Rodrigo Sampaio

Jéssica Acocella

Nos últimos anos, no que diz respeito à proteção do direito individual de privacidade e dos dados pessoais em face do poder público, foram editados alguns marcos normativos relevantes, dos quais podemos mencionar, por exemplo, a Lei da Transparência (LC 131/2009); a Lei de Acesso à Informação (Lei nº 12.527/2011), que regulamentou o direito constitucional de acesso às informações públicas; o Decreto nº 8.777/2016, que dispõe sobre a Política de Dados Abertos; e, mais recentemente, o Decreto nº 10.222/2020, que aprovou a Estratégia Nacional de Segurança Cibernética.
Em meio às inovações normativas acerca do tema, certamente destaca-se a Lei Geral de Proteção de Dados Pessoais (LGPD), promulgada por meio da Lei nº 13.709/2018 e em vigor desde setembro do ano passado, passando as respectivas penalidades a serem aplicáveis, porém, apenas a partir de agosto deste ano (2021), tanto às pessoas e entidades do setor privado, como à administração pública.
<a href="https://conteudo.jota.info/poder-contato" rel="attachment wp-att-291327"><img class="size-medium wp-image-291327 aligncenter" src="https://www.jota.info/wp-content/uploads/2020/11/jota-pro-poder-v2.jpg" alt="" width="300" height="300" /></a>Com efeito, a LGPD é expressa ao estabelecer que a lei exteriorizará seus efeitos às pessoas jurídicas de direito público, oportunidade em que a administração, ao transacionar dados pessoais, também necessitará adequar seus processos às exigências legais.
Na hipótese, assim, de uma entidade ou órgão público infringir a proteção conferida pela LGPD aos dados pessoais dos cidadãos afetados, a norma estabelece, no art. 31, que “a autoridade nacional poderá enviar informe com medidas cabíveis para fazer cessar a violação”.
Determina, ainda, no art. 32, que a mesma autoridade (a Autoridade Nacional de Proteção de Dados, a ANPD, órgão vinculado à Presidência da República com atribuição de zelar pelas normas de proteção de dados, incluindo a função sancionatória) poderá solicitar aos agentes competentes a publicação de relatórios de impacto à proteção de dados, sugerindo a adoção de padrões e boas práticas de tratamento a serem adotadas pelo poder público.
Portanto, a lei não estabelece, com clareza, o regime de responsabilidade da administração e dos agentes públicos envolvidos que, em razão do exercício da atividade de tratamento de dados, causarem dano patrimonial ou moral ao sujeito prejudicado, conferindo à autoridade nacional discricionariedade na aplicação das sanções a serem impostas.
Já quando se tratar de controlador ou operador de dados privados, a LGPD estabelece, de um lado, a obrigação de reparação civil dos danos gerados ao titular dos dados, aplicando-se, quando for o caso, o regime jurídico das relações de consumo.
Por outro, prevê a possibilidade de responsabilização administrativa em face da autoridade nacional, que poderá aplicar, em breve resumo e a depender da gravidade da infração, as sanções de: (i) advertência; (ii) multa simples ou diária; (iii) publicização da infração após devidamente apurada e confirmada sua ocorrência; (iv) bloqueio dos dados pessoais a que se refere a infração até a sua regularização; (v) eliminação dos dados pessoais; (vi) suspensão parcial do funcionamento do banco de dados pelo período máximo de seis meses, prorrogável por igual período, até a regularização da atividade de tratamento; (vii) suspensão da atividade de tratamento também pelo período máximo de seis meses, prorrogável por igual período; e (viii) proibição parcial ou total do exercício de atividades relacionadas ao tratamento.
Em razão do disposto no art. 52, § 3º da lei, apesar de não prever de forma categórica – o que acaba por comprometer a segurança jurídica do cidadão titular de dados –, a norma abre a possibilidade de que as penalidades administrativas acima sejam aplicáveis também às entidades e aos órgãos públicos, excluindo apenas a incidência de multa simples e diária.
E não há de se desconsiderar, é claro, a possibilidade de a administração ser também responsabilizada civilmente, por meio da via judicial, por eventuais danos pessoais – materiais ou morais – causados em razão da atividade de tratamento de dados, inclusive pela não adoção de medidas técnicas de segurança.
Por outro lado, apesar de a lei possibilitar, algumas das sanções aplicáveis na esfera administrativa previstas pela lei parecem não ser aplicáveis ao poder público, em razão, notadamente, dos princípios da continuidade e da obrigatoriedade de o Estado prestar o serviço público no âmbito do qual se dá o tratamento de dados.
