O setor público brasileiro ainda reflete os paradigmas da administração pública burocrática e é amplamente regido pelo formalismo. Significa dizer que a conduta dos agentes públicos - e, por consequência, a conduta das organizações públicas -, é pautada pelo que decorre das normas e instrumentos formais que estabelecem deveres, atribuições e procedimentos. Havendo o dever jurídico abstrato, mas inexistindo norma que estabeleça a conduta concreta, será observado, com frequência, o fenômeno da paralisia por análise (analysis paralysis).

O estímulo à paralisia é reforçado porque há a percepção pelos agentes públicos de que, diante de incertezas normativas, não agir é menos pessoalmente arriscado que arbitrar uma linha de ação e o caminho ser posteriormente rechaçado pelos órgãos de controle. A incerteza, portanto, gera o estímulo indireto a que se decida não decidir.

A LGPD, no contexto do poder público, trouxe inúmeras incertezas. Algumas decorrem da própria redação da LGPD, obscura em pontos relevantes. Outras decorrem do conflito aparente entre normas, como claramente se observa nas incertezas relacionadas à compatibilização com as obrigações da Lei de Acesso à Informação (LAI). Outras decorrem do vácuo regulatório em matérias para as quais a própria LGPD previu regulamentação superveniente e que ainda inexiste.

De forma a suprir a demanda de informações pelo poder público diante de tantas incertezas, a ANPD, de forma prudente, emitiu, em janeiro de 2022, o Guia Orientativo de Tratamento de Dados Pessoais pelo Poder Público (doravante apenas Guia Orientativo).

Embora o Guia Orientativo tenha sido útil como primeira abordagem ao tema pela ANPD, a capacidade de superar a paralisia por análise foi limitada, em especial por duas razões. A primeira é que o Guia Orientativo não foi antecedido por consulta pública. Isso impediu que críticas e sugestões tendentes a uma cobertura mais assertiva dos problemas práticos da administração pública fossem incorporadas à primeira versão.

A segunda razão foi sua própria natureza. Guias não são normas, e, portanto, sinalizam a interpretação do regulador naquele momento, mas não possuem força cogente. Aliás, a publicação sumária de Guias Orientativos somente foi possível exatamente porque não são normas, ou teria havido a incidência do art. 55-J, §2º, da LGPD, que impõe que "os regulamentos e as normas editados pela ANPD devem ser precedidos de consulta e audiência públicas, bem como de análises de impacto regulatório".

A redução de incertezas no âmbito do poder público requer, na prática, normas em sentido estrito. Daí a importância de que a orientação ao poder público mediante Guias seja complementada futuramente por regulamentação própria, precedida de consulta e audiência públicas, bem como de análises de impacto regulatório, nos termos do art. 55-J, §2º, da LGPD.

Nesse contexto, um dos aspectos a se reavaliar em eventual regulamentação futura é a questão conceitual que delimita a própria administração pública e as políticas públicas alcançadas pela hipótese de tratamento do art. 7º, III, e 11, II, b, da LGPD.

A ANPD reconhece, no Guia Orientativo, que diversas consultas foram formuladas por órgãos e entidades públicos quanto à adequada interpretação das bases legais que autorizam o tratamento de dados pessoais (cf. Guia Orientativo, pág. 4, item 3). Nessa matéria, subsiste elevado grau de incerteza regulatória.

E agravado, porque a interpretação dada no Guia Orientativo aos conceitos de administração pública e de política pública limitou excessivamente a utilização da base legal de execução de políticas públicas. Na realidade, o Guia Orientativo recomenda expressamente o uso da base de cumprimento de obrigação legal e regulatória para atividades que decorram de normas de organização no setor público (cf. Guia Orientativo, pág. 9, item 30, e pág. 11, item 35).

