O governo do Paraná reagiu em 23 de fevereiro com surpresa à decisão da véspera do ministro Flávio Dino, do Supremo Tribunal Federal (STF), que suspendeu parcialmente a lei que autoriza a privatização da Companhia de Tecnologia da Informação e Comunicação do Paraná (Celepar) – primeira estatal de dados a ser ofertada à iniciativa privada na era da Lei Geral de Proteção de Dados (LGPD).
O leilão, previsto para 17 de março, ficou incerto após Dino atender à ação direta de inconstitucionalidade (ADI) apresentada por dois partidos, PT e PSOL. Os partidos alegam que a lei estadual viola a competência da União para legislar sobre proteção de dados e afronta o direito fundamental à privacidade.
Criada em 1964, a Celepar armazena dados públicos como registros tributários, multas e históricos médicos de cidadãos paranaenses, além de operar mais de 35 aplicativos estaduais.
O ministro entendeu que a lei não demonstra salvaguardas suficientes e determinou que o Paraná elabore um “relatório de impacto à proteção de dados pessoais” específico para a transição societária, a ser enviado à Autoridade Nacional de Proteção de Dados (ANPD) “para fins de análise e sugestões”. Só após isso o pleno do STF decidirá sobre a privatização.
A surpresa do governo do Paraná decorre do fato de a Advocacia-Geral da União (AGU) ter se manifestado favoravelmente à competência estadual. “Esperamos que não haja politização dessa questão”, disse Alex Canziani, secretário de inovação do Paraná, ao NeoFeed.
“Vamos repassar ao Supremo todas as informações requeridas, assim como passamos informações anteriormente para o Tribunal de Contas do Estado (TCE)”, complementa.
Em nota, o escritório Stocche Forbes Advogados - contratado pelo governo paranaense para auxiliar o processo de privatização da Celepar - observa que o STF ainda não analisou o caso de forma definitiva. Nesse momento, o governo do estado apenas irá contestar a suspensão dos próximos passos e prestar as informações requeridas pelo ministro Flavio Dino.
Em relação à argumentação dos dois partidos, de que a lei estadual que autoriza a privatização desrespeitou a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais, o escritório assinala que a lei de desestatização é específica e tem a finalidade exclusiva de conferir autorização legislativa ao processo de alienação do controle acionário da Celepar, além de definir competências e responsabilidades institucionais no âmbito do referido processo.
"Tal lei, em nenhum momento, disciplina o regime jurídico de proteção de dados pessoais, matéria já tratada na Constituição Federal e na LGPD", acrescenta a nota do escritório.
O processo de privatização da Celepar, iniciado em 2024, passou por audiências públicas, aprovação na Assembleia Legislativa e análise do TCE, que chegou a suspender o processo temporariamente.
Após atender todas as solicitações e derrubar três ações populares, duas ações diretas de inconstitucionalidade (ADIs) e dois mandados de segurança, o governo estadual decidiu publicar o edital de privatização em fevereiro, mesmo com a pendência da ADI no STF – como a AGU havia se manifestado favoravelmente à competência estadual, a percepção era de que a pendência estava praticamente resolvida.
Em entrevista há duas semanas, Canziani havia afirmado que o governo estadual se cercou de todos os cuidados para preservar a proteção de dados dos cidadãos, assegurada pela LGPD, que não permite sua comercialização pela futura gestora privada.
“O cidadão é o titular dos dados; o Estado, o controlador; e a Celepar, a operadora. Essa estrutura será mantida”, afirmou Canziani na ocasião. Nessa configuração, segundo a LGPD, o controlador é quem decide o que é feito com os dados, enquanto a operadora se limita a executar o processamento, nos termos do controlador.
Caso emblemático
Dois especialistas em LGPD ouvidos pelo NeoFeed abordaram o tema de forma diferente. Rony Vainzof, sócio do escritório VLK Advogados, afirma que Dino fez interpretação conforme a Constituição, mantendo a lei, mas condicionando sua aplicação ao cumprimento da LGPD e da Lei 13.675/2018, que versa sobre a Política Nacional de Segurança Pública e Defesa Social (PNSPDS).
