Danielly Cristina Araújo Gontijo

Raphael Rodrigues Valença de Oliveira

Recentemente, o Tribunal de Contas da União (<a href="https://www.jota.info/tudo-sobre/tcu">TCU</a>) publicou o acórdão TC nº 1384/2022, responsável por apresentar o resultado de uma auditoria realizada em 382 organizações públicas para verificar o grau de adequação destes entes à Lei Geral de Proteção de Dados (<a href="https://www.jota.info/opiniao-e-analise/artigos/lgpd-e-anpd-saiba-o-que-sao-e-entenda-as-diferencas-entre-a-lei-e-o-orgao-13042022">LGPD</a>) e indicar quais as providências ainda seriam necessárias para melhor cumprimento das regras referentes à proteção de dados.
A coleta e a análise dos dados ocorreram entre março e agosto de 2021 (RF 232/2020), tendo sido utilizado o método de autoavaliação de controles internos (Control Self-Assessment - CSA). Os achados foram divididos em nove dimensões: preparação; contexto organizacional; liderança; capacitação; conformidade do tratamento; direitos do titular; compartilhamento de  dados pessoais; violação de dados pessoais; e medidas de proteção.
Sem descuidar da competência da Autoridade Nacional de Proteção de Dados (ANPD) para falar de forma definitiva sobre da proteção de dados na esfera administrativa (art. 55-J, XX da <a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>), esta série de artigos pretende especificar, de maneira prática, quais foram os direcionamentos iniciais apresentados pelo TCU para que os órgãos públicos adequem sua atuação à observância do direito fundamental à proteção dos dados pessoais (art. 5º, LXXIX da <a href="http://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm">CF/88</a>).
O primeiro ponto abordado pelo TCU diz respeito, pois, à preparação necessária para que os órgãos possam aderir às regras de proteção de dados com sucesso. Ou seja, quais as medidas devem ser adotadas, de forma preliminar, para que o órgão público possa cumprir as regras da LGPD.
Dentre essas iniciativas, o primeiro ponto levantado pela Corte de Contas foi a necessidade de que o órgão elabore um planejamento das medidas que seriam necessárias para promover essa adequação à LGPD, incluindo o levantamento de riscos inerentes ao projeto de adequação.
Nesse sentido, o TCU indica como exemplo de medida de planejamento a instituição de um grupo especializado, como um comitê ou um grupo de trabalho, que possa se dedicar a identificar, definir e planejar quais são as medidas necessárias, considerando a realidade do órgão, para adaptar sua atuação às regras de proteção de dados.
De forma específica, o TCU sugere que sejam realizadas as seguintes etapas iniciais:
<ul>
<li>(i) identificação das unidades que exercem atividades relevantes para o tratamento de dados pessoais: em primeiro lugar, deve o ente público identificar quais são as suas unidades que exercem atividades relevantes para o tratamento de dados pessoais. Ou seja, aquelas unidades que mais coletam dados de servidores ou de cidadãos em geral, aquelas que mais recebem dados pessoais, aquelas que têm acesso a esses dados (por exemplo, para planejar aspectos específicos de políticas públicas), aquelas que processam ou armazenam esses dados (inclusive as que têm acesso amplo aos sistemas informatizados onde esses dados são tratados), aquelas que promovem a transmissão desses dados para outros órgãos etc. Como exemplos destas unidades, o TCU cita Segurança da Informação, Tecnologia da Informação, Jurídico, Recursos Humanos, Auditoria, Ouvidoria e Área de Negócios/Finalística. Cabe alertar que, nesse ponto, é necessário que o responsável por iniciar este planejamento leve em conta o contexto específico e real do ente público destinatário do planejamento, para que realmente identifique todas ou as principais unidades que de alguma forma exerçam atividades relevantes para o tratamento de dados pessoais;</li>
<li>(ii) constituição do grupo especializado para elaborar o planejamento das ações para adequação da atuação do ente à proteção de dados pessoais: em seguida, sugere-se a criação de um grupo especializado que ficará responsável por realizar o planejamento da adequação da organização à proteção de dados pessoais. Esse grupo, deverá ser formado por representantes daquelas unidades identificadas no passo (i), para que o planejamento possa refletir as nuances de todas as atividades desenvolvidas, evitando-se, portanto, um planejamento que não considere os aspectos essenciais de todos os tipos de tratamento de dados que são realizados pela organização;</li>
