Tribunal: TCU
Processo: 009.980/2024-5
Classe: ACÓRDÃO
Órgão julgador: WALTON ALENCAR RODRIGUES
Órgão colegiado: Plenário
Data de julgamento: 2025-06-25
Data de publicação: 2025-07-26

Ementa:
Auditoria de conformidade nos controles implementados por organizações públicas federais para adequação à Lei Geral de Proteção de Dados Pessoais (LGPD).

Inteiro teor:
VISTOS, relatados e discutidos estes autos de auditoria de conformidade realizada com o objetivo de elaborar diagnóstico acerca dos controles implementados por organizações públicas federais para adequação à Lei Geral de Proteção de Dados Pessoais (LGPD); ACORDAM os Ministros do Tribunal de Contas da União, reunidos em sessão do Plenário, diante das razões expostas pelo relator, em: 9.1. recomendar, com fundamento no art. 250, III, do RITCU c/c o art. 11 da Resolução - TCU 315/2020, a adoção das seguintes providências: 9.1.1 às 109 organizações apontadas no achado 4.1 (peça 922, coluna "Q2.1"), que realizem iniciativas voltadas à identificação, ao planejamento e à execução de medidas preparatórias para se adequarem à LGPD; 9.1.2. às 40 organizações apontadas no achado 4.2 (peça 922, coluna "Q3.1"), que conduzam iniciativas ligadas à dimensão "Contexto organizacional"; 9.1.3. às 24 organizações apontadas no achado 4.3 (peça 922, coluna "Q4.1"), que realizem iniciativas ligadas à dimensão "Liderança"; 9.1.4. às 161 organizações apontadas no achado 4.5 (peça 922, coluna "Q5.1", respostas "a1" e "a2"), que elaborem plano de capacitação acerca da temática proteção de dados pessoais, incluindo a necessidade de treinamento diferenciado para as pessoas que exercem funções com responsabilidades essenciais quanto à proteção de dados pessoais e à disponibilização de devido acesso à informação, considerando a necessária harmonização das disposições da LGPD e da LAI no desempenho de suas atividades; 9.1.5. às 146 organizações apontadas no achado 4.6 (peça 922, coluna "Q7.1"), que elaborem Política de Privacidade e a divulgue em seu sítio eletrônico institucional; 9.1.6. às 90 organizações apontadas no achado 4.6 (peça 922, coluna "Q7.2"), que implementem mecanismos para atender os direitos dos titulares (LGPD, arts. 9o e 18); 9.1.7. às 170 organizações apontadas no achado 4.7 (peça 922, coluna "Q8.1"), que avaliem o compartilhamento de dados pessoais com terceiros e identifiquem os dados eventualmente compartilhados; 9.1.8. às organizações apontadas nos achados 4.1 a 4.7 (peça 922, colunas "Q2.1", "Q3.1", "Q4.1", "Q5.1", "Q7.1", "Q7.2" e "Q8.1"; peças 918, 919 e 920), que: 9.1.8.1. os respectivos processos de adequação à LGPD sejam liderados explicitamente pela sua alta administração, considerando o disposto no art. 17 do Decreto 9.203/2017; 9.1.8.2. envolvam as respectivas unidades de controle/auditoria interno/a no processo de adequação à LGPD, fazendo com que incluam em seus planejamentos atividades de avaliação e monitoramento de riscos relacionados à privacidade e à proteção de dados pessoais, em especial quanto ao endereçamento dos pontos de atenção relacionados nas peças 918, 919, 920 e 922, bem como avaliem periodicamente a efetividade das medidas e das práticas operacionais já implementadas; 9.1.9. às organizações auditadas, quanto à questão 5.2. (Tabela 6 peça 949, p. 20), que adotem de medidas para aprimoramento da conformidade do tratamento dos dados pessoais coletados, considerando os critérios previstos na Lei 13.709/2018, art. 5o, inciso XVII, art. 6o, em especial incisos I, II e III, e arts. 7o, 37, 38 e 40, bem como na norma ABNT NBR ISO/IEC 27701:2019, itens 7.2.1 (Identificação e documentação do propósito), 7.2.2 (Identificação de bases legais), 7.2.5 (Avaliação de impacto de privacidade), 7.2.8 (Registros relativos ao tratamento de dados pessoais), 7.4.1 (Limite de coleta) e 7.4.7 (Retenção). 9.1.10. recomendar ao Conselho Nacional de Justiça, à Secretaria de Governo Digital e à Secretaria de Coordenação e Governança das Empresas Estatais, ambas do Ministério da Gestão e da Inovação em Serviços Públicos, bem como ao Conselho Nacional do Ministério Público, este último em conjunto com sua Unidade Especial de Proteção de Dados Pessoais, que continuem acompanhando e induzindo a implementação dos controles necessários para adequação à Lei 13.709/2018 (LGPD), em especial quanto ao endereçamento dos pontos de atenção relacionados nas peças 918, 919, 920, 922 e Tabela 6 do Relatório de Auditoria (peça 949, p. 20), utilizando como referenciais as nove dimensões avaliadas no questionário desta auditoria, além de outros guias e modelos existentes (Resolução CCGD 4/2020: "Guia de Boas Práticas para Implementação da LGPD na APF"; ANPD: "Guia Orientativo - Tratamento de dados pessoais pelo Poder Público", "Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado"; MGI: https://www.gov.br/governodigital/pt-br/privacidade-e-seguranca/framework-guias-e-modelos); 9.2. determinar, com fundamento no artigo 43, inciso I, da Lei 8.443/1992: 9.2.1. à Controladoria-Geral da União e aos Órgãos Governantes Superiores (OGSs) - Conselho Nacional de Justiça (CNJ), Conselho Nacional do Ministério Público (CNMP), Secretaria de Governo Digital e Secretaria de Coordenação e Governança das Empresas Estatais, ambas do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI) e Secretaria de Coordenação e Governança das Empresas Estatais (Sest/MGI) - que, em até 180 dias a contar desta deliberação, orientem as organizações sob suas respectivas supervisões administrativas que, para a harmonização entre LGPD e LAI e para assegurar os direitos fundamentais de acesso à informação e proteção de dados pessoais, criem critérios transparentes para negativa de acesso, acompanhada de justificativa detalhada, indicando de forma clara e objetiva quais dados estão sendo protegidos, porquê a divulgação desses dados violaria a LGPD e quais medidas foram consideradas para viabilizar o acesso à informação, como anonimização ou tarjamento de dados pessoais, dando ampla divulgação aos números e razões de tais negativas em seus sítios eletrônicos; 9.2.2. às 80 organizações listadas na peça 918 que, no prazo de 180 dias, estabeleçam Política de Segurança da Informação, em atenção ao disposto no Decreto 9.637/2018, art. 15, inciso II, c/c a Instrução Normativa GSI/PR 1/2020, art. 9o, bem como na Resolução - CNJ 396/2021, art. 19, inciso II, e na Resolução - CNMP 156/2016, art. 22, inciso III; 9.2.3. às 48 organizações listadas na peça 919 que, no prazo de 60 dias, nomeiem encarregado pelo tratamento de dados pessoais, conforme o disposto na Lei 13.709/2018, art. 41, caput; 9.2.4. às 250 organizações listadas na peça 920 que, no prazo de 180 dias, adotem ações para elaborarem e aplicarem modelo de comunicação à ANPD e aos titulares de dados da ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares, conforme disposto na Lei 13.709/2018, art. 48, caput; 9.3. ordenar à unidade técnica que monitore a recomendação contida no subitem 9.1.10 e o item 9.2; 9.4. classificar como públicos os dados das respostas individuais das 387 organizações ao questionário da auditoria, com exceção das informações pessoais dos gestores respondentes, as quais devem ser classificadas como sigilosas; 9.5. dar ciência do relatório de auditoria e deste acórdão ao Conselho Nacional de Justiça (CNJ), ao Conselho Nacional do Ministério Público (CNMP), à Unidade Especial de Proteção de Dados Pessoais (UEPDAP) do Ministério Público, à Secretaria de Governo Digital (SGD/MGI) e à Secretaria de Coordenação e Governança das Empresas Estatais (Sest/MGI), ambas do Ministério da Gestão e da Inovação em Serviços Públicos, à Autoridade Nacional de Proteção de Dados (ANPD), à Casa Civil (CC/PR) e ao Gabinete de Segurança Institucional (GSI/PR), ambos da Presidência da República, à Controladoria-Geral da União (CGU), à Frente Parlamentar Mista pela Transparência Pública, à Comissão de Transparência, Governança, Fiscalização e Controle e Defesa do Consumidor do Senado Federal, ao Instituto Rui Barbosa (IRB), à Associação dos Membros dos Tribunais de Contas do Brasil (Atricon), entidade coordenadora do Programa Nacional de Transparência Pública, aos Tribunais de Contas dos Estados do Amazonas (TCE-AM), da Bahia (TCE-BA), do Ceará (TCE-CE), do Pará (TCE-PA), de Pernambuco (TCE-PE), do Paraná (TCE-PR), do Rio de Janeiro (TCE-RJ) e do Rio Grande do Norte (TCE-RN) e às demais organizações públicas auditadas (peça 922); 9.6. autorizar a Unidade de Auditoria Especializada em Tecnologia da Informação (AudTI), observada eventual necessidade de reserva quanto a questões específicas, a dar ampla divulgação às informações e aos produtos derivados da execução da auditoria, bem como compartilhar os dados das respostas individuais das organizações ao questionário da auditoria, excetuando-se as informações pessoais dos gestores respondentes, com o CNJ, o CNMP, a SGD/MGI, a Sest/MGI e a ANPD, observados os grupos de organizações públicas sob as respectivas supervisões administrativas; 9.7. classificar como público o presente processo, com exceção das peças 722, 733, 734, 754, 755, 758, 759, 760, 761, 762, 763, 764, 768, 770, 771, 772, 773, 777, 785, 786, 788, 789, 790, 793, 794, 795, 796, 799, 800, 812, 820, 823, 824, 825, 826, 827, 829, 830, 831, 834, 836, 841, 842, 846, 847, 848, 849, 850, 851, 852, 853, 854, 855, 863, 865, 866, 870, 871, 882, 887, 888, 889, 895, 903, 906, 909, 911, 913 e 921; e 9.8. arquivar o presente processo.