“Na prática, o ministro entendeu, cautelarmente, que a desestatização deve observar a LGPD e PNSPDS; o Estado do Paraná deve preservar o controle sobre sistemas e bases de dados pessoais sensíveis e aqueles sobre segurança pública, vedada sua transferência integral a entes privados”, diz Vainzof.
Segundo a interpretação de Dino pelo especialista, o Estado deve manter poderes fiscalizatórios diretos sobre o tratamento desses dados, sem prejuízo da competência da ANPD; além disso, deve ser elaborado, antes do avanço da desestatização, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) específico para a transição societária, a ser submetido à ANPD.
Fernando Gallacci, sócio de infraestrutura do escritório Souza Okawa Advogados, por outro lado, destaca que o caso é emblemático por ser a primeira discussão concreta sobre privatização de estatal de dados após o governo federal abandonar a ideia de privatizar o Serviço Federal de Processamento de Dados (Serpro), uma empresa pública de tecnologia do governo federal.
“Trata-se, antes de tudo, da volta da discussão de desestatização, mas agora sob o tempero do debate dos dados pessoais detidos e organizados por empresas estatais”, diz Gallacci. “É um mercado novo, e como tal tem enfrentado grande discussão para se entender os limites e oportunidades.”
Segundo ele, não parece que juridicamente a suspensão do processo deveria prosperar. Assim, a decisão cautelar deverá seguir outras já aportadas no caso da Celepar, com revisão pelo colegiado.
“É difícil encontrar inconstitucionalidade abstrata pela simples privatização da Celepar, a Constituição não veda este tipo de privatização, tampouco a legislação infraconstitucional, a qual apenas delimita cuidados para operação privada de dados colhidos no âmbito de serviços públicos – e, vale dizer, cuja gestão privada já ocorre em diversos contratos sob custódia do poder público”, acrescenta.
Para Gallacci, basta a lei de privatização afirmar expressamente que o processo de alienação do controle da Celepar deveria observar a LGPD e demais normas de segurança da informação, preservando os serviços públicos, para resolver a questão formulada pelo ministro Flávio Dino. “O assunto estará encerrado nos moldes propostos pela AGU, com simples interpretação conforme a Constituição.”
O tema, de acordo com o especialista, provavelmente ficará superado na abstração jurídica, mas recairá nos detalhes – onde, segundo ele, sempre mora o diabo.
“Aqui, o cerne da discussão virá quando detalhados estudos e publicado o edital, com detalhamento das regras deste novo mercado de dados pessoais a partir do apoio privado para o tratamento de dados colhidos no âmbito do exercício da função estatal”, afirma Gallacci. “É nos detalhes que irá morar a verdadeira briga.”
O secretário Canziani, por sua vez, compara a desconfiança do ministro com a gestão dos dados pessoais a serem mantidos pela Celepar privatizada com a leniência do poder público quando um funcionário do Dataprev - empresa pública federal responsável por processar, armazenar e proteger os dados relacionados à Previdência Social no Brasil - vazou dados de aposentados do INSS, usados principalmente para ofertas abusivas de empréstimos consignados.
“Trata-se de uma empresa pública que teve dados vazados, só que, para qualquer diferença, se fosse uma empresa privada, teria uma multa pesada em cima disso”, diz. Por enquanto, ações civis públicas abertas pelo Instituto Defesa Coletiva contra o Dataprev e o INSS pedem indenização de R$ 5 mil por danos morais para cada beneficiário afetado, mas o funcionário envolvido no vazamento não foi identificado.
Matéria atualizada às 20h36 com posicionamento do escritório Stocche Forbes Advogados, contratado pelo governo paranaense para auxiliar no processo de privatização da Celepar
