Alessandra Obara

Camila Rocha Cunha Viana

Embora a Lei Geral de Proteção de Dados Pessoais (LGPD), de caráter nacional, não apresente grande espaço para regulamentação, o estado de São Paulo, buscando conferir maior transparência ao tratamento de dados pessoais em seu âmbito, entendeu importante disciplinar a aplicação do novo marco regulatório, de modo a atender aos fundamentos do artigo 2º, às diretrizes do artigo 3º e aos princípios a que se refere o artigo 6º.
Em São Paulo, essa disciplina contou com ativa participação da Procuradoria Geral do Estado, seja como membro integrante do Comitê Gestor de Governança de Dados e Informações, instituído pelo Decreto nº 64.790, de 13 de fevereiro de 2020, seja na atividade de consultoria e assessoramento jurídico do Poder Executivo, prevista na Constituição Bandeirante.
<div id="pro-poder-analise-politica-duplicado-4a97710080f7d951df05" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('pro-poder-analise-politica-duplicado-4a97710080f7d951df05', 'UA-53687336-1').createForm();</script>
&nbsp;
Em regulamento, o estado de São Paulo optou por indicar os responsáveis por desempenhar os papéis de controlador, de operador e de encarregado de dados pessoais, e também por especificar procedimentos aptos a respaldar as operações de tratamento, notadamente do Poder Executivo.
O decreto, assim, explicita que o papel de controlador é desempenhado pelo Estado, eis que, a rigor, à pessoa política cabe tomar as decisões referentes ao tratamento de dados pessoais em seu respectivo âmbito (art. 5º, VI, da LGPD). A rigor, na administração direta, as decisões são tomadas pelos Secretários de Estado e pelo Procurador Geral do Estado, em nome do ente público, conforme suas respectivas competências e campos funcionais. E, em última instância, pelo Governador do Estado. Esse entendimento está de acordo com o disposto nos incisos I e II do artigo 47 da Constituição do Estado. Outrossim, porque também podem desempenhar parte ou a totalidade das ações descritas no inciso X do artigo 5º da LGPD, as mesmas autoridades acima referidas são operadores de dados pessoais (art. 5º, VII, da LGPD), juntamente com os agentes que realizem operações de tratamento no desempenho de suas atribuições (art. 5º, IX, LGPD), em nome do controlador de dados.
Nesse mesmo raciocínio, preservada a autonomia dos entes integrantes da Administração indireta, o regulamento consigna que os dirigentes máximos são responsáveis pelas decisões atinentes a tratamento de dados pessoais no âmbito das respectivas entidades.
No que se refere ao papel de encarregado, o regulamento designa, para a administração direta, o Ouvidor Geral. Além dessa autoridade vincular-se ao Gabinete do Governador do Estado, há compatibilidade de atribuições, sem indícios, primo ictu oculi, de potencial conflito de interesses. Essa designação, ademais, mostra-se em linha com a doutrina nacional e também com as recomendações de boas práticas dos manuais europeus que aludem ao GDPR. De mais a mais, permite uniformização do modo de aplicação das normas legais e regulamentares pelos órgãos do controlador, e possibilita a formação de uma rede de encarregados no Estado, respeitando-se a autonomia dos entes integrantes da Administração indireta.
Com relação à Política de Proteção de Dados Pessoais, para garantia de uniformidade no âmbito estadual, optou-se por elaborar um documento de referência, enumerando-se, em decreto, os elementos mínimos que devem ser contemplados, admitida a possibilidade de adaptação às especificidades de cada órgão ou entidade integrantes da Administração Pública.
Relevante, também, do ponto de vista da transparência e ampla publicidade da Administração Pública, esclarecer a forma pela qual o titular pode exercer o direito de petição, referido no artigo 18 da LGPD. Nesse ponto, de acordo com a lei, os prazos a serem observados são aqueles constantes da Lei de Acesso à Informação, na forma prevista no artigo 23, § 3º, da LGPD. Aproveitando-se a experiência do Poder Público na aplicação da Lei de Acesso à Informação, e sem olvidar que o encarregado da Administração direta poderá se valer dos SICs<a href="#_ftn1" name="_ftnref1">[1]</a> e das CADAs<a href="#_ftn2" name="_ftnref2">[2]</a>, o regulamento estadual busca assegurar que o titular de dados tenha acesso facilitado ao encarregado, inclusive para exercício do direito previsto no mencionado artigo 18 da LGPD.
Quanto ao consentimento do titular de dados, a LGPD traz disposições que permitem inferir que o tratamento de dados pessoais pelo Poder Público, desde que observadas as Disposições Preliminares da lei e as regras da Seção I do Capítulo IV, dispensaria, na maior parte dos casos, a coleta de consentimento do titular. Nessa linha, mostra-se relevante reconhecer, expressamente, a necessidade de órgãos e entidades da Administração Pública indicarem o fundamento legal para operações de tratamento (inclusive para manutenção de bancos de dados, físicos ou digitais, estruturados ou não), a respectiva finalidade e eventuais instrumentos jurídicos que respaldam as operações.
<blockquote class="jota-article__eye">Cumpre lembrar que os dados pessoais sensíveis, assim como os dados pessoais de crianças e adolescentes, reclamam atenção especial dos agentes de tratamento.</blockquote>
No entanto, também para essas categorias de dados é possível a dispensa de consentimento, conforme previsto no inciso II do artigo 11 e no §3º do artigo 14, para coleta de dados de crianças.
De qualquer sorte, permanece o dever de respeitar o princípio da “responsabilização e prestação de contas” (inciso X do artigo 6º da LGPD), devendo o controlador e o operador demonstrar a “adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive da eficácia dessas medidas”.
No mais, naqueles casos em que se mostrar necessário o consentimento do titular de dados pessoais para operações de tratamento específicas, deverão ser adotadas as providências tendentes a assegurar que o consentimento seja livre, informado e inequívoco, nos termos do inciso XII do artigo 5º da LGPD.
Nesse contexto, a Procuradoria Geral do Estado anotou a possibilidade de instrumento-padrão de consentimento de titular de dados pessoais integrar a Política de Proteção de Dados Pessoais, de responsabilidade do Comitê Gestor de Governança de Dados e Informações do Estado de São Paulo.
** A coluna entra em recesso e retomará publicações em 04/02/2021
<hr />
O episódio 46 do podcast Sem Precedentes discute se o contrato de trabalho intermitente é ou não constitucional. Ouça:
https://youtu.be/o8E3sXtx7j0
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Serviços de Informações ao Cidadão – SIC, criados em todos os órgãos e entidades da Administração Pública Estadual pelo artigo 7º do Decreto n.º 58.052, de 16 de maio de 2012, que regulamenta a Lei de Acesso à Informação no Estado de São Paulo.
<a href="#_ftnref2" name="_ftn2">[2]</a> Comissões de Avaliação de Documentos e Acesso – CADA, instituídas nos órgãos e entidades da Administração Pública Estadual, com as atribuições previstas nos Decretos nº 29.838, de 18 de abril de 1989, nº 48.897, de 27 de agosto de 2004, e n.º 58.052/2012.

hacker-3655668_960_720

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

A regulamentação dos papéis de controlador, de operador e de encarregado de dados pessoais

Disciplina da LGPD pelo estado de São Paulo: bullet points

A regulamentação dos papéis de controlador, de operador e de encarregado de dados pessoais