ADVOCACIA-GERAL DA UNIÃO
CONSULTORIA-GERAL DA UNIÃO
CONSULTORIA JURÍDICA JUNTO AO MINISTÉRIO DA CULTURA
COORDENAÇÃO-GERAL DE POLÍTICAS CULTURAIS

PARECER n. 00349/2024/CONJUR-MINC/CGU/AGU

NUP: 01400.020639/2024-47

INTERESSADOS: MINISTÉRIO DA CULTURA COORDENAÇÃO-GERAL DE FORMAÇÃO ARTÍSTICA E CULTURAL CGFAC/DIEFA/SEFLI/GM/MINC

ASSUNTOS: ATOS ADMINISTRATIVOS

Senhora Coordenadora-Geral Substituta

EMENTA: ADMINISTRATIVO.  MINUTA DE PORTARIA. LEI GERAL DE PROTEÇÃO DE DADOS - LGPD.

I - Minuta de Portaria Ministerial para instituir nova Política de Privacidade de Dados Pessoais no Ministério da Cultura; revogar a Portaria MinC nº 83, de 1º de novembro de 2023; alterar a Portaria MinC nº 13, de 30 de março de 2023; e promover a designação de Encarregado responsável por tratamento de dados pessoais.

II - Parecer favorável, com ressalvas, concluindo pelo retorno dos autos à unidade técnica para a adequação da minuta às normas de regência.

III - À consideração superior.

Trata o presente de proposta de publicação de Portaria Ministerial a ser assinada pela Exma. Sra. Ministra de Estado da Cultura, com os objetivos de: a) instituir nova Política de Privacidade de Dados Pessoais, com a revogação da Portaria MinC nº 83, de 1º de novembro de 2023; b) alterar a Portaria MinC nº 13, de 30 de março de 2023; e, c) designar Encarregado responsável por tratamento de dados pessoais, nos termos da Lei nº 13.709, de 14 de agosto de 2018.

A minuta, que inaugura os autos (SEI 1914422), foi elaborada pela Ouvidoria deste Ministério, por meio da Nota Técnica nº 3/2024/OUV/GM/MinC (SEI 1884621), e encaminhada ao Secretário Executivo Adjunto (presidente do Comitê de Governança Digital e Segurança da Informação) para análise dos membros do Comitê e, após as manifestações, providenciar o envio a esta Consultoria Jurídica - CONJUR/MINC com vistas à análise e Parecer.

A consulta foi enviada a esta Conjur por meio do Ofício nº 5229/2024/GSE/GM/MinC (SEI 1945508).

É o sucinto relatório. Passa-se à análise.

Primeiramente, destaco competir a esta Consultoria Jurídica, nos termos do art. 11 da Lei Complementar nº 73/1993, prestar consultoria sob o prisma estritamente jurídico, não lhe cabendo adentrar em aspectos relativos à conveniência e à oportunidade da prática dos atos administrativos, reservados à esfera discricionária do administrador público legalmente competente. Tampouco cabe a esta Consultoria examinar questões de natureza eminentemente técnica, administrativa e/ou financeira.

Impõe-se ainda destacar que foge à alçada desta Consultoria Jurídica imiscuir-se na análise técnica realizada pela unidade competente, órgão detentor de expertise para tal exame. Todavia, cabe à esta Consultoria realizar o exame sob o ponto de vista da legalidade do procedimento.

Ademais, registro que a presente manifestação apresenta natureza meramente opinativa, e por tal motivo, as orientações estabelecidas não se tornam vinculantes para o gestor público, o qual pode, de forma justificada, adotar orientação contrária ou diversa daquela emanada por esta Consultoria Jurídica. Dito de outra forma, o parecer é não vinculante.

Elaboradas tais considerações, observo que, em se tratando de norma administrativa interna corporis, voltada principalmente aos agentes públicos em exercício no Ministério da Cultura, não há a exigência de prévia análise de impacto regulatório, conforme preveem os arts. 2º e 3º do Decreto nº 10.411/2020, verbis:

Art. 2º  Para fins do disposto neste Decreto, considera-se:

I - análise de impacto regulatório - AIR - procedimento, a partir da definição de problema regulatório, de avaliação prévia à edição dos atos normativos de que trata este Decreto, que conterá informações e dados sobre os seus prováveis efeitos, para verificar a razoabilidade do impacto e subsidiar a tomada de decisão;

(...)

