Tribunal: STF
Processo: ADI 7896
Classe: ADI
Órgão julgador: FLÁVIO DINO
Órgão colegiado: Decisao Monocratica
Data de julgamento: 2026-02-22
Data de publicação: 2026-02-22

Ementa:

Inteiro teor:
DECISÃO

AÇÃO DIRETA DE INCONSTITUCIONALIDADE. TUTELA PROVISÓRIA INCIDENTAL. LEI Nº 22.188/2024 DO ESTADO DO PARANÁ. DESESTATIZAÇÃO DA COMPANHIA DE TECNOLOGIA DA INFORMAÇÃO E COMUNICAÇÃO DO PARANÁ – CELEPAR. DIREITO FUNDAMENTAL À PROTEÇÃO DOS DADOS PESSOAIS. SUCESSIVAS DECISÕES NO ÂMBITO DA CORTE DE CONTAS ESTADUAL. INSEGURANÇA JURÍDICA. PERIGO DA DEMORA. LIMINAR DEFERIDA EM PARTE.

Trata-se de ação direta de inconstitucionalidade proposta pelo Partido dos Trabalhadores - PT e pelo Partido Socialismo e Liberdade - PSOL “em face da Lei nº 22.188, de 13 de novembro de 2024, do Estado do Paraná, que autoriza a desestatização da Companhia de Tecnologia da Informação e Comunicação do Paraná – CELEPAR”.
Os requerentes sustentam desrespeitada a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais (arts. 21, XXVI, e 22, XXX, da CF). Alegam que, “ao autorizar a alienação de empresa pública incumbida de funções típicas da Administração Direta, a Lei nº 22.188/2024 viola a soberania administrativa e informacional do Estado do Paraná (art. 1º da CF), o regime constitucional das licitações e contratações públicas (art. 37, XXI), e o princípio da continuidade e da titularidade estatal dos serviços públicos essenciais (art. 175)”. Defendem que o diploma impugnado “afronta o direito fundamental à proteção de dados pessoais (art. 5º, LXXIX) e o dever de tutela estatal sobre a segurança pública (art. 144), ao permitir a transferência a particulares de sistemas e bancos de dados sensíveis, inclusive de natureza fiscal, educacional, sanitária e policial”. Pugnam pela declaração da inconstitucionalidade dos dispositivos da legislação estadual atacados.
Transcrevo, à integra, a Lei nº 22.188/2024:

“Art. 1º Autoriza o Poder Executivo a alienar ou transferir, total ou parcialmente, a sociedade, os seus ativos, a participação societária, direta ou indireta, inclusive o controle acionário, transformar, fundir, cindir, incorporar, extinguir, dissolver ou desativar, parcial ou totalmente, seus empreendimentos, bem como, alienar ou transferir os direitos que lhe assegurem a preponderância nas deliberações sociais e o poder de eleger a maioria dos administradores da sociedade, assim como alienar ou transferir as participações minoritárias, diretas e indiretas, no capital social da Companhia de Tecnologia da Informação e Comunicação do Paraná - CELEPAR, de que trata a Lei nº 4.945, de 30 de outubro de 1964.
Art. 2º A efetivação da operação de que trata o art. 1º desta Lei ficará condicionada à alteração do Estatuto Social da Companhia de Tecnologia da Informação e Comunicação do Paraná - CELEPAR para garantir a manutenção:
I - da sede da Companhia de Tecnologia da Informação e Comunicação do Paraná - CELEPAR no Estado do Paraná;
II - das infraestruturas físicas de armazenamento e processamento de dados existentes pelo prazo mínimo de dez anos, contados da data de publicação desta Lei, no Estado do Paraná.
Art. 3º A efetivação da operação ficará condicionada à aprovação, pela Assembleia Geral de Acionistas, da alteração no Estatuto Social da Companhia de Tecnologia da Informação e Comunicação do Paraná - CELEPAR para incluir a criação de ação preferencial de classe especial, de propriedade exclusiva do Estado do Paraná, nos termos do § 7º do art. 17 da Lei Federal nº 6.404, de 15 de dezembro de 1976, que dará poder de veto nas deliberações sociais relacionadas às matérias de que trata o art. 2º desta Lei.
Art. 4º A CELEPAR deverá propor a seus funcionários Programa de Demissão Voluntária - PDV, que estará condicionado à conclusão da operação de desestatização da CELEPAR.
Parágrafo único. O Programa de Demissão Voluntária - PDV será limitado a uma quantidade de trabalhadores que não prejudique a capacidade técnico-operacional e econômico-financeiro da CELEPAR.
Art. 5º Cria o Conselho Estadual de Governança Digital e Segurança da Informação - CGD-SI, órgão colegiado de caráter consultivo, normativo e deliberativo, inserido no âmbito do Sistema Estadual de Informações de Governo - Paraná - SEI-PR, vinculado à Casa Civil, nos termos do art. 2º da Lei nº 17.480, de 10 de janeiro de 2013, com o objetivo de desenvolver e monitorar políticas e diretrizes estratégicas transversais relativas à governança de Tecnologia da Informação e Comunicação - TIC e à segurança da informação, competindo-lhe:
I - coordenar e implementar políticas, diretrizes e normas que assegurem a adoção de boas práticas de governança de TIC e de segurança da informação, com a implantação da Estratégia de Governança Digital e Política de Dados do Paraná - EGD-DADOS/PR e a Política de Segurança da Informação em Meios Tecnológicos - POSITEC/PR do Governo do Estado do Paraná;
II - promover a integração entre as estratégias de TIC, de segurança da informação e as estratégias organizacionais, em especial as estabelecidas nos Planos Setoriais de Informação - PSI, no Plano Estratégico de Tecnologia da Informação - PETI e no Programa Estadual de Informações Integradas - PEII;
III - estabelecer as diretrizes de minimização de riscos na gestão das informações e de priorização, de alteração e de distribuição dos recursos orçamentários destinados às ações em tecnologia;
IV - estabelecer a gestão de processos de aquisição e de locação de bens, serviços e soluções tecnológicas, bem como as medidas de racionalização dos recursos no uso de TIC no âmbito do Poder Executivo Estadual;
V - estabelecer a Estratégia Paranaense de Inteligência Artificial - IA.PR;
VI - estabelecer as demais estratégias e políticas de gestão que utilizem TIC, alinhadas às diretrizes governamentais.
Art. 6º O Conselho Estadual de Governança Digital e Segurança da Informação - CGD-SI será composto por 21(vinte e um) membros, que se reunirão mensalmente ou, de forma extraordinária, a qualquer tempo.
§ 1º Integrarão o Conselho Estadual de Governança Digital e Segurança da Informação - CGD-SI, como membros natos, os titulares dos seguintes órgãos:
I - Casa Civil, que o presidirá;
II - Procuradoria-Geral do Estado - PGE;
III - Secretaria de Estado da Inovação e Inteligência Artificial - SEIA; (Redação dada pela Lei 22324 de 02/04/2025)
IV - Secretaria de Estado da Fazenda - SEFA;
V - Secretaria de Estado da Ciência, Tecnologia e Ensino Superior - SETI.
§ 2º Os demais integrantes do Conselho Estadual de Governança Digital e Segurança da Informação - CGD-SI serão nomeados por ato do Chefe do Poder Executivo.
§ 3º A gratificação dos membros do Conselho Estadual de Governança Digital e Segurança da Informação -CGD-SI será correspondente a 7/12 (sete doze avos) do cargo comissionado executivo de simbologia CCE-1.
§ 4º A gratificação de que trata o § 3º deste artigo tem natureza indenizatória, transitória e circunstancial, não possuindo caráter salarial e não gerando direito à percepção em proventos de aposentadoria.
§ 5º A gratificação de que trata o § 3º deste artigo, a ser recebida em razão do comparecimento nas sessões, já contempla eventuais despesas com deslocamento, hospedagem, combustível e alimentação, bem como qualquer outra despesa ocorrida para sua realização.
§ 6º Ato do Chefe do Poder Executivo regulamentará o regimento interno e demais disposições do Conselho Estadual de Governança Digital e Segurança da Informação - CGD-SI.
§ 7º Será fixado, no regime interno previsto no § 6º deste artigo, o quantitativo de membros no Conselho Estadual de Governança Digital e Segurança da Informação - CGD-SI destinados a especialistas de notório saber na área, indicados pelo Chefe do Poder Executivo.
Art. 7º Caberá ao Conselho de Controle das Empresas Estaduais - CCEE o acompanhamento do disposto nesta Lei.
Art. 8º Caberá à Casa Civil os atos de execução desta Lei referentes ao processo de desestatização da Companhia de Tecnologia da Informação e Comunicação do Paraná - CELEPAR, podendo, inclusive, contratar os serviços de consultoria e assessorias técnicas especializadas necessárias ou designar quem a fará.
Art. 9º Esta Lei entra em vigor na data de sua publicação.
Art. 10. Revoga os arts. 5º e 6º da Lei nº 17.480, de 10 de janeiro de 2013.”