<li>(iii) participação da alta administração desde o planejamento do processo de adequação: além disso, desde já, esse grupo especializado deve contar com a participação direta ou, no mínimo, um apoio muito próximo da alta direção, pois é o engajamento da alta administração (Tone at the Top) que torna possível garantir o sucesso efetivo do programa: a ampla aderência de todos os setores, a conscientização sobre a importância da proteção de dados, a destinação dos recursos necessários – financeiros, material, de pessoal – para a implementação do programa planejado etc.;</li>
<li>(iv) elaboração de plano de ação: em seguida, o grupo especializado deverá, então, elaborar seu plano de ação, documentando o passo a passo do que será realizado no projeto de adequação, como por exemplo: o que será feito, quais os recursos (financeiros, materiais, de sistemas, de pessoal, de capacitação etc.) serão necessários, quem vai ser o responsável por cada uma das etapas, quais são os prazos para se realizar cada fase do projeto e como os resultados serão avaliados. Mais uma vez, é necessário ter em mente que também esta etapa deve ser realizada tendo em consideração a realidade específica do ente a que se destina esse plano de ação, considerando suas especificidades e suas possibilidades, não sendo aconselhável, por exemplo, que uma organização simplesmente se valha do projeto elaborado por outra, sem, no mínimo, uma análise crítica e de adaptação para cada cenário – na realidade, o ideal é que cada ente produza seu próprio plano de ação, de forma a considerar todas as suas peculiaridades e necessidades.</li>
</ul>
Este primeiro grupo de medidas preparatórias indicadas pelo TCU como necessárias para a adequação das organizações públicas à LGPD pode remeter os leitores à lembrança de uma atuação relativamente recente de adequação das atividades da Administração Pública a uma nova cultura organizacional na seara da ética e da probidade. De fato, a necessidade, com relação à proteção de dados, de planejamento para adequação, de participação efetiva das áreas envolvidas nesse planejamento (considerando, inclusive a importância do tone at the top) e de mudança de mentalidade face à nova realidade jurídica e institucional pode suscitar recordações sobre os momentos iniciais de adequação dos órgãos públicos às regras de integridade pública ou de compliance anticorrupção, especialmente trazidas pela Lei 13.303/2016 e pelo Decreto nº 9.203/2017.
Ao que nos parece, essa semelhança não é uma simples coincidência: em ambos os casos, como dito, está-se diante de processos de profundas modificações do status quo, de mudanças de paradigmas que envolvem não apenas a forma de se prestar uma atividade pública, mas a forma de concebê-la, a forma como se deve pensá-la. Dessa maneira é que os organismos públicos podem – na medida em que se aplique – buscar aproveitar a experiência acumulada na elaboração de seus programas de integridade para, caso ainda não o tenham feito, elaborar seus programas de compliance de dados.
E, nesse sentido, também é de se considerar, a partir da leitura de todo o acórdão TC 039.606/2020-1, que o TCU espera que os órgãos públicos fundamentem seus programas de compliance de dados em uma efetiva gestão de riscos (assim como aconteceu e vem acontecendo com a estruturação e a concretização dos programas de integridade).
Noutras palavras, e como será detalhado nos próximos artigos desta série, ao que nos parece, o próprio plano de ação a ser elaborado para guiar a adequação dos organismos públicos deve estar apoiado no mapeamento dos riscos de tratamento irregular de dados pessoais e na construção de mecanismos de prevenção, detecção e respostas a estes riscos, de forma a se construir um instrumento de governança e de sustentabilidade da atividade desenvolvida pelo organismo público.

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Corte espera que órgãos públicos fundamentem programas de compliance de dados em uma efetiva gestão de riscos

Proteção de dados, TCU e a preparação da Administração para se adequar à LGPD

TCU espera que órgãos públicos fundamentem seus programas de compliance de dados em uma efetiva gestão de riscos