Art. 3º  A edição, a alteração ou a revogação de atos normativos de interesse geral de agentes econômicos ou de usuários dos serviços prestados, por órgãos e entidades da administração pública federal direta, autárquica e fundacional será precedida de AIR.

...

§ 2º  O disposto no caput não se aplica aos atos normativos:

I - de natureza administrativa, cujos efeitos sejam restritos ao âmbito interno do órgão ou da entidade; Ng.

(...)"

Fixadas essas premissas, deve ser verificada se a vertente proposta atende aos requisitos de validade do ato administrativo – competência, forma, motivo, objeto e finalidade.

Enfatiza-se, no caso, que a Ministra de Estado da Cultura é a autoridade competente para o ato, na forma do art. 87, inciso II, da Constituição, que lhe atribui competência para expedir instruções para a execução das leis, decretos e regulamentos, verbis:

Art. 87. Os Ministros de Estado serão escolhidos dentre brasileiros maiores de vinte e um anos e no exercício dos direitos políticos. Parágrafo único. Compete ao Ministro de Estado, além de outras atribuições estabelecidas nesta Constituição e na lei:

I - exercer a orientação, coordenação e supervisão dos órgãos e entidades da administração federal na área de sua competência e referendar os atos e decretos assinados pelo Presidente da República;

II - expedir instruções para a execução das leis, decretos e regulamentos; (...) 

Impõe-nos, também, analisar os motivos da edição do ato normativo em foco, conforme explanação inicial deste opinativo, bem como registrar que a Nota Técnica nº 3/2024/OUV/GM/MinC (SEI 1884621), trouxe as seguintes motivações técnicas:

"A portaria proposta fornecerá uma estrutura para a gestão de riscos relacionados ao tratamento de dados, incluindo medidas de segurança, políticas de acesso e precauções para incidentes.

Tendo em vista a relação intrínseca entre a proteção de dados, a governança digital e a segurança da informação justificam a adequação das atribuições do Comitê de Governança Digital e Segurança da Informação no âmbito do MinC, instituído pela Portaria MinC nº 13 de 30 de março de 2023. A revisão de suas diretrizes possibilitará garantir que continuemos alinhados com as melhores práticas e com as necessidades atuais da nossa organização. 

CONCLUSÃO

Diante dos motivos expostos, a criação de uma política de privacidade e proteção de dados pessoais é uma medida necessária e estratégica para que o Ministério da Cultura esteja alinhado com as exigências legais.

 A atualização da Portaria MinC nº 13 de 30 de março de 2023 e revogação da Portaria MinC nº 83, de 1º de novembro de 2023, é essencial para adequação da estrutura organizacional e alinhamento dos processos de trabalho do órgão".

Quanto à forma, percebe-se que a Portaria é o instrumento jurídico adequado aos fins a que se destina, haja vista que não se pretendem inovar na ordem jurídica estabelecida.

Dessa feita, no que se refere à finalidade da presente Portaria, confira-se nítida pela satisfação do interesse público, notadamente, com o desiderato de dispor sobre a Política de Privacidade e Proteção de Dados Pessoais no âmbito do Ministério da Cultura.

Ademais, o ato tem por fundamento de validade a Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, da qual se destacam os seguintes artigos:

Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Parágrafo único. As normas gerais contidas nesta Lei são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios.

(...)

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

(...)

Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, desde que:

I - sejam informadas as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos;

...

III - seja indicado um encarregado quando realizarem operações de tratamento de dados pessoais, nos termos do art. 39 desta Lei; 

...

Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.

§ 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.

§ 2º As atividades do encarregado consistem em:

I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações da autoridade nacional e adotar providências;

III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

§ 3º A autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

(...)

Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.

(...)

Art. 55-A. Fica criada a Autoridade Nacional de Proteção de Dados (ANPD), autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio e com sede e foro no Distrito Federal.     (Redação dada pela Lei nº 14.460, de 2022). Ng.

Ao seu turno, a ANPD publicou a Resolução CD/ANPD nº 18, de 17 de julho de 2024, que estabeleceu regras adicionais destinadas à nomeação do Encarregado, documento intitulado "Regulamento", vinculativo, incluindo as qualificações pessoais que o encarregado deve possuir e outras determinações, tais como:

- A nomeação do Encarregado deve ser feita por meio de ato formal, que será fornecido à ANPD mediante solicitação.

- O agente de tratamento deve nomear formalmente um substituto para atuar do Encarregado durante qualquer período de vacância do cargo.

