Flávio Henrique Unes Pereira

Rafael da Silva Alvim

Diante da vaga distinção feita pelo art. 24 da Lei Geral de Proteção de Dados Pessoais (LGPD) entre atuação em regime de concorrência e execução de políticas públicas, como garantir que as empresas estatais tenham segurança jurídica ao estruturar seus programas internos de conformidade? Eis a questão que motiva este ensaio.
De acordo com a doutrina que vem se formando a respeito do assunto, a LGPD utilizou-se de uma espécie de cisão funcional entre as estatais, empregando-a como critério para determinar a aplicação de um ou de outro regime jurídico referente à tutela da privacidade e dos dados pessoais dos titulares.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
Seu art. 24, caput, menciona as estatais “que atuam em regime de concorrência”, destinando a elas “o mesmo tratamento dispensado às pessoas jurídicas de direito privado particulares”; o parágrafo único do mesmo dispositivo, por outro lado, estabelece que, “quando estiverem operacionalizando políticas públicas e no âmbito da execução delas”, as estatais terão o mesmo tratamento dos órgãos e entidades do Poder Público (regido pelo art. 23 da LGPD).
Uma primeira observação deve ser feita a partir da própria redação da norma: o parágrafo único, ao remeter as estatais à disciplina própria dos órgãos e entidades da Administração Pública, indica haver certa transitoriedade nessa sujeição. Em outras palavras, a separação feita pela LGPD não é estanque.
Veja-se que o texto legal diz “quando estiverem operacionalizando políticas públicas”, e não “que operacionalizem políticas públicas”. A observação, aqui, vai muito além de mera filigrana gramatical. A repercussão prática reside em que as expressões “que atuam em regime de concorrência” e “quando estiverem operacionalizando políticas públicas e no âmbito da execução delas” não são mutuamente excludentes.
De fato, a observância rigorosa da letra da LGPD, ao categorizar empresas estatais num ou noutro conceito, pode conduzir a dificuldades no momento de se identificar, na prática, a quais normas estará sujeito o tratamento de dados. Como já observa a doutrina, a classificação “simplifica uma realidade complexa e dinâmica na qual elas [as estatais] atuam, pois é um conjunto de critérios que define o sistema jurídico mais apropriado às estatais, sob pena de suscitar o manejo equivocado de instrumentos jurídicos para regular suas atividades”<a href="#_ftn1" name="_ftnref1">[1]</a>.
Empresas estatais que atuem em regime de concorrência podem ter, dentro de seu espectro de atividades, a operacionalização de políticas públicas. Exemplo disso é a Caixa Econômica Federal, que atua em regime de concorrência e também operacionaliza políticas públicas (a ela cabe, por exemplo, a gestão dos recursos destinados à concessão da subvenção do Programa Nacional de Habitação Urbana, no âmbito do Programa Minha Casa Minha Vida, prevista no art. 9º da Lei n. 11.977/2009).
Ao tratar dados pessoais no contexto da execução de políticas públicas, a estatal será reconduzida ao regime jurídico “específico” do art. 23 da LGPD, que atrela o tratamento ao “atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais (...)”. Como se vê, não é trivial o desafio de assegurar conformidade na excepcional situação das estatais sujeitas, concomitantemente, a dois regimes jurídicos: identificar, de modo preciso, as atividades ou os contextos nos quais as estatais deverão tratar dados de acordo com o regime jurídico do art. 23 é de suma importância para a adequada estruturação dos programas internos de compliance.
O art. 50 da LGPD estabelece a possibilidade de que controladores e operadores formulem “regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos”, entre outros aspectos relevantes relacionados ao tratamento. Mais importante ainda, nesse contexto, a previsão do parágrafo primeiro do mesmo dispositivo, a impor que as regras de boas práticas reflitam “em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular”.
Em se tratando de empresas estatais, portanto, sua estrutura de governança deverá refletir a realidade dúplice a que se encontram sujeitas, caso possam se ver envolvidas na operacionalização e na execução de políticas públicas. Desse modo, questão a ser endereçada com urgência é identificar que medidas devem ser adotadas para garantir salvaguardas adequadas a seus processos de negócio (de sorte a evitar, por exemplo, que dados tratados no âmbito de políticas públicas o sejam, posteriormente, no exercício de atividades econômicas sujeitas ao regime de concorrência). É pertinente mencionar, nesse contexto, o caso do SERPRO, que foi alvo de representação formulada pelo MPDFT ao TCU (processo n. 016.073/2019-3, rel. Min. Bruno Dantas), justamente por oferecer ao mercado o serviço denominado “Datavalid”, que permitia às empresas autenticar a identidade de milhões de pessoas a partir do cruzamento com os dados da Carteira Nacional de Habilitação, constantes de banco de dados mantido pelo DENATRAN.
Como se vê, cuida-se de questionamentos com importantíssimas repercussões técnico-operacionais, do ponto de vista da adequada estruturação dos programas internos de compliance e, mais ainda, da perspectiva da proteção dos direitos dos titulares de dados pessoais. Nesse cenário, sem o emprego do ferramental metodológico adequado, a letra fria da LGPD pode se traduzir em insegurança jurídica na formulação, pelas estatais, de seus programas de conformidade (compliance digital).
Para encontrar respostas a esse desafio, é imprescindível considerar o art. 50, § 3º, da LGPD, segundo o qual as regras de boas práticas e de governança “poderão ser reconhecidas e divulgadas pela autoridade nacional”. A norma revela a adoção, no ecossistema da proteção de dados, da estratégia regulatória denominada pela doutrina de autorregulação regulada, em que se prestigia a relação horizontalizada entre regulador e regulado, em detrimento da tradicional orientação verticalizada, pautada pelos vetores axiológicos de comando e controle<a href="#_ftn2" name="_ftnref2">[2]</a>.
No contexto em que avultam incertezas sobre o emprego das próprias bases jurídicas estruturantes do programa de compliance das estatais, cresce em relevância a adoção da via do art. 50, § 3º, da LGPD, que, ao tempo em que estabelece a possibilidade de aprovação das regras internas pelo regulador, também permite a sua divulgação pela própria ANPD, de sorte a disseminar bons exemplos de adequação à disciplina da proteção de dados pessoais.
<div id="sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6', 'UA-53687336-1').createForm();</script>
<hr />
&nbsp;
<a href="#_ftnref1" name="_ftn1">[1]</a> SILVA, Caroline Rodrigues da. In A aplicação da LGPD nas empresas estatais. In PIRONTI, Rodrigo (Coord.). Lei Geral de Proteção de Dados: estudos sobre um novo cenário de governança corporativa. Belo Horizonte: Fórum, 2020, p. 211.
<a href="#_ftnref2" name="_ftn2">[2]</a> “O diferencial dessa estratégia para a de comando e controle está em que o regulado passa a ser regido por um regime jurídico específico, sem que o Estado seja obrigado a idealizar normas com pretensão de aplicação universal desconectadas das reais condições de implementação e motivações de cada ator regulado.” (ARANHA, Marcio Iorio. Manual de Direito Regulatório: Fundamentos de Direito Regulatório. 5. ed. rev. ampl. London: Laccademia Publishing, 2019, p. 166)

LGPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Sem ferramental metodológico adequado, letra fria da LGPD pode se traduzir em insegurança jurídica no compliance digital

Conformidade das estatais à LGPD: segurança jurídica pela autorregulação regulada

Sem ferramental metodológico adequado, letra fria da LGPD pode se traduzir em insegurança jurídica na formulação de compliance digital