LGPD no RPPS: deveres do gestor com os dados dos segurados

O RPPS trata, no dia a dia, dados pessoais de servidores ativos, aposentados e pensionistas, o que faz do regime um controlador de dados nos termos da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). Isso significa que o gestor previdenciário tem deveres legais específicos sobre como esses dados são coletados, armazenados, utilizados e compartilhados, com responsabilidade direta em caso de descumprimento.

O RPPS como controlador de dados

A LGPD define o controlador como quem toma as decisões sobre o tratamento de dados pessoais. No caso do RPPS, isso inclui decisões sobre quais dados são coletados dos segurados, para quais finalidades são usados, por quanto tempo são mantidos e com quem são compartilhados, inclusive entre setores da própria administração e com fornecedores de sistemas.

Os dados tratados por um RPPS vão além de nome, CPF e endereço. Incluem remuneração, tempo de contribuição, vínculos funcionais, dados de dependentes e, em determinadas situações, informações de saúde.

Dados sensíveis: o caso da saúde nas perícias

A LGPD classifica dados sobre saúde como dados pessoais sensíveis, sujeitos a regras mais rígidas de tratamento (art. 5º, II, e art. 11 da LGPD). No contexto do RPPS, esse tipo de dado aparece com frequência em processos de aposentadoria por invalidez, licenças e perícias médicas, nos quais laudos, diagnósticos e relatórios clínicos circulam entre a junta médica, o setor de benefícios e, eventualmente, sistemas informatizados.

O tratamento desses dados exige cuidados adicionais: acesso restrito às pessoas que efetivamente precisam da informação para a finalidade do processo, registro de quem acessou cada informação e proteção específica contra vazamento, já que a exposição indevida de dados de saúde tende a ser considerada de maior gravidade.

Bases legais no setor público

Diferentemente de empresas privadas, que costumam se apoiar no consentimento ou na execução de contrato, o RPPS, como órgão da administração pública, fundamenta a maior parte do seu tratamento de dados em outras bases legais previstas na LGPD, entre elas as seguintes.

• Cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II, e art. 11, I): aplicável, por exemplo, ao envio de informações previdenciárias exigidas por lei ou norma federal.
• Execução de políticas públicas (art. 7º, III): fundamenta o tratamento necessário para a concessão e a manutenção de benefícios previdenciários.
• Tutela da saúde (art. 11, II, alínea c): aplicável, em regra, ao tratamento de dados de saúde por profissionais e equipes de saúde no âmbito de perícias médicas.

A LGPD dedica um capítulo específico ao tratamento de dados pelo Poder Público (arts. 23 a 30), com regras sobre finalidade, publicidade das hipóteses de tratamento e compartilhamento entre órgãos, que também se aplicam ao RPPS enquanto ente da administração direta ou indireta, conforme sua natureza jurídica.

Deveres do gestor

A condição de controlador implica obrigações concretas, entre as quais estão as descritas a seguir.

Designar encarregado

A LGPD exige a indicação de um encarregado, também chamado de DPO, responsável por atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), além de orientar internamente sobre boas práticas de proteção de dados.

Manter registro das operações de tratamento

Documentar quais dados são tratados, com qual finalidade, por quanto tempo e com base em qual fundamento legal, de forma a demonstrar conformidade quando solicitado por órgãos de controle ou pela própria ANPD.

Adotar medidas de segurança

Implementar controles técnicos e administrativos proporcionais ao risco, como controle de acesso, registro de atividades, criptografia quando cabível e políticas internas de uso de dados.

Atender aos direitos dos titulares

Os segurados têm direito a confirmar a existência de tratamento, acessar seus dados, corrigir informações incorretas e solicitar informações sobre com quem seus dados foram compartilhados, entre outros direitos previstos na lei.

Avaliar a necessidade de relatório de impacto

Em tratamentos que envolvam risco relevante às liberdades civis e aos direitos fundamentais, pode ser recomendável a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais, documentando riscos e medidas de mitigação.

O que exigir de fornecedores de sistema

Quando o RPPS contrata um sistema de gestão previdenciária, a empresa fornecedora normalmente assume o papel de operador de dados, ou seja, trata dados pessoais em nome e conforme as instruções do controlador. Isso não elimina a responsabilidade do RPPS, e exige que o contrato e a relação com o fornecedor prevejam, entre outros pontos, o que consta na tabela abaixo.

Exigência	Por quê
Tratamento restrito às instruções do RPPS	Evita uso indevido ou para finalidade diversa da contratada
Medidas de segurança documentadas	Permite verificar se a proteção é compatível com o risco dos dados tratados
Sigilo contratual	Protege informações de segurados mesmo após o fim do contrato
Apoio em caso de incidente	Garante que o fornecedor colabore na apuração e na comunicação de eventuais vazamentos
Exportação e portabilidade dos dados	Evita dependência excessiva do fornecedor e garante continuidade em caso de troca de sistema

Incidentes de segurança

Quando ocorre um incidente que possa acarretar risco ou dano relevante aos titulares, a LGPD prevê o dever de comunicação à ANPD e aos titulares afetados, em prazo razoável, conforme definido pela autoridade (art. 48). A lei não fixa um prazo numérico específico para essa comunicação, diferentemente de outras legislações internacionais, mas exige agilidade proporcional à gravidade do caso.

Por isso, é recomendável que o RPPS tenha, previamente, um plano de resposta a incidentes que defina responsáveis, canais de comunicação interna e externa, e os passos para conter o problema e informar as pessoas afetadas.

Este conteúdo é informativo e não substitui orientação jurídica.

A ActualTech desenvolve sistemas para RPPS com controles de acesso, registro de atividades e práticas de segurança alinhadas à LGPD. Para saber mais, fale com a ActualTech.