O incêndio que atingiu o Arquivo Geral do Tribunal de Justiça do Espírito Santo não deve ser visto apenas como uma tragédia administrativa ou patrimonial. O episódio representa, sobretudo, um alerta sobre como a proteção de dados pessoais ainda é frequentemente compreendida de forma equivocada por muitos órgãos públicos brasileiros.
Quando se fala em Lei Geral de Proteção de Dados (LGPD), a imagem que normalmente vem à mente é a de computadores invadidos por hackers, vazamentos de informações na internet ou ataques cibernéticos sofisticados. No entanto, a LGPD não protege apenas dados digitais. Ela protege dados pessoais, independentemente do suporte em que estejam armazenados.
Dados pessoais impressos em um processo judicial, em uma ficha funcional, em um prontuário médico ou em um documento administrativo continuam sendo dados pessoais.
Se armazenados em papel, continuam sujeitos às mesmas obrigações de segurança, controle e preservação previstas na legislação. A destruição de um arquivo físico por incêndio, inundação, desabamento ou qualquer outro evento pode representar uma falha tão grave quanto um vazamento eletrônico.
Milhões de documentos estavam sob a guarda do Poder Judiciário. Entre eles, informações pessoais, dados financeiros, dados de saúde, registros familiares, antecedentes criminais, informações protegidas por sigilo judicial e diversos outros elementos que compõem a esfera privada dos cidadãos. O Estado, ao coletar e armazenar essas informações, assume também o dever jurídico de protegê-las.
A LGPD estabelece que os agentes de tratamento devem adotar medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, perda, destruição, alteração ou qualquer forma de tratamento inadequado. Não se trata de uma recomendação. Trata-se de uma obrigação legal.
Por essa razão, o debate que surge após o incêndio vai muito além da reconstrução de documentos. A pergunta que precisa ser feita é outra: os mecanismos de proteção, preservação e continuidade eram compatíveis com a relevância e a sensibilidade do acervo armazenado?
Consequências jurídicas
A resposta a essa pergunta possui consequências jurídicas relevantes.
A legislação brasileira impõe aos órgãos públicos o dever de implementar governança de dados, gestão de riscos e medidas de segurança proporcionais aos riscos envolvidos em suas atividades.
Isso significa que a proteção de dados não pode ser tratada como mera formalidade burocrática, limitada à publicação de uma política de privacidade ou à nomeação de um encarregado de dados.
Proteger dados exige planejamento. Exige avaliação de riscos. Exige digitalização adequada. Exige sistemas de backup. Exige planos de recuperação de desastres. Exige treinamento de servidores. Exige investimentos permanentes em infraestrutura e segurança.
Quando essas medidas não existem ou são insuficientes, a responsabilidade não desaparece juntamente com os documentos destruídos.
A depender das conclusões das investigações, poderão surgir discussões sobre responsabilidade administrativa, civil e até mesmo por improbidade administrativa, especialmente se ficar demonstrado que riscos conhecidos foram ignorados ou que medidas preventivas razoáveis deixaram de ser adotadas.
A Constituição Federal estabelece que a administração pública deve atuar com eficiência. A Lei de Acesso à Informação impõe o dever de gestão e preservação documental. A LGPD exige proteção dos dados pessoais. Todas essas normas convergem para uma mesma conclusão: não basta ao Estado coletar informações dos cidadãos; é necessário protegê-las adequadamente.
A perda de documentos públicos pode gerar consequências concretas para pessoas que dependem dessas informações para exercer direitos, comprovar fatos, defender-se em processos judiciais ou acessar registros históricos. Em determinadas situações, a destruição de documentos pode produzir danos que jamais serão integralmente reparados.
O episódio do Arquivo Geral do TJES também desmonta um dos maiores equívocos existentes sobre a LGPD: a ideia de que proteção de dados é um tema exclusivamente tecnológico.
Não é. Proteção de dados é governança. É gestão. É planejamento. É prevenção. É responsabilidade institucional.
Um servidor que deixa uma pasta processual exposta indevidamente pode comprometer a privacidade de um cidadão. Da mesma forma, uma instituição que não adota medidas adequadas para preservar seus arquivos físicos pode colocar em risco a disponibilidade e a integridade de informações que lhe foram confiadas pela sociedade.
Ainda é cedo para apontar responsabilidades definitivas sobre o incêndio. As causas do evento e a extensão dos danos deverão ser apuradas pelos órgãos competentes. Mas uma conclusão já pode ser extraída desde agora: a cultura de proteção de dados no setor público brasileiro precisa amadurecer.
A LGPD não foi criada apenas para evitar vazamentos na internet. Ela foi criada para assegurar que os dados pessoais sejam tratados com responsabilidade durante todo o seu ciclo de vida, desde a coleta até a sua eliminação ou preservação.
Quando um arquivo público é consumido pelas chamas, não são apenas papéis que podem ser perdidos. O que está em jogo é a confiança do cidadão na capacidade do Estado de proteger informações que pertencem à própria sociedade.
E essa talvez seja a maior lição que o incêndio do Arquivo Geral do TJES deixa para todos os órgãos públicos do país.
