O processo administrativo sancionador e as boas práticas em proteção de dados

A intensificação do tratamento de dados, notada- mente advinda da transformação digital da Administração Pública, é fato inegável. Se analisarmos os processos que envolvem coleta, análise, compartilhamento, armazenamento, reutilização e a eliminação dos dados, certamente envolver-se-á a utilização do meio digital.

Nesse cenário, para além de instrumentos e fer- ramentas, esse movimento proporciona a nova realidade social, em que temas como incidentes de segurança, tal qual denomina a Lei Federal n.o 13.709/2018 (LGPD), são cada vez mais comuns. A exemplo disso, analisa-se o Auto de Infração 9/2022/CGF/ANPD que, ao final, sancionou a Secre- taria de Estado de Saúde de Santa Catarina (SES-SC) por violação à LGPD.

Em resumo, o referido Auto de Infração, prece- dido de fiscalização pela Autoridade Nacional de Proteção de Dados (ANPD)1, constatou a violação aos artigos 38, 48 e 49, da LGPD, que determinam a apresentação do Relatório de Impacto de Proteção de Dados (RIPD), do Comunicado Geral de Inciden- te de Segurança (CIS), bem como, o atendimento aos requisitos de segurança. Do mesmo modo, a SES-SC não apresentou os documentos requisitados pela ANPD, em notória violação ao art. 5o do Regulamento de Fiscalização.

No caso, a SES-SC sofreu incidente de segurança e não comunicou sobre quais dados pessoais pode- riam ter recaído esse incidente de forma clara, ade- quada e tempestiva, como determina a LGPD. Foram cerca de 300 (trezentos) mil titulares de dados víti- mas do incidente, que não receberam qualquer co- municação do agente de tratamento.

* Mestre em Direito (UFRN). Especialista em Processo Civil (UNI-RN)
** Especialista em Processo Civil (FAVENI), pós-graduanda em Lei Geral de Proteção de Dados (Legal e Educacional) e Direito Tributário (IBET)

O cenário aponta para os necessários esforços da Administração Pública com relação ao tratamento de dados pessoais, sobretudo, em obediência à LGPD.

As infrações cometidas, consideradas graves, suscitaram quatro sanções de advertência, uma para cada infração cometida. Não obstante, a SES-SC terá, ainda, que providenciar, dentre outras, medi- das corretivas a seguir: fixar o comunicado geral de incidente de segurança (CIS) em seu site por 90 dias e informar diretamente os titulares de dados pessoais vítimas do incidente.

Dito isto, o referido cenário aponta para os necessários esforços da Administração Pública com relação ao tratamento de dados pessoais, sobretudo, em obediência à LGPD. Logo, deve ser realizado tão somente para atendimento da finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, na forma do art. 23 da LGPD.

As boas práticas e governança de dados pessoais, nos termos do art. 50 da LGPD, também devem ser consideradas, pois atuam como substrato para os

agentes de tratamento. Nesse cenário, tanto o con- trolador como o operador de dados são os responsá- veis por formular boas práticas de governança que estabeleçam condições de organização, funciona- mento e procedimentos, ações educativas e super- visão para a mitigação dos riscos inerentes ao trata- mento de dados pessoais.

No âmbito do processo administrativo sanciona- dor, em razão do inadequado tratamento de dados pessoais e a violação de direitos dos administrados pelos órgãos públicos, a autoridade nacional levará em consideração, entre outros critérios, a coopera- ção, a adoção de mecanismos e procedimentos in- ternos para minimizar os danos, e a adoção de po- líticas de boas práticas e governança, nos termos da Resolução CD/ANPD n.o 4, de 24 de fevereiro de 2023.

É fundamental que a Administração Pública considere as regras relacionadas à proteção de dados e segurança da informação.

Assim sendo, diante das implicações decorrentes das infrações à LGPD, é fundamental que a Administração Pública considere as regras relacionadas à proteção de dados e segurança da informação, seja por meio de treinamento da equipe, ou por consultoria de especialistas contratados, a fim de garantir a implementação eficaz das boas práticas e da governança de dados.

1. A Autoridade Nacional de Proteção de Dados (ANPD), conforme previsão do art. 55 da LGPD, é a autoridade que atuará como um órgão a serviço do cidadão e da salvaguarda de seus direitos, bem como uma ponte entre a sociedade e o governo, possibilitando que as pessoas enviem dúvidas, sugestões, denúncias ligadas à LGPD para apuração.