, para atender ao princípio da publicidade, o Estado é obrigado a divulgar dados pessoais.
Enquanto o primeiro conjunto de direitos demanda uma posição de
cautela e de análise de riscos a respeito da divulgação de informações
pessoais, o segundo espelha a determinação legal de que a publicidade é a regra, admitindo-se o sigilo apenas em hipóteses excepcionais,
nos termos da Lei de Acesso à Informação (Lei nº 12.527, de 17 de novembro de 2011 – lai)
[ 18 ].
guia anpd · Tratamento de dados pessoais pelo Poder Público
38
Não obstante, o tratamento de dados pessoais pelo Poder Público,
incluindo a divulgação pública de dados pessoais, deve ser realizado
em conformidade com as disposições da lgpd. Mais especificamente,
devem ser observadas as normas que garantem a proteção integral
dos dados pessoais, a autodeterminação informativa[ 19 ] e o respeito à
privacidade dos titulares durante todo o ciclo do tratamento.
Desde a realização da coleta até o fim da atividade realizada com os dados pessoais, conforme o caso, entidades e órgãos públicos devem, pelo
menos, observar os princípios previstos na lei, verificar a base legal aplicável ao tratamento, garantir os direitos dos titulares e adotar medidas
de prevenção e segurança, a fim de evitar a ocorrência de incidentes.
Nesse contexto, o cumprimento da lgpd demanda de entidades e órgãos públicos uma análise mais ampla, que não se limita à atribuição
de sigilo ou de publicidade a determinados dados pessoais – este nem
mesmo é o escopo da lgpd. Em termos práticos, considerando o reforço protetivo trazido pela lgpd ao titular de dados, é necessário realizar uma avaliação sobre os riscos e os impactos para os titulares dos
dados pessoais bem como sobre as medidas mais adequadas para mitigar possíveis danos decorrentes do tratamento de dados pessoais.
Dados pessoais sensíveis (art. 5º, ii, lgpd), por exemplo, estão submetidos a uma proteção jurídica especial, o que implica adotar maior
cautela quando for necessário realizar o tratamento de dados pessoais dessa natureza. Nessa linha, pode ser mencionada a vedação de
serem revelados dados pessoais sensíveis por ocasião da divulgação
de resultados de estudos em saúde pública (art. 13, § 1º, lgpd).
Os princípios da finalidade, adequação e necessidade também impõem limites ao tratamento de dados pessoais. Em atenção a esses
princípios, entidades e órgãos públicos devem verificar se as informações coletadas são, efetivamente, adequadas e necessárias para o
guia anpd · Tratamento de dados pessoais pelo Poder Público
39
atendimento das finalidades para as quais serão utilizadas, não podendo haver, desses dados, uso incompatível com as finalidades que
justificaram sua coleta ou a sua obtenção. Muitas vezes, a coleta indiscriminada de dados pessoais é o ponto principal a ser considerado,
de modo que, ao invés de eventual e posterior atribuição de sigilo, a
proteção será mais efetiva com a própria dispensa da coleta ou com a
eliminação da informação.
Em outras situações, nas quais a coleta seja necessária e não seja cabível a eliminação dos dados, podem ser adotadas medidas de mitigação de risco, que fortalecem e tornam mais segura a possibilidade
de divulgação dos dados pessoais, haja vista a diminuição de seu
potencial lesivo aos direitos dos titulares. Eventualmente, essas medidas podem ser descritas em relatório de impacto à proteção de dados pessoais, documento do controlador que “contém a descrição dos
processos de tratamento de dados pessoais que podem gerar riscos
às liberdades civis e aos direitos fundamentais, bem como medidas,
salvaguardas e mecanismos de mitigação de risco” (art. 5º, xvii; 38,
parágrafo único).