- É necessário divulgar, em local proeminente e de fácil acesso o nome da pessoa física ou jurídica nomeada como Encarregado, bem como suas informações de contato.

- O Encarregado deve ser capaz de se comunicar de forma clara e precisa como os titulares  e com a ANPD, em português.

- As qualificações profissionais do Encarregado deverão ser determinadas pelo agente de tratamento, tendo em vista o contexto, o volume e o risco das atividades de tratamento realizadas pelo agente de tratamento.

- O Encarregado pode ter um cargo adicional na empresa ou organização, desde que esse cargo adicional não cause conflito de interesses no desempenho de suas funções como Encarregado.

Assim, apenas para contextualizar, de acordo com a Lei nº 13.709/2018 (LGPD) o controlador tem a obrigação de indicar um Encarregado pelo tratamento de dados pessoais, que deverá ser especificamente nomeado por ato formal. 

Impende, ainda, observar que a previsão de criação de Comitês encontra-se nos artigos 33 e 34 do Decreto nº 12.002, de 22 de abril de 2024, que "Estabelece normas para elaboração, redação, alteração e consolidação de atos normativos":

Criação ou alteração de colegiados 

Art. 33.  A criação ou a alteração de colegiados será feita por ato normativo inferior a decreto, ressalvados os colegiados:

I - que tenham competência de assessoramento direto ao Presidente da República; ou

II - criados por lei.

Art. 34.  Os colegiados criados por ato normativo inferior a decreto poderão ter as seguintes finalidades:

I - assessoramento;

II - articulação;

III - monitoramento de políticas públicas;

IV - formulação de propostas;

V - normatização de questões internas do órgão, da entidade ou da unidade administrativa; e

VI - deliberação.

Parágrafo único.  O colegiado criado por ato normativo inferior a decreto não poderá assumir competência atribuída a outro órgão, entidade ou unidade administrativa por ato normativo superior.

No que concerne, assim, ao aspecto formal, a minuta deve guardar conformidade com as normas que regulam a elaboração de atos normativos, notadamente o já referido Decreto nº 12.002, de 2024.

Dito isso, em consonância com o art. 6º do referido Decreto nº 12.002, de 2024, os primeiros dispositivos do texto do ato normativo indicarão o seu objeto e o seu âmbito de aplicação, destacando-se, ainda, do artigo 9º do retrocitado Decreto nº 12.002/2024, a compreensão de que as Portarias se submetem aos preceitos dos "atos normativos", a saber:

"Objeto e âmbito de aplicação do ato normativo

Art. 6º  Os primeiros dispositivos do texto do ato normativo indicarão o seu objeto e o seu âmbito de aplicação.

Parágrafo único.  O disposto no caput não se aplica aos atos normativos meramente alteradores ou revogadores de outros atos normativos. Ng.

(...)

Atos normativos inferiores a decreto

Art. 9º  Os atos normativos inferiores a decreto serão editados sob a denominação de:

I - instruções normativas e portarias - atos normativos editados por uma ou mais autoridades singulares; e Ng.

II - resoluções - atos normativos editados por colegiados.

(...)".

Assim, as Portarias são atos normativos de caráter interno, subordinados às ordens gerais do direito, no caso, o Decreto nº 12.002/2024, sendo de se destacar notadamente os seguintes artigos:

Art. 4º  O ato normativo será estruturado em três partes básicas:

I - parte preliminar, com:

a) a epígrafe;

b) a ementa; e

c) o preâmbulo, com:

1. a autoria;

2. o fundamento de validade, nas medidas provisórias, nos decretos e nos atos normativos inferiores a decreto; e

3. a ordem de execução, nos decretos e nos atos normativos inferiores a decreto;

II - parte normativa, com as normas que regulam o objeto;

III - parte final, com:

a) se for caso:

1. as disposições sobre medidas necessárias à implementação das normas constantes da parte normativa;

2. as disposições transitórias; e

3. a cláusula de revogação; e

b) a cláusula de vigência; e Ng.

(...)

Art. 5º  A ementa expressará, de modo conciso, o objeto do ato normativo. Ng.

(...)

Conteúdo do ato normativo

Art. 7º  O ato normativo terá apenas um objeto e não conterá matéria:

I - estranha ao objeto que visa disciplinar; e

II - não vinculada a ele por afinidade, pertinência ou conexão.

