Público & Pragmático

A fiscalização da ANPD sobre o tratamento de dados pela Administração Pública

Autores

  • Pedro Dadalto Oliveira

    é graduando em Direito pela Pontifícia Universidade Católica de São Paulo (PUC-SP) e estagiário no escritório Justino de Oliveira Advogados.

  • Sílvia Helena Johonsom di Salvo

    é advogada em São Paulo doutora e mestre em Direito Administrativo pela Faculdade de Direito da Universidade de São Paulo especialista em business data analytics pela Universidade de Cambridge e especialista em mediação pela Universidade Harvard.

5 de dezembro de 2021, 8h00

Norberto Bobbio [1], de longa data, defendeu que os direitos, sobretudo os direitos humanos e os direitos fundamentais, são direitos históricos. Nessa linha, os direitos que gozamos hoje são frutos de lutas e reivindicações sociais, as quais, por sua vez, possuem como objeto demandas que variam de acordo com cada momento histórico.

A proteção de dados pessoais se constrói dessa maneira: o advento da sociedade digital, o atual estágio de desenvolvimento da tecnologia e sua onipresença no convívio social e nas relações econômicas, todos esses são elementos que contribuem para a necessidade de uma regulamentação normativa específica. É no presente momento histórico que se insere a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados.

Os dados pessoais dizem respeito sobre "informações de caráter personalíssimo caracterizadas pela identificabilidade e pela determinabilidade de seu titular" [2], de modo que, como o próprio rótulo nos indica, são dados que versam sobre informações individuais, isto é, particulares de cada indivíduo. Os ditames constitucionais referentes à privacidade (artigo 5º, inciso X, da Constituição) e valores previstos no artigo 2º da Lei Geral de Proteção de Dados e, ainda, considerando o alto valor político e econômico que os dados pessoais ostentam na sociedade informacional, todos esses elementos corroboram a urgência da normatização do tratamento de dados pessoais.

A Lei Geral de Proteção de Dados contempla previsão expressa que autoriza o tratamento de dados pessoais pela Administração Pública "para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres", conforme reza o artigo 7º, inciso III, da lei em comento. Na mesma toada, ao regular com maior detença o tratamento de dados pelo poder público, o artigo 23, caput, da Lei Geral de Proteção de Dados prescreve que o tratamento de dados pessoais pela Administração Pública deverá, necessariamente, ser exercido em atendimento à sua finalidade pública, na persecução, portanto, do interesse público.

Assim, quando a Administração Pública atua no tratamento de dados pessoais, essa atividade está vinculada a uma finalidade específica, a qual, inclusive, não pode ser preterida por nenhuma outra, a saber: a satisfação do interesse público. O tratamento de dados pelo poder público, portanto, deve sempre mirar essa finalidade, sob pena de ilegalidade. Nesse sentido, o tratamento de dados pessoais dos particulares possui natureza instrumental, uma vez que se apresenta como sendo um meio do poder público tutelar, de alguma forma, o interesse público.

Tendo em vista que a atividade administrativa de tratamento de dados pessoais está, como destacamos, adstrita à perseguição do interesse público, é de extrema relevância, por conseguinte, que haja uma fiscalização sobre essa atividade administrativa, com o escopo verificar eventuais desvios de finalidade. Ou seja, a existência de fiscalização do tratamento de dados pessoais pelo poder público é uma condição importantíssima para que, assim, seja observada a finalidade legal incumbida à Administração. É justamente neste momento em que entra em campo a figura da Autoridade Nacional de Proteção de Dados (ANPD), a qual possui extenso rol de competências (artigo 55-J da Lei Geral de Proteção de Dados).

Conforme aponta Patrícia Peck Pinheiro, as autoridades de proteção de dados pelo mundo apresentam, especialmente, quatro finalidades, a saber: "(1) garantia do enforcement da regulação de proteção de dados; (2) fiscalização, auditoria e aconselhamento às empresas acerca da rotina envolvendo tratamento de dados; (3) compartilhamento de dados e informações acerca de melhores práticas em proteção de dados; e (4) monitoração dos tratamentos" [3].

Cumpre registrar que a LGPD confere diversas atribuições à ANPD, sendo, especificamente, atribuições: 1) preventivas; 2) regulatórias; 3) fiscalizatórias; e, por fim, 4) sancionatórias. Tendo em vista se tratar do objeto da presente coluna, iremos nos ater à competência fiscalizatória da ANPD (artigo 55-J inciso IV), mormente a fiscalização direcionada ao poder público enquanto agente de tratamento de dados.