A abordagem não parece ter sido a melhor, dá margem a atividades de difícil enquadramento no setor público, e cria uma ruptura aparentemente injustificável entre o regime público e o regime privado. Isso porque o cumprimento de obrigação legal ou regulatória é aplicável, como regra, nos cenários em que o tratamento de dados pessoais não decorre de uma escolha do agente de tratamento, mas de uma imposição normativa externa. O que caracteriza a obrigação legal ou regulatória, portanto, é a compulsoriedade do tratamento, não importa se por agente público ou privado.

A interpretação de que tratamentos possam ser legitimados com base no cumprimento de obrigação legal ou regulatória quando há uma obrigação genérica de resultado ou atribuição, sem qualquer estipulação quanto aos meios - que decorreriam de escolhas internas de gestão ou de discricionariedade administrativa -, é de difícil assimilação pelos gestores públicos e abre margem a toda sorte de abusos, produzindo o efeito de paralisia diante da incerteza do enquadramento e de seus riscos.

O paradoxo pode ser demonstrado a partir de um exemplo no setor privado. O art. 154 da lei Federal 6.404, de 1976, estabelece que o administrador da companhia deve exercer as atribuições que a lei e o estatuto lhe conferem para alcançar os fins da companhia e para atuar no interesse da companhia. Essa é a obrigação legal. E o estatuto da companhia fixa os poderes - no caso, poderes-deveres - desse administrador. Estariam então todos os tratamentos de dados pessoais, decorrentes de atos de gestão dos administradores, destinados a alcançar fins da companhia ou para atuar no interesse da companhia, respaldados pela base legal de cumprimento de obrigação legal ou regulatória? É evidente que não.

A lei e o estatuto fixam atribuições e prerrogativas, mas os tratamentos de dados pessoais decorrentes de escolhas do administrador de uma companhia no exercício dessas atribuições - por exemplo, a decisão do uso de marketing direto para a ampliação de vendas - serão regidos por bases legais próprias e referentes a cada finalidade e contexto. O cumprimento de obrigação legal ou regulatória incidirá quando o tratamento, em si considerado, for compulsório por força legal ou regulatória. Um fim compulsório não implica, necessariamente, que os meios escolhidos sejam compulsórios.

De forma semelhante, normas de organização no setor público frequentemente estabelecem atribuições, mas não impõem tratamento de dados pessoais específicos para o exercício dessas atribuições. A escolha dos meios - e, portanto, dos tratamentos de dados a eles relacionados - emergirá de escolhas discricionárias e do exercício de poder.

Portanto, normas de organização no poder público não deveriam, por si, levar ao enquadramento de obrigação legal ou regulatória quando estabelecem atribuições e competências no setor público, tal como sugere o Guia Orientativo. Seja porque não parece ser a interpretação mais lógica, seja porque levaria a base de cumprimento de obrigação legal e regulatória a ter contornos díspares quando aplicada no setor público e privado. Melhor parece que tais tratamentos do setor público estejam compreendidos na base de execução de políticas públicas pela administração pública.

A sugestão acima, entretanto, impõe uma revisão quanto ao entendimento dado à base de execução de políticas públicas. Isso porque o Guia Orientativo estabelece que a base de execução de políticas públicas apenas se aplica quando órgãos e entidades públicos estão atuando no exercício de suas funções administrativas (cf. Guia Orientativo, pág. 11, itens 35 a 37), o que excluiria as atividades finalísticas decorrentes das normas de organização. Não parece ter sido a melhor interpretação.

O fundamento do Guia Orientativo é que o conceito de administração pública, embora abranja órgãos e entidades dos três Poderes e entes federativos, requer que estejam atuando no exercício de funções administrativas. Houve, aparentemente, uma aplicação equivocada do conceito objetivo da administração pública.

Com efeito, diversas bases legais possuem limitações objetivas (a atividade) e subjetivas (quem a exerce) concomitantes. É o caso da realização de estudos (a atividade, limitação objetiva) por órgão de pesquisa (quem a exerce, limitação subjetiva); ou da tutela da saúde (a atividade, limitação objetiva), exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária (quem a exerce, limitação subjetiva).