Rito do art. 12 da Lei nº 9.868/1999 adotado.

O Governador do Estado do Paraná suscita o não conhecimento parcial da presente ação, ao fundamento de que a “inicial carece de causa de pedir com relação aos arts. 5º, 6º, 7º, 9º e 10 da lei impugnada”. Defende que a controvérsia diz respeito a “diplomas infraconstitucionais, notadamente a Lei Geral de Proteção de Dados (LGPD) e a Lei Estadual nº 17.480/2013” e que a Lei nº 22.188/2024 “não versa sobre proteção de dados”, mas acerca da “reestruturação da organização administrativa do Estado”. Assevera que a CELEPAR exerce atividade-meio, que “mais da metade do orçamento de tecnologia do Estado já é executada por outros atores”, que inexiste dependência estrutural ou “em sistemas críticos”, observado haver “sistemas da administração que não foram desenvolvidos e não são operados pela CELEPAR”. Acresce que o Tribunal de Contas da União reconhece que “a desestatização não impõe a rescisão dos contratos firmados por dispensa de licitação, sendo lícita sua manutenção e até mesmo sua prorrogação ... mesmo após a privatização, desde que presentes o interesse público e a vantajosidade”.

A Assembleia Legislativa do Estado do Paraná assevera “que o processo legislativo transcorrido para embasar a edição da Lei Estadual nº 22.188, de 13 de novembro de 2024, ora questionada, procedeu-se sob o fiel cumprimento das normas constitucionais, legais e regimentais, sujeitando-se a todas as formalidades exigidas, desde a sua propositura, discussão, votação e aprovação” e que referido diploma “não padece de qualquer inconstitucionalidade formal ou material”.

O Advogado-Geral da União manifesta-se pelo não conhecimento da presente ação direta, ausente impugnação do art. 7º da Lei Estadual nº 17.480/2013, pelo qual disciplinadas as atribuições da CELEPAR, e, no mérito, pela parcial procedência do pedido, “conferindo-se interpretação conforme a Constituição ao artigo 1º da Lei Estadual nº 22.188/2024, para que a desestatização observe a legislação pertinente sobre proteção de dados pessoais, notadamente a LGPD e a Lei nº 13.675/2018, preservando-se o controle público sobre sistemas e bases de dados de segurança pública, vedada sua transferência integral a entes privados”.

A Agência Nacional de Proteção de Dados - ANPD, admitida na condição de amicus curiae, manifesta-se no sentido de que seja:

“1) reconhecida a prerrogativa de a ANPD exigir, nos termos dos arts. 4º, § 3º, 32 e 38 da LGDP, em virtude da eventual desestatização da CELEPAR, sobretudo no que se refere aos dados referidos pelo art. 4º, inciso III, da Lei nº 13.709/2018, a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD), como instrumento de documentação, governança e accountability, apto a mapear as operações de tratamento, identificar riscos, delimitar os bancos de dados sujeitos às restrições do art. 4º, § 4º, da LGPD e estabelecer medidas de salvaguarda e mitigação;
2) resguardada a competência da ANPD para emitir opiniões técnicas e recomendações acerca das hipóteses previstas no art. 4º, inciso III, da LGPD [“tratamento de dados pessoais realizado para fins exclusivos de: (a) segurança pública; (b) defesa nacional; (c) segurança do Estado; ou (d) atividades de investigação e repressão de infrações penais”], inclusive com possibilidade de acompanhamento técnico de eventual processo de desestatização, com o fim de assegurar a adequada proteção de dados pessoais;
3) afirmada a permanência da competência fiscalizatória da ANPD antes, durante e após eventual alteração no controle societário da empresa, esclarecendo-se que a desestatização ou a alienação de participação acionária não afasta os deveres legais do controlador e do operador, nem exime o cumprimento dos princípios, direitos dos titulares e obrigações previstos na LGPD, permanecendo sujeitas à atuação corretiva e sancionatória da Agência;
4) fixado que os riscos inerentes a operações de desestatização que envolvam tratamento de dados pessoais legitimam a adoção de medidas protetivas e de acompanhamento pelas instituições competentes, notadamente a ANPD, inclusive mediante a emissão de recomendações técnicas e o monitoramento da operação, como forma de assegurar a conformidade constitucional e observância da LGPD no tratamento de dados.”

