No dia 17 de maio, a Autoridade Nacional de Proteção de Dados se manifestou, por meio de Nota Técnica, sobre a não divulgação dos microdados do Censo Escolar e do ENEM pelo Instituto Nacional de Estudos e Pesquisas Educacionais Anísio Teixeira (INEP). Com a publicação do documento, a ANPD expôs seu entendimento, forneceu orientações e indicou ao INEP a adoção de providências a serem tomadas.
A Nota Técnica foi providenciada depois do INEP, em fevereiro desse ano, anunciar que não faria a divulgação dos dados acima mencionados, por receio de que a conduta poderia trazer riscos para a identificação e violar a privacidade dos estudantes, circunstância que poderia acarretar a violação à LGPD. Tais dados, como é sabido, são utilizados para produção de pesquisas e políticas públicas de educação.
A dúvida acerca da divulgação dos microdados frente à vigência da LGPD, bem como a repercussão pública do caso após a negativa de fazê-lo atraíram a necessidade de manifestação da ANPD. O órgão detém competência para tanto, pois é quem se incumbe por zelar pela proteção dos dados pessoais dos cidadãos; além disso fiscaliza e aplica sanções em caso de tratamento de dados em descumprimento à legislação; ouve os agentes de tratamento e a sociedade em matérias de interesse relevante e planejamento e delibera, na esfera administrativa, em caráter terminativo, sobre a interpretação da LGPD, dentre outras competências legais.
No caso, a principal determinação da ANPD ao INEP – além do apoio à não publicação dos microdados como vinha sendo feito anteriormente - é que o instituto elabore um Relatório de Impacto à Proteção de Dados para avaliar os riscos que podem ser causados aos titulares com a divulgação desses mesmos dados. O documento será público no que couber, conferindo transparência às decisões e medidas que serão adotadas pelo instituto.
A ANPD entende que o INEP tem condições de decidir sobre a amplitude da divulgação, sendo possível que os microdados sejam apresentados em versões diferentes para a sociedade e para instituições de pesquisa, mediante termo de responsabilidade.
Estudos realizados
O INEP esclareceu que a adequação dos microdados disponíveis em seu portal está sendo realizada com base em estudos técnicos e análises jurídicas que priorizem o pleno atendimento às exigências previstas na LGPD e que a necessidade de adequação das divulgações se dá em observação a critérios objetivos que reduzam o risco potencial de identificação das pessoas a quem os dados estatísticos se referem.
Quando das análises realizadas, foi constatado que as técnicas de proteção de privacidade utilizadas nos microdados para retirada de identificadores individuais, como nome e número do Cadastro de Pessoas Físicas (CPF) e do Registro Civil, estavam sujeitas a riscos já identificados. Da forma como estava sendo feito, portanto, submetiam-se os titulares dos dados a consideráveis riscos de violação de privacidade, incluindo reidentificação e inferência de atributos sensíveis, circunstância que poderia constituir violação à LGPD.
Verificados os riscos, a nota técnica produzida pelo INEP sugere um conjunto de ações para solucionar o tratamento da privacidade nos microdados públicos, dentre as quais destaca-se o tratamento dos arquivos que continham dados individualizados e pessoais.
A mesma conclusão foi obtida em relação ao formato de divulgação dos microdados do Enem: os estudos realizados mostraram risco de identificação de pessoas nos dados divulgados dos demais exames, pesquisas e avaliações da autarquia.
Dados tratados de forma diversa e Relatório
De acordo com o INEP, a mudança proposta, eventualmente restringindo microdados divulgados, não inviabiliza pesquisas e o desenvolvimento de estudos amplos e detalhados; em verdade, no seu entender, há diversos meios de acessar essas informações, a exemplo do Serviço de Acesso a Dados Protegidos (Sedap), que possibilita o uso de bases restritas por pesquisadores, desde que observado o protocolo do serviço.
Esse mecanismo permite, segundo o INEP e o posterior estudo apresentado pela ANPD, a disponibilização de dados de forma segura nos Estados, por meio de parcerias com instituições federais de educação superior.
Neste ponto, o INEP faz uma autodefesa das críticas que sofreu quando da remoção dos microdados de seu site. Para a autarquia, por meio do Sedap é possível consultar informações em níveis elevados de desagregação, o que permite o desenvolvimento de estudos amplos e detalhados, considerando tendências, padrões e trajetórias educacionais que podem ser traçadas a partir de evidências apuradas pelo órgão.
Para melhor compreensão, o termo dados desagregados diz respeito a dados que tiveram separadas as informações coletadas em unidades menores e padronizadas. Os dados desagregados podem vir, por exemplo, agrupados por idade, sexo, área geográfica, escolaridade, etnia ou outras variáveis.
Fato que a ANPD atesta que o INEP pode se valer de diversas salvaguardas técnicas e administrativas, admitidas e compatíveis com a LGPD e que não se limitam, por exemplo, à técnica de anonimização. Mas que a autarquia tem por obrigação, como todos os controladores em geral, realizar uma avaliação ampla dos riscos envolvidos e das medidas de segurança e de mitigação de riscos mais apropriadas para o caso e que o instrumento previsto na LGPD para tanto é o relatório de impacto à proteção de dados pessoais, definido no art. 5º, XVII como a “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco”.
O parágrafo único do art. 38 da LGPD também estabelece o conteúdo mínimo do relatório, que deve conter, pelo menos, “a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados”.
Adequação
O posicionamento final da ANPD foi claro de que:
A existência de respaldo legal para a divulgação não significa que ela deva continuar a ser feita nos moldes antigos.
Dessa forma, estando vigente a LGPD, é preciso que seus princípios sejam observados, sobretudo o da necessidade, publicando apenas os dados que atendam à necessidade do sistema de avaliação do ensino brasileiro e que permitam a utilização em pesquisas acadêmicas.
O INEP, portanto, vai ter que atender à lógica da necessidade, pois a autorização legal para publicar os dados não significa divulgação sem necessidade e adequação. Isto colabora, no entender da ANPD, com uma cultura de melhoria no tratamento de dados, de modo que o tratamento esteja:
centrado no mínimo imprescindível;
compatível com as finalidades informadas ao titular;
de acordo com o contexto do tratamento;
limitado ao mínimo necessário para a realização de suas finalidades;
com abrangência dos dados pertinentes; e
proporcionais e não excessivos em relação às finalidades.
E, ao final, as informações divulgadas serão efetivamente as adequadas e necessárias para o atendimento das finalidades para as quais serão utilizadas, dentro das hipóteses legais para o tratamento de microdados.
Leia mais:
Gostou deste texto? Faça parte de nossa lista de e-mail para receber regularmente materiais como este. Fazendo seu cadastro você também pode receber notícias sobre nossos cursos, que oferecem informações atualizadas e metodologias adaptadas aos participantes.
Temos cursos regulares já consagrados e também modelamos cursos in company sobre temas gerais ou específicos relacionados ao Direito da Educação Superior. Conheça nossas opções e participe de nossos eventos.
Comments