O Idec (Instituto Brasileiro de Defesa do Consumidor) enviou questionamentos à ANPD (Autoridade Nacional de Proteção de Dados) sobre um acordo de cooperação do governo que envolve a liberação de dados de cidadãos brasileiros com instituições bancárias. A iniciativa é de uma parceria entre Ministério da Economia, representado pela SGD (Secretaria de Governo Digital), e a ABBC (Associação Brasileira de Bancos).
Publicada em 7 de de janeiro no Diário Oficial da União, a medida 27/2021 prevê o compartilhamento de dados da ICN (Identidade Civil Nacional) para a utilização pelas instituições financeiras — em uma espécie de “degustação experimental”, segundo o Idec. Entre as informações, estão dados sensíveis como de origem biométrica e eleitoral.
Para os especialistas do órgão, o acordo traz uma série de inconsistências, é muito aberto, não especifica os usos nem abrangência, não tem base legal e também não evidencia a finalidade pública.
A ICN, criada em 2017, reúne dados da Justiça Eleitoral, do Sirc (Sistema Nacional de Informações de Registro Civil), da CRC Nacional (Central Nacional de Informações do Registro Civil) e de outros institutos de identificação dos estados e do Distrito Federal. Informações que são centralizadas na plataforma Gov.br e permitem o acesso a diversos serviços disponibilizados pelo governo federal e ainda municipais e estaduais.
No texto no DOU, o argumento é de que o acordo permitirá a validação biométrica e biográfica. Além disso, oferecerá uma conexão entre a plataforma de autenticação gov.br e os bancos. Com o uso de APIs (interface de programação de aplicativo), o intercâmbio de dados ofereceria mais segurança na identificação dos usuários.
O acordo não contempla repasses financeiros, o que é vedado por lei, e tem a duração mínima de um ano, podendo ser prorrogado.
Por que a ANPD foi questionada?
Em documento enviado no dia 13 de janeiro à ANPD, órgão responsável por criar as regras e fiscalizar a aplicação da LGPD (Lei Geral de Proteção de Dados), a entidade lista quatro preocupações:
• ausência de explicitação de medidas de segurança de dados e uso compartilhado de dados com entes privados sem base legal e sem finalidade;
• insuficiente comprovação de interesse público e de finalidade legítima e ausência de transparência das finalidades e interesses privado;
• desproporcionalidade do acordo e desvio a finalidade de tratamento dos dados nas plataformas governamentais;
• falta de transparência e violação à autodeterminação informativa do titular de dados.
O Idec lembra ainda que no “Perguntas e Respostas” da plataforma Gov.br há a informação de que o sistema atende aos princípios da LGPD e que, por lei, “o cidadão é o dono dos seus próprios dados e precisa ser avisado sobre como eles estão sendo usados e compartilhados”.
As explicações destacam ainda que os dados da conta gov.br da pessoa “são compartilhados apenas com os serviços que você autoriza e podem ser desautorizados por você a qualquer momento”. Logo, o compartilhamento com os bancos não se encaixaria nessas regras.
Diante desses elementos, o Idec quer que a ANPD se manifeste sobre diversos tópicos, como a base legal para o acordo, os interesses e finalidades concretos da ABBC e os benefícios públicos que justifiquem o uso compartilhado dos dados, segundo a LPGD e a realização ou não de Relatório de Impacto de Dados. E, caso não tenha as informações, que oficialize os envolvidos.
A Tilt, o Idec informou que a ANPD não indicou uma prazo de resposta aos questionamentos e relembrou que a entidade de Proteção de Dados “chegou a ser oficiada pelo Ministério da Economia comunicando o acordo, mas depois de sua publicação no Diário Oficial”.
Já a ANPD disse que, em 11 de janeiro, quando tomou conhecimento do acordo, instaurou de ofício um procedimento preparatório de fiscalização para averiguar a regularidade do compartilhamento de dados com os bancos.
“Acerca da análise sobre o ACT [Acordo de Cooperação Técnica], o Ministério da Economia foi oficiado por esta Autoridade para apresentar a documentação necessária para análise da ANPD. Não é possível, sem a análise da documentação completa, firmar qualquer juízo antecipado sobre a regularidade do ACT. Eventuais riscos no compartilhamento desses dados só podem ser avaliados após a análise da documentação a ser encaminhada pelo Ministério”, informou em nota.
A ANPD não respondeu sobre prazos para que se tenha uma resposta final sobre o acordo.