O Estado como controlador de dados: Brasil, EUA, Canadá e Europa

A disciplina da proteção de dados pessoais nasceu, no Atlântico Norte, como resposta ao Estado. A primeira lei do gênero, a do Land alemão de Hesse, de 1970, destinava-se à administração pública (Mayer-Schönberger, 1997); o Privacy Act norte-americano, de 1974, alcança apenas agências federais; e o Privacy Act canadense, em vigor desde 1983, rege exclusivamente instituições federais. O Tribunal Constitucional Federal alemão formulou a autodeterminação informativa em 1983 justamente ao julgar o recenseamento promovido pelo governo (Alemanha, 1983). No Brasil, a lei 13.709/18 (LGPD) chegou como lei geral, aplicável a particulares e ao Poder Público, e dedicou ao setor público um capítulo próprio (arts. 23 a 32), opção que distingue o modelo brasileiro (Braga; Ferreira, 2026, p. 107-108).

Essa diferença de origem ajuda a explicar diferenças de cultura institucional, mas não resolve a pergunta que interessa ao gestor e ao controle: como os Estados que regulam o tema há décadas fiscalizam a si mesmos, e o que seus relatórios oficiais revelam sobre as dificuldades que enfrentam? Adoto aqui o método funcional do direito comparado, que parte de problemas comuns e examina as soluções que cada ordenamento dá a eles (Zweigert; Kötz, 1998). Os problemas escolhidos são cinco: quem supervisiona o ente público, com que poderes, que responsável interno a lei exige, que instrumentos preventivos são obrigatórios e como se tratam os incidentes. O foco recai sobre Estados Unidos, Canadá, União Europeia e Reino Unido, com base em relatórios de auditoria, de autoridades de proteção de dados e de parlamentos.

1. Culturas de privacidade e desenho institucional

Whitman (2004) sintetizou a divergência transatlântica em duas matrizes: a europeia, centrada na dignidade e na proteção contra a exposição pública, e a norte-americana, centrada na liberdade diante do Estado. O paradoxo é que, justamente por desconfiar do governo, os Estados Unidos regularam cedo o tratamento federal de dados, mas o fizeram por meio de controles internos ao Executivo, sem criar autoridade independente com poder sobre as agências (Regan, 1995). Flaherty (1989), no estudo comparado clássico sobre as agências de proteção de dados da Alemanha, da Suécia, da França, do Canadá e dos Estados Unidos, já mostrava que a eficácia da proteção diante do Estado depende menos do texto legal e mais da existência de um órgão de supervisão com independência, recursos e disposição para confrontar a administração.

Mayer-Schönberger (1997) descreveu a evolução europeia em gerações, das leis voltadas aos grandes bancos de dados estatais à tutela de direitos individuais e, depois, à proteção setorial e participativa. O RGPD consolidou esse percurso com autoridades independentes dotadas de poderes corretivos também sobre entes públicos. No Brasil, a proteção de dados foi construída a partir de outra trajetória, que Doneda (2019) e Mendes (2014) reconstituem como deslocamento da tutela da intimidade para a disciplina dos fluxos informacionais, com forte influência do direito do consumidor. O resultado é um regime mais recente, ainda em formação institucional, que se aplica a todos os entes federativos, inclusive aos 5.570 municípios, universo que as leis federais norte-americana e canadense não alcançam e que, na Europa, o RGPD alcança.

2. Estados Unidos: Controle hierárquico sem autoridade independente

O regime federal norte-americano é um mosaico. O Privacy Act de 1974 disciplina os sistemas de registros das agências; a seção 208 do E-Government Act de 2002 exige avaliações de impacto à privacidade antes do desenvolvimento ou da aquisição de sistemas que coletem informações identificáveis; e a FISMA - Federal Information Security Modernization Act de 2014 estrutura a segurança da informação. Em 2016, a Ordem Executiva 13.719 criou o Federal Privacy Council, e o Memorando M-16-24 do OMB - Office of Management and Budget talhou o papel do SAOP - Senior Agency Official for Privacy que cada agência deve designar. A supervisão cabe ao OMB, aos inspetores-gerais e ao GAO - Government Accountability Office. Estados e municípios ficam fora do Privacy Act e dependem de leis estaduais próprias.