Uma possível salvaguarda a ser adotada é a limitação da divulgação
àqueles dados efetivamente necessários para se alcançar os propósitos legítimos e específicos em causa, observados o contexto do
tratamento e as expectativas legítimas dos titulares. Nesse sentido,
em cumprimento à decisão proferida pelo stf, a divulgação da remuneração individualizada de servidores públicos federais é realizada
sem a apresentação completa de números como o cpf e a matrícula
do servidor. A restrição de acesso a essas informações mitiga os riscos aos titulares de dados pessoais, sem, no entanto, comprometer a
finalidade de garantia de transparência e de controle social sobre as
despesas públicas. O contexto e as expectativas legítimas dos titulares também são relevantes, na medida em que se entende, como uma
decorrência natural do exercício da atividade pública, que determina-
guia anpd · Tratamento de dados pessoais pelo Poder Público
40
das informações pessoais dos servidores se submetam ao escrutínio
da sociedade.[ 20 ]
Em atenção aos princípios da segurança, da prevenção e da responsabilização e prestação de contas, órgãos e entidades públicas devem
adotar medidas técnicas e administrativas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de
dados pessoais, observado o disposto nos arts. 46 a 49 da lgpd. No
mesmo sentido, conforme o art. 50, § 1º, constitui boa prática realizar
o tratamento de dados pessoais levando em consideração a natureza,
o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos
benefícios decorrentes do tratamento de dados. Entre outras medidas, sempre que possível, os dados pessoais devem ser pseudonimizados ou anonimizados.
Por isso, mesmo nos casos de divulgação pública de dados pessoais,
é recomendável que órgãos e entidades públicos avaliem a possibilidade de adoção de medidas técnicas e administrativas capazes de
mitigar riscos e prevenir a ocorrência de danos aos titulares. Essas
medidas adicionais se justificam, pois, em conformidade com os princípios acima referidos, a lgpd estabelece ampla proteção aos dados
pessoais, inclusive para aqueles cujo acesso é público, seja por força
de lei ou por manifestação de vontade do titular, conforme se extrai
de seu art. 7º, §§ 3º, 4º e 7º.
Da mesma forma, em algumas situações, a simples atribuição de sigilo aos dados pessoais pode ser uma medida insuficiente para a sua
proteção efetiva. Daí que, em razão da gravidade dos riscos envolvidos em um tratamento e a fim de evitar a ocorrência de incidentes de
segurança, pode ser necessária a adoção de mecanismos adicionais
de proteção. É o que ocorre, por exemplo, nos casos de estudos em
saúde pública, em relação aos quais o art. 13 da lgpd prevê a adoção
de medidas adicionais de prevenção e segurança para o tratamento
guia anpd · Tratamento de dados pessoais pelo Poder Público
41
de dados sensíveis, tais como o seu armazenamento em ambiente
controlado e seguro, bem como, sempre que possível, a sua anonimização ou pseudonimização.
Finalmente, a própria transparência a respeito dos tratamentos de dados realizados e a efetiva garantia de direitos aos titulares devem ser
considerados como fatores relevantes para diminuir o uso indevido
de dados pessoais. Afinal, a possibilidade de o interessado apresentar
um requerimento ao órgão público responsável, relatando eventual
violação a seus direitos, pode viabilizar a correção de erros, bem como
a implementação de medidas como a anonimização, o bloqueio ou a
eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lgpd (art. 18, iv).
exemplo 12
Perfil socioeconômico de servidores públicos
A equipe responsável pela implementação da lgpd em um órgão público municipal identificou que o Departamento de Recursos Humanos
solicita de novos servidores o preenchimento de uma ficha cadastral e
de um formulário denominado “perfil socioeconômico”. Deste último,
constam dados sensíveis, tais como informações sobre origem racial,
convicção religiosa e filiação a sindicato. A equipe verificou que o formulário foi utilizado há alguns anos para subsidiar uma pesquisa efetuada em convênio com uma instituição de ensino local. Porém, mesmo
após o fim do convênio, o formulário continuou sendo utilizado como
parte do cadastro de novos servidores. Além disso, foi identificado que
não é atribuída restrição de acesso aos processos administrativos nos
quais estas e outras informações funcionais dos servidores são anexadas. A justificativa apresentada para tanto foi a de que o nome do servidor é excluído dos documentos tornados públicos. No entanto, a equipe
constatou que a reindentificação do servidor correspondente poderia
ser facilmente realizada, mediante, por exemplo, simples cruzamento
guia anpd · Tratamento de dados pessoais pelo Poder Público
42
com outras informações disponibilizadas na própria página eletrônica
do órgão.