Os autores veiculam pedido de tutela provisória incidental “para suspender imediatamente a eficácia dos arts. 1º e 2º da Lei Estadual nº 22.188/2024, bem como dos demais dispositivos dela decorrentes e atos praticados com a finalidade de aplicação da norma, suspendendo-se a autorização de alienação de controle societário da CELEPAR, a fim de evitar a ocorrência de dano irreversível à integridade dos dados públicos e privados, à continuidade dos serviços públicos essenciais e à soberania informacional e administrativa do Estado do Paraná, até o julgamento final desta ação”.
Consignam revogada, de forma monocrática, a “cautelar que suspendia o procedimento de desestatização da Companhia de Tecnologia da Informação e Comunicação do Paraná (CELEPAR)”, enquanto a decisão suspensiva do procedimento havia sido homologada pela unanimidade do Tribunal de Contas do Estado, “ao verificar riscos estruturais à continuidade do serviço público no Estado, pela dependência que seria criada pela desestatização, pela falta de uma avaliação consistente do valor empresarial (valuation) da Companhia e, por fim, pelo risco dos dados”.
Destacam que, após a revogação da citada cautelar, o Governo do Estado do Paraná noticiou que “a próxima etapa será a publicação do edital”, já tendo sido publicada, em 26/01/26, “a aprovação do processo de inexigibilidade nº 1635/2026 para a contratação do fornecedor B3 S.A.”.
Registram concedida pelo TCE-PR nova “decisão cautelar para a suspender a continuidade do processo de privatização” no “Processo nº 35556/26, o qual trata da homologação de recomendações decorrente de fiscalizações da 6ª Inspetoria do Tribunal de Contas do Paraná junto à Secretaria de Estado da Segurança Pública do Paraná – SESP/PR”.
Anotam que, “enquanto as cautelares vêm e vão, o Governo do Paraná avança gradualmente e já se encontra muito próximo de seu objetivo final”, sendo que a “continuidade desse procedimento tem causado prejuízos aos cofres públicos paranaenses e, se reconhecida a inconstitucionalidade da Lei nº. 22.188/2024 do Paraná, terão sido desperdiçados milhares de reais em contratações preparatórias da desestatização”. Citam, a título de exemplo, “Ernst & Young Assessoria Empresarial por R$ 8.776.412,53, no Contrato nº. 1588/2025, Stocche, Forbes, Passaro e Campos Sociedade de Advogados, por R$ 1.097.250,00, através do Contrato nº. 1925/2025 e B.3 S.A., contratada mesmo com um cautelar vigente, por R$ 1.398.095,54”.
Requerem seja concedida a tutela provisória incidental “para suspender imediatamente a eficácia dos arts. 1º e 2º da Lei Estadual nº 22.188/2024, bem como dos demais dispositivos dela decorrentes e atos praticados com a finalidade de aplicação da norma, suspendendo-se a autorização de alienação de controle societário da CELEPAR, a fim de evitar a ocorrência de dano irreversível à integridade dos dados públicos e privados, à continuidade dos serviços públicos essenciais e à soberania informacional e administrativa do Estado do Paraná, até o julgamento final desta ação”.