Os números oficiais mostram a escala do problema. No último relatório anual FISMA disponível, relativo ao exercício de 2023, as agências federais reportaram 32.211 incidentes de segurança, 9,9% a mais que os 29.319 do exercício anterior, dos quais 11 foram classificados como incidentes maiores. As agências abrangidas pelo CFO Act registraram internamente 18.909 violações de informações pessoais identificáveis e reportaram 8.420 à CISA - Cybersecurity and Infrastructure Security Agency. No mesmo relatório, 100% das agências declararam ter designado seu SAOP (Estados Unidos, 2024). A designação formal, porém, não garante função efetiva. O GAO examinou 24 agências e concluiu que os responsáveis designados acumulavam outras atribuições principais e dificilmente dedicavam à privacidade a maior parte do tempo; 21 agências apontaram insuficiência de recursos, e o órgão sugeriu ao Congresso exigir por lei um responsável sênior dedicado (Estados Unidos, 2022). Em 2023, o GAO incluiu a proteção da privacidade entre as ações prioritárias da área de alto risco em cibersegurança federal (Estados Unidos, 2023).

O caso que moldou a percepção pública foi o do Office of Personnel Management (OPM): em 2015, dados de investigações de antecedentes de 21,5 milhões de pessoas, com números de seguridade social e registros de impressões digitais, foram subtraídos (Christensen, 2015). A reparação individual, por sua vez, é estreita. O Privacy Act prevê indenização mínima de US$ 1.000 por violação intencional, mas a Suprema Corte, em FAA v. Cooper, limitou os danos reais a prejuízos patrimoniais, excluindo o sofrimento mental ou emocional (Estados Unidos, 2012). Quanto aos incidentes, as diretrizes federais exigem comunicação à CISA em até uma hora após a identificação (Estados Unidos, 2017), prazo que revela a lógica de segurança nacional do sistema.

O ponto mais sensível é a independência. O Privacy and Civil Liberties Oversight Board, órgão colegiado independente cujo mandato se restringe às atividades de contraterrorismo do Executivo, teve três de seus cinco membros removidos pelo Presidente em janeiro de 2025; a disputa judicial que se seguiu foi sobrestada em segunda instância à espera do julgamento de Trump v. Slaughter (Brennan Center for Justice, 2025). Em 29 de junho de 2026, no caso Trump v. Slaughter, a Corte declarou contrária à separação de poderes a proteção contra remoção imotivada dos membros da Federal Trade Commission, superando o precedente Humphrey's Executor (Estados Unidos, 2026). Para um sistema que já não dispunha de autoridade independente sobre as agências, a decisão reduz ainda mais a margem de supervisão externa ao Executivo.

3. Canadá: O modelo de ombudsman e seus limites

O Privacy Act canadense alcança mais de 250 instituições federais e, segundo o próprio governo, não foi substancialmente atualizado desde 1983 (Canadá, 2026c). O OPC - Office of the Privacy Commissioner atua como ombudsman: investiga e recomenda, mas, na maior parte das violações, não pode emitir ordens vinculantes, ao contrário do Comissário de Informação, que já dispõe desse poder no regime de acesso (Canadá, 2026b). Duas obrigações centrais não estão na lei. A avaliação de impacto à privacidade e a notificação de violações relevantes ao OPC e ao TBS - Treasury Board of Canada Secretariat decorrem de políticas do TBS, e não de comando legal (Canadá, 2026b).

Os relatórios do OPC ao Parlamento mostram o perfil das falhas. No exercício de 2024-2025, instituições federais notificaram 615 violações, contra 561 no ano anterior, e o número de pessoas afetadas mais que dobrou, de 138.434 para 309.865; a manipulação inadequada de informações, como erros de digitação, correspondência enviada ao destinatário errado e falhas de etiquetagem, respondeu por 508 casos (Canadá, 2025b). Em 2025-2026, foram 451 notificações, que afetaram 48.159 pessoas: 368 por manipulação inadequada, 39 por incidentes cibernéticos e 22 por acesso indevido de servidores, e 94% foram avaliadas como aptas a causar risco real de dano significativo (Canadá, 2026a). O dado qualitativo relevante é que a falha dominante no setor público canadense é procedimental e humana. Há também indício de subnotificação: em documento preparado para comissão parlamentar, ao tratar das diferentes obrigações de notificação dos setores público e privado, o OPC registrou que, em 2024-2025, recebeu 429 notificações do setor privado e apenas 55 de instituições federais relativas a incidentes cibernéticos (Canadá, 2025a).

O OPC encaminhou ao Parlamento sete recomendações prioritárias de reforma: exigência expressa de necessidade e proporcionalidade na coleta, avaliação de impacto obrigatória em situações de alto risco, poder de emitir ordens vinculantes, discricionariedade para recusar reclamações, dever legal expresso de salvaguarda, obrigação legal de notificar violações e maior liberdade para relatórios públicos (Canadá, 2025a). Em 2 de abril de 2026, o governo abriu revisão formal da lei, com propostas de converter em obrigação legal a gestão e a notificação de violações, tornar obrigatória a avaliação de impacto quando programas usarem dados pessoais para decisões, com publicação de sumários em registro central, e conferir ao Comissário poder de ordem sobre planos de ação corretiva (Canadá, 2026b; 2026c). No plano da auditoria, o Comitê de Contas Públicas da Câmara dos Comuns, ao examinar o relatório do Auditor-Geral sobre dados pessoais em nuvem, registrou fragilidades nos controles de prevenção, detecção e resposta, papéis e responsabilidades pouco claros e ausência de modelo de custeio e de financiamento para os serviços de nuvem (Canadá, 2024).