Diante de tais fatos, e seguindo a orientação da equipe responsável, a administração do órgão adotou as seguintes providências, visando à conformidade com a lgpd: (i) imediata interrupção da coleta dos dados socioeconômicos de novos servidores,
em atenção aos princípios da necessidade e da finalidade; (ii)
eliminação das informações socioeconômicas até então coletadas, haja vista a inexistência, na hipótese, de obrigação legal
de armazenamento, e que a finalidade foi alcançada e os dados
pessoais deixaram de ser necessários e pertinentes; e (iii) atribuição de sigilo aos documentos que contêm informações funcionais dos servidores do órgão. Em acréscimo, a equipe ainda
avalia, junto à alta administração do órgão, a possibilidade de
definir normas internas mais restritas de controle de acesso aos
dados funcionais de seus servidores, além da adoção de técnicas
de pseudonimização.
exemplo 13
Currículo de candidatos a órgão consultivo
Entidade pública municipal recebe candidaturas de interessados em integrar órgão consultivo na qualidade de representante de organizações da
sociedade civil ou de sindicatos de empresas ou de trabalhadores. Durante o processo seletivo, os currículos dos candidatos são disponibilizados
na internet. Informações pessoais de candidatos de processos anteriores
também permanecem disponíveis na página da entidade. Um candidato
que, há alguns anos, participou do mesmo processo seletivo, solicitou que
seu currículo fosse retirado da página eletrônica da entidade.
Seguindo orientação da área técnica e da jurídica, a autoridade
competente acatou o pedido. Assim, o currículo do titular e os de
guia anpd · Tratamento de dados pessoais pelo Poder Público
43
outras pessoas na mesma situação foram retirados da página da
entidade na internet. Além disso, a entidade municipal passou a
adotar a prática de limitar a divulgação dos currículos apenas durante o período do processo seletivo, mitigando, dessa forma, os
riscos decorrentes da exposição pública dos titulares. Para tanto, considerou-se que, embora determinada por lei municipal, a
divulgação dos dados pessoais dos candidatos tem por objetivo
viabilizar o exercício do controle social, mediante, por exemplo,
eventual impugnação de candidatura. Assim, após a conclusão
do processo, com a designação dos novos membros do órgão
consultivo, a finalidade legal é alcançada, não mais se justificando a disponibilização dos currículos em transparência ativa.
guia anpd · Tratamento de dados pessoais pelo Poder Público
44
[ 1 ]
[ 2 ]
[ 3 ]
[ 4 ]
[ 5 ]
Notas
Apresentação ▶ p.5–6
Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes. ▶ p.6
Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2021.05.
