A era digital transformou o Estado no maior detentor de dados pessoais dos cidadãos. Governos coletam, processam e armazenam volumes massivos de informações, desde dados biométricos e fiscais até registros de saúde e previdência. Essa custódia estatal é fundamentada no interesse público e na execução de políticas sociais. No entanto, quando surgem movimentos políticos e econômicos voltados à desestatização e privatização de empresas públicas de tecnologia e processamento de dados, emerge um conflito jurídico complexo.
O cerne da questão não reside apenas na venda de ativos tangíveis ou na transferência de gestão. O ponto crítico é o destino e a governança dos bancos de dados que, originalmente, foram constituídos sob a égide do direito público e das prerrogativas estatais. Advogados e juristas enfrentam o desafio de harmonizar a eficiência econômica buscada pela desestatização com os direitos fundamentais de privacidade e proteção de dados, agora constitucionalmente garantidos.
A transição de um regime jurídico de direito público, ou híbrido, para um controle acionário privado exige uma análise meticulosa da Lei Geral de Proteção de Dados (LGPD) e da Constituição Federal. Não se trata de uma simples sucessão empresarial. Trata-se da garantia de que a mudança na natureza jurídica do controlador não implique na vulnerabilidade dos titulares dos dados, nem no desvio de finalidade das informações coletadas coercitivamente pelo Estado.
Para compreender a profundidade do debate sobre desestatização e dados, é imperativo revisitar a base normativa. A Emenda Constitucional nº 115 de 2022 elevou a proteção de dados pessoais à categoria de direito fundamental autônomo. Isso significa que qualquer ato administrativo ou legislativo que vise a alienação de controle de uma empresa estatal deve passar pelo crivo estrito da constitucionalidade no que tange à proteção desse direito.
O Estado, ao atuar como agente de tratamento de dados, possui prerrogativas específicas descritas no Capítulo IV da LGPD (Lei 13.709/2018). O tratamento de dados pelo Poder Público deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.
Quando o controle acionário é transferido para a iniciativa privada, há um risco inerente de choque entre a lógica de mercado — que muitas vezes vê os dados como ativos monetizáveis — e a lógica do serviço público. A jurisprudência constitucional tem avançado no sentido de que a proteção de dados funciona como um limite intransponível à discricionariedade do gestor público ao desenhar modelos de privatização.
A LGPD estabelece regimes diferenciados para o setor público e o setor privado. O setor público (Art. 23) pode tratar dados sem consentimento, baseando-se na execução de políticas públicas. Já o setor privado, em regra, depende de bases legais como o consentimento, o legítimo interesse ou a execução de contrato (Art. 7).
O desafio jurídico surge no momento da “virada de chave”. Se uma empresa estatal, que coletou dados com base no poder de império do Estado (muitas vezes de forma obrigatória para o cidadão, como no caso de impostos ou trânsito), passa a ser gerida por um ente privado, qual regime se aplica?
A doutrina e as decisões judiciais mais recentes apontam para a impossibilidade de alteração unilateral da finalidade e da base legal original. O ente privado que assume o controle não herda o “poder de império” para usar aqueles dados para fins comerciais distintos dos originais. Isso exige que o profissional do Direito compreenda profundamente as nuances da Pós-Graduação em Data Protection Officer para navegar por essas águas turvas de governança corporativa e compliance público.
Um dos pilares da proteção de dados é o princípio da finalidade. Os dados devem ser tratados para propósitos legítimos, específicos, explícitos e informados ao titular. No contexto de desestatização, a continuidade da prestação do serviço público é o que justifica a manutenção do acesso aos dados pela nova gestão privada.
Juridicamente, é vedado que a nova controladora utilize o acervo de dados herdado para finalidades incompatíveis com a coleta original. Por exemplo, dados coletados para fins de segurança pública ou gestão de trânsito não podem, após a privatização da empresa de processamento, ser utilizados para fins de marketing, análise de crédito ou vendidos a terceiros, salvo se houver uma nova coleta de consentimento ou outra base legal robusta que suporte tal tratamento.
A estruturação jurídica da venda da empresa deve, portanto, conter cláusulas contratuais rígidas (provisões de salvaguarda) que blindem o banco de dados. Essas cláusulas devem proibir o desvio de finalidade e garantir que o tratamento dos dados continue servindo estritamente ao interesse público que motivou a sua existência.