O Governador do Estado do Paraná defende o não cabimento da medida de urgência pleiteada. Assinala que a citada decisão cautelar de suspensão da “desestatização em um processo relativo à Secretaria de Estado da Segurança Pública (SESP/PR), sem qualquer relação com a CELEPAR [...] já teve seus efeitos suspensos por liminar concedida em mandado de segurança impetrado pelo Estado do Paraná”.
Reitera que a “lei paranaense trata de organização administrativa estadual e não cria regras novas sobre proteção de dados”, bem como acresce que Agência Nacional de Proteção de Dados concluiu que “pessoas de direito privado podem realizar operações de tratamento de dados, desde que estejam sob tutela de pessoa jurídica de direito público e desde que não realizem a integralidade do tratamento destes dados”.
Anota que a “CELEPAR, nas suas relações com Estado, atua como operadora de dados”, condição essa que “decorre das relações contratuais, sendo irrelevante sua composição acionária”, razão pela qual a “desestatização não muda as obrigações da CELEPAR, não lhe exonera de observar a LGPD, nem lhe expunge do controle da ANPD”.
Destaca que “a Lei nº 22.188/2024 instituiu mecanismos de proteção para garantir tanto o interesse público quanto a privacidade e a segurança dos dados, destacando-se a Golden share, ação preferencial de classe especial, de propriedade exclusiva do Estado do Paraná, que lhe conferirá poder de veto nas deliberações sociais” e que “52% dos dados — especificamente os atinentes à segurança pública — passarão a ser geridos e operados exclusivamente pela Secretaria de Segurança Pública, sem ingerência da CELEPAR privatizada”.
É o relatório.

Decido.
A Emenda Constitucional nº 115/2022 conferiu “à proteção dos dados pessoais, inclusive nos meios digitais” o status de direito fundamental (art. 5º, LXXIX), condição que impõe patamar mais elevado de cautela por parte de todo e qualquer responsável - “pessoa natural ou por pessoa jurídica de direito público ou privado” - que trate dados pessoais. (LGPD, art. 1º, caput)
A relevância da proteção dos dados pessoais e a fundamentalidade desse direito estão igualmente plasmados na jurisprudência desta Suprema Corte, consoante trecho da ementa do acórdão prolatado na ADI 6357, em que Relatora a eminente Ministra Rosa Weber, verbis:

“Na medida em que relacionados à identificação – efetiva ou potencial – de pessoa natural, o tratamento e a manipulação de dados pessoais hão de observar os limites delineados pelo âmbito de proteção das cláusulas constitucionais assecuratórias da liberdade individual (art. 5º, caput), da privacidade e do livre desenvolvimento da personalidade (art. 5º, X e XII), sob pena de lesão a esses direitos.”

Também a EC nº 115/2022, reconhecendo a centralidade da matéria e a necessidade de assegurar a uniformidade, em âmbito nacional, do seu disciplinamento dispôs competir à União “organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei” (art. 21, XXVI), assim como atribuiu ao ente central da federação a competência privativa para legislar sobre “proteção e tratamento de dados pessoais” (art. 22, XXX).
Sob essa ótica exsurge a Lei Geral de Proteção de Dados Pessoais - LGPD (Lei nº 13.709/2018), assim como a Agência Nacional de Proteção de Dados - ANPD, agência reguladora (Lei nº 13.848/2019), a qual tem entre as suas atribuições “zelar pela proteção dos dados pessoais”, “elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade” e “fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação”.
A LGPD “dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”, cumprindo à “União, Estados, Distrito Federal e Municípios” observarem as normas gerais nela preconizadas (art. 1º).
Insere-se, portanto, a questão, no âmbito da estrita observância da dinâmica constitucional da repartição de competências. No ponto, eis o teor do art. 22, XXX, da Lei Maior, incluído pela EC nº 115/2022:

“Art. 22. Compete privativamente à União legislar sobre:
...
XXX - proteção e tratamento de dados pessoais.”

