Coleta de dados sob restrição de finalidade
Uma equipe de tecnologia de um órgão público mantém um sistema de controle de acesso com registro de horários de entrada e saída de servidores. A área de inteligência solicita acesso a esses registros para analisar padrões de ausência em um período de 90 dias, alegando necessidade de identificar possível vazamento de informação. O pedido não especifica quais servidores são investigados nem qual é o fato gerador concreto. O gestor do sistema tem autonomia técnica para negar ou condicionar o acesso. A base contém dados de 1.400 pessoas, incluindo terceirizados, e o sistema registra também biometria de catraca, armazenada em outro módulo. Há prazo de 48 horas para responder ao pedido, e a chefia da inteligência pressiona por acesso integral.
1. Como o gestor deve avaliar o pedido à luz dos princípios de finalidade, necessidade e minimização?
Read the worked answer
O pedido, como formulado, não passa no teste de finalidade: "analisar padrões de ausência" é um meio, não uma finalidade vinculada a um fato concreto. O gestor deve pedir a explicitação do fato gerador, do período estritamente necessário e do universo de pessoas efetivamente relacionadas à apuração. Sem isso, o acesso integral a 90 dias de 1.400 pessoas é desproporcional. O princípio da necessidade exige perguntar se o objetivo pode ser atingido com dado menos invasivo: por exemplo, relatórios agregados por setor, ou registros apenas dos servidores já identificados em apuração preliminar. O princípio da minimização orienta a entregar o menor conjunto capaz de responder à pergunta. A biometria está em módulo separado e não foi pedida; não deve ser incluída, e o gestor deve registrar essa exclusão. A resposta em 48 horas pode ser um deferimento parcial condicionado: acesso limitado a período e universo delimitados, com compromisso de que qualquer ampliação seja justificada por escrito. A pressão da chefia não altera o teste jurídico; o gestor pode registrar a pressão e responder tecnicamente. É útil documentar a decisão com a pergunta que cada dado responde, de modo que a trilha de auditoria mostre por que o restante foi negado.
2. Que salvaguardas o gestor deve exigir antes de liberar qualquer acesso, e como registrar a decisão?
Read the worked answer
As salvaguardas mínimas são quatro. Primeira, vínculo entre acesso e caso: cada consulta deve referenciar o número do procedimento e o fato gerador. Segunda, escopo temporal e pessoal fechado: período e lista nominal, sem consultas abertas. Terceira, registro de auditoria de quem acessou o quê e quando, com retenção compatível com a apuração. Quarta, restrição de uso: os dados não podem migrar para outras finalidades nem ser compartilhados sem novo teste. O gestor deve também definir prazo de devolução ou eliminação ao fim da apuração e indicar responsável pelo tratamento. O registro da decisão deve conter o pedido original, a análise de finalidade, necessidade e minimização, o que foi deferido, o que foi negado e por quê, e as condições impostas. Esse documento protege o gestor e a equipe: se o acesso for depois questionado, a trilha mostra que houve análise, não atendimento automático. A resposta deve ainda abrir canal para pedido complementar fundamentado, de modo que a negociação ocorra por escrito e não por pressão informal. Por fim, o gestor deve verificar se o módulo biométrico tem base própria e se o pedido o alcança; se não alcança, a exclusão deve ser expressa na resposta, para evitar ampliação silenciosa depois.