Danielly Cristina Araújo Gontijo

Raphael Rodrigues Valença de Oliveira

Para elaborar seus programas de compliance de dados pessoais, os órgãos e os entes da administração devem se atentar aos aspectos relacionados à proteção dos direitos dos titulares. Esta é a sexta dimensão de conformidade analisada pelo <a href="https://www.jota.info/tudo-sobre/tcu">Tribunal de Contas da União</a>, no acórdão nº 1384/2022, no qual o órgão de controle apresentou diversos direcionamentos para que os órgãos públicos adequem sua atuação à proteção dos dados pessoais.
Já de início, cumpre destacar que é essencial que os titulares tenham amplo acesso às informações referentes aos tratamentos de seus dados pessoais que são realizados pelo órgão público. Essas informações devem ser publicizadas de forma clara, objetiva e concisa, em linguagem acessível, de modo a garantir que o titular dos dados (destinatário destas informações) efetivamente compreenda como o órgão público utiliza seus dados, por quanto tempo e quais são seus direitos relacionados a esses tratamentos de dados pessoais.
O amplo acesso a todas essas informações sobre o tratamento de dados pessoais é um direito do titular que pode ser inferido a partir de diversas normas da <a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">LGPD</a>.
Com efeito, à partida, o artigo 6º, que trata dos princípios aplicáveis às atividades de tratamento de dados pessoais, determina que sejam observados: (i) o livre acesso, ou seja, a garantia de que os titulares possam realizar consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade de seus dados pessoais; e (ii) a transparência, ou seja, a garantia de que os titulares tenham informações claras, precisas e facilmente acessíveis sobre a realização do tratamento dos dados pessoais e os respectivos agentes de tratamento (o controlador e o operador).
Note-se, desde já, que o artigo 6º determina que o acesso às informações sobre o tratamento de dados se dê de forma gratuita, afastando, assim, a possibilidade de que eventual custo financeiro desta operação pudesse funcionar como barreira ou filtro para o efetivo <a href="https://www.jota.info/tudo-sobre/acesso-a-informacao">acesso à informação</a>. Além disso, prevê-se ainda a necessidade de que as informações disponibilizadas sejam claras e acessíveis, garantindo assim que a mensagem seja cognoscível para seu destinatário (o que requer, pois, uso de linguagem simples, direta e objetiva), de modo que os diferentes níveis de conhecimento sobre o tema e mesmo os diversos graus de alfabetização dos titulares de dados não funcionem como empecilho ao acesso à informação.
Adiante, o art. 9º estabelece especificamente que o titular tem direito de ter acesso facilitado às informações sobre o tratamento de seus dados pessoais e que essas informações deverão ser disponibilizadas de forma clara, adequada e ostensiva, englobando, minimamente, aspectos sobre a finalidade específica, a forma e a duração do tratamento, a identificação e as informações de contato do controlador, as informações sobre o eventual uso compartilhado dos dados pelo controlador e a finalidade, as responsabilidades dos agentes que realizarão o tratamento e os direitos do titular previstos no art. 18.
Além disso, o próprio art. 18, que trata especificamente dos direitos dos titulares de dados pessoais, elenca alguns direitos que se relacionam diretamente com esse conhecimento informado dos titulares sobre os tratamentos que estão sendo realizados utilizando seus dados pessoais, tais como o direito de confirmar a existência do tratamento, o direito de acesso aos dados, o direito de saber com quais as entidades públicas e privadas o controlador realizou uso compartilhado de dados.
Por fim, especificamente com relação ao tratamento de dados pessoais realizado pelo poder público, o art. 23 prevê, em seu inciso I, que os entes públicos devem informar as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos.
Verifica-se, portanto, que esse direito do titular de ter acesso às informações sobre os tratamentos dos seus dados pessoais (direito que, a nosso ver, precede todos os demais) deve ser garantido pelo órgão público. Um dos instrumentos que deve ser elaborado para se cumprir esta obrigação — e que deve fazer parte, pois, do programa de compliance de dados pessoais do órgão público — é a Política de Privacidade.
A Política de Privacidade é um documento endereçado aos usuários dos sistemas e, in casu, dos serviços do órgão público que deve congregar diversas dessas informações referentes aos tratamentos de dados pessoais que são realizados pelo órgão público, bem como a identificação dos agentes de tratamento e do encarregado de dados. A título de exemplo, de forma mais específica, a Política de Privacidade pode abarcar informações sobre: (i) quais são os dados pessoais tratados e as respectivas finalidades de tratamento, abrangendo inclusive aqueles dados que não são informados diretamente pelo usuário (ex. IP da máquina, localização etc); (ii) qual a base legal fundamenta o tratamento de dados realizado; (iii) qual o prazo de duração do tratamento e de retenção dos dados; (iv) as informações de identificação e de contato do encarregado de dados; (v) as orientações sobre a forma de atendimento dos direitos do titular de dados pessoais (não apenas do direito de acesso à informação sobre o tratamento, mas de todos os demais direitos garantidos pela LGPD, como retificação, exclusão, retirada de consentimento etc.); (vi) o eventual compartilhamento de dados pessoais, indicando com quem e para qual finalidade; (vii) a eventual existência de transferência internacional e sua finalidade etc.
O ideal é que este documento seja publicizado de forma ampla pelo órgão público, publicado em suas páginas na internet, garantindo, assim, que as informações sejam fornecidas em tempo hábil, de forma concisa, completa, transparente, inteligível e facilmente acessível, por meio da utilização de uma linguagem clara e apropriada a transmitir a mensagem ao público-alvo (os titulares de dados pessoais).
Além disso, o órgão público deve se preparar para atender todos os direitos dos titulares de dados elencados no artigo 18 — não apenas aqueles relacionados à informação sobre o tratamento de dados pessoais, mas também aqueles que dizem respeito à correção de dados incompletos, inexatos ou desatualizados; à anonimização, ao bloqueio ou à eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nessa lei; à portabilidade dos dados; à eliminação dos dados; às informações sobre uso compartilhado dos dados; à informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; e à revogação do consentimento.
Para tanto, é necessário que os órgãos e entes públicos mantenham suas operações de tratamento de dados pessoais devidamente documentadas, sugerindo-se que também se documente as obrigações regulatórias, legais e de negócios para com os titulares dos dados pessoais, o que poderá facilitar o processo de implementação dos mecanismos necessários ao atendimento dos direitos do titular.
Dessa forma, é importante que o programa de compliance de dados do órgão público também contemple a previsão de rotinas, processos de trabalho e mecanismos hábeis a atender devidamente os direitos do titular de dados pessoais, garantindo, assim, o atendimento das diversas obrigações legais estabelecidas para o órgão público em decorrência da garantia dos direitos do titular e, ao mesmo tempo, evitando possível judicialização referente ao tema.

proteção de dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

LGPD estabelece uma série de critérios a serem observados por órgãos públicos

Programa de compliance de dados da administração e os direitos do titular

LGPD estabelece uma série de critérios a serem observados por órgãos da administração pública