4. União Europeia e Reino Unido: supervisão independente com poder sobre o Estado

4.1 União Europeia

O RGPD aplica-se integralmente às autoridades públicas, torna obrigatória a designação de encarregado para elas (art. 37, 1, a), exige avaliação de impacto nos tratamentos de alto risco (art. 35), fixa 72 horas para a notificação de violações à autoridade (art. 33) e submete os entes públicos aos poderes corretivos das autoridades de controle (art. 58, 2). Apenas as multas ficam a critério de cada Estado-membro (art. 83, 7). As instituições da própria União respondem ao Regulamento (UE) 2018/1725, sob supervisão da EDPS - Autoridade Europeia para a Proteção de Dados.

A distinção entre o modelo europeu e o norte-americano aparece com nitidez em dois casos. Em 8 de março de 2024, a EDPS concluiu que a Comissão Europeia, ao utilizar o Microsoft 365, violara regras de limitação da finalidade, de transferências internacionais e de divulgações não autorizadas, e ordenou a suspensão, a partir de 9 de dezembro de 2024, dos fluxos de dados para a Microsoft e suas subcontratadas em países sem decisão de adequação, além da adequação contratual e do mapeamento das transferências (European Data Protection Supervisor, 2024). Em julho de 2025, a EDPS reconheceu que as infrações haviam sido sanadas e encerrou o procedimento (European Data Protection Supervisor, 2025). Um órgão de supervisão impôs à principal instituição executiva da União a correção de seu contrato de nuvem, e a correção ocorreu.

O segundo caso é o neerlandês. A Autoridade de Proteção de Dados multou a administração tributária (Belastingdienst) em 2,75 milhões de euros, em dezembro de 2021, pelo tratamento discriminatório e ilícito da dupla nacionalidade de requerentes de auxílio para creche, no contexto do escândalo dos auxílios para creche (Boete, 2021). Em abril de 2022, aplicou nova multa, de 3,7 milhões de euros, pela lista de sinalização de fraudes (FSV), que reunia cerca de 270 mil pessoas sem base legal e cuja criação não contou, a tempo, com a participação do responsável interno pela supervisão de privacidade (Recordboete..., 2022). O episódio mostra que a multa ao ente público, admitida pela lei neerlandesa, pode ser instrumento de reconhecimento institucional de uma violação sistêmica.

O TJ/UE por sua vez, tem traçado os limites da transparência administrativa. Considerou incompatível com o RGPD a divulgação pública irrestrita de pontos de penalidade de condutores (C-439/19, 2021) e a publicação em linha, com dados que permitiam inferir aspectos sensíveis, de declarações de interesses de agentes públicos (C-184/20, 2022) (União Europeia, 2021; 2022). A tensão entre publicidade e privacidade, que no Brasil se expressa na convivência entre a lei de Acesso à Informação e a LGPD, é resolvida ali por um teste de necessidade e proporcionalidade aplicado caso a caso.

As ações coordenadas do European Data Protection Board (EDPB) oferecem um retrato empírico do setor público europeu. Em 2022, 22 autoridades examinaram cerca de 100 órgãos públicos de saúde, finanças, tributação e educação e constataram dificuldade na contratação de serviços de nuvem conformes ao RGPD (European Data Protection Board, 2023). Em 2023, com 25 autoridades e 17.490 respondentes, o EDPB listou como problemas a falta de designação do encarregado mesmo quando obrigatória, recursos e formação insuficientes, conflito de interesses e ausência de reporte à alta direção, e verificou que os encarregados do setor público tinham menos acesso a substituto (36,4% contra 56,3%) e a orçamento (26,6% contra 56,8%), e que os recursos eram considerados suficientes em 66% dos casos no setor público, contra 91% no privado (European Data Protection Board, 2024, p. 16). A Agência dos Direitos Fundamentais registrou que as autoridades nacionais têm dificuldade de supervisionar e orientar autoridades públicas controladoras, e que a insuficiência de recursos compromete sua independência (European Union Agency for Fundamental Rights, 2024). O Tribunal de Contas Europeu, por sua vez, concluiu que o nível de preparação das instituições da União em cibersegurança não era, no geral, compatível com as ameaças (European Court of Auditors, 2022).

Clique aqui e confira o artigo na íntegra.