27GuiaAgentesdeTratamento_Final.pdf. ▶ p.6
A LGPD, o Poder Público e as competências da ANPD ▶ p.7–9
O art. 1º da lgpd é expresso quanto à aplicação da lei às pessoas jurídicas de direito
público. O parágrafo único do mesmo artigo esclarece que as normas gerais contidas
na lgpd “são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios”. Já o art. 23, ao regulamentar o tratamento de dados pessoais pelo Poder Público, menciona as “pessoas jurídicas de direito público referidas
no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso
à Informação)”. Este dispositivo, por sua vez, se refere aos “órgãos públicos integrantes da administração direta dos Poderes Executivo, Legislativo, incluindo as Cortes de
Contas, e Judiciário e do Ministério Público”. ▶ p.7
O art. 4º, iii, excepciona parcialmente a aplicação da lgpd aos tratamentos de dados
pessoais realizados para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais. Os §§ 1º
a 4º do mesmo artigo estabelecem que, nessas hipóteses, que serão regidas por legislação específica, devem ser observados o devido processo legal e os princípios gerais
de proteção e os direitos do titular previstos na lgpd. Além disso, é atribuída à anpd a
competência para emitir opiniões técnicas e recomendações, bem como para solicitar
a elaboração de relatório de impacto à proteção de dados pessoais. É vedado o tratamento de dados pessoais nessas hipóteses por pessoa jurídica de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto
de informe específico à anpd. A lei estabelece, ainda, que em nenhum caso a totalidade de tais dados pessoais poderá ser tratada por pessoa jurídica de direito privado, salvo por aquela que possua capital integralmente constituído pelo Poder Público. ▶ p.7
Conforme o Parecer n° 00018/2021/gab/asjur-anpd/cgu/agu (nup 0130.000035/
2021-97), sobre a abrangência da competência da anpd. ▶ p.8
guia anpd · Tratamento de dados pessoais pelo Poder Público
45
Bases legais ▶ p.10–21
A agenda regulatória da anpd, publicada pela Portaria nº 11, de 27 de janeiro de 2021,
prevê a publicação de um Guia de boas práticas sobre “hipóteses legais de tratamento de dados pessoais”, atividade prevista para ser iniciada no segundo semestre de

2022. ▶ p.10
      No âmbito da União Europeia, o Regulamento Geral sobre a Proteção de Dados
      (rgpd) estabelece que a base legal do legítimo interesse não é aplicável ao tratamento de dados pessoais realizado por autoridades públicas quando estas agem
      no cumprimento de suas atribuições legais (Considerando 47; art. 6º, 1, f). Com base
      nessa disposição regulamentar, autoridades de proteção de dados europeias admitem o excepcional recurso ao legítimo interesse apenas quando o tratamento estiver
      associado a outras finalidades, fora do escopo das atribuições legais típicas da autoridade pública. Nesse sentido são as orientações sobre o tema disponibilizadas pela
      ico (disponível em: https://ico.org.uk/for-organisations/guide-to-data-protection/
      guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/
      legitimate-interests/) e pela cnil (disponível em: https://www.cnil.fr/fr/les-bases-legales/choisir-base-legale). ▶ p.14
      Um terceiro tipo de obrigação pode decorrer de “normas-objetivo” ou “normas programáticas”, que estabelecem objetivos e metas a serem alcançados por entidades
      e órgãos públicos. Nestes casos, porém, a ação estatal costuma ser materializada por
      meio da definição e execução de políticas públicas, base legal específica, objeto de
      comentário na próxima seção. ▶ p.15
      As normas de conduta “são aquelas destinadas a reger, diretamente, as relações sociais e o comportamento das pessoas. Normas de conduta […] preveem um fato e a
      ele atribuem um efeito jurídico. São concebidas na forma de um juízo hipotético: se
      ocorrer F, então E. Por exemplo: em se verificando o fato gerador, será devido o tributo; se o contrato for violado, a parte responsável deverá pagar uma indenização.”
