Parecer SCL nº 202/2023

Memo. SGA nº 73/2022 e 81/2023

TID 19704805 e 20116296

Assunto: LGPD

Ementa: Memo. SGA nº 73/2022 e nº 81/2023. Licitações, Contratos Administrativos e LGPD. Minuta de Termo de Compromisso. Rotina administrativa para oportunizar vista de processos. Possibilidade de regulamentação por Norma Administrativa.

Sra. Procuradora Legislativa Supervisora,

O Sr. Secretário Geral Administrativo Adjunto encaminhou o presente expediente para análise e manifestação dos seguintes pontos:

• Quais são os dados que devem ser protegidos e resguardados, nos termos da LGPD?
• Em linha com a primeira pergunta, as cópias de documento pessoal como RG e CNH apresentados para o credenciamento devem ser protegidos?
• Foi decidido que as pessoas que requisitarem vistas aos processos deverão previamente ser identificadas, apresentando, nos termos da LGPD as razões que embasam seu pedido, assinando uma declaração no sentido de se comprometer a resguardar o sigilo das informações e não fazer mau uso dos dados contidos nos autos em observância à LGPD. Nesse sentido, solicita elaboração de minuta para este termo de compromisso.

Trata-se de consulta pautada na Lei Federal nº 13.709/2018, denominada Lei Geral de Proteção de Dados (LGPD) e seus reflexos nos processos licitatórios após a fase da licitação e respectiva homologação, tendo em vista possíveis demandas de pessoas que participaram do certame ou do cidadão comum.

Cumpre esclarecer que a demora em exarar o presente Parecer deveu-se à proximidade da entrada em vigor da Lei Federal nº 14.133/21 (Nova Lei de Licitações – NLL) que, a princípio, seria em 1º de abril de 2023, bem como à incerteza em relação às diretrizes da Superior Administração em relação à aplicação imediata da NLL e, ainda, à iminência da regulação no âmbito do Poder Executivo que resultou na edição do Decreto Municipal nº 62.100, de 27 de dezembro de 2022.

Ademais, procuramos acompanhar os artigos e pareceres que tratassem da relação entre a NLL e a LGPD, de forma a melhor embasar o estudo do tema.

Em resposta à consulta formulada, foi exarado o Parecer ADM nº 0046/2022, da lavra da D. Procuradora Legislativa Djenane Ferreira Cardoso Zanlochi, cujas considerações são ratificadas por este Setor.

O Parecer da Advocacia Geral da União (AGU) nº 00009/2022/DECOR/CGU/AGU trata do assunto (segue anexo). Em que pese citar a Lei Federal nº 8.666/93, observamos que o posicionamento esposado não mudou em relação à Lei Federal nº 14.133/21, até porque a NLL não traz dispositivo sobre proteção de dados. Segue a ementa do citado Parecer da AGU:

“EMENTA: DIREITO CONSTITUCIONAL. DIREITO ADMINISTRATIVO. DIREITO FUNDAMENTAL À PROTEÇÃO DE DADOS (ART. 5º, INC. LXXIX, CRFB/88). LEI GERAL DE PROTEÇÃO DE DADOS (LEI N.º 13.709/2018). LICITAÇÕES E CONTRATAÇÕES PÚBLICAS.

1. Com a recente promulgação da EC n.º 115/2022, o direito à proteção dos dados pessoais foi inserido no rol dos direitos fundamentais da CRFB/88, art. 5º, inc. LXXIX . A despeito disso, já estava assentado pelos Tribunais e Doutrina Pátrios a proteção deste direito fundamental com fulcro na “valorização da dignidade humana, proteção constitucional à intimidade e utilização do habeas data”. (ADPF 695/DF)

13. A Lei n.º 13.709/2018 (Lei Geral de Proteção de Dados (LGPD) foi editada para dispor “sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.”(art. 1º)

• Os dados pessoais tratados em razão de licitações e contratos administrativos devem subsumir-se à nova Política desde a entrada em vigor da LGPD, mesmo no caso das licitações em curso e os contratos já firmados, que poderão ser revistos, caso necessário, para adaptação aos parâmetros impostos pela norma.

1. O tratamento de dados pessoais pelas pessoas jurídicas de direito público deverá guardar compatibilidade com a finalidade específica informada ao titular para o fornecimento dos dados (art. 6º) e “deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público” (art. 23)

1. O tratamento dos dados pessoais, no caso, poderá ocorrer se houver consentimento do titular do direito; para o cumprimento de obrigação legal; para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular; e também na hipótese do uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres. (art. 7º, inc. I, II, III, e V)

8. Os atos da Administração Pública são regidos pelo princípio da publicidade (CRFB/88, art. 37, c/c §3º, art. 3º, da Lei n.º 8.666/93). Assim, “os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.” (art. 46), “com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.”(art. 1º)

• Há a necessidade de manutenção dos dados fornecidos pelos licitantes não contratados e pelos contratados após o encerramento do contrato, visando o cumprimento de obrigação legal. (art. 16, I)”

Cumpre notar que a Agência Nacional de Proteção de Dados (ANPD) publicou diversos materiais orientativos sobre como será a atuação da Autoridade em face da fiscalização da aplicação da LGPD. Um dos materiais é o Guia Orientativo de Tratamento de Dados Pessoais pelo Poder Público, com última versão publicada em junho/2023 (segue anexo).

O referido Guia Orientativo, trata, dentre outros, do princípio da necessidade, pelo qual o tratamento deve ser limitado ao “mínimo necessário para a realização de suas finalidades”, abrangendo apenas os “dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados” (art. 6º, inciso III, da LGPD). Como exemplo, cita os dados coletados para elaboração de contrato administrativo e conclui que, dados como estado civil e endereço residencial podem ser desnecessários para a identificação dos responsáveis legais, recomendando-se que não sejam coletados (páginas 25 e 26 do Guia).