Atos normativos sobre a mesma matéria

Art. 8º  O ato normativo que dispuser sobre matéria já tratada em ato da mesma espécie normativa será editado por meio de:

I - alteração do ato normativo existente; ou

II - edição de novo ato normativo, do qual constará a revogação do ato normativo existente". Ng.

Nesse contexto, diante da vasta legislação transcrita, devem-se observar que, em razão das portarias não se incluírem entre as fontes de direito administrativo, em face da ausência das características de Lei, cada uma delas deverá trazer em seu preâmbulo a fonte legal utilizada para fundamentar a validade das orientações que deverão ser executadas.

A título ilustrativo, já é consagrada no Supremo Tribunal Federal a tese de que "as circulares, instruções e portarias não se incluem entre as fontes de direito administrativo, falecem-lhes as características de lei, pois apenas se dirigem aos funcionários administrativos, traçando-lhes diretrizes, ministrando-lhes esclarecimentos e orientações" (STF, em RDA, 7 p. 120).

Desse modo, no presente caso, ​há ressalvas quanto ao objeto, que se configura como sendo o conteúdo do ato ou o efeito do ato, pois assentam-se situações que podem comprometer a ordem de execução, o enunciado do objeto e a indicação do alcance de aplicação da presente norma.

Nesse ponto, é de se verificar certo desajuste da minuta em exame, notadamente quanto ao dito "fundamento de validade" (art. 4º, II, do Decreto nº 12.002/2024), em razão da concentração de diversos assuntos no mesmo ato, sem as devidas precauções legais, causando desalinho às orientações necessárias: I) a criação da Política de Privacidade de Dados Pessoais, com a revogação da Portaria nº 83, de 1º de novembro de 2023; II) a alteração da Portaria nº 13, de 30 de março de 2023, que versa sobre a instituição de Comitê; e, III) a designação do Encarregado pelo tratamento de dados pessoais.

Acrescente-se, ainda, que constatada a ausência no rol de documentos apresentados nos autos, tanto da Portaria MinC nº 83, de 1º de novembro de 2023, que intentam a revogação, quanto da Portaria nº 13, de 30 de março de 2023, que pretendem a alteração dos artigos 3º e 4º, há um reforço na desarmonia da presente minuta. A título elucidativo, a Portaria MinC nº 83, de 2023, que propõem seja revogada, se refere à instituição do Comitê de Proteção de Dados Pessoais no âmbito do Ministério da Cultura, e a que pretendem a alteração, Portaria nº 13, de 2023, versa sobre a Instituição do Comitê de Governança Digital e Segurança da Informação no âmbito do Ministério da Cultura.

No caso, deve ser observado que a indicação do âmbito de aplicação do ato normativo não deve ser confundida com a simples especificação do tema central do ato, ou seja, especificar o âmbito de aplicação significa indicar relações jurídicas para as quais as normas se destinam​.

Dentro de tais balizas, convém sejam avaliados cada um dos objetivos separadamente.

Desse modo, no que tange às disposições sobre a Política de Privacidade de Dados Pessoais no âmbito deste Ministério, vê-se, à luz dos dispositivos legais, quanto ao aspecto material, que o ato tem o objetivo de aprimorar a política de privacidade e proteção de dados pessoais, para o alinhamento do Ministério às exigências da Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709, de 14 de agosto de 2018, nos termos da justificativa contida na Nota Técnica nº 3/2024/OUV/GM/MinC. Tal objetivo, no entanto, quanto à fundamentação legal, difere da alteração da Portaria nº 13, de 30/03/2023, que institui o Comitê de Governança Digital e Segurança da Informação no âmbito do Ministério da Cultura, bem como, notadamente, difere das características específicas para a designação do Encarregado.

No que se refere, outrossim, às alterações apresentadas para a Portaria nº 13, de 30/03/2023, que se resumem basicamente na transferência de todas as competências do Comitê De Proteção De Dados Pessoais previstas na Portaria nº 83, de 1º/11/2023, que será revogada, para o Comitê de Governança Digital e Segurança da Informação,​ que tem respaldo no artigo 2º do Decreto nº 10.332/2020, será um adendo às competências já previstas no artigo 3º da referida Portaria nº 13, de 2023. Além disso, foi proposta também a alteração relativa à composição do citado Comitê de Governança Digital e Segurança da Informação, já previsto na referida Portaria nº 13/2023, acrescentando-se o inciso IV, ao artigo 4º, vejamos:

Portaria nº 13, de 30/03/2023

...

Art. 3º Compete ao CGDSI:

(...)

Dessa forma, no caso específico, convém destacar que as referidas alterações da citada Portaria nº 13, de 30/03/2023, que institui o Comitê de Governança Digital e Segurança da Informação, será para herdar as competências do Comitê de Proteção de Dados Pessoais deste Ministério, que será extinto em razão da revogação da Portaria nº 83, de 1º de novembro de 2023. Nesse caso, à evidência, as fontes legais (fundamentos de validade) das duas Portarias não se mostram consonantes à regulação de matéria, uma vez que, respectivamente, o Comitê de Governança Digital, é respaldado no art. 2º do Decreto nº 10.332/2020, e o Comitê de Proteção de Dados Pessoais, é respaldado no disposto na Lei nº 13.709/2018.

No caso da citada Lei nº 13.709, de 2018, (LGPD), relativamente ao setor público, a principal finalidade do tratamento de dados pessoais está relacionada à execução de políticas públicas específicas, devidamente previstas em leis, regulamentos ou respaldadas em contratos, convênios ou instrumentos semelhantes. Noutro modo, o objeto do Decreto nº 10.332, de 2020, é a estratégia federal de Governo Digital, a transformação do Governo Federal por meio de tecnologias digitais (soluções de tecnologia da informação e comunicação) que visem oferecer políticas públicas e serviços de melhor qualidade, mais simples e acessíveis ao cidadão.

Nessa linha, sob pena de infringência aos artigos 4º ao 9º do Decreto nº 12.002/2024, esta Coordenação recomenda o desmembramento dos atos que se pretendem editar, para o ajuste dos objetos em atos específicos, ou, em caso da necessidade premente da edição de um único ato, recomenda-se a adequação necessária às legislações de regência.

No que tange à designação do Encarregado, diante da vasta fundamentação legal retro promovida, segue a sugestão que ora apresentamos:

PORTARIA DE PESSOAL Nº xx DE xx DE OUTUBRO DE 2024

A MINISTRA DE ESTADO DA CULTURA, no uso das atribuições que lhe conferem o inciso IV do parágrafo único do art. 87 da Constituição, o disposto na Lei nº 14.600, de 19 de junho de 2023, no inciso III do art. 23 e art. 41 da Lei nº 13.709, de 14 de agosto de 2018, e na Resolução CD/ANPD nº 18, de 17 de julho de 2024, resolve:

Art. 1º Designar para desempenhar as atribuições institucionais relativas ao exercício de Encarregado pelo Tratamento dos Dados Pessoais no âmbito do Ministério da Cultura, os seguintes servidores:

I - xxx (titular)

II - xxx (suplente)

Art. 2º As atividades desenvolvidas serão consideradas prestação de serviço público relevante não remunerada.

Art. 3º Esta Portaria entra em vigor na data de sua publicação.

Ministra da Cultura 

Por todo o exposto, não se identificam óbices jurídicos às disposições sobre a Política de Privacidade e Proteção de Dados Pessoais no âmbito do Ministério da Cultura, no que diz respeito aos fundamentos legais e à regularidade jurídica do objeto proposto, desde que analisado isoladamente do restante do presente ato normativo. Do mesmo modo, não se vislumbram obstáculos jurídicos à designação do Encarregado, na medida em que sejam observados os moldes legais vigentes. No caso, porém, das alterações que se pretendem efetivar na Portaria nº 13, de 30 de março de 2023, em face da revogação da Portaria nº 83, de 1º de novembro de 2023, recomenda-se a observância do respaldo legal aos atos em questão para os necessários ajustes, em razão, notadamente, dos fundamentos legais de validade.

Assim, esta Coordenação opina pelo retorno dos autos à unidade técnica diante da necessária adequação às normas regentes, em face das razões expostas neste Parecer.

CONCLUSÃO

Em razão do exposto, sem adentrar nos valores de conveniência e oportunidade na criação de mecanismos institucionais não sujeitos ao crivo desta CONJUR, é de se concluir pela viabilidade jurídica dos atos que se pretendem editar, desde que especificamente elaborados e validados em termos jurídicos, conforme as ressalvas efetivadas nesta manifestação.

À consideração superior

Brasília, 11 de outubro de 2024.

MARIA IZABEL DE CASTRO GAROTTI

Advogada da União

Atenção, a consulta ao processo eletrônico está disponível em https://supersapiens.agu.gov.br mediante o fornecimento do Número Único de Protocolo (NUP) 01400020639202447 e da chave de acesso 5a35c85e