Caso 5: Segurança da informação e auditoria fiscal
A Secretaria da Receita Federal implementou um novo sistema de análise de dados para fiscalização de contribuintes. O sistema utiliza algoritmos de aprendizado de máquina para selecionar declarações suspeitas. Durante uma auditoria interna, verificou-se que o sistema apresenta viés nos resultados: contribuintes de determinada região são selecionados com frequência 30% maior que a média, sem justificativa técnica. Além disso, o sistema armazena dados pessoais dos contribuintes em servidor sem criptografia, acessível por qualquer servidor público da área. A equipe de segurança da informação foi acionada para avaliar os riscos e propor controles. Diante disso, responda:
1. Quais os princípios da segurança da informação estão sendo violados e quais controles devem ser implementados para mitigar os riscos?
Read the worked answer
Os princípios violados incluem a confidencialidade (dados sem criptografia e acessíveis a qualquer servidor), a integridade (possível viés algorítmico comprometendo a exatidão dos resultados) e a legalidade/impessoalidade (viés regional fere a isonomia). Controles recomendados: implementar criptografia em repouso e em trânsito; adotar controle de acesso baseado em papéis (RBAC) e o princípio do menor privilégio; realizar auditoria periódica dos algoritmos para identificar e corrigir vieses; documentar a lógica do modelo e garantir explicabilidade; estabelecer política de privacidade e proteção de dados conforme a LGPD; e criar comitê de revisão ética dos algoritmos.
2. Considerando a LGPD (Lei 13.709/2018), quais são as obrigações da Administração Pública em relação ao tratamento de dados pessoais nesse sistema e quais as possíveis sanções em caso de descumprimento?
Read the worked answer
A Administração Pública deve tratar dados pessoais com base em hipóteses legais (art. 7º e 23 da LGPD), garantir transparência, segurança, prevenção e responsabilização. Deve nomear encarregado de proteção de dados, realizar avaliação de impacto à proteção de dados (RIPD) para atividades de alto risco, e adotar medidas de segurança desde a concepção. Em caso de incidente, deve comunicar à ANPD e aos titulares. As sanções administrativas previstas na LGPD (art. 52) incluem advertência, multa simples ou diária, publicização da infração, bloqueio ou eliminação dos dados, e suspensão parcial ou total do funcionamento do banco de dados. No entanto, a LGPD veda a aplicação de sanções à Administração Pública? Não, a LGPD prevê que as sanções serão aplicadas pela ANPD, mas há debate sobre a aplicação a entes públicos; em geral, aplicam-se medidas corretivas. O descumprimento pode gerar responsabilidade civil e administrativa dos agentes.