      BARROSO, L. R. Curso de direito constitucional contemporâneo. São Paulo: Saraiva,
      2009, p. 192. ▶ p.16
      Segundo Luís Roberto Barroso, as normas de organização “contêm uma prescrição
      objetiva, uma ordem para que alguma coisa seja feita de determinada maneira. Não
      contêm um juízo hipotético, mas um mandamento taxativo. Em lugar de disciplinarem condutas, as normas de organização, também chamadas de normas de estrutura,
      [ 6 ]
      [ 7 ]
      [ 8 ]
      [ 9 ]
      [ 10 ]
      guia anpd · Tratamento de dados pessoais pelo Poder Público
      46
      instituem órgãos, atribuem competências, definem procedimentos”. BARROSO, L. R.,
      ob. cit., p. 193. Em sentido similar, para Miguel Reale, o que caracteriza uma norma de
      organização “é a obrigação objetiva de algo que deve ser feito, sem que o dever enunciado
      fique subordinado à ocorrência de um fato previsto, do qual possam ou não resultar
      determinadas consequências.” (grifo conforme o original). Lições preliminares de direito. 25ª ed. São Paulo: Saraiva, 2001, p. 87-88. ▶ p.16
      CARVALHO FILHO, J. S. Manual de direito administrativo. 28ª ed. São Paulo: Atlas,
      2015, p. 12. Ainda segundo o autor, a função administrativa visa à “gestão dos interesses coletivos”, sendo definida de forma residual, isto é, “onde não há criação de direito
      novo [função legislativa] ou solução de conflitos de interesses na via própria (judicial), a função exercida, sob o aspecto material, é a administrativa” Idem, p. 5. ▶ p.20
      BUCCI, M. P. O conceito de política pública em direito. In: BUCCI, M. P. Políticas públicas: reflexões sobre o conceito jurídico. São Paulo: Saraiva, 2006, p. 39. ▶ p.21
      Princípios ▶ p.22–28
      Em sentido similar ao proposto, ver o art. 6º, 4, do Regulamento Geral sobre a Proteção de Dados, da União Europeia. ▶ p.24
      Em sentido similar, a Lei nº 14.129/2021 estabeleceu obrigações específicas relativas à
      publicidade das operações de tratamento de dados pessoais: “art. 25. As Plataformas
      de Governo Digital devem dispor de ferramentas de transparência e de controle do
      tratamento de dados pessoais que sejam claras e facilmente acessíveis e que permitam ao cidadão o exercício dos direitos previstos na Lei nº 13.709, de 14 de agosto de
      2018 (Lei Geral de Proteção de Dados Pessoais). §1º As ferramentas previstas no caput
      deste artigo devem: i – disponibilizar, entre outras, as fontes dos dados pessoais, a
      finalidade específica do seu tratamento pelo respectivo órgão ou ente e a indicação
      de outros órgãos ou entes com os quais é realizado o uso compartilhado de dados
      pessoais, incluído o histórico de acesso ou uso compartilhado, ressalvados os casos
      previstos no inciso iii do caput do art. 4º da Lei nº 13.709, de 14 de agosto de 2018 (Lei
      Geral de Proteção de Dados Pessoais); ii – permitir que o cidadão efetue requisições
      ao órgão ou à entidade controladora dos seus dados, especialmente aquelas previstas no art. 18 da Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados
      Pessoais). §2º A Autoridade Nacional de Proteção de Dados (anpd) poderá editar
      normas complementares para regulamentar o disposto neste artigo. ▶ p.27
      [ 11 ]
      [ 12 ]
      [ 13 ]
      [ 14 ]
      guia anpd · Tratamento de dados pessoais pelo Poder Público
      47
      Compartilhamento de dados pessoais pelo Poder Público ▶ p.29–36
      Conforme os princípios de boas práticas para a ética de dados no setor público, divulgados pela Organização para a Cooperação e Desenvolvimento Econômico (ocde), as
      decisões e as ações do Poder Público relativas ao tratamento de dados pessoais devem buscar “[…] prevenir, evitar ou, pelo menos, limitar a ocorrência de danos intencionais a indivíduos, a grupos sociais e à sociedade […]. Para alcançar esse objetivo, os
      governos devem realizar uma efetiva gestão ética dos dados, incluindo os de indivíduos e comunidades, ao longo de todo o seu ciclo de valor, visando ao fortalecimento
      das instituições democráticas e do Estado de Direito (por exemplo, no que concerne
      à privacidade e à proteção de dados pessoais). Isso ajudaria a ampliar a legitimidade
      do uso e do tratamento de dados pelos governos, inclusive no que concerne à entrega
      de políticas e serviços centrados no ser humano” [tradução livre]. ocde. Good Practice
      Principles for Data Ethics in the Public Sector, 2020, p. 5. Disponível em: https://www.
