Rafael Wallbach Schwind

A <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei Geral de Proteção de Dados (LGPD)</a> foi publicada em 2018, e as sanções nela previstas estão vigentes desde agosto de 2021. Recentemente, em 28 de outubro, a Autoridade Nacional de Proteção de Dados (ANPD) editou a Resolução CD/ANPD 1/2021, que estabelece o regulamento dos processos de fiscalização e sancionador no âmbito da ANPD.
Nesse contexto, aumenta a expectativa dos administradores públicos em relação a quais são os seus deveres no tratamento de dados pessoais e quais as sanções cabíveis em caso de descumprimento. Afinal, a LGPD contém uma série de deveres e sanções aplicáveis às situações em que o poder público é o responsável pelo tratamento de dados pessoais. No entanto, há muitas incertezas sobre a extensão de tais deveres.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
Maiores ainda são as dúvidas sobre as regras e sanções cabíveis às empresas estatais quando estejam realizando o tratamento de dados pessoais. E mais: sobre quais seriam as providências concretas que tais empresas devem tomar para cumprir seus deveres e se precaver frente às potenciais responsabilidades a que estão expostas.
Falar sobre empresas estatais envolve uma complexidade intrínseca. Elas são um verdadeiro ornitorrinco da Administração Pública. Por um lado, são pessoas jurídicas de direito privado, atuam muitas vezes em competição com empresas totalmente privadas, desenvolvem oportunidades de negócio. Por outro lado, integram a Administração Pública, realizam licitações, prestam contas a órgãos de controle e não se submetem a uma série de regras comerciais e societárias típicas da iniciativa privada.
Tradicionalmente, doutrina e jurisprudência enxergam as empresas estatais segundo uma concepção binária. A classificação mais comum – e da qual se extraem diversas conclusões muitas vezes equivocadas – é a que distingue as empresas estatais entre prestadoras de serviços públicos e exploradoras de atividades econômicas.
Essa visão binária, baseada no tipo de atividade desempenhada, foi adotada pela LGPD ao definir as regras aplicáveis às empresas estatais no tocante ao tratamento de dados pessoais. O artigo 24 da LGPD estabelece que as empresas estatais que atuam “em regime de concorrência” terão o mesmo tratamento dispensado às pessoas de direito privado particulares; já as empresas estatais que “estiverem operacionalizando políticas públicas e no âmbito da execução delas”, terão o mesmo tratamento dispensado aos órgãos e às entidades do poder público.
Pode parecer fácil a aplicação dessas regras, mas a realidade é muito mais complexa.
Em primeiro lugar, toda empresa estatal, em maior ou menor grau, atua na operacionalização de políticas públicas. Afinal, o artigo 173 da Constituição Federal exige que as empresas estatais se destinem à consecução de objetivos relacionados a relevante interesse coletivo ou imperativo de segurança nacional. Se uma empresa estatal não atende a pelo menos um desses requisitos, a rigor não deveria nem mesmo existir.
No entanto, partindo-se da premissa de que a empresa estatal estará sempre operacionalizando políticas públicas, a aplicação do artigo 24 da LGPD ficaria sem sentido. Não haveria como distinguir as situações, e todas elas se enquadrariam nas regras que versam sobre o tratamento de dados pessoais pelo poder público. Certamente não foi essa a intenção da lei.
Em segundo lugar, as empresas estatais não se enquadram necessariamente em uma das duas hipóteses previstas de modo binário pelo artigo 24 da LGPD. Há situações em que uma mesma empresa estatal explora atividades econômicas em concorrência e simultaneamente operacionaliza políticas públicas – não apenas indiretamente, como exposto acima, mas também de modo direto. Tome-se como exemplo a Caixa Econômica Federal, que presta serviços em concorrência com instituições financeiras privadas e, simultaneamente, desempenha um importante papel na execução de políticas públicas por meio de empréstimos subsidiados e outras atividades.
Em terceiro lugar, um mesmo conjunto de dados pessoais pode ser utilizado para finalidades diversas. Dados coletados por uma empresa estatal ao atuar diretamente na operacionalização de uma política pública podem em tese ser utilizados no âmbito de uma exploração de atividades econômicas não diretamente ligadas àquela política em questão.
