Requisição de dados pessoais e acesso à informação
Uma equipe de fiscalização do MPU solicita ao setor de informática a extração de mensagens de correio funcional de um servidor investigado, referentes a um período de seis meses, incluindo anexos e metadados. O pedido vem acompanhado de despacho do membro do Ministério Público que instaurou procedimento investigatório, mas não há decisão judicial. O setor de informática atende por meio de sistema interno que registra logs de acesso. Paralelamente, um cidadão protocola pedido de acesso aos mesmos dados, alegando interesse público, e um jornalista pede cópia do relatório de fiscalização que menciona o servidor. O servidor investigado ainda não foi ouvido. A chefia do setor de informática pede orientação sobre como proceder e o que registrar.
1. Como o técnico deve distinguir o pedido do membro do MPU do pedido do cidadão e do jornalista, à luz da proteção de dados e do acesso à informação?
Read the worked answer
A distinção central é a finalidade e o título jurídico de cada pedido. O pedido do membro do Ministério Público, no exercício de suas atribuições investigativas e com despacho fundamentado, insere-se em procedimento oficial e pode ser atendido nos limites estritamente necessários à investigação, ainda que se trate de dados de comunicação funcional. Não é um pedido de cidadão: é requisição institucional, com base no poder-dever de investigação. Ainda assim, o técnico deve limitar o escopo ao período, às caixas e aos termos indicados, evitando varredura indiscriminada, e registrar quem acessou, quando e com qual fundamento. O pedido do cidadão, por sua vez, não se confunde com acesso a dados pessoais de terceiro: informações pessoais têm acesso restrito, e o interesse público genérico não autoriza devassa. Deve-se responder com negativa motivada quanto aos dados pessoais e, se possível, fornecer versão pública do relatório. O pedido do jornalista sobre o relatório de fiscalização segue lógica semelhante: divulga-se o resultado, com tarja nos dados pessoais e nos trechos que possam prejudicar a investigação em curso. Em todos os casos, o técnico não decide sozinho: encaminha à autoridade competente e à assessoria jurídica, registrando o fluxo.
2. Que cautelas operacionais e de registro o setor de informática deve adotar ao extrair as mensagens?
Read the worked answer
As cautelas devem garantir integridade, rastreabilidade e minimização. Operacionalmente: (1) extrair apenas o período e os campos autorizados, com filtro documentado; (2) gerar cópia forense com hash e registrar data, hora, operador e equipamento; (3) manter cadeia de custódia, com armazenamento em ambiente restrito e controle de acesso nominal; (4) separar os arquivos em lote lacrado lógico, evitando cópias paralelas em estações de trabalho; (5) não abrir anexos além do necessário à triagem, quando houver risco de malware. Quanto ao registro: lavrar termo de extração descrevendo escopo, critérios e ferramentas; anexar o despacho que autorizou; registrar os logs de acesso ao repositório; e prever prazo de guarda e descarte. O técnico deve também certificar-se de que o investigado será ouvido antes de qualquer conclusão, preservando o contraditório, e que o compartilhamento com terceiros só ocorrerá na forma decidida pela autoridade. Por fim, recomenda-se formalizar por escrito a ressalva de que a extração não equivale a juízo de valor sobre o conteúdo.