      oecd.org/digital/digital-government/good-practice-principles-for-data-ethics-in-
      -the-public-sector.htm. Acesso: 10 dez. 2021. ▶ p.30
      Nesse sentido, o Decreto nº 10.046/2019 adotou a sistemática de dispensar a celebração de convênio, acordo de cooperação técnica ou instrumentos congêneres para
      a efetivação de compartilhamento de dados entre órgãos e entidades da administração pública federal (art. 5º). Em alternativa, definiu-se que nos casos de dados
      categorizados como “restritos” ou “específicos”, o compartilhamento deve observar,
      respectivamente, as regras estabelecidas pelo Comitê Central de Governança de Dados (art. 12) ou decisão administrativa do gestor dos dados, que conceda a permissão
      de acesso e defina os requisitos definidos como condição para o compartilhamento
      (art. 14). ▶ p.31
      No julgamento da Ação Direta de Inconstitucionalidade nº 6387, em 24 de abril de
      2020, o stf considerou inconstitucional a Medida Provisória (mp) nº 954, de 17 de
      abril de 2020, que obrigava as prestadoras de serviços de telecomunicações a compartilhar dados de seus usuários com o ibge para fins de “produção estatística oficial”.
      Conforme exposto no voto da Ministra Rosa Weber, relatora da ação, a norma “não
      delimita o objeto da estatística a ser produzida, nem a finalidade específica, tampouco a amplitude. Igualmente não esclarece a necessidade de disponibilização dos
      dados nem como serão efetivamente utilizados […]. Nessa linha, ao não definir propriamente como e para que serão utilizados os dados coletados, a mp n. 954/2020 não
      [ 15 ]
      [ 16 ]
      [ 17 ]
      guia anpd · Tratamento de dados pessoais pelo Poder Público
      48
      oferece condições para avaliação da sua adequação e necessidade, assim entendidas
      como a compatibilidade do tratamento com as finalidades informadas e sua limitação ao mínimo necessário para alcançar suas finalidades.” ▶ p.32
      Divulgação de dados pessoais ▶ p.37–43
      Os critérios de divulgação de informações pessoais estão previstos, por exemplo, no
      art. 31 da lai. No âmbito da administração pública federal, a Controladoria-Geral da
      União e a Comissão Mista de Reavaliação de Informações são os órgãos competentes
      para deliberar, com base na LAI, sobre recursos interpostos em casos de negativa de
      acesso à informação determinada por órgão ou entidade pública federal, nos termos
      dos arts. 23 e 24 do Decreto nº 7.724, de 16 de maio de 2012. ▶ p.37
      A autodeterminação informativa é um dos fundamentos da disciplina legal da proteção de dados pessoais (art. 2º, ii, lgpd) e consiste em garantir ao titular os meios
      necessários ao exercício do controle sobre seus próprios dados pessoais. ▶ p.38
      Conforme decidido pelo stf, “a remuneração dos agentes públicos constitui informação de interesse coletivo ou geral”, aplicando-se à hipótese o princípio constitucional
      da publicidade administrativa, que “propicia o controle da atividade estatal até mesmo pelos cidadãos.” A Corte entendeu, ainda, que os riscos pessoais decorrentes da
      divulgação são atenuados com “a proibição de se revelar o endereço residencial, o cpf
      e a ci de cada servidor”. Por fim, em atenção ao contexto e às expectativas dos titulares envolvidos, a decisão menciona que “os dados objeto de divulgação em causa dizem respeito a agentes públicos mesmos; ou, na linguagem da própria Constituição,
      agentes estatais agindo nessa qualidade”. Suspensão de Liminar nº 623/df, Ministro
      Ayres Britto, 10 de julho de 2012. ▶ p.40
      [ 18 ]
      [ 19 ]
      [ 20 ]
      guia anpd · Tratamento de dados pessoais pelo Poder Público
      Anexo i
      Uso compartilhado de dados pessoais pelo Poder Público
      Requisito Recomendação
      Formalização e
      registro
      ▶ Instauração de processo administrativo;
      ▶ Análise técnica e jurídica;
      ▶ Decisão administrativa ou celebração de contrato,
      convênio ou instrumento congênere;
      ▶ Edição de ato normativo interno.