Além das questões principiológicas, a desestatização envolve riscos operacionais críticos. Empresas estatais de processamento de dados costumam deter informações estratégicas do Estado e dados sensíveis de milhões de cidadãos. A transferência de controle exige a implementação de medidas de segurança da informação de nível militar e corporativo avançado.
A figura do Encarregado de Dados (DPO) torna-se central nesse processo. Em uma empresa recém-privatizada que lida com dados de origem pública, o DPO atua como um garantidor de que a lógica comercial não atropelará os direitos fundamentais. A realização de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) prévio à desestatização é uma medida indispensável para mapear riscos.
Outro ponto de atenção para advogados corporativos e administrativistas é a soberania digital. Muitas vezes, a desestatização abre portas para investidores estrangeiros. Isso levanta a questão da transferência internacional de dados.
A LGPD (Art. 33) permite a transferência internacional apenas para países que proporcionem grau de proteção de dados pessoais adequado ao previsto na lei brasileira, ou mediante garantias contratuais específicas. No caso de dados governamentais estratégicos, a exigência é ainda maior. O edital de desestatização e o contrato de compra e venda devem estabelecer onde os dados serão armazenados (data centers locais ou nuvem) e sob qual jurisdição estarão submetidos, evitando que informações de segurança nacional ou dados sensíveis dos cidadãos fiquem à mercê de legislações estrangeiras menos protetivas.
Uma solução jurídica frequentemente debatida é a segregação lógica ou física das bases de dados. Nem todos os dados geridos por uma empresa estatal são passíveis de transferência para gestão privada irrestrita. Dados de inteligência policial, segredos de Estado ou informações de saúde altamente sensíveis podem exigir um regime de custódia diferenciado.
O advogado deve estar atento à modelagem dessa segregação. Pode ser necessário criar uma estrutura onde a empresa privatizada atue apenas como operadora (processadora técnica) de certas bases, mantendo a controladoria (poder de decisão) estritamente nas mãos do Estado. Essa distinção entre Controlador e Operador é vital para a definição de responsabilidade civil em caso de incidentes de segurança.
Se houver um vazamento de dados após a privatização, a responsabilidade recairá sobre o novo controlador privado, sobre o Estado ou será solidária? A resposta dependerá de como o contrato de desestatização definiu as obrigações de segurança e a titularidade das bases de dados no momento do incidente. A clareza contratual é a única forma de mitigar passivos gigantescos.
A desestatização de empresas de tecnologia governamental não é apenas uma operação de M&A (Fusões e Aquisições). É uma operação de transferência de custódia de direitos fundamentais. O profissional do Direito que atua nessa área precisa transcender o conhecimento tradicional de Direito Administrativo e Empresarial.
É necessário dominar os princípios da autodeterminação informativa, a arquitetura da LGPD e as recentes decisões das cortes superiores que moldam a interpretação constitucional da proteção de dados. A segurança jurídica do negócio e a proteção da sociedade dependem dessa expertise multidisciplinar.
Quer dominar a Proteção de Dados e se destacar na advocacia? Conheça nosso curso Pós-Graduação em Data Protection Officer e transforme sua carreira.
* **Imutabilidade da Finalidade Pública:** A privatização do ente gestor não altera a natureza pública dos dados coletados originalmente sob essa justificativa. O “dna” do dado permanece vinculado ao interesse público.
* **Constitucionalização do Tema:** Com a EC 115/2022, a proteção de dados é matéria constitucional, permitindo que o STF intervenha diretamente em processos de desestatização que ameacem esse direito.
* **Distinção Controlador x Operador:** Em muitos modelos de desestatização, a solução mais segura é manter o Estado como Controlador dos dados sensíveis e a empresa privada apenas como Operadora técnica, limitando o poder de uso comercial das informações.
* **Auditabilidade Permanente:** A empresa privatizada que gere dados públicos deve estar sujeita a regimes de auditoria e fiscalização mais rigorosos do que empresas puramente privadas, inclusive por parte dos Tribunais de Contas.
* **Cláusulas de Salvaguarda:** Contratos de venda de estatais de dados devem conter cláusulas que impeçam a transferência internacional não autorizada e o uso de dados para discriminação algorítmica.
Quem ensina aqui atua na área — professores com banca, cátedra e prática.
Ver as pós em Direito