Tribunal: TCU
Processo: 002.249/2023-5
Classe: ACÓRDÃO
Órgão julgador: AROLDO CEDRAZ
Órgão colegiado: Plenário
Data de julgamento: 2025-03-12
Data de publicação: 2025-03-17

Ementa:
Auditoria operacional integrada com aspectos de conformidade realizada no processo de concessão e restrição de acesso a informações pessoais.

Inteiro teor:
VISTOS, relatados e discutidos estes autos de auditoria operacional com objetivo de avaliar se os meios colocados à disposição dos servidores e gestores públicos do Poder Executivo Federal para gerirem as informações pessoais que coletam, produzem e custodiam são adequados e suficientes para garantirem, ao mesmo tempo, a transparência das informações que devem ser publicadas e a proteção de dados pessoais, à luz da LGPD e do art. 31 da LAI. ACORDAM os Ministros do Tribunal de Contas da União, reunidos em Sessão do Plenário, ante as razões expostas pelo Relator, com fundamento no art. 71, inciso IV, da Constituição Federal, no art. 43, inciso I, da Lei 8.443/1992, nos arts. 157 e 250, inciso III, do Regimento Interno/TCU em: 9.1. recomendar à Controladoria-Geral da União, com fundamento no art. 11 da Resolução-TCU 315/2020 e tendo em vista as competências legais desse órgão relativamente ao fomento, coordenação, supervisão e monitoração de ações relacionadas com a transparência governamental estabelecidas no art. 41 da LAI, nos arts. 68-69 do Decreto 7.724/2012 e nos arts. 5o a 7o do Decreto 11.529/2023, bem como considerando-se as competências de órgão central do Sistema de Controle Interno estabelecidas nos arts. 8o e 20 do Decreto 3.591/2000, que: 9.1.1. produza orientações destinadas à Administração Pública Federal que tratem, de forma integrada, tanto a necessidade de dar transparência às informações de interesse público como a de proteger dados pessoais, dando especial ênfase aos seguintes aspectos: 9.1.1.1. transparência passiva e transparência ativa; 9.1.1.2. esclarecimentos de como atender, de forma adequada e concomitante, tanto os requisitos de transparência como os de proteção de dados pessoais no âmbito das informações tratadas em processos de trabalho transversais e comuns a todas às organizações, a exemplo de licitações, gestão de contratos e gestão de recursos humanos; 9.1.1.3. orientações gerais para realizar e registrar a realização dos testes de dano e de interesse público ao analisar pedidos de acesso à informação, necessidade decorrente do Enunciado 12/2023, da Portaria-Normativa CGU 71/2023; e 9.1.1.4. orientações específicas quanto à realização de testes de dano e de interesse público ao analisar pedidos de acesso à informação que tenham por alvo informações tratadas em processos de trabalho transversais e comuns a todas às organizações, a exemplo de licitações, gestão de contratos e gestão de recursos humanos; 9.1.2. expeça e divulgue amplamente orientações às organizações públicas quanto à eventual retirada de informações publicadas em transparência ativa, em especial para aquelas de maior relevância e interesse público, de modo a exigir razoável envolvimento da sociedade no processo de discussão, além da exigência de justificativa com fundamentação específica e adequada para a prática desse ato; 9.1.3. elabore orientações gerais a respeito do uso de técnicas de anonimização, pseudonimização e tarjamento de dados pessoais, especialmente para temas transversais e comuns das organizações públicas, a exemplo de licitações, contratos e gestão de recursos humanos, contendo, no mínimo: 9.1.3.1. informações específicas que precisam ser protegidas; 9.1.3.2. ferramentas e procedimentos que devem ser utilizados em cada caso; e 9.1.3.3. formatos e padrões a serem observados na utilização dessas técnicas. 9.1.4. considerando a sua atribuição de promotor e indutor na transparência no âmbito de toda a administração pública federal, adote medidas, inclusive com apoio da Enap, se necessário, para aprimorar a promoção frequente de eventos de capacitação com alta visibilidade e tendo como público-alvo todos os servidores, envolvendo, simultaneamente e de forma integrada, os temas da transparência das informações de interesse público e da proteção de dados pessoais, considerando as peculiaridades e o arcabouço legal do setor público, bem como os enunciados, pareceres e guias já produzidos pela própria CGU; 9.1.5. na qualidade de órgão central do Sistema de Controle Interno do Poder Executivo Federal e do Sistema de Integridade, Transparência e Acesso à Informação da Administração Pública Federal, estabeleça e coordene a realização de iniciativas e ações envolvendo as unidades de assessoria especial de controle interno dos ministérios com o objetivo de, nessas organizações, avaliar e monitorar riscos derivados de falhas no cumprimento da legislação referente aos temas transparência das informações de interesse público e proteção de dados pessoais, preferencialmente analisando esses dois assuntos de forma integrada e complementar; 9.1.6. realize ajustes no sistema Fala.BR para que: 9.1.6.1. a rotulação dos pedidos de acesso à informação como "restrito" exija a impostação de justificativa pelo servidor responsável por tal procedimento, na qual sejam indicadas expressamente quais são as informações que precisam ser protegidas; e 9.1.6.2. os documentos acessórios que tenham identificação pessoal do solicitante ou de terceiros sejam devidamente separados no sistema, de modo a não serem considerados como parte do pedido para fins de publicação na internet, a exemplo de procurações, visando a redução da necessidade de categorizar como "restritos" os pedidos que contenham documentos desse tipo; 9.1.7. identifique, oriente e, se necessário, responsabilize, por meio de sua função correcional, os órgãos públicos e servidores que indevidamente removem ou não mantêm atualizadas informações essenciais para a transparência ativa; 9.1.8. sistematize acompanhamento do cumprimento integrado da LAI e da LGPD a partir de inventários de dados, avaliações de riscos e impactos, estudos técnicos e outros mecanismos auxiliares de gestão e governança. 9.2. recomendar à Agência Nacional de Energia Elétrica, ao Banco Central do Brasil, ao Ministério da Fazenda, ao Ministério da Saúde e à Secretaria Especial da Receita Federal do Brasil, com fundamento no art. 11 da Resolução-TCU 315/2020, que: 9.2.1. produzam orientações complementares às da CGU, que tratem, de forma integrada, tanto a necessidade de dar transparência às informações de interesse público como a de proteger dados pessoais, com especial atenção e ênfase quanto aos seguintes aspectos: 9.2.1.1. transparência passiva e transparência ativa; 9.2.1.2. esclarecimentos de como atender, de forma adequada e concomitante, tanto os requisitos de transparência como os de proteção de dados pessoais no âmbito das informações tratadas em processos de trabalho específicos da organização, executados em decorrência de suas competências legais; 9.2.1.3. orientações quanto à realização de testes de dano e de interesse público ao analisar pedidos de acesso à informação que tenham por alvo informações tratadas em processos de trabalho específicos da organização, executados em decorrência de suas competências legais, necessidade decorrente do Enunciado 12/2023, da Portaria-Normativa CGU 71/2023. 9.2.2. elaborem orientações complementares às eventuais publicações da CGU e da ANPD a respeito do uso de técnicas de anonimização, pseudonimização e tarjamento de dados pessoais no âmbito das informações tratadas em processos de trabalho específicos da organização, executados em decorrência de suas competências legais, contendo, no mínimo: 9.2.2.1. informações específicas que precisam ser protegidas; ferramentas e procedimentos que devem ser utilizados em cada caso; e 9.2.2.2. formatos e padrões a serem observados na utilização dessas técnicas. 9.2.3. adotem medidas para tornar efetiva a comunicação quanto às orientações sobre o uso de técnicas de anonimização, pseudonimização e tarjamento de dados pessoais, a exemplo da adoção de múltiplos canais de divulgação e do envolvimento de todos os níveis hierárquicos da organização; 9.2.4. adotem medidas para realizar ou promover eventos de capacitação que envolvam, simultaneamente e de forma integrada, os temas da transparência das informações de interesse público e da proteção de dados pessoais, considerando as particularidades do setor público, as peculiaridades dos processos de trabalho da instituição e suas competências legais; 9.2.5. no planejamento das atividades das unidades responsáveis pelo sistema de controle interno e pelo programa de integridade da instituição, incluam ações relacionadas com avaliações e monitoramento de potenciais riscos derivados de falhas no cumprimento da legislação referente aos temas transparência das informações de interesse público e proteção de dados pessoais, preferencialmente analisando esses dois assuntos de forma integrada e complementar, incluindo avaliação quanto à efetividade das medidas e práticas operacionais implementadas, não se restringindo apenas a verificar a expedição de normas internas. 9.3. recomendar à Agência Nacional de Energia Elétrica e ao Ministério da Saúde, com fundamento no art. 11 da Resolução-TCU 315/2020, que ampliem a produção de Inventários de Dados Pessoais e de Relatórios de Impacto à Proteção de Dados Pessoais, com vistas a subsidiar a elaboração de orientações que auxiliem na ponderação entre a proteção de dados pessoais e a transparência de informações públicas ao tomar decisões no âmbito de processos de trabalho específicos, inclusive no atendimento de pedidos de acesso à informação. 9.4. recomendar ao Ministério da Fazenda, com fundamento no art. 11 da Resolução-TCU 315/2020, que: 9.4.1. avalie a possibilidade de incluir o encarregado de dados da RFB e o titular da Ouvidoria da RFB ou outro que eventualmente venha a exercer o papel de autoridade de monitoramento da LAI como membros dos colegiados que tenham poder decisório sobre a governança e a gestão das informações institucionais, assim como os atores que tenham atribuições equivalentes na STN e em outras relevantes secretarias vinculadas ao ministério, ainda que apenas na qualidade de participantes consultivos; e 9.4.2. avalie a possibilidade, inclusive do ponto de vista jurídico, de designar Autoridade de Monitoramento da LAI em cada secretaria que tenha característica de órgão especializado cuja estrutura e competências estão definidas em regimento próprio, a exemplo da RFB. 9.5. recomendar ao Ministério da Saúde, com fundamento no art. 11 da Resolução-TCU 315/2020, que: 9.5.1. estabeleça formalmente a necessidade da participação do encarregado da LGPD e da autoridade de monitoramento da LAI em colegiados que decidam sobre a governança e a gestão das informações institucionais, bem como defina a necessidade de realizarem ações conjuntas relacionadas à intersecção de suas competências; e 9.5.2. avalie a possibilidade de atribuir ao encarregado da LGPD a chefia de área interna especialmente estruturada e com recursos para esse fim, ou de área com afinidade de competências, bem como avalie os riscos da acumulação de responsabilidades distintas por esse ator. 9.6. encaminhar cópia desta deliberação, bem como do Relatório e do Voto que a fundamentam: 9.6.1. ao Ministério da Fazenda, à Receita Federal do Brasil, ao Ministério da Saúde, à Agência Nacional de Energia Elétrica e ao Banco Central do Brasil; 9.6.2. à Controladoria Geral da União; 9.6.3. à Casa Civil da Presidência da República; 9.6.4. à Autoridade Nacional de Proteção de Dados; 9.6.5. à Frente Parlamentar Mista pela Transparência Pública; 9.6.6. à Comissão de Transparência, Governança, Fiscalização e Controle e Defesa do Consumidor do Senado Federal; 9.6.7. Comissão de Fiscalização Financeira e Controle da Câmara dos Deputados; 9.6.8. à Associação dos Membros dos Tribunais de Contas do Brasil, entidade coordenadora do Programa Nacional de Transparência Pública; e 9.6.9. às organizações da sociedade civil Transparência Brasil, Open Knowledge Brasil e Fiquem Sabendo. 9.7. autorizar à Secretaria-Geral de Controle externo o monitoramento das recomendações expedidas nesta deliberação 9.8. arquivar o presente processo, com fulcro no art. 169, inciso V, do RI/TCU.