AREsp 2635769 - DECISAO

DECISÃO Cuida-se de agravo apresentado por MANOEL AZEVEDO NORONHA FILHO contra a decisão que não admitiu seu recurso especial. O apelo nobre, fundamentado no artigo 105, inciso III, alínea "a", da CF/88, visa reformar acórdão proferido pelo TRIBUNAL DE JUSTIÇA DO ESTADO DE SÃO PAULO, assim resumido: MANDADO DE SEGURANÇA - ACESSO A DADOS PESSOAIS SENSÍVEIS DE USUÁRIOS DO SUS - MUNICÍPIO DE ÁGUAS DE SÃO PEDRO - IMPETRANTE QUE É VEREADOR DO MUNICÍPIO DE ÁGUAS DE SÃO PEDRO E PRETENDE TER ACESSO A DADOS PESSOAIS SENSÍVEIS (NOMES E ENDEREÇOS, COM IDENTIFICAÇÃO DE DADOS RELATIVOS À SAÚDE) DE USUÁRIOS DA UNIDADE BÁSICA DE SAÚDE DO MUNICÍPIO - DADOS CUJO COMPARTILHAMENTO PELA ADMINISTRAÇÃO PÚBLICA DEVE OBSERVAR A LEI DE ACESSO À INFORMAÇÃO E A LEI GERAL DE PROTEÇÃO DE DADOS - PRETENSÃO DO IMPETRANTE QUE NÃO ATENDE AOS REQUISITOS LEGAIS PARA O TRATAMENTO DOS DADOS DISCUTIDOS - POSSIBILIDADE DE REALIZAR A ANÁLISE PRETENDIDA COM BASE EM OUTROS DADOS, DE LIVRE ACESSO EM SITES GOVERNAMENTAIS, OU EM DADOS NÃO CLASSIFICADOS COMO PESSOAIS - NECESSIDADE NÃO DEMONSTRADA - DADOS PLEITEADOS QUE NÃO SE ADEQUAM AO PRETENDIDO PELO IMPETRANTE - ADEQUAÇÃO NÃO VERIFICADA - FINALIDADE PÚBLICA E PERSECUÇÃO DO INTERESSE PÚBLICO NÃO DEMONSTRADOS - PEDIDO SUBSIDIÁRIO QUE TAMBÉM NÃO COMPORTA ACOLHIMENTO - ANONIMIZAÇÃO OU MESMO PSEUDOANONIMIZAÇÃO DOS DADOS DOS ENDEREÇOS DOS USUÁRIOS DA UBS QUE NÃO SÃO POSSÍVEIS - SENTENÇA MANTIDA. Quanto à controvérsia, a parte recorrente alega violação dos arts. 6º, I, da Lei n. 12.527/2011 (Lei de Acesso à Informação), e 7º, II a X, da Lei n. 13.709/2019 (Lei Geral de Processamento de Dados). Sustenta que o pedido feito à Secretaria Municipal de Saúde se insere entre as exceções previstas na Lei Geral de Proteção de Dados que permitem atos de tratamento de dados pela Administração Pública, sendo, portanto, prescindível o consentimento pelo titular, tendo o impetrante demonstrado nos autos, ademais, o interesse público sobre o qual se fundamenta o pleito, trazendo a seguinte argumentação: Segundo o art. 6º da Lei nº 12.527/2011, o amplo acesso à informação é dever dos órgãos do Poder Público, respeitadas as garantias da privacidade e da intimidade. Art. 6º Cabe aos órgãos e entidades do poder público, observadas as normas e procedimentos específicos aplicáveis, assegurar a: I - Gestão transparente da informação, propiciando amplo acesso a ela e sua divulgação; II - Proteção da informação, garantindo-se sua disponibilidade, autenticidade e integridade; e III - Proteção da informação sigilosa e da informação pessoal, observada a sua disponibilidade, autenticidade, integridade e eventual restrição de acesso. Ainda que a garantia do acesso à informação não seja absoluta e deva ser ponderada à luz de direitos individuais outros, é inegável que a pretensão arguida no presente recurso não fere, de maneira alguma, os ditames trazidos pelo art. 5º, X, da Constituição e art. 7º, I, da LGPD. A LGPD traz um arcabouço de regras acerca do tratamento de dados, e é muito clara ao definir que (i) o consentimento não é condição imprescindível para qualquer tipo de tratamento de dados; e (ii) o processo de anonimização de dados, definido pelo art. 5º, III, isenta por completo os controladores e operadores das rígidas regras de tratamento, tendo em vista a ausência de violação da intimidade ou privacidade, conforme o art. 12 do mesmo diploma. Como será pormenorizado a seguir, tais exceções autorizam a concessão da segurança ora pleiteada pelo Recorrente. a) Hipóteses trazidas pelo art. 7º, incisos II a X, da Lei nº 13.709/2019 (LGPD) que independem do consentimento do titular dos dados. Sobreposição do interesse público. Precedentes deste e. TJSP. Não são necessários grandes esforços exegéticos para compreender que o consentimento constitui apenas um dos critérios para a possibilidade de tratamento de dados, sendo certo que ele é dispensável quando o interesse público superar os imperativos de proteção da privacidade e intimidade dos titulares de dados pessoais. É o que pode ser extraído dos incisos I a X do art. 7º da LGPD. Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: I - Mediante o fornecimento de consentimento pelo titular; II - Para o cumprimento de obrigação legal ou regulatória pelo controlador; III - Pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei; IV - Para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; V - Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; VI - Para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem); VII - Para a proteção da vida ou da incolumidade física do titular ou de terceiro; VIII - Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; IX - Quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou X - Para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente. Segundo os comentários de CAIO CÉSAR CARVALHO LIMA, em obra organizada por RENATO OPICE BLUM et al., o consentimento é dispensável nas hipóteses enumeradas pelos incisos II a X do referido artigo: "Apesar de ainda ser considerado a principal base legal, o consentimento passa a ser apenas uma das dez hipóteses legais trazidas na legislação, sendo que todas as outras nove hipóteses existentes independem do consentimento para que sejam tidas como válidas." Por sua vez, o presente caso encontra perfeita incidência nas exceções à imprescindibilidade do consentimento inscritas nos incisos II e IX, uma vez que: (i) é obrigação legal do Poder Público Municipal, sob a escorreita fiscalização do Poder Legislativo, prestar serviços de atendimento à saúde da população local (conforme determinação do art. 30, VII, da CF10) à luz dos princípios orientadores da administração pública definidos pelo art. 37 da mesma Constituição; e (ii) o escrutínio das informações contidas no cadastro de usuários da Unidade Básica de Saúde atende a interesses legítimos tanto do Município (controlador) quanto da população local (titulares), uma vez que a identificação da sobrecarga dos equipamentos de saúde pública leva, potencialmente, a caminhos para a solução do problema e melhor alocação de recursos públicos. Importante ressaltar que uma definição mais detalhada do que é o legítimo interesse do controlador de dados é trazida pelo art. 10, incisos I e II, da LGPD. Tal artigo de lei dispõe que em situações nas quais se pretende atender direito do titular e/ou prestar serviços que o beneficiem, está configurado o legítimo interesse do controlador em proceder com o tratamento desses dados. Confira-se: Art. 10. O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: I - Apoio e promoção de atividades do controlador; e II - Proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei. E é justamente o caso da ação mandamental de origem, que pretende instar a Prefeitura Municipal de Águas de São Pedro a prestar informações capazes de auxiliar no escrutínio da alocação de recursos da saúde pública municipal. O e. TJSP possui precedentes no sentido de que, sobreposto o interesse público, deve o controlador proceder com os atos necessários de tratamento de dados, os quais abarcam a transferência para outros órgãos públicos. Observe-se, por exemplo, o Acórdão proferido pela 2ª Câmara de Direito Público: .. Ademais, importa ressaltar que em momento nenhum a Autoridade Impetrada esclareceu quaisquer detalhes acerca de eventuais termos de consentimento assinados pelos titulares dos dados (munícipes cadastrados para o uso da Unidade Básica de Saúde), sendo presumível que, enquanto órgão público, ainda não passou pelas adaptações exigidas pela LGPD, não podendo ser a lei, recentemente promulgada, justificativa para se opor a uma gestão transparente das informações de interesse público, conforme o art. 5º, XIV, da CF e art. 6º da Lei nº 12.527/2016. Ao contrário do que aduziu o acórdão recorrido em fls. 331, o Recorrente nunca se furtou de demonstrar detalhadamente a finalidade pública e a persecução do interesse público. Como pode ser observado nas fls. 267/270, há extensa argumentação no sentido de que o acesso a tais informações viabilizaria uma melhor fiscalização dos gastos do Poder Executivo Municipal, bem como análise de eventual sobrecarga dos equipamentos de saúde pública da cidade. Diante do exposto, de rigor a reforma do acórdão proferido pelo Tribunal ad quem para que seja concedida a ordem do mandamus para assegurar ao Recorrente, no pleno exercício de suas prerrogativas de vereador, a fiscalização dos atos do Poder Executivo Municipal, dada a sobreposição do interesse público perfeitamente garantido pelas hipóteses do art. 7º, incisos II e IX, da LGPD (fls. 349-355). É, no essencial, o relatório. Decido. Quanto à controvérsia, o Tribunal de origem se manifestou nos seguintes termos: Da leitura dos dispositivos legais, extrai-se que o impetrante pretende ter acesso a dados pessoais sensíveis de usuários do SUS, os quais são protegidos pela legislação. O tratamento de dados pessoais pela Administração Púbica é restrita, sob risco de violação da privacidade dos titulares desses dados. Assim, no tratamento de dados dessa natureza, a Administração deverá observar os princípios da