Governo vende dados dos cidadãos... ANPD vai colocar o guizo no gato?

No país em que não se morre de tédio a Receita Federal autorizou o SERPRO a vender dados pessoais da população brasileira, sem consentimento de seus titulares, fazendo um caixinha para custear sua infraestrutura.

Após se fingir de morta em episódios anteriores, vazamentos e ofertas de degustação pelo poder Executivo Federal de dados pessoais de cidadãos sob sua guarda, a ANPD divulgou 'nota de esclarecimento' comunicando que tomou conhecimento do fato e instaurou processo administrativo com intuito de avaliar a adequação do normativo às disposições da LGPD.  Ou seja, sequer foi consultada pelo Poder Público!

A portaria 167/22 da Receita Federal autoriza o SERPRO, a disponibilizar para terceiros, acesso a dados e informações sob gestão da Receita Federal, conforme portaria MF 457/16.

A gravidade da questão reside na necessidade de efetivo controle desse incontrolável guardião.

De forma genérica o texto normativo informa que:

 'A disponibilização de acesso a dados e informações destina-se à complementação de políticas públicas, voltadas ao fornecimento de informações à sociedade, através de soluções tecnológicas complementares às oferecidas pela RFB'.  Sabe-se lá o que isso significa ...

 Tem permissão legal de realizar tratamento para o cumprimento de políticas públicas.  Quais seriam essas políticas ...?

 Assegura a implementação de processo de identificação de risco institucional ou risco ao sigilo da pessoa física ou jurídica a que se referem os dados e informações. Não diz qual processo ...

 Dará acesso a dados e as informações mediante a apresentação do argumento de consulta estabelecido para cada conjunto de dados e informações, nos termos do Anexo Único. Quais argumentos serão acatados? Quem pode pedir o quê e a quem?

Balizas legais

O Poder Público tem acesso aos dados constantes de suas bases, mas não é o dono deles.

A LGPD estipulou regras e limites para o tratamento de dados pessoais custodiados pelo Poder Público: deverá ser realizado para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.

Como fiel guardião dos dados pessoais de terceiros, eventual compartilhamento deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados na lei.

A transferência de dados pessoais a entidades privadas, constantes de bases de dados a que tenha acesso, somente poderá ocorrer em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observada a LAI; nos casos em que os dados forem acessíveis publicamente, observadas as disposições legais; quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; ou  na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.     

Autoridade Nacional de Proteção de Dados

Deve ser comunicado à autoridade nacional a transferência de dados respaldados em contratos e convênios, assim como uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa de direito privado, pendente de regulamentação.

A autoridade pode estabelecer normas complementares para as atividades de comunicação e de uso compartilhado de dados pessoais e sobre as formas de publicidade das operações de tratamento. A qualquer momento pode solicitar aos órgãos e às entidades do poder público a realização de operações de tratamento de dados pessoais, informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado, podendo emitir parecer técnico complementar para garantir o cumprimento da LGPD.

A apuração da constitucionalidade dessa portaria da RFB passa obrigatoriamente pela análise das normas jurídicas, pela obediência aos comandos legais de maior hierarquia e da verificação da autorização expressa exigida no direito público, avaliada a permissão de compartilhamento de dados pessoais sem autorização do titular, escudado no requisito 'da necessidade de desenvolvimento de políticas públicas'.

O ato administrativo que autorizou a fuga de dados sob proteção pública deve respeito à ordem de prevalência legal, sob pena de nulidade de pleno direito.

Paradoxo

Como responsável por organizar a proteção e o tratamento de dados pessoais no país, ao invés de embalar nossos dados no berço da segurança, o Poder Público os comercializa e aufere lucro.  

Por óbvio não se espera que a ANPD seja uma fábrica de multas. O Poder Público está isento do pagamento de multas, mas não da obrigação de cumprir as determinações contidas na LGPD.

Ecossistema normativo

O dever de casa da ANPD está aqui:

Constituição Federal

https://www.planalto.gov.br/ccivil_03/Constituicao/Constituicao.htm

EC 115 - Altera a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais

Lei complementar 95/1998 - Dispõe sobre a elaboração, a redação, a alteração e a consolidação das leis, conforme determina o parágrafo único do art. 59 da Constituição Federal, e estabelece normas para a consolidação dos atos normativos que menciona.

Lei 12.527/98 - Lei de Acesso à Informação

Lei 13.709/18 - Lei Geral de Proteção de Dados

Decreto nº 10.139/2019 - Dispõe sobre a revisão e a consolidação dos atos normativos inferiores a decreto.

Decreto 10.206/2020 - Dispõe sobre a qualificação do Serviço Federal de Processamento de Dados no âmbito do Programa de Parcerias de Investimentos da Presidência da República e sobre a sua inclusão no Programa Nacional de Desestatização

Portaria MF 457/2016 - Dispõe sobre a disponibilização de acesso, para terceiros, pelo Serviço Federal de Processamento de Dados, a dados e informações que hospeda, para fins de complementação de políticas públicas.

Acordo de Cooperação Técnica 04/2021 - Acordo que entre si celebram a Receita Federal do Brasil e as Secretarias de Fazenda, Economia, Finanças ou Tributação dos Estados e do Distrito Federal, relativo à implantação do ambiente centralizado de serviços das administrações tributárias federal e estaduais.

Portaria RFB 167/2022 - Autoriza o Serviço Federal de Processamento de Dados a disponibilizar acesso, para terceiros, dos dados e informações que especifica.

Revoga 12 Portarias da RFB: 2.189/2017; 849/2020; 1.079/2020; 4.255/ 2020; 4.794/ 2020; 12/ 2021; 27/ 2021; 38/ 2021; 62/ 2021; 87/ 2021; 147/2022 e 153/ 2022

Conjuntos de dados e informações tornados acessíveis pela Portaria RFB

CPF - CNPJ - CND - Conhecimento de Embarque-Mercante - Consulta da Data da Última Atualização - Manifesto - Consulta da Data da Última Atualização - Escala - Consulta da Data da Última Atualização - Consulta a Dados - Conhecimento de Transporte Marítimo (CE-Mercante) - Consulta a Dados do Manifesto Marítimo - Consulta a Dados do Manifesto Marítimo - Nota Fiscal Eletrônica - Declaração de Importação - Consulta à Data da Última Atualização - Consulta à Declaração de Importação -  Declaração de Importação - Consulta Avulsa do Vicomex - Procurações -  Caixa Postal -  Caixa Postal - Detalhes Mensagens -  Caixa Postal - Indicador de Novas Mensagens -  DARF - Consolidar e Emitir  argumento de entrada  -  DCTF - WEB - Validação Autorização  argumento de entrada - Integra Simples Nacional   argumento de entrada - Integra PGDASD-CONSULTAS - Integra DEFIS-CONSULTAS -  Integra DEFIS-Entregar Declaração    argumento de entrada -  Integra DASNSIMEI   argumento de entrada - Integra PGMEI   argumento de entrada - Integra PGDASD  argumento de entrada -  Consulta Comprovante de Pagamento