O protocolo de execução no acordo de cooperação em matéria de corrupção

PF, CGU e AGU, signatárias do Acordo de Cooperação Técnica e do respectivo protocolo de execução, devem observar as disposições da LGPD para cumprir a exigência de transparência e conferir legalidade ao compartilhamento de dados e informações.

O documento é relevante na medida em que busca delinear como se dará o compartilhamento de informações no âmbito do acordo, apontando, ainda que de forma superficial, diretrizes de tratamento sigiloso e acesso restrito à informações — o que se mostra fundamental, sobretudo após deflagrados dois grandes vazamentos de dados das plataformas do governo federal nos últimos meses, que expuseram informações pessoais de cerca de 200 milhões de pessoas [1].

Apesar de sua pertinência, os signatários do protocolo de execução falharam em não observar as disposições da Lei Geral de Proteção de Dados, deixando de elevar o acordo de cooperação a um patamar de maior transparência e segurança jurídica, bem como minimizar a ocorrência de (novos) abusos a direitos e garantias fundamentais no campo de investigações e negociações envolvendo atos de corrupção no Brasil.

A LGPD, que entrou em vigor no último dia 18 de setembro, é a norma brasileira que regulamenta o tratamento de dados pessoais, aplicando-se a todas as pessoas físicas que tratam dados para fins econômicos e a todas as pessoas jurídicas de Direito público e privado. Não se aplicam as suas disposições ao tratamento de dados pessoais para fins exclusivamente jornalísticos, artísticos, acadêmicos, de segurança pública, defesa nacional, segurança do Estado, atividades de investigações e repressão à infrações penais e ao tratamento de dados pessoais provenientes de fora do território nacional e que não sejam compartilhados com agentes brasileiros e que não sejam transferidos para outro país que não o de proveniência [2].

O Capítulo IV da LGPD regulamenta o tratamento de dados pessoais pelo poder público, determinando que os dados somente poderão ser tratados para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público (artigo 23, caput).

Em tais hipóteses, os órgãos que realizam tratamento de dados pessoais devem fornecer informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução das atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos, com a indicação do encarregado (incisos I e III do artigo 23) [3].

Preconiza a lei ainda que os dados tratados pelo poder público sejam mantidos em formato interoperável e estruturado para o uso compartilhado, visando à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação e ao acesso às informações pela sociedade (artigo 25).

Sabendo-se que todos os órgãos signatários do Acordo de Cooperação Técnica realizam o tratamento de dados pessoais no âmbito das investigações e negociações de acordos de leniência e colaboração premiada, e que o compartilhamento de dados entre os órgãos é uma atividade regida pela LGPD [4], tem-se que o protocolo de execução deveria ter esclarecido e conferido ampla publicidade à qual das bases dispostas nos artigo 7º e 11 da LGPD os órgãos pretendem se valer para o compartilhamento de dados pessoais, condição fundamental para se aferir a legalidade do ato [5].

Da mesma forma, deveriam ter sido publicizados os procedimentos e as práticas que serão adotados para o tratamento dos dados pessoais no contexto do Acordo de Cooperação Técnica, detalhando como se dará o processo de compartilhamento de dados e informações, a estrutura interoperável que viabilizará a operação, a tecnologia que será empregada para a segurança dos dados e as salvaguardas dos titulares, pormenorizando, inclusive, como irão confluir os protocolos internos de segurança que os órgãos buscarão implementar no âmbito de suas respectivas estruturas, conforme previsto no artigo 5º do protocolo de execução [6].

Será importante, até mesmo para se conferir efetividade ao tratamento sigiloso e ao acesso restrito às informações de que tratam os §§1º e 2º do artigo 5º do protocolo de execução, esclarecer sobre a inclusão de cláusulas de responsabilidade em contratos mantidos com empresas de tecnologia da informação ou terceiros que figurem ou venham a figurar como operadores das informações, ou seja, que tratem dados pessoais no âmbito do Acordo de Cooperação Técnica em nome dos controladores (PF, CGU e AGU).

Ademais, o protocolo de execução foi completamente omisso com relação à figura dos encarregados que devem ser nomeados por cada órgão para atuar como canal de comunicação entre os controladores (PF, CGU e AGU), os titulares dos dados e a Autoridade Nacional de Proteção de Dados, além de exercerem uma atividade importantíssima de orientação e treinamento constante de servidores e terceiros a respeito dos procedimentos e práticas adotadas para a segurança da informação e a proteção de dados pessoais no âmbito do acordo [7].

A Lei Geral de Proteção de Dados determina ainda que os órgãos da Administração Pública somente podem compartilhar dados entre si para o atendimento de finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, sempre respeitados os princípios de proteção de dados pessoais (artigo 26).

Aqui, diferentemente das informações anteriormente mencionadas, que já deveriam ter sido esclarecidas e amplamente publicizadas pelos órgãos signatários do Acordo de Cooperação Técnica, a finalidade de cada compartilhamento de dados pessoais deverá ser previamente consignada pelo órgão, conferindo-se uma finalidade específica para cada atividade de compartilhamento — o que pode ser feito, inclusive, nos termos de compromisso assinados com os colaboradores.

Desse modo, a previsão de que o pedido de informações apresentado pela comissão de negociação à PF poderá conter solicitações específicas a respeito dos ilícitos investigados (…),constante no artigo 2º, §4º, do protocolo de execução, não deve ser lida como uma mera faculdade da comissão de negociação, mas, sim, como um dever, em observância aos princípios da finalidade, adequação e necessidade (tríade da minimização — artigo 6º da LGPD), que norteiam o tratamento de dados pessoais pelo poder público, incidentes no presente caso.

Por fim, não se tem notícia ainda de que os órgãos signatários do Acordo de Cooperação Técnica elaboraram ou estão em vias de elaborar o Relatório de Impacto à Proteção de Dados Pessoais previsto nos artigos 5º, inciso XVII, 32 e 38 da LGPD, o que deve ser realizado e publicado previamente ao tratamento dos dados pessoais [8].

O "Guia de Boas Práticas para Implementação na Administração Pública Federal — LGPD", além de reiterar a necessidade de sua elaboração prévia, define o Relatório de Impacto à Proteção de Dados Pessoais como o "documento fundamental a fim de demonstrar que o controlador realizou uma avaliação dos riscos nas operações de tratamento de dados pessoais que são coletados, tratados, usados, compartilhados e quais medidas são adotadas para mitigação dos riscos que possam afetar as liberdades civis e direitos fundamentais dos titulares desses dados" [9].

É imprescindível que a PF, a CGU e a AGU detalhem de forma adequada, nos exatos termos da LGPD, o processo de compartilhamento de informações de que trata o protocolo de execução, fornecendo esclarecimentos precisos e dando ampla publicidade à finalidade, às práticas, aos procedimentos e às medidas de segurança da informação, o que, para além de demonstrar aderência à norma de proteção de dados pessoais, observará o sexto princípio geral de transparência e interação com a sociedade, inserto no Acordo de Cooperação Técnica, e conferirá validade e segurança jurídica às atividades de compartilhamento de dados e informações.

P.S.: O artigo é continuação do texto publicado na ConJur no dia 10/11/2020 intitulado "O impacto da Lei Geral de Proteção de Dados na investigação interna dos acordos de leniência", disponível aqui.