finalidade, adequação e necessidade, além de, especificamente, a finalidade pública e a persecução do interesse público, com objetivo de executar as competências legais ou as atribuições legais do serviço público. No caso concreto, o impetrante apresentou o seu objetivo com o acesso aos dados, mas não demonstrou que esse acesso atenderia à finalidade pública e à persecução do interesse público. Tampouco comprovou que o tratamento dos dados pelo compartilhamento seria necessário e adequado. A discrepância apontada pelo impetrante entre vacinas aplicadas e o número de habitantes do Município e entre este último número e os cadastros junto ao sistema de saúde público não é justificativa para que os dados pleiteados sejam fornecidos. Isto porque os dados oficiais revelam cenário diverso do exposto pelo Vereador. De acordo com o detalhado parecer do Ministério Público apresentado em primeira instância (fls. 249 a 258), a população do Município de Águas de São Pedro em 2021 era de 3.588 habitantes, conforme informação do Instituto Brasileiro de Geografia e Estatística - IBGE, sendo que esse número era uma estimativa, uma vez que o último censo havia sido realizado em 2010. Já a população vacinada da cidade, de acordo com os dados do Vacinômetro do Governo do Estado de São Paulo, era de 3.846 pessoas (esquema vacinal completo). Ou seja, o número de habitantes do Município é muito próximo do número de pessoas com esquema vacinal completo. O Parquet ainda demonstrou que o número de doses de vacinas aplicadas em Águas de São Pedro coincide com o número de habitantes da cidade. E, quanto à ata notarial de fls. 21 a 25, a publicação indicada refere-se a posts em rede social, realizados em 01.07.2021, discutindo a questão do número de habitantes da cidade e das doses de vacinas contra a Covid-19 aplicadas, mas, como bem salientou o parecer Ministerial, tratava-se de época em que a pandemia ainda estava em estágio de alto contágio no país, levando a população a buscar a vacina com urgência. Outro ponto que merece atenção e que se revela pela leitura dos posts constantes da ata notarial (fls. 21 a 25) e do parecer da D. Procuradoria Geral de Justiça é a população flutuante do município. Afinal, Águas de São Pedro é estância hidromineral, isto é, local turístico e que concentra também casas de veraneio, daí que sua população pode sofrer oscilações a depender da época do ano, o que pode ter se agravado com a pandemia de Covid-19, época em que, como é público e notório, muitas pessoas deixaram a Capital de São Paulo e partiram para o interior do Estado. Essas pessoas certamente utilizam o serviço de saúde municipal quando necessitam e podem tê-lo feito, inclusive, para se vacinar contra a Covid-19. Nessa toada, o acesso aos dados pretendidos, ou seja, a nomes e endereços dos usuários do SUS, não esclareceria a dúvida suscitada pelo impetrante. A dúvida poderia ser esclarecida, ainda que parcialmente, pela análise dos dados apresentados pelo Parquet, facilmente consulados no site do IBGE e do Vacinômetro do Governo do Estado. Aliás, como bem destacado em contrarrazões de apelação, o impetrante não pretende que sejam fornecidos números de usuários cadastrados, relatórios e comprovantes de despesas com a saúde pública municipal, mas, sim, dados pessoais de usuários do sistema de saúde, o que, realmente, não se mostra adequado para a finalidade apresentada por ele. Em outras palavras, o tratamento dos dados pretendido não é adequado além de ser desnecessário, não atendendo à finalidade pública e à persecução do interesse público. Logo, a pretensão não encontra amparo na Lei Geral de Proteção de Dados. É claro que o interesse do Vereador em fiscalizar o sistema de saúde público municipal é legítimo e encontra respaldo no art. 31 da Constituição Federal (Art. 31. A fiscalização do Município será exercida pelo Poder Legislativo Municipal, mediante controle). Entretanto, para o acesso a dados de usuários é necessário obedecer aos ditames da Lei Geral de Proteção de Dados. Ademais, essa fiscalização pode ser feita, conforme supra exposto, com base em outras informações e dados aos quais qualquer pessoa pode ter acesso por meras pesquisas em sites governamentais, ou mesmo por requerimento aos órgãos competentes, sem que envolva dados pessoais de usuários do SUS. .. Nem mesmo o fornecimento dos endereços pela autoridade coatora ao impetrante é possível, razão peça qual o pedido subsidiário também não comporta acolhimento. Em que pese o impetrante tente classificar os dados dos endereços como anonimizáveis, a identificação