Auditoria do TCE revela falha na proteção de dados pessoais em órgãos públicos potiguares

Um relatório de auditoria do Tribunal de Contas do Estado (TCE-RN) mostra que os órgãos da Administração Direta Estadual e da Prefeitura de Natal apresentam um "cenário crítico" de não conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). A análise aponta que a maioria das instituições ainda não conseguiu sequer atingir o nível mais básico de adequação à lei, colocando em risco a privacidade dos dados de milhares de cidadãos potiguares.

O estudo, que envolveu 64 órgãos jurisdicionados, demonstrou que a estrutura mínima exigida pela LGPD está quase ausente. Um dos achados mais graves é que a grande maioria (cerca de 89%) dos órgãos não nomeou o Encarregado de Dados (DPO), o profissional que a lei determina como peça-chave para gerir o tratamento de dados e atender às demandas dos cidadãos e da Autoridade Nacional de Proteção de Dados (ANPD).

Além da falta de pessoal especializado, a documentação e as regras internas são praticamente inexistentes. A grande maioria dos órgãos não possui uma Política de Classificação da Informação formalizada, nem uma política clara sobre como os dados pessoais devem ser tratados. Essa ausência de diretrizes, somada à falta de capacitação dos servidores (mais de 70% não têm planos de treinamento sobre o tema), compromete a segurança e a legalidade das operações com dados.

Cerca de 76% das entidades não têm mecanismos para atender prontamente aos pedidos dos titulares de dados, como o direito de acesso, correção ou anonimização de suas informações. Ainda mais grave, quase 91% dos órgãos não documentaram de forma clara quais são as bases legais que autorizam o tratamento dos dados, descumprindo um pilar fundamental da LGPD.

Recomendações 

Diante do elevado risco de incidentes de segurança e de sanções legais, o relatório propõe uma série de recomendações detalhadas para os gestores buscarem reverter o quadro. As orientações centrais para a correção das falhas de governança e segurança vão desde estabelecer a Governança e Liderança com a criação de uma estrutura formal, como um Comitê de Governança de Dados ou Grupo de Trabalho, que deve estar subordinada à alta administração. Isso garante que a proteção de dados seja uma prioridade estratégica, e não apenas uma tarefa operacional isolada, até formalizar  políticas de segurança da informação, definindo regras claras sobre o manuseio, armazenamento e descarte de dados. 

O relatório também recomenda a nomeação formal do Encarregado de Dados e orienta que seja assegurada ao DPO a autonomia, os recursos necessários e o apoio da alta gestão para exercer plenamente suas funções.

Também sugere que sejam desenvolvidos e aplicados planos de treinamento contínuos para todos os servidores, de forma que eles compreendam a LGPD e saibam como tratar dados pessoais corretamente no seu dia a dia e a adoção de controles técnicos de segurança, incluindo a implementação de normas internas para o mascaramento ou anonimização de dados quando aplicável, e controles rigorosos para mitigar os riscos de acesso não autorizado e incidentes de segurança.

Os auditores também fazem algumas recomendação aos  próprio Tribunal de Contas do Estado no sentido de a conformidade com a LGPD seja incorporada de forma permanente ao escopo das auditorias operacionais e ações fiscalizatórias, para aferição da evolução institucional dos órgãos jurisdicionados, bem como a inclusão de ações de monitoramento e fiscalização no Plano Anual de Fiscalização. 

O relatório  ainda propõe que o Tribunal deve fomentar a orientação técnica por meio da publicação de guias, modelos referenciais e notas técnicas e ainda que o Tribunal fortaleça sua atuação pedagógica por meio de ações de capacitação voltadas aos servidores dos órgãos jurisdicionados, além de aprimorar a formação técnica de seus próprios auditores no tema da proteção de dados. 

O TCE-RN enfatiza que o objetivo é guiar os gestores na regularização e que o Tribunal irá monitorar de perto a adoção dessas medidas, reforçando a responsabilidade dos órgãos públicos na proteção dos direitos fundamentais de privacidade dos cidadãos.