O site do currículo Lattes está indisponível há alguns dias, aparentemente por danos no sistema de armazenamento de dados da rede local do CNPq (Conselho Nacional de Desenvolvimento Científico e Tecnológico). O CNPq criou o currículo Lattes em 1999, com o objetivo principal de unificar em uma plataforma os dados acadêmicos de estudantes, professores e pesquisadores de ensino superior no país.
A LGPD se aplica à Administração Pública, porque compreende os agentes de tratamento que forem pessoas jurídicas de direito público (arts. 1º e 5º, VI e VII, da LGPD) e existem regras específicas sobre o tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no art. 1º da Lei de Acesso à Informação (arts. 23/30 da LGPD – Capítulo IV da lei).
Houve um incidente com dados, causado pelo bloqueio e pela possível eliminação indevida dos dados pessoais (art. 44 da LGPD).
O incidente é todo evento contrário às normas legais ou às normas internas do controlador, ou quando produz resultados não esperados, ou que possuem uma probabilidade significante de comprometer as operações ou a segurança da informação.
O CNPq providenciou a comunicação do incidente no site (art. 48 da LGPD), mas não há notícia de envio de comunicação formal à Autoridade Nacional de Proteção de Dados.
Além disso, eventual responsabilidade civil pelo incidente é da União, tendo em vista que o CNPq (Conselho Nacional de Desenvolvimento Científico e Tecnológico) está na estrutura interna do Ministério da Ciência, Tecnologia e Inovações, que, por sua vez, integra a Administração Pública federal direta (art. 19, III, da Lei nº 13.844/2019).
Essa responsabilidade civil é objetiva ou subjetiva?
O art. 37, § 6º, da Constituição, prevê a responsabilidade objetiva da Administração Pública: “As pessoas jurídicas de direito público e as de direito privado prestadoras de serviços públicos responderão pelos danos que seus agentes, nessa qualidade, causarem a terceiros, assegurado o direito de regresso contra o responsável nos casos de dolo ou culpa”.
Com base no uso do verbo “causar” danos a terceiros, entende-se que a responsabilidade objetiva ocorre apenas nas ações (ou atos comissivos), ou seja, apenas para os danos causados por atos praticados por agentes públicos.
Por outro lado, se os danos surgirem em decorrência de omissões (ou atos omissivos) de agentes públicos, a responsabilidade civil da Administração Pública é subjetiva, ou seja, depende da comprovação de dolo ou culpa.
Neste caso, o incidente foi causado por uma omissão do CNPq, de não atualizar ou alterar os seus equipamentos de TI, mais especificamente no armazenamento de dados, o que poderia levar à responsabilidade subjetiva?
O STF modificou essa interpretação há poucos anos, para passar a aplicar em situações específicas que a responsabilidade da Administração Pública é objetiva, por ação ou omissão. Esse entendimento se baseia na teoria do risco administrativo, que estabelece a responsabilidade objetiva a partir da desigualdade existente entre Administração e administrados e dos riscos causados das atividades públicas, mas admite a demonstração pelo Estado de excludentes de responsabilidade (ex: força maior, caso fortuito, culpa exclusiva da vítima ou de terceiros) e o direito de regresso contra o agente que causou o dano.
Por exemplo, no Tema nº 366 da Repercussão Geral, fixado em 2020, o STF definiu a responsabilidade civil objetiva do Estado por danos decorrentes de omissão do dever de fiscalizar comércio de fogos de artifício em residência:
“Para que fique caracterizada a responsabilidade civil do Estado por danos decorrentes do comércio de fogos de artifício, é necessário que exista a violação de um dever jurídico específico de agir, que ocorrerá quando for concedida a licença para funcionamento sem as cautelas legais ou quando for de conhecimento do poder público eventuais irregularidades praticadas pelo particular”.
De outro lado, a ausência de nexo de causalidade entre a omissão da Administração Pública e dos danos causados retira a responsabilidade civil desta, como decidiu o STF no Tema nº 362 da Repercussão Geral, estabelecido em 2020, sobre a responsabilidade civil do Estado por ato praticado por preso foragido:
“Nos termos do artigo 37, § 6º, da Constituição Federal, não se caracteriza a responsabilidade civil objetiva do Estado por danos decorrentes de crime praticado por pessoa foragida do sistema prisional, quando não demonstrado o nexo causal direto entre o momento da fuga e a conduta praticada”.
Por fim, voltando aos problemas ocorridos no currículo Lattes, é preciso questionar: houve danos com a impossibilidade temporária de acesso aos currículos e aos dados pessoais existentes neles? Por exemplo, se não foi possível apresentá-lo em processo seletivo de curso de pós-graduação ou em concurso para professores, como corrigir o problema e compensar eventuais prejuízos?
E se eventualmente ocorrer a eliminação dos dados pessoais, com a sua perda definitiva, como recuperar esses dados e refazer os currículos?
Essas são algumas das questões que precisarão ser resolvidas na prática após a verificação e correção dos problemas técnicos ocorridos, e dependerão da interpretação e aplicação de normas de Direito Administrativo, de Direito Civil e da Lei Geral de Proteção de Dados Pessoais.