Tudo isso torna bastante complexa a definição das regras da LGPD que são aplicáveis às empresas estatais. Para conciliar essa complexidade com a distinção estabelecida pelo artigo 24 da LGPD, é necessário extrair do dispositivo qual foi o motivo da distinção criada. Parece-nos que a distinção parte da concepção de que os dados pessoais têm um valor agregado intrínseco e que a LGPD buscou no proveito econômico o fundamento para a definição das regras aplicáveis. Se o agente que realiza o tratamento de dados pessoais busca um proveito econômico, será submetido a um regime específico, que é diverso daquele aplicado ao poder público. No caso das empresas estatais, presente o objetivo de proveito econômico no tratamento dos dados pessoais, as regras aplicáveis serão aquelas que incidem sobre a iniciativa privada; já se a empresa estatal não estiver em busca de um proveito econômico, sua situação será equiparável à do Poder Público, aplicando-se os dispositivos do Capítulo IV da LGPD.
Portanto, a presença de um potencial proveito econômico parece ser o fundamento que orienta a previsão do artigo 24 da LGPD. Por isso a distinção entre empresas estatais que atuam em concorrência e empresas estatais que estejam atuando como agentes de políticas públicas. A compreensão desse fundamento é uma baliza orientadora na aplicação do artigo 24.
A partir disso, extraem-se três conclusões relevantes e úteis ao tratamento de dados pelas empresas estatais.
A primeira é que uma mesma empresa estatal poderá estar sujeita a um regime dual. Novamente se recorre ao exemplo da Caixa Econômica Federal. Se ela estiver tratando com dados pessoais apenas para operacionalizar uma política pública – como o pagamento de um auxílio emergencial, por exemplo –, serão aplicadas as regras dos artigos 23 a 32 da LGPD, que estabelecem o dever de obter dados que sejam estritamente necessários ao exercício das políticas públicas, o dever de interoperabilidade dos dados, regras específicas de compartilhamento, dentre outros. Já se os dados pessoais estão de posse da estatal para o desempenho de sua atividade econômica em concorrência, serão aplicáveis as regras que incidem sobre a iniciativa privada em geral.
A segunda conclusão é que caberá à empresa estatal um dever de cautela dobrado no tratamento de dados pessoais. Deverá não apenas compreender bem as regras aplicáveis, mas também cuidar para que os dados obtidos na operacionalização de políticas públicas não sejam utilizados nas suas atividades em concorrência (ou seja, com finalidade de proveito econômico). Neste ponto, normas e procedimentos internos de compliance no tratamento de dados serão imprescindíveis para garantir a observância das regras aplicáveis e prevenir responsabilidades.
A terceira conclusão diz respeito às sanções cabíveis às empresas estatais que eventualmente violarem os preceitos da LGPD. O artigo 52 da LGPD estabelece o rol de penalidades cabíveis em geral. Há a previsão de nove modalidades de sanções, mas apenas sete são em tese aplicáveis ao poder público. Assim, quando a empresa estatal estiver no tratamento de dados pessoais com finalidades de proveito econômico, eventuais descumprimento das regras aplicáveis levará à cominação das sanções previstas em qualquer dos incisos do artigo 52 da LGPD – as quais, evidentemente, deverão ser aplicadas de modo proporcional à gravidade da violação. Já se a empresa estatal estiver de posse de dados pessoais enquanto mecanismo operacional de políticas públicas, as sanções em tese aplicáveis por violações à lei serão apenas aquelas relacionadas no §3º do artigo 52 da LGPD.
Além disso, é necessário que haja uma cautela especial na aplicação de sanções às empresas estatais por violações à LGPD. Isso porque certas penalidades podem gerar prejuízos à consecução das próprias políticas públicas. É o que ocorre, por exemplo, com a penalidade de suspensão parcial do funcionamento do banco de dados (artigo 52, X). Suspender o funcionamento de um banco de dados que é essencial à execução de políticas públicas por uma empresa estatal acaba por comprometer a própria execução dessas políticas, num autêntico “throw the baby out with the bath water”.
Isso não quer dizer que as empresas estatais devam ser imunes à incidência das sanções da LGPD. Muito menos que não se deva ter cautelas na aplicação de sanções à iniciativa privada. No entanto, é necessário que haja parcimônia na aplicação de sanções, ainda mais no presente momento, que ainda é de compreensão e adaptação às regras da lei.
Em conclusão, parece-nos que o critério do proveito econômico no tratamento de dados pessoais é um importante fator para a correta compreensão do regime jurídico e sancionatório da LGPD em relação às empresas estatais. A partir desse critério, pode-se interpretar adequadamente o artigo 24 da lei e, por conseguinte, tem-se mais clareza a respeito das normas, cautelas, responsabilidades e sanções cabíveis.

lgpd

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Critério do proveito econômico é baliza importante para aplicação da Lei Geral de Proteção de Dados às estatais

LGPD, empresas estatais e sanções aplicáveis

Critério do proveito econômico é baliza importante para aplicação da LGPD às empresas estatais