Seu CPF está à venda? Os flertes entre a Serpro e o mercado de dados pessoais

Qualquer um que trabalhe diretamente ou tenha contato de qualquer natureza com a área de proteção de dados amanheceu com grande surpresa no último dia 19 de abril ao ler o Diário Oficial da União. Isso porque, na contramão dos grandes avanços que a seara da privacidade brasileira vem experimentando desde a vigência da Lei 13.709/18 (Lei Geral de Proteção de Dados – LGPD), a Portaria 167, de 14 de abril de 2022, do Ministério da Economia e Secretaria Especial da Receita Federal do Brasil se arremessou frontalmente de encontro à cultura de proteção de dados que aqui se tenta prosperar.

A portaria tem por objetivo autorizar o Serviço Federal de Processamento de Dados (Serpro) a disponibilizar acesso, para terceiros, das informações e dados que detém, bem como cobrar pelo acesso aos seus bancos de dados às organizações com quem fechar acordos comerciais. Em suma: autoriza a venda de dados pessoais; dos seus dados pessoais. E-mail, telefone, CPF, endereço de pessoas físicas, certidões negativas de débitos, passaportes – esses são apenas alguns dos tipos de dados que estariam disponíveis aos pagantes, solidificando o desbalanço e hipossuficiência da pessoa natural frente aos grandes agentes de tratamento de dados que a LGPD busca desconstruir ao estabelecer as “regras do jogo”.

Buscando se encobrir no manto da legalidade, a portaria dispõe que o compartilhamento de dados seria plenamente legal, atendendo aos requisitos dispostos na LGPD, vez que este se daria de forma controlada. Em verdade, a portaria atualiza outra preexistente, publicada em 2016, a qual já dispunha acerca do acesso de terceiros às informações do Serpro, numa tentativa de adequar à prática aos novos termos expressos na LGPD, sem entender, porém, que essa compatibilização não é possível na dicção proposta, a qual dá margem à manipulação, acesso e uso indevido de dados pessoais.

Justificando-se com expressões como “execução de políticas públicas”, “remuneração por serviços”, “custos de uso de máquina” e “investimento em infraestrutura”, a tentativa de perpetuar uma medida nessa esteira operacional de empresas privadas é, por si só, motivo de preocupação. A quem ela beneficiaria em última instância? Muitas outras perguntas podem aqui ser formuladas: será de conhecimento público a quem esses dados serão repassados e a finalidade para a qual serão utilizados? Quais são, exatamente, as políticas públicas que se busca executar? Esses agentes de tratamento estão preparados para exercer as medidas técnicas e organizacionais mínimas para garantir a segurança dos dados a eles confiados? Ao afirmar que a prática seria legal, deve-se saber que uma das palavras de ordem na proteção de dados pessoais é transparência.

Logo no dia seguinte, 20 de abril, a Agência Nacional de Proteção de Dados (ANPD), em um dos seus primeiros atos de firmeza e em alinhamento aos seus objetivos institucionais de zelar pela proteção de dados pessoais e seu tratamento de forma ética, esclareceu, em nota pública, a abertura de um processo administrativo de fiscalização para analisar a Portaria 167 da Receita Federal e averiguar violações à Lei Geral de Proteção de Dados.

Mais do que mera insatisfação geral, a exorbitação do poder regulamentar do governo federal através da referida portaria afronta, ainda, recente conquista interpretativa e material do ordenamento jurídico pátrio: a privacidade e proteção de dados como direito fundamental, status esse solidificado na Emenda Constitucional 115, de fevereiro de 2022. O que se traz à tona, também, é a ausência de debates públicos e consulta a órgãos especializados antes de se prosseguir à edição de medidas tão relevantes e com condão de representar impactos em diversos âmbitos.

A todos nós, titulares de dados pessoais, resta aguardar o entendimento oficial que a ANPD fará do ato normativo e, caso determine haver violação à LGPD, quais caminhos tomará para fazer valer seu posicionamento. Aos profissionais atuantes no campo da privacidade e proteção de dados, que em muito pavimentamos a aplicação prática da LGPD, cabe um papel ativo, enquanto especialistas, de se posicionar de forma obstinada contra medidas que, de forma escancarada, buscam transformar o direito individual à proteção de dados pessoais em mais uma ficção jurídica brasileira sem eficácia, incapaz de gerar as transformações sociais, políticas e econômicas que sabemos serem, mais do que nunca, necessárias.

Natália Brotto é advogada especialista em Proteção de Dados e mestre em Direito dos Negócios. Ramon Ayres é advogado especialista em Direito Digital e Compliance e cursa MBA em Digital Bussiness.