El gobierno de Paraná reaccionó con sorpresa el 23 de febrero a la decisión del día anterior del ministro Flávio Dino, del Supremo Tribunal Federal (STF), que suspendió parcialmente la ley que autorizaba la privatización de la Compañía Paraná de Tecnología de Información y Comunicación ( Celepar ), la primera empresa estatal de datos a ser ofrecida al sector privado en la era de la Ley General de Protección de Datos ( LGPD ).

La subasta, programada para el 17 de marzo, se tornó incierta después de que Dino respondiera a una acción directa de inconstitucionalidad (ADI) interpuesta por dos partidos, el PT y el PSOL. Los partidos alegan que la ley estatal viola la competencia de la Unión para legislar sobre protección de datos y vulnera el derecho fundamental a la privacidad.

Creada en 1964, Celepar almacena datos públicos como registros fiscales, multas e historiales médicos de los ciudadanos de Paraná, además de operar más de 35 aplicaciones estatales.

El ministro entendió que la ley no demuestra suficientes salvaguardas y determinó que Paraná debe elaborar un “informe de impacto de protección de datos” específico para la transición corporativa, que será enviado a La Autoridad Nacional de Protección de Datos (ANPD) utilizará la información con fines de análisis y sugerencias. Solo después de esto, el pleno del Tribunal Supremo decidirá sobre la privatización.

La sorpresa del gobierno del estado de Paraná se debe a que la Procuraduría General de la República (AGU) ha expresado su apoyo a la jurisdicción estatal. "Esperamos que no se politice este asunto", declaró a NeoFeed Alex Canziani, Secretario de Innovación de Paraná.

"Transmitiremos toda la información solicitada al Tribunal Supremo, tal como anteriormente proporcionamos información al Tribunal de Cuentas del Estado (TCE)", añadió.

En un comunicado, el bufete Stocche Forbes Advogados, contratado por el gobierno del estado de Paraná para asistir en el proceso de privatización de Celepar, señala que el Supremo Tribunal Federal (STF) aún no ha analizado definitivamente el caso. Por el momento, el gobierno estatal solo impugnará la suspensión de los próximos pasos y proporcionará la información solicitada por el ministro Flavio Dino.

Respecto del argumento de ambas partes de que la ley estatal que autorizó la privatización desconoció la competencia exclusiva de la Unión para legislar sobre protección y tratamiento de datos personales, la firma