Interessante destacar a amplitude - e daí a imperiosa cautela na escolha dos seus operadores1 - da atividade de tratamento de dados pessoais, a qual abarca toda e qualquer operação que os agentes de tratamento2 possam fazer com os dados pessoais, desde a sua coleta ou recebimento, passando pela utilização, modificação, distribuição, transferências, até o descarte final dos dados. Confira-se:

“X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;” (LGPD, art. 5º)

Registro, contudo, que a disciplina geral da LGPD não se aplica, por expressa previsão do inciso III do art. 4º, “ao tratamento de dados pessoais” “realizado para fins exclusivos de: a) segurança pública; b) defesa nacional; c) segurança do Estado; ou d) atividades de investigação e repressão de infrações penais”, exatamente porque dados pessoais dessa natureza exigem grau ainda mais elevado de proteção e de responsabilidade nas operações de tratamento.
Aos temas ressalvados no art. 4º, III, da LGPD o legislador federal entendeu necessário endereçar o tratamento dos dados pessoais à legislação específica, “que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei” (art. 4º, § 1º).
Não bastante, dada a sensibilidade das informações concernentes àquelas atividades, vedou o tratamento dos dados “por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto de informe específico à autoridade nacional e que deverão observar a limitação imposta no § 4º deste artigo”, a saber:

“Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público.”

Em que pese à ausência da lei específica, detecto haver regramento sobre dados pessoais também na Lei nº 13.675/2018, pela qual instituído o Sistema Único de Segurança Pública (Susp) e criada a Política Nacional de Segurança Pública e Defesa Social (PNSPDS).
Trata-se do Sistema Nacional de Informações de Segurança Pública, Prisionais, de Rastreabilidade de Armas e Munições, de Material Genético, de Digitais e de Drogas (Sinesp), integrado por “todos os entes federados”, com a expressa previsão de que “os dados e as informações de que trata esta Lei deverão ser padronizados e categorizados e serão fornecidos e atualizados pelos integrantes do Sinesp” (art. 37), verbis:

“Art. 37. Integram o Sinesp todos os entes federados, por intermédio de órgãos criados ou designados para esse fim.
§ 1º Os dados e as informações de que trata esta Lei deverão ser padronizados e categorizados e serão fornecidos e atualizados pelos integrantes do Sinesp.
§ 2º O integrante que deixar de fornecer ou atualizar seus dados e informações no Sinesp poderá não receber recursos nem celebrar parcerias com a União para financiamento de programas, projetos ou ações de segurança pública e defesa social e do sistema prisional, na forma do regulamento.
§ 3º O Ministério Extraordinário da Segurança Pública é autorizado a celebrar convênios com órgãos do Poder Executivo que não integrem o Susp, com o Poder Judiciário e com o Ministério Público, para compatibilização de sistemas de informação e integração de dados, ressalvadas as vedações constitucionais de sigilo e desde que o objeto fundamental dos acordos seja a prevenção e a repressão da violência.
§ 4º A omissão no fornecimento das informações legais implica responsabilidade administrativa do agente público.”

Ratifica a assertiva de que todos os entes da federação devem observar as leis federais nº 13.709/2018 e nº 13.675/2018 o entendimento explicitado pela Advocacia-Geral da União de que “a desestatização em questão deve ocorrer com plena observância da legislação federal de proteção de dados pessoais, notadamente a Lei nº 13.709/2018 (LGPD) e a Lei nº 13.675/2018 (Política Nacional de Segurança Pública), preservando-se o controle e a titularidade públicos sobre os sistemas e bases de dados vinculados à segurança pública, vedada sua transferência integral a entes privados”. Transcrevo:

“[...] Nessa linha, a propósito, as Informações nº 03157/2025/CONJUR-MJSP/CGU/AGU do Ministério da Justiça e Segurança Pública:
(…) 4.5. Embora a LGPD não vede o tratamento desse tipo de dado pessoal por pessoa jurídica de direito privado sob regime de contratação com o Poder Público (como seria o caso, presumivelmente, dos investidores que passariam a exercer as funções da CELEPAR após a aquisição de ativos da companhia desestatizada), parece claro que as inevitáveis mudanças na dinâmica de processamento de dados decorrentes disso teriam de ocorrer de acordo com diretrizes gerais voltadas a garantir a conformidade com a LGPD após a alienação de ativos e a assunção dos serviços de processamento de dados pelos adquirentes. Isso porque, sendo eles pessoas jurídicas de direito privado, não poderiam tratar a totalidade dos bancos de dados referentes às atividades de segurança pública e de persecução penal. Se isso viesse a ocorrer, provavelmente estar-se-ia diante de um vício de inconstitucionalidade formal (caso a legislação estadual autorizasse diretamente o tratamento de dados em contrariedade à LGPD, invadindo a competência da União).
108. Em síntese, a LGPD e a Política Nacional de Segurança Pública são normas de observância obrigatória por todos os entes federativos e por todas as pessoas jurídicas, públicas ou privadas, que realizem tratamento de dados pessoais, de modo que a interpretação conforme apenas reafirma essa vinculação no contexto específico da desestatização da CELEPAR, visando preservá-la, em homenagem ao princípio da presunção de constitucionalidade das leis.”

Outra não foi a orientação da Procuradoria-Geral da República, nos moldes explicitados no procedimento administrativo nº 1.00.000.014810/2020-40 - em que se analisou a pretendida “privatização do Serviço Federal de Processamento de Dados - SERPRO”, procedimento esse cujo desfecho se operou com a exclusão da empresa pública da lista do Programa Nacional de Desestatização - PND do Governo Federal.
Consoante a Nota Técnica nº 2/2021/GTTIC/3ªCCR do Ministério Público Federal, o plano de “vender a empresa pública SERPRO possu[ía] diversos obstáculos legais, o primeiro deles constante na lei n. 13.709/2018 (LGPD)”, dado que “se essa empresa pública fo[sse] vendida, seu capital deixar[ia] de ser integralmente público e seus bancos de dados poder[iam] ser geridos de forma terceirizada”, o que encontraria óbices em comandos legais e no texto da Constituição da República.
Em síntese, a nota técnica em comento aponta para o reconhecimento de que os dados pessoais sensíveis3, a saber aqueles que possam, caso conhecidos, ser utilizados para discriminar ou causar prejuízo ao seu titular - pessoa natural a qual o dado se vincula ou é passível de vinculação -, bem como os concernentes à segurança pública, à defesa nacional, à segurança do Estado e às atividades de investigação e repressão de infrações penais, encontram-se rigorosamente amparados pela vedação do § 4º do art. 4º da LGPD (“§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público.”).
Inafastável a premissa de que os dados pessoais em geral, e os dados sensíveis em particular, juntamente com os dados relativos ao elenco do art. 4º, III, da LGPD são merecedores das máximas proteção e cautela por parte do Estado, entendo, em juízo próprio das medidas urgentes, que o diploma estadual ora impugnado, ao dispor de forma genérica sobre a alienação do controle acionário da Companhia de Tecnologia da Informação e Comunicação do Paraná - CELEPAR e, por conseguinte, acerca da transferência e do tratamento dos dados, inviabiliza concluir pela observância efetiva do direito fundamental “à proteção dos dados pessoais, inclusive nos meios digitais”.
A insuficiência das medidas necessárias a salvaguardar o direito à proteção dos dados pessoais na pretendida operação de transferência do controle acionário da CELEPAR foi detectada já por ocasião do recebimento da representação nº 517232/25 junto ao TCE-PR:

“No caso dos autos, a ausência de estudos e ações mínimas para a diminuição dos riscos decorrentes da saída do Estado do controle da companhia, a necessidade de fixação do prazo de entrega da documentação antes da publicação do edital e de definição do rol mínimo de documentos e as inconsistências nas justificativas apresentadas para a privatização da companhia alentam a possibilidade de êxito da pretensão da representante, caracterizando o requisito autorizador da concessão da medida cautelar.
...
Em razão do constante no Achado 1, há que se determinar aos interessados que:
(i) realizem estudos, executando-os tempestivamente à privatização, com vistas ao saneamento das deficiências de conhecimento existentes no âmbito do Poder Executivo, bem como a internalização dos procedimentos e ações que hoje são executados pela C.T.I.C.P., assim entendidos aqueles que minimizem os riscos de descontinuidade dos processos em andamento e de atrasos na implementação de novas políticas públicas, notadamente quanto às regras de negócio e às tecnologias envolvidas, com vistas à redução da atual dependência do Estado em relação à estatal e a outras empresas;
...
(ii) aprimorem os estudos que fundamentaram a aprovação da Lei Estadual n.º 22.188/24, incluindo:
(a) uma projeção detalhada dos custos com investimentos e dos impactos decorrentes da privatização, em um cenário de longo prazo, assim como as despesas relacionadas à criação, reestruturação e fortalecimento da