O deputado estadual Arilson Chiorato (PT-PR) protocolou na Agência Nacional de Proteção de Dados (ANPD) um requerimento para que a autoridade instaure imediatamente um procedimento preparatório, realize uma fiscalização preventiva e determine uma auditoria técnica no processo de privatização da Companhia de Tecnologia da Informação e Comunicação do Paraná (Celepar). A representação pede que a análise seja concluída antes de qualquer transferência do controle da estatal para a iniciativa privada.
O pedido reforça um cenário que vem se consolidando às vésperas do julgamento do caso pelo Supremo Tribunal Federal (STF). Até o momento, a tese defendida pelo governo de Ratinho Júnior não recebeu respaldo das manifestações técnicas apresentadas à Corte. A própria Autoridade Nacional de Proteção de Dados não endossou a privatização. Embora não tenha se posicionado formalmente contra a venda da empresa, a ANPD informou ao STF que uma eventual desestatização depende de estudos técnicos aprofundados e da observância integral da Lei Geral de Proteção de Dados (LGPD).
A venda da Celepar também é contestada pela Fenadados, pelo PDT e pelo Coletivo Digital (CODI), que pediram ao STF que impeça a privatização. As entidades argumentam que a transferência do controle da empresa pode comprometer a soberania digital do Paraná, ampliar a dependência tecnológica de fornecedores privados e colocar em risco informações estratégicas utilizadas pela administração pública estadual.
O julgamento da ação está previsto para ocorrer no plenário virtual do STF entre os dias 7 e 18 de agosto. Até agora, predominam nos autos manifestações que alertam para os impactos da privatização sobre a segurança pública, a proteção dos dados de milhões de paranaenses e a continuidade dos serviços digitais essenciais prestados pelo Estado.
No requerimento encaminhado à ANPD, Arilson Chiorato sustenta que a Celepar não pode ser tratada como uma empresa pública comum. Segundo a petição, a companhia opera 705 sistemas e serviços do governo estadual, dos quais 629 são classificados como estratégicos. Entre eles estão plataformas da segurança pública, administração tributária, sistema penitenciário, saúde, educação, identificação civil, reconhecimento biométrico, videomonitoramento e diversos outros serviços considerados essenciais para o funcionamento do Estado.
Na avaliação apresentada à autoridade, uma eventual privatização poderá colocar sob gestão privada uma infraestrutura que concentra grandes volumes de dados pessoais, dados sensíveis e informações protegidas por sigilos fiscal, funcional e operacional. Por isso, o requerimento afirma que a ANPD deve verificar previamente se existem condições técnicas e jurídicas para que a operação ocorra sem comprometer a proteção de dados nem a continuidade dos serviços públicos.
A auditoria solicitada prevê um levantamento completo de todos os sistemas administrados pela Celepar, identificando quais bases contêm dados pessoais e dados sensíveis, classificando as informações armazenadas e mapeando as operações de compartilhamento entre órgãos públicos. O documento também pede a identificação dos sistemas ligados à Receita Estadual, Segurança Pública, sistema penitenciário, reconhecimento biométrico, videomonitoramento e demais bases consideradas estratégicas para o Estado do Paraná.
Outro foco da fiscalização seria a infraestrutura tecnológica da companhia. A representação pede que a ANPD examine a arquitetura dos sistemas, o uso de ambientes próprios, soluções em nuvem híbrida, plataformas legadas, mainframes, provedores terceirizados, localização dos datacenters, mecanismos de backup, espelhamento e contingência, além de eventual transferência internacional de dados. O objetivo é avaliar riscos relacionados à soberania informacional e à eventual submissão de dados estratégicos a jurisdições estrangeiras.
O documento também solicita uma análise detalhada dos mecanismos de segurança da informação adotados pela empresa, incluindo criptografia, controle de acessos, segregação de ambientes, monitoramento de usuários privilegiados, trilhas de auditoria, gestão de vulnerabilidades, resposta a incidentes e governança de fornecedores. Além disso, requer que a Celepar apresente Relatórios de Impacto à Proteção de Dados (RIPD) para os sistemas que tratam dados sensíveis e informações relacionadas à segurança pública.
A representação ainda pede que a ANPD avalie se o modelo de privatização respeita a LGPD, especialmente quanto à segregação de bancos de dados, ao eventual acesso de agentes privados às bases governamentais e à adoção dos princípios de Privacy by Design e Privacy by Default.
Para fundamentar a solicitação, o documento cita as competências da ANPD previstas no artigo 55-J da LGPD, que autorizam a autoridade a fiscalizar tratamentos de dados realizados pelo poder público, requisitar informações e determinar auditorias. Também invoca a Resolução nº 1/2021 da própria ANPD para sustentar que o caso configura uma situação de risco suficiente para justificar uma atuação preventiva.
Nos pedidos finais, os autores requerem que a ANPD determine uma auditoria externa independente baseada nas normas ISO/IEC 27001 e ISO/IEC 27701, exija da Celepar um inventário completo de seus sistemas e ativos informacionais, determine a apresentação dos programas de governança em privacidade e promova uma tomada de subsídios para discutir os impactos regulatórios da privatização de empresas estatais responsáveis por infraestruturas críticas de dados governamentais.
*Com informações de O Globo e Gazeta do Paraná.