      Objeto e
      finalidade
      ▶ Descrição dos dados pessoais de forma objetiva e
      detalhada;
      ▶ Indicação de finalidade específica;
      ▶ Avaliação da compatibilidade entre a finalidade
      original e a finalidade do compartilhamento.
      Base legal ▶ Indicação da base legal utilizada.
      Duração do
      tratamento
      ▶ Definição do período (duração) do uso compartilhado
      dos dados, de forma fundamentada, e esclarecimento
      sobre a possibilidade de conservação ou a necessidade
      de eliminação após o término do tratamento.
      Transparência
      e direitos dos
      titulares
      ▶ Divulgação das informações pertinentes na página
      eletrônica dos órgãos e das entidades responsáveis;
      ▶ Divulgação de maneira que as informações sobre
      dados pessoais tratados pela entidade sejam de fácil
      compreensão;
      ▶ Definição de responsabilidades e de procedimentos
      relativos ao atendimento de solicitações de titulares.
      49
      guia anpd · Tratamento de dados pessoais pelo Poder Público
      50
      Prevenção e
      segurança
      ▶ Descrição das medidas técnicas e administrativas
      adotadas para proteger os dados pessoais de incidentes
      de segurança.
      Outros requisitos
      (avaliação
      conforme o caso
      concreto)
      ▶ Autorização ou vedação para novo compartilhamento
      ou transferência posterior dos dados pessoais;
      ▶ Ônus financeiro;
      ▶ Requisitos específicos para compartilhamento de
      dados pessoais com entidades privadas (art. 26, § 1º e
      art. 27, LGPD);
      ▶ Elaboração de relatório de impacto à proteção de dados
      pessoais, caso necessário;
      ▶ Identificar as funções e responsabilidades dos agentes
      de tratamento.
      guia anpd · Tratamento de dados pessoais pelo Poder Público
      51
      Anexo ii
      Cuidados a serem observados quando da divulgação de
      dados pessoais pelo Poder Público
      Parâmetro Recomendação
      A coleta do
      dado pessoal
      é necessária e
      adequada para a
      finalidade do
      tratamento?
      ▶ Verificar a possibilidade de dispensa da coleta ou de
      eliminação dos dados pessoais, tendo em vista a sua
      efetiva necessidade para o alcance das finalidades do
      tratamento;
      ▶ Verificar se há formas de atingir a finalidade almejada
      sem o tratamento de dados pessoais e de maneira
      menos gravosa para o titular de dados.
      A divulgação
      envolve dados
      pessoais
      sensíveis?
      ▶ Em caso afirmativo, o tratamento deve ser efetuado
      com maior cautela, observando-se normas específicas,
      como os dispositivos da LGPD relativos a estudos em
      saúde pública.
      Quais medidas
      de mitigação
      de risco para o
      titular de dados
      podem ser
      adotadas?
      ▶ Elaboração de relatório de impacto à proteção de dados
      pessoais, caso necessário;
      ▶ Medidas de prevenção e segurança, a exemplo de
      anonimização ou pseudonimização dos dados pessoais
      sempre que isso não comprometa o exercício do
      controle social;
      ▶ Limitação da divulgação àqueles dados necessários para
      alcançar a finalidade pretendida, observados o contexto,
      a finalidade e as expectativas legítimas dos titulares;
      ▶ Transparência do tratamento; e
      ▶ Garantia de direitos dos titulares.
      www.anpd.gov.br