dos munícipes seria possível com o compartilhamento dessas informações. O dado anonimizado, de acordo com o art. 5º, III, da LGPD, é "dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;". São dados que, então, de acordo com o inciso XI daquele art. 5º, passam por um processo de anonimização ("XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;"). Referidos dados, nos termos do caput do art. 12 da LGDP "..não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido". Assim, "a importância da anonimização é que, uma vez anonimizados, esses dados, em tese, não teriam a capacidade de identificar uma pessoa natural, por isso, não são tidos como dados pessoais e, consequentemente, não são mais protegidos pela lei"1. No caso de fornecimentos de endereços de usuários da UBS, ainda que não constem nomes e números de documentos pessoais, ou seja, ainda que os dados passem por uma tentativa de anonimização, a identificação dos titulares seria possível. Com simples "esforços razoáveis", seria possível reverter a anonimização, já que bastaria o cruzamento dos endereços com outros dados dos titulares (dados do IPTU dos imóveis do Município, por exemplo) para identificar o indivíduo. Seria possível falar em pseudonimização dos dados, prevista pelo art. 13, §4º, da LGDP ("§ 4º Para os efeitos deste artigo, a pseudonimização é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro"). A pseudonimização ".. é uma técnica que substitui informações contidas num conjunto de dados que identifica um indivíduo por um identificador artificial, um pseudônimo. Consideremos um conjunto de dados formados por dois tipos de dados, os dados pessoais, tais como nome e endereço, e demais dados que não singularizam a pessoa. Na pseudonimização, os dados pessoais são substituídos por um identificador artificial e mantidos num banco de dados separado que liga dados pessoais e pseudônimo. Enquanto isso, os demais dados relativos à pessoa são referenciados por este pseudônimo e mantidos numa segunda base de dados. Desta maneira o processo de reidentificação só ocorre com a junção das duas bases de dados, ou seja, da base com os pseudônimos que os associa aos dados pessoais e os demais registros"2. Mas, no caso sub judice, nem mesmo a pseudonimização dos dados, na forma pretendida, seria possível, pois a identificação dos titulares dos dados poderia ser feita pelo acesso a outros dados, que não necessariamente estão retidos de forma controlada e segura pelo controlador (Município). Deve-se ressaltar, ainda, que "a LGPD, no artigo 5º, inciso I, diz, expressamente, que dado pessoal é informação relacionada a pessoa natural identificada ou identificável. Dessa forma, se dados que, por vezes, não são diretamente associados a um indivíduo, mas, analisados em conjunto com outros dados disponíveis, possuem altas chances de (re)identificação de um indivíduo, esse indivíduo é identificável e, portanto, esses dados devem ser considerados como dados pessoais"3. Uma vez que não seria possível anonimizar ou pseudoanonimizar os dados de endereços cujo fornecimento o impetrante pretende, eles continuariam pessoais. Logo, não podem ser compartilhados pelo Município. De rigor, pois, a manutenção da r. sentença (fls. 330-335). Assim, incide o óbice da Súmula n. 7 do STJ ("A pretensão de simples reexame de prova não enseja recurso especial"), uma vez que o acolhimento da pretensão recursal demandaria o reexame do acervo fático-probatório juntado aos autos. Nesse sentido: "O recurso especial não será cabível quando a análise da pretensão recursal exigir o reexame do quadro fático-probatório, sendo vedada a modificação das premissas fáticas firmadas nas instâncias ordinárias na via eleita (Súmula n. 7/STJ)". (AgRg no REsp n. 1.773.075/SP, relator Ministro Felix Fischer, Quinta Turma, DJe 7/3/2019.) Confiram-se ainda os seguintes precedentes: AgInt no AREsp n. 1.679.153/SP, relator Ministro Marco Aurélio Bellizze, Terceira Turma, DJe de 1/9/2020; AgInt no REsp n. 1.846.908/RJ, relator Ministro Antonio Carlos Ferreira, Quarta Turma, DJe de 31/8/2020; AgInt no AREsp n. 1.581.363/RN, relator Ministro Herman Benjamin, Segunda Turma, DJe de 21/8/2020; e AgInt nos EDcl no REsp n. 1.848.786/SP, relator Ministro Benedito Gonçalves, Primeira Turma, DJe de 3/8/2020; AgInt no AREsp n. 1.311.173/MS, relator Ministro Gurgel de Faria, Primeira Turma, DJe de 16/10/2020. Ante o exposto, com base no art. 21-E, V, do Regimento Interno do Superior Tribunal de Justiça, conheço do agravo para não conhecer do recurso especial. Publique-se. Intimem-se. EMENTA