Tal providência, é adotada por esta Administração que coleta somente os dados estritamente necessários para a identificação dos responsáveis legais das pessoas jurídicas contratadas, quais sejam, documento de identificação e CPF.

Em 24/02/2023, a ANPD publicou a Resolução CD/ANPD nº 04, de 24 de fevereiro de 2023, que trata do Regulameto de Dosimetria e Aplicação de Sanções Administrativas, no âmbito de competência da ANPD (segue anexa). A partir de então, nota-se que a ANPD ingressou na fase de fiscalização punitiva.

Por essa razão, é importante que a Administração exija como requisito de contratação que as pessoas jurídicas de direito privado contratadas tenham implementado e em pleno funcionamento programa de adequação à LGPD, desde a requisição inicial até a publicação do edital e em todo o curso da contratação.

No art. 7º da Resolução CD/ANPD nº 04/2023, destacam-se dois parâmetros e critérios na definição da sanção: “a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com a LGPD” (inciso IX) e “a adoção de política de boas práticas e governança” (inciso X).

Insta ressaltar que, os instrumentos convocatórios desta Casa Legislativa, tanto de licitações, quanto de dispensas de licitações em razão do valor, contêm cláusulas padronizadas nos Termos de Referência – Especificações Técnicas referentes à LGPD. Segue a redação adotada:

“Deverão ser observadas as providências para a proteção dos dados pessoais:

A CONTRATADA se compromete a adotar as melhores práticas para respeitar a legislação vigente e/ou que venha entrar em vigor sobre proteção de dados, inclusive na forma da Lei Federal no 13.709/2018, Lei Geral de Proteção de Dados (LGPD).

A CONTRATADA se obriga a manter e utilizar medidas de segurança administrativas, técnicas e físicas apropriadas e suficientes para proteger a confidencialidade e integridade de todos os dados pessoais coletados em razão da execução do objeto deste contrato, garantindo sua proteção contra acesso não autorizado, destruição, uso, modificação, divulgação ou perda acidental ou indevida.

O tratamento de dados pessoais será realizado nos estritos limites da consecução do objeto deste contrato ou do consentimento expressamente manifestado por escrito por seus respectivos titulares.

Os dados pessoais não poderão ser revelados a terceiros, com exceção da prévia autorização por escrito da CONTRATANTE, quer direta ou indiretamente, seja mediante a distribuição de cópias, resumos, compilações, extratos, análises, estudos ou outros meios que contenham ou de outra forma reflitam referidas informações.

Sempre que constatar acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito por parte de seus colaboradores, diretores ou prepostos, a CONTRATADA imediatamente comunicará à CONTRATANTE, colaborando, inclusive, com eventual comunicação de ocorrência de incidente de segurança à Autoridade Nacional de Proteção de Dados.

Ao fim do serviço, a CONTRATADA adotará todas as medidas visando à eliminação dos respectivos dados pessoais de seu banco de dados, ressalvadas as hipóteses do art. 16 da LGPD.

A CONTRATADA será integralmente responsável pelo pagamento de perdas e danos de ordem moral e material, bem como pelo ressarcimento do pagamento de qualquer multa ou penalidade imposta à CONTRATANTE e/ou a terceiros diretamente resultantes do descumprimento de qualquer das obrigações relativas à proteção de dados pessoais.

Todas as obrigações relativas à proteção de dados pessoais, inclusive sigilo e confidencialidade, permanecerão em vigor mesmo após o término de vigência do presente contrato.”

Em artigo publicado pela Equipe Técnica da XXXXXXXXXXXXXXXX, empresa com mais de três décadas de atuação, referência em licitações e contratos, extraímos o seguinte trecho:

“O tratamento dos dados pessoais relacionados aos processos de contratação presume-se válido, legítimo e, portanto, juridicamente adequado.

Primeiro porque ao participar de processo licitatório ou de contratação direta o titular dos dados manifesta seu inequívoco consentimento^[1] para tratamento dos dados pessoais pela Administração Pública (art. 7º, I).

Em segundo lugar, os dados pessoais exigidos nos processos licitatórios ou de contratação direta se destinam a cumprimento de obrigação legal pelo controlador (art. 7º II).

Por terceiro, o tratamento dos danos, nesta hipótese em exame é ‘necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados’ (art. 7º V).

Tem-se, então, que o tratamento de dados pessoais informados pelo titular no processo da contratação pública tem autorização legal prevista em, no mínimo, 3 dispositivos da LGPD.”

[1] Nos termos da norma contida no art. 5º, XII consentimento é a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”.

(in https://zenite.blog.br/lei-geral-de-protecao-de-dados-e-contratacoes-publicas/ acessado em 13/11/2023)

Diante de todo exposto, na esteira do Parecer ADM nº 0046/2022, conclui-se que, em razão dos princípios que regem as licitações e contratações públicas, os dados coletados devem ser tratados considerando a finalidade, a boa-fé e o interesse público que justificaram a sua disponibilização, adotando-se cuidados mínimos desde o planejamento até a conclusão da execução contratual.

Quanto à Minuta de Termo de Compromisso encaminhada pelo Setor de Elaboração Legislativa desta Procuradoria, parece-nos que o referido documento pode ser implantado pela via de Norma Administrativa a ser editada pela Secretaria Geral Administrativa (SGA), uma vez que se trata de rotina administrativa.

Este é o parecer, que submeto à apreciação de V. Sa.

São Paulo, 14 de novembro de 2023.

CONCEIÇÃO FARIA DA SILVA

Procuradora Legislativa

Setor de Contratos e Licitações

OAB/SP nº 209.170