LGPD na Administração Pública: quando a omissão pode gerar responsabilização pessoal do servidor

Por Rodrigo Pironti

A Lei Geral de Proteção de Dados Pessoais (LGPD) deixou de ser uma novidade há muito tempo. Ainda assim, parcela relevante da Administração Pública continua tratando a adequação à legislação como um projeto facultativo, secundário ou indefinidamente adiável.

Em muitos órgãos públicos, a implementação da LGPD se resume à edição de um decreto, à nomeação formal de um encarregado ou à publicação de uma política genérica de privacidade. Não há inventário das operações de tratamento, matriz de riscos, relatório de impacto à proteção de dados, regras efetivas de compartilhamento, procedimentos de resposta a incidentes ou definição clara das responsabilidades administrativas.

Essa aparência de conformidade não representa governança, mas sim, quando muito, um compliance meramente formal, incapaz de proteger o titular dos dados, o órgão público e os próprios agentes responsáveis pelas decisões.

A questão, portanto, já não se limita à responsabilidade institucional do ente público. Também envolve a possibilidade de responsabilização pessoal de servidores, dirigentes, autoridades e agentes públicos quando sua atuação ou omissão puder ser individualizada e estiver relacionada à violação de um dever funcional concreto ou de um bem juridicamente tutelado.

Quem pode ser responsabilizado por falhas na proteção de dados no setor público?

A LGPD não impõe apenas deveres ao órgão público. A pessoa jurídica de direito público efetivamente ocupa a posição de controladora — ou de operadora, quando essa função é descentralizada — no tratamento de dados realizado no exercício de suas competências.

Isso, contudo, não significa que servidores, dirigentes, autoridades e agentes responsáveis por decisões concretas estejam imunes à responsabilização ou integralmente protegidos pela estrutura estatal. Conforme as circunstâncias, eles podem responder por suas ações ou omissões lesivas, inclusive em situações que envolvam direito de regresso ou demandas destinadas a apurar suas responsabilidades.

Em razão disso, o servidor que não observar a legislação poderá sofrer responsabilização administrativa pessoal e autônoma, conforme as circunstâncias de sua atuação. Não se trata de escolher entre a responsabilidade do Estado e a do agente, mas de reconhecer que as duas podem coexistir, ainda que estejam submetidas a pressupostos e regimes jurídicos distintos.

O órgão público responde pela organização do tratamento e pelas falhas da atividade administrativa. O servidor, por sua vez, poderá responder quando sua conduta ou sua omissão for individualizável e representar violação de um dever funcional concreto ou de um bem juridicamente tutelado.

Quando a omissão administrativa pode gerar responsabilização?

O verdadeiro desafio está em estabelecer quando uma deficiência institucional deixa de ser um problema abstrato da Administração Pública e passa a ser imputável a uma pessoa determinada. Nem toda ausência de adequação à LGPD é, por si só, punível.

A Administração Pública brasileira convive com limitações reais. Muitos municípios, por exemplo, possuem estruturas reduzidas, escassez de servidores especializados, sistemas antigos, dependência de fornecedores e restrições orçamentárias relevantes. Essas circunstâncias não podem ser ignoradas por quem avalia a conduta do gestor.

Existe, contudo, uma diferença substancial entre o gestor que reconhece suas limitações, estabelece prioridades, registra os riscos e adota medidas progressivas e aquele que simplesmente não diagnostica, não planeja, não decide e não age. É nessa segunda hipótese que reside a responsabilização.

A omissão passível de responsabilização pode ser compreendida como a inércia consciente do agente público que, tendo competência funcional, conhecimento dos riscos e possibilidade razoável de adotar providências preventivas ou corretivas, deixa injustificadamente de agir.

Proteção de dados é dever de governança no Estado digital

O direito fundamental à proteção de dados não admite indiferença administrativa. O tratamento de dados pessoais não é uma atividade periférica na Administração Pública. Trata-se de um dever relacionado à governança, à integridade, à eficiência, à transparência e ao respeito aos direitos fundamentais.

Por isso, a adequação à LGPD no setor público não deve ser compreendida apenas como uma obrigação documental. Inventariar operações de tratamento, identificar riscos, estabelecer responsabilidades e criar procedimentos para lidar com incidentes são medidas que integram a própria organização da atividade administrativa.

No Estado digital, proteger os dados pessoais dos cidadãos é parte do dever de administrar. Quando esse dever é conscientemente ignorado, o risco deixa de pertencer apenas à instituição e passa a acompanhar pessoalmente quem tinha competência, conhecimento e possibilidade de agir.

Por Rodrigo Pironti – Pós-Doutor em Direito, advogado sócio do escritório Pironti+Moura