O primeiro ponto que nos salta aos olhos é a ausência de regulamentação específica no que toca a fiscalização sobre a Administração Pública. Há apenas uma disposição no artigo 55-J, inciso XI, o qual estabelece que a ANPD poderá solicitar, a qualquer momento, informações relativas ao âmbito, a natureza dos dados pessoais e outros detalhes da atividade de tratamento executada por entes da Administração Pública. Nesse sentido, entendemos que seria de suma importância a regulamentação de um processo fiscalizatório próprio para a Administração Pública, haja vista a natureza peculiar de suas entidades em comparação aos particulares, o que poderá ser feito pela própria ANPD em nível infralegal, no exercício de sua competência regulatória. Atualmente, a ANPD discute a minuta de seu regulamento de fiscalização, sendo que não há qualquer previsão específica a processo administrativo fiscalizatório e sancionador em conexão a atos de abuso de tratamento cometidos pelo poder público.

Ainda sobre a fiscalização exercida pela ANPD sobre a Administração Pública, entendemos mister ressaltar que o exercício de competência fiscalizatória, independentemente do campo de atuação, pressupõe autonomia e independência do ente fiscalizador em relação ao fiscalizado. Afinal, como seria possível falar em fiscalização efetiva caso não houvesse tal independência? Caso o ente fiscalizador seja, de alguma forma, dependente do ente fiscalizado, a fiscalização, muito provavelmente, restará inócua.

Além disso, é importantíssimo considerarmos que, de acordo com o artigo 55-A, caput, da LGPD, a ANPD, pelo menos a princípio, possui a natureza jurídica de órgão da Administração Pública Federal, integrante da Presidência da República, podendo, dentro do prazo de dois anos, ver sua natureza jurídica transformada em autarquia sob regime especial, conforme dispõe o artigo 55-A, §1º, da lei em comento.

Surgem, então, as seguintes indagações: tendo em vista que a ANPD possui a natureza jurídica de órgão integrante da estrutura da Administração, não restaria, desse modo, maculada a independência e autonomia necessárias para que, assim, pudesse fiscalizar a Administração Pública no tratamento de dados pessoais? Não faltaria, com efeito, independência material à ANDP para que pudesse exercer, de modo efetivo, sua competência fiscalizatória em face do poder público? Nesse sentido, seria a possibilidade de transformar tal órgão em autarquia sob o regime especial, de fato, uma competência discricionária? Ou, por outro lado, a compreensão sistemática e teleológica do sistema normativo configura uma competência vinculada?

Vale lembrar que, enquanto órgão, a ANDP sequer possui personalidade jurídica, estando vinculada, como destacamos, a Administração Pública federal direta, o que já nos indica a ausência de independência e autonomia da ANDP para exercer a atividade de fiscalização em face da Administração Pública no tratamento de dados pessoais. Ora, tendo em vista que, nesse caso, o ente fiscalizador integra a estrutura orgânica do ente fiscalizado, como seria possível falar em independência e autonomia?

A despeito da transitoriedade da natureza jurídica da ANPD, é fato que o exercício da competência fiscalizatória pela ANDP frente ao poder público exige que aquela possua a natureza jurídica de autarquia sob o regime especial, haja vista que, como bem sabemos, estas entidades da Administração Pública Indireta são dotadas, entre outros atributos, de autonomia financeira e administrativa [4], sendo tais atributos imprescindíveis para o exercício da fiscalização.

Manter a ANPD, enquanto órgão da Administração Pública federal vinculado à Presidência da República, significa esvaziar de sentido a competência fiscalizatória a ser exercida em face do poder público, o que pode vulnerar os direitos individuais dos particulares que possuem seus dados pessoais manuseados pela Administração Pública.

Assim como o direito à proteção de dados pessoais é uma construção a partir da realidade que se impõe, o processo fiscalizatório precisa acompanhar justamente os movimentos de tratamento de dados pela Administração Pública, não podendo os administrados ficarem ao sabor de meras normas programáticas. A normatização da fiscalização é medida que se impõe, no bojo de uma autoridade que seja efetivamente independente.


[1] BOBBIO, Norberto. A era dos direitos. Rio de Janeiro: Elsevier, 2004, p. 05.

[2] SARLET, Gabrielle Bezerra Sales. Notas sobre a Proteção dos Dados Pessoais na Sociedade Informacional na Perspectiva do Atual Sistema Normativo Brasileiro. In: LIMA, Cíntia Rosa Pereira de (coord.). Comentários à lei geral de proteção de dados. Almedina, 2020, p. 20.

[3] PINHEIRO, Patrícia Peck. Proteção de dados pessoais: comentários à Lei n. 13.709/2018 (LGPD). 3ª ed. São Paulo: Saraiva, 2021, p. 20.

[4] BANDEIRA DE MELLO, Celso Antônio. Curso de direito administrativo. 33ª ed. São Paulo: Malheiros, 2016, p. 164-165.

Autores

  • Brave

    é graduando em Direito pela Pontifícia Universidade Católica de São Paulo (PUC-SP) e estagiário jurídico no escritório Justino de Oliveira Advogados.

  • Brave

    é advogada em São Paulo, doutoranda e mestre em Direito Administrativo pela Faculdade de Direito da Universidade de São Paulo, especialista em "Business Data Analytics" pela Universidade de Cambridge e especialista em Mediação pela Universidade Harvard.

Tags:

Encontrou um erro? Avise nossa equipe!