Em decisão tomada por maioria dos votos, o plenário do Supremo Tribunal Federal (STF) decidiu, no último dia 15/09/2022, que órgãos e entidades da administração pública federal podem compartilhar dados pessoais entre si, desde que observadas determinadas restrições impostas pela legislação em vigor. A decisão foi tomada na sessão que analisou, em conjunto, a Ação Direta de Inconstitucionalidade (ADI 6649) e a Arguição de Descumprimento de Preceito Fundamental (ADPF 695).
As ações judiciais propostas alegavam, em resumo, que o Decreto nº. 10.046/19, que dispõe sobre a governança no compartilhamento de dados no âmbito da administração pública federal e instituiu o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados, representaria uma forma de vigilância massiva e controle inconstitucional por parte do Estado.
A decisão, tomada por maioria dos votos, como já mencionado, e que teve como voto condutor o voto do relator, ministro Gilmar Mendes, foi no sentido de que o compartilhamento de dados pessoais entre órgãos e entidades da administração pública federal pressupõe a observância de determinadas restrições como, por exemplo: (i) a eleição de propósitos legítimos, específicos e explícitos para o tratamento de dados pessoais; (ii) a compatibilidade do tratamento com as finalidades informadas; (iii) a limitação do compartilhamento ao mínimo necessário para o atendimento da finalidade informada; bem como, (iv) o cumprimento integral dos requisitos, garantias e procedimentos estabelecidos na Lei Geral de Proteção de Dados Pessoais – LGPD – Lei nº. 13.709/18, no que for compatível com o setor público.
O compartilhamento de dados pessoais entre órgãos públicos pressupõe rigorosa observância do quanto disposto na LGPD, que determina seja dada a devida publicidade às hipóteses em que cada entidade governamental compartilha ou tem acesso a banco de dados pessoais.
Um ponto bastante interessante e que foi tratado no julgamento é o que se refere ao compartilhamento de informações pessoais em atividades de inteligência como, por exemplo, aquelas conduzidas pela Abin – Agência Brasileira de Inteligência. Neste caso, o STF decidiu que o Estado deverá observar o disposto em legislação específica e os parâmetros fixados no julgamento da ADI 6.529, quais sejam: (i) adoção de medidas proporcionais e estritamente necessárias ao atendimento do interesse público; (ii) instauração de procedimento administrativo formal, acompanhado de prévia e exaustiva motivação, para permitir o controle de legalidade pelo Poder Judiciário; (iii) utilização de sistemas eletrônicos de segurança e de registro de acesso, inclusive para efeito de responsabilização em caso de abuso; e (iv) observância dos princípios gerais de proteção e dos direitos do titular previstos na LGPD, no que for compatível com o exercício dessa função estatal.
Por fim, o STF decidiu, nesse mesmo julgamento, que o tratamento de dados pessoais promovido por órgãos públicos, em desacordo com os parâmetros legais e constitucionais, importará a responsabilidade civil do Estado pelos danos suportados pelos particulares, sendo que o Estado poderá exercer o direito de regresso contra os servidores e agentes políticos responsáveis pelo ato ilícito, em caso de culpa ou dolo, com o intuito de obter o ressarcimento pelos eventuais danos causados.
Assim sendo, a decisão do STF foi no sentido de que o modo como foi redigido o Decreto nº. 10.046/19 poderia levar a um autêntico desmonte dos pilares estruturantes da LGPD, assim como, “(...) comprometer a própria eficácia do direito fundamental à proteção de dados pessoais”.
Felipe de Almeida Mello é advogado e sócio de BM Advogados. Mestre em Direito e especialista em Direito Empresarial, em Compliance e em Proteção de Dados. Membro Efetivo da Comissão de Privacidade e Proteção de Dados da OAB/SP. Professor convidado da Fundação Getúlio Vargas (FGV), da Escola Superior da Advocacia (ESA/OAB), da Fundação Armando Álvares Penteado (FAAP) e da Faculdade de Ciências Médicas da Santa Casa de São Paulo.
Comments