Danielly Cristina Araújo Gontijo

Raphael Rodrigues Valença de Oliveira

Um programa de compliance de dados pessoais de órgãos e entes públicos deve contemplar as cautelas necessárias ao uso compartilhado de dados pessoais com outros órgãos públicos e mesmo com entes privados. Esta é a sétima dimensão de conformidade analisada pelo <a href="https://www.jota.info/tudo-sobre/tcu">Tribunal de Contas da União</a>, no acórdão nº 1384/2022, no qual o órgão de controle apresentou diversos direcionamentos para que os órgãos públicos adequem sua atuação à proteção dos dados pessoais.
A Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>) define, em seu art. 5º, inciso XVI, o uso compartilhado de dados como comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.
 Nesse sentido é que o uso compartilhado de dados pessoais pelos órgãos e entes da Administração Pública deve ser realizado em conformidade com a LGPD, observando especialmente seus princípios, as bases legais aplicáveis e as regras específicas referentes ao tratamento de dados pelo Poder Público, além da necessidade, é claro, de serem garantidos os direitos dos titulares de dados nestas operações.
No seu Guia de Tratamento de Dados Pessoais pelo Poder Público, a Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/anpd">ANPD</a>) traz algumas diretrizes mínimas para a conformação desse uso compartilhado, que podem ser assim resumidas: (i) que o uso compartilhado seja estabelecido por meio de ato formal; (ii) que se submeta a registro, nos termos da regra contida no art. 37 da LGPD, cabendo incluir nessa formalização os documentos e as informações pertinentes e as análises técnica e jurídica, conforme o caso, indicando a motivação para a realização do compartilhamento e a sua aderência à legislação em vigor; (iii) que esteja amparado pela indicação clara e objetiva das finalidades do tratamento de dados, finalidades estas que devem ser específicas (indicando-se, por exemplo, qual iniciativa, ação ou programa será executado ou, ainda, qual atribuição legal será cumprida mediante o compartilhamento dos dados pessoais), em observância inclusive ao art. 26 da LGPD; (iv) que o objeto de compartilhamento seja indicado objetiva e detalhadamente, o qual deve se limitar ao que for estritamente necessário para atingir as finalidades do tratamento, de acordo com o princípio da necessidade; (v) que esteja fundamentado em base legal prevista no art. 7º ou, no caso de dados pessoais sensíveis, no art. 11 da LGPD; (vi) que tenha duração de tratamento definida, após a qual, via de regra, os dados deverão ser eliminados (lembrando-se, entretanto, que o art. 16 da LGPD prevê hipóteses em que a conservação de dados pessoais é autorizada); (vii) que seja observada a transparência, assegurando a disponibilização de informações claras, precisas e facilmente acessíveis aos titulares sobre a realização do compartilhamento e sobre como exercer seus direitos; (viii) que sejam respeitados os direitos dos titulares; (ix) que sejam adotadas medidas de segurança, técnicas e administrativas, para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 6º, VII, e 46, da LGPD), medidas estas que devem ser proporcionais aos riscos às liberdades civis e aos direitos fundamentais dos cidadãos envolvidos no caso concreto.
Verifica-se, portanto, a necessidade de que o programa de compliance de dados pessoais dos órgãos e entes públicos abranja a documentação de todos os aspectos relacionados ao compartilhamento de dados pessoais com terceiros, inclusive aqueles referentes às medidas de controle adotadas para mitigar os riscos que possam comprometer a consistência e a proteção dos dados pessoais. 
O primeiro passo para cumprir esta exigência, portanto, é identificar quais os dados pessoais são compartilhados com terceiros. 
Em seguida, é necessário avaliar se tais compartilhamentos estão em conformidade com os critérios estabelecidos na LGPD – como exposto, de acordo com a ANPD, esse compartilhamento deve minimamente estar submetido aos princípios previstos no art. 6º (finalidade, adequação, proporcionalidade etc.), deve se fundamentar em uma das bases legais que autorizam o tratamento de dados pessoais (art. 7º ou art. 11), deve ter duração de tratamento definida e, além disso, por se tratar de compartilhamento de dados realizado pelo Poder Público, deve observar o previsto no art. 26 da LGPD, ou seja, deve atender a finalidades de execução de políticas públicas e atribuição legal pelas organizações públicas. Vale lembrar que, via de regra, não se admite a transferência de dados pessoais do Poder Público para o poder privado – no entanto, esse compartilhamento é possível nas hipóteses excepcionais previstas no § 1º do art. 26, observadas as regras previstas no § 2º do mesmo artigo e no art. 27 (necessidade de comunicação à ANPD e de obtenção do consentimento do titular de dados, como regra).
Recomenda-se ainda que os órgãos e entes públicos mantenham registro atualizado sobre os dados pessoais que estão sendo compartilhados, com quem este compartilhamento está sendo feito e por qual período temporal (respondendo, pois, às perguntas sobre o compartilhamento de dados pessoais: o que?, quem? e quando?) e que estas informações sejam disponibilizadas aos titulares de dados pessoais. 
Também é necessário que os órgãos e entes públicos verifiquem se realizam alguma transferência internacional de dados – as hipóteses em que tal tipo de transferência é autorizada pela LGPD estão previstas no art. 33. Dessa forma, caso identifique a realização de algum tipo de transferência internacional, o órgão público deverá examinar se tal operação se enquadra dentre aquelas hipóteses autorizadas expressamente pela LGPD. É recomendado ainda que, da mesma forma, o órgão documente para quais países ou organizações internacionais tais transferências estão ocorrendo, quais os dados estão sendo compartilhados e por qual período. Também é recomendado que essas informações sejam disponibilizadas para o titular dos dados pessoais.
Por fim, o programa de compliance de dados dos órgãos públicos deve contemplar a gestão dos riscos envolvidos no compartilhamento de dados pessoais, para que os órgãos e entes públicos possam adotar os controles necessários para mitigar os riscos referentes a estes compartilhamentos, especialmente aqueles decorrentes de incidentes ocorridos no ambiente dos terceiros com os quais compartilha tais dados.

proteção de dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Primeiro passo para cumprir exigência é identificar quais dados pessoais são compartilhados com terceiros

Compliance de dados na administração: compartilhamento de dados pessoais

Primeiro passo para cumprir compliance de dados é identificar quais dados pessoais são compartilhados com terceiros