No caso da base de execução de políticas públicas, a expressão legal é "pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis...". Parece claro que, na base legal, a expressão "administração pública" está empregada em seu aspecto subjetivo (quem a exerce), sendo a "execução de políticas públicas" a limitação objetiva (a atividade).

Ora, o conceito de administração pública possui duas dimensões, que vêm a ser, precisamente, a objetiva e a subjetiva. Na dimensão objetiva, ou funcional, a administração pública é, de fato, o plexo de atividades relacionadas à função administrativa. Daí que, pelo critério objetivo (administração pública enquanto atividade), as atividades legislativas e jurisdicionais realmente não estariam abarcadas pelo conceito de administração pública.

Ocorre que a administração pública também possui uma dimensão subjetiva, ou orgânica. E, na dimensão subjetiva (quem exerce a atividade), a expressão "administração pública" se refere a todos os órgãos e entidades que integram a administração direta e indireta, inclusive os órgãos cujas atividades precípuas sejam legislativas ou jurisdicionais.

Daí que, pelo critério subjetivo, não apenas os órgãos que exercem funções administrativas, mas todos os integrantes do Poder Executivo, Legislativo e Judiciário, assim como órgãos constitucionais, como os Tribunais de Contas, bem como entidades da administração indireta, como autarquias e empresas públicas, integram a administração pública.

Como visto, a expressão "administração pública" nas bases legais da LGPD claramente foi empregada na dimensão subjetiva, e não na dimensão objetiva, que é a equivocadamente constante do Guia Orientativo. Na realidade, o critério objetivo da base de execução de políticas públicas é, exatamente, a "execução de políticas públicas".

Logo, parece irrelevante que a atividade seja administrativa para o uso da base legal, porque a administração pública, em seu conceito subjetivo, abrange toda a Administração Direta e Indireta independentemente da função exercida, e políticas públicas em sentido estrito podem ocorrer no âmbito de atividades finalísticas dos Poderes. Portanto, no que parece ser uma melhor interpretação, basta que um integrante da Administração Pública esteja executando política pública para que seja incidente a base legal.

Além disso, parece interessante que, em regulamentação futura, haja uma ampliação do conceito de políticas públicas adotado no Guia Orientativo. A exigência de um ato formal instituidor é compatível com o próprio teor da base legal, que impõe previsão em leis e regulamentos ou respaldo em contratos, convênios ou instrumentos congêneres (no caso de dados sensíveis, admite-se apenas lei ou regulamento). Entretanto, o Guia Orientativo vai além, e, embora sugira interpretar o conceito de política pública de forma ampla, o associa, em regra, a programas ou ações governamentais em que haja delimitações de objetivos, metas, prazos e meios de execução (cf. Guia Orientativo, pág. 12, itens 41 e 42).

Ora, se o próprio Guia Orientativo indica que tais elementos se referem a um tipo ideal, e que a presença de tais elementos ocorreria como regra, mas não como parte da essência, é recomendável que, para efeitos de enquadramento na base legal, o conceito de política pública seja efetivamente considerado de forma ampla, a mais ampla possível, e a partir de seus elementos essenciais, não de um tipo doutrinário ideal.

A edição de normas em sentido estrito para o poder público, com a ampliação do alcance da base de execução de políticas públicas, de modo a abranger todos os tratamentos da administração pública direta e indireta que importar execução de políticas públicas, inclusive as decorrentes de normas de organização, associada a uma interpretação da expressão "administração pública" em sua perspectiva subjetiva, que foi a claramente dada pela LGPD, trarão maior segurança jurídica a diversas operações do poder público, ampliarão as possibilidades de controle das finalidades do tratamento e trarão grandes benefícios no combate diário à paralisia por análise.

O Guia Orientativo foi um primeiro grande passo. Há uma estrada à frente. É fundamental que haja, o quanto antes, segurança jurídica quanto às hipóteses de tratamento para o poder público.