STF determina que o compartilhamento de dados pessoais dentro da administração pública deve respeitar a LGPD

No dia 15 de setembro, o Supremo Tribunal Federal (STF) julgou a Ação de Descumprimento de Preceito Fundamental 695 (ADPF 695) e a Ação Direta de Inconstitucionalidade 6649 (ADI 6649). O julgamento voltou-se sobre o Decreto 10.046/2019 (Decreto), que dispõe sobre o compartilhamento de dados dentro da administração pública federal (APF).

Em síntese, o Tribunal concluiu que a organização do Comitê Central de Governança de Dados, instituído pelo Decreto, é inconstitucional. O restante do Decreto, por sua vez, será mantido conforme interpretação fixada pelo STF, respeitando os requisitos da Lei Geral de Proteção de Dados (LGPD).

1. Decreto 10.046/2019

O julgamento remonta a outubro de 2019, quando a Presidência da República editou o referido Decreto, o qual visa disciplinar o compartilhamento de dados entre órgãos e entidades da APF e demais Poderes da União, instituindo também o Cadastro Base do Cidadão (CBC) e o Comitê Central de Governança de Dados (Comitê de Governança). O Decreto busca, dentre outros, simplificar a oferta de serviços públicos, garantir a qualidade dos dados contra inconsistências, bem como a eficiência das operações administrativas.

a. Do Cadastro Base do Cidadão

O CBC é um repositório unificado de informações sobre os cidadãos, sendo inicialmente composto pela base temática do CPF, englobando nome completo, data de nascimento, sexo, filiação, dentre outros. Não obstante, o CBC poderá ser acrescido com informações provenientes de outras bases temáticas, isto é, outros bancos de dados da APF voltados para políticas públicas próprias. Essas informações podem incluir atributos biográficos (endereço, estado civil, vínculo de emprego etc.), atributos biométricos (digitais dos dedos, retina ou íris dos olhos, formato da face, voz etc.) e dados cadastrais. Essas informações enquadram-se no conceito de dados pessoais e, no caso dos atributos biométricos, de dados pessoais sensíveis, nos termos da LGPD.

Deste modo, o CBC seria um mecanismo de interoperabilidade de dados dentro da própria APF, servindo como "base de referência de informações sobre cidadãos para os órgãos e entidades do Poder Executivo Federal". Por exemplo, caso uma das bases temáticas seja atualizada pelo seu órgão responsável, as demais bases integrantes do CBC também o seriam, garantindo, portanto, a qualidade e exatidão dos dados.

b. Do compartilhamento de dados

Segundo o Decreto, o compartilhamento de dados entre órgãos e entidades da APF comporta três situações: (i) compartilhamento amplo – que permite o acesso por todos, inclusive não integrantes da APF; (ii) compartilhamento restrito – que permite o livre acesso por órgãos ou entidades da APF, excluindo o público externo; e (iii) compartilhamento específico – dados que somente podem ser acessados mediante hipóteses previstas em lei.

Esse compartilhamento não pressupõe a integração dos dados no CBC, podendo ocorrer diretamente entre os órgãos ou entidades da APF. Para tal, o Decreto exige expressamente a observação dos requisitos da LGPD. Ademais, a categorização dos dados sob o nível de compartilhamento amplo, restrito ou específico deve ser feita pelo próprio órgão ou entidade da APF responsável pela base de dados em questão, sob a designação de "gestor de dados".

c. Do Comitê Central de Governança

O Comitê de Governança, por sua vez, é composto por representantes da própria APF, possuindo poderes para determinar orientações e diretrizes para a categorização dos níveis de compartilhamento amplo, restrito e específico entre órgãos e entidades da APF. Tais orientações e diretrizes devem "observar a legislação pertinente, referente à proteção de dados pessoais".

Além disso, o Comitê de Governança possui prerrogativas para deliberar sobre: (i) a inclusão de novas bases temáticas ao CBC; (ii) a adoção do nível de segurança da informação adequado no compartilhamento de dados; e (iii) regras e parâmetros para o compartilhamento restrito, como padrões de sigilo e segurança a serem observados por órgãos e entidades da APF.

Em regra, não lhe cabe a decisão sobre cada compartilhamento de dados estabelecido no Decreto. Todavia, cabe ao Comitê de Governança decidir sobre o compartilhamento de dados no caso de controvérsias entre os órgãos e entidades da APF, cuja decisão deve observar "as normas que protegem os dados objeto da controvérsia".

2. ADPF 695 e ADI 6649

Justificando-se com base no Decreto, a Agência Brasileira de Inteligência (Abin) solicitou, por meio do Serpro, o acesso aos dados do Departamento Nacional de Trânsito (Denatran), referentes à Carteira Nacional de Habilitação (CNH) de 76 milhões de brasileiros. A princípio, o Ministério da Infraestrutura autorizou o compartilhamento via o Termo de Autorização 7/2020.

Contudo, após o Partido Socialista Brasileiro (PSB) ajuizar a ADPF 695 em junho de 2020, o Ministério da Infraestrutura revogou o termo de autorização. O PSB alegava que o compartilhamento indiscriminado e desproporcional de dados pessoais dos registros da CNH viola o direito à privacidade, à proteção de dados pessoais e à autodeterminação informativa.

Apesar da revogação do termo, o STF seguiu com o julgamento da ADPF 695 tendo em vista que "abrangia todo um quadro de insegurança jurídica gerado por leituras distorcidas do Decreto 10.046/2019", conforme argumento sustentado pelo Ministro Relator Gilmar Mendes em seu voto.

Sem fazer menção expressa ao compartilhamento entre o Denatran e a Abin, o Ministro Relator também lamentou "leituras distorcidas" de atos regulamentares, "cujos limites semânticos não dão margem para a interpretação ilegítima proposta pelo administrador".

Posteriormente, o Conselho Federal da Ordem dos Advogados do Brasil (CFOAB) ajuizou a ADI 6649 em dezembro de 2020. O CFOAB alegava que o Decreto excede os poderes do Presidente da República concedidos pela Constituição, invadindo matérias privativas de lei. 

Também alegava que o Decreto viola os direitos à privacidade, à proteção de dados pessoais e à autodeterminação informativa, criando uma ferramenta de vigilância estatal. Neste sentido, o CFOAB requereu a declaração da inconstitucionalidade do referido Decreto.

3. Decisão do STF

O STF optou por fixar uma interpretação conforme à Constituição, ou seja, delimitar sob que circunstâncias a interpretação do Decreto seria constitucional. Essa técnica de decisão intermediária foge à situação binária entre "constitucional" ou "inconstitucional". De acordo com o Ministro Relator, eventual declaração de inconstitucionalidade do Decreto como um todo destituiria a APF de mecanismos necessários para a prestação de serviços públicos.

Além disso, o Ministro Relator ressaltou que o Decreto em questão, contendo remissões expressas à LGPD, não abre margem para uma difusão irresponsável dos dados pessoais, desde que interpretado de forma sistemática e razoável.

Portanto, optou-se por manter o Decreto e delimitar sua interpretação naquilo que esteja de acordo com a Constituição. Dentre os requisitos fixados pelo Tribunal, nota-se o destaque conferido aos princípios presentes na LGPD. Logo, o compartilhamento de dados entre órgãos e entidades da APF deve, dentre outros: (i) ter propósitos legítimos, específicos e explícitos; (ii) ser compatível com tais propósitos; e (iii) limitar-se ao mínimo necessário para o atendimento desses fins.

O STF também adotou a LGPD como parâmetro em outras duas interpretações. Conforme o artigo 42 da LGPD, fixou-se que, havendo danos decorrentes do tratamento irregular de dados por órgãos públicos, a ação indenizatória do titular volta-se contra o Estado, ao qual cabe direito de regresso caso os servidores tenham culpa ou dolo.

Ademais, conforme o artigo 4º da LGPD, fixou-se que o compartilhamento de dados para atividades de inteligência, embora deva ser regido por lei específica, deve também respeitar os princípios e direitos dispostos na LGPD.

Quanto ao Comitê de Governança, o Ministro Relator destacou experiências internacionais de autoridades independentes responsáveis por garantir o direito à proteção de dados e à privacidade, como Portugal, Califórnia (EUA), Nova Zelândia e Canadá. Em contrapartida, o Comitê de Governança, formado unicamente por membros da própria APF, teria "perfil insular, hostil a qualquer proposta de abertura democrática e de pluralização do debate".

Nesse sentido, o Ministro Relator também criticou a recomendação feita pelo Comitê de Governança sobre o que constituiria o enquadramento de nível "restrito" no compartilhamento de dados pessoais pela APF. Apesar de impedir o acesso do público externo, esse nível de compartilhamento permitiria o livre fluxo de dados dentro da APF, o que significaria um "manifesto equívoco", gerando "grave risco de malversação dos dados pessoais e violação da privacidade dos usuários do serviço público".

Portanto, "considerando que o Comitê Central de Governança de Dados é composto única e exclusivamente por representantes do Poder Executivo, e que seus membros não gozam de qualquer garantia contra influências indevidas", decidiu-se pela declaração de inconstitucionalidade com efeitos prospectivos do artigo 22 do Decreto. Foi conferido prazo de 60 dias para a Presidência da República estabelecer uma nova disciplina que seja conforme à Constituição.

Por fim, o Tribunal também fixou o dever de publicidade acerca de qualquer compartilhamento de dados pessoais sob o Decreto, devendo ser fornecidas informações claras e atualizadas sobre suas previsões legais, finalidades, procedimentos e práticas, conforme o artigo 23, inciso I da LGPD. Quanto a essa obrigação, o STF concluiu que sua transgressão implica responsabilização do agente público responsável pelo tratamento por improbidade administrativa nos termos do artigo 11, inciso IV da Lei 8.429/92.

 Para ler o voto do Ministro Relator Gilmar Mendes, clique aqui.

Este conteúdo faz parte do Informativo de Proteção de Dados. Clique aqui para ler mais notícias.