Assim, por exemplo, a eventual aplicação das sanções de suspensão parcial do funcionamento do banco de dados; de suspensão da atividade de tratamento dos dados pessoais a que se refere a infração; e de proibição parcial ou total do exercício das atividades relacionadas ao tratamento de dado, comprometeria o atendimento da finalidade pública ou a execução das competências legais relacionadas à atividade de interesse público prestada.
Quanto às demais (advertência, publicização da infração, bloqueio e eliminação dos dados pessoais) parece não haver maiores dificuldades: juridicamente não haveria empecilhos para que o órgão público infrator sofresse advertência administrativa em conjunto com o agente responsável, por exemplo.
<blockquote class="jota-article__eye">Da mesma forma, a publicização das informações, bem como o bloqueio e a eliminação dos dados pessoais não seriam incompatíveis com o regime jurídico público.</blockquote>
Já quanto à possibilidade de aplicação de multa – excluída de antemão pela norma –, apenas para fins de reflexão a esse respeito, podemos tomar, como referência no direito comparado, o Regulamento Geral de Proteção de Dados (RGPD) europeu, que estabelece expressamente a possibilidade de cada Estado-Membro determinar se as organizações e as autoridades públicas deverão estar sujeitas à incidência de multas, e em que medida.
Em Portugal, por exemplo, apesar de o tema ainda não estar expressamente regulamentado por lei, já há precedente de aplicação de multa a entidade pública. No caso, tratou-se de um hospital público, o Centro Hospitalar do Barreiro Montijo, ao qual foi imposto o pagamento do montante de 400 mil euros por acesso indevido a dados clínicos de doentes por profissionais não médicos.
Já no Direito brasileiro, a aplicação de multa administrativa a ente público em razão de falha na sua atuação, apesar de não ser recorrente, é possível, sendo uma das hipóteses mais comuns, por exemplo, a incidência de penalidade por infração à legislação ambiental.
Nesse caso, o órgão público ambiental tem competência legal para exercer poder de polícia sobre outro órgão, ente ou entidade da administração, impondo, inclusive, sanções de natureza pecuniária.
Assim, apesar de ser possível argumentar no sentido de não ser racional a imposição de penalidade pecuniária a ente público, não se vislumbra óbice, em nosso sistema jurídico, à adoção, pela ANPD, da penalidade de multa como uma das medidas cabíveis para fazer cessar a violação em questão. Entendimento em sentido contrário apenas esvaziaria a efetividade da norma de proteção de dados em face do poder público.
Tendo em vista, porém, a LGPD não ser clara a esse respeito, revela-se imprescindível que tal possibilidade seja devidamente regulamentada, estabelecendo-se, inclusive, os limites de atuação da autoridade nacional no exercício de seu poder de fiscalização, sob pena de comprometimento da segurança jurídica, da legalidade e da isonomia que devem sempre pautar qualquer atuação administrativa.
Já quanto à responsabilização do gestor público envolvido na violação à norma de proteção de dados, a mesma poderá se dar – sem prejuízo dos eventuais direitos de regresso da Administração –, quando aplicável, na forma da Lei nº 8.429/1992 (Lei de Improbidade Administrativa), em razão, por exemplo, de ato que atente contra princípios da administração pública, violando deveres tais como honestidade, imparcialidade e lealdade (art. 11).
Ou, ainda, nos termos da Lei nº 12.527/2011 (LAI), quando, no caso, restar violado, pelo agente público, o direito fundamental do cidadão de acesso à informação.
Assim, diante da indefinição da LGPD, resta aguardar de que forma a Autoridade Nacional – cujo Conselho Diretor, órgão máximo, foi recentemente nomeado em novembro de 2020 – se posicionará a respeito, com a expectativa de que sejam criados os devidos incentivos positivos para observância, pelos poderes públicos e seus agentes responsáveis, dos direitos dos cidadãos titulares de dados.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE

Telefonia

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

A expectativa é que sejam criados os devidos incentivos positivos para observância dos direitos dos cidadãos

E se a administração pública descumprir a LGPD?

A expectativa é que sejam criados os devidos incentivos positivos para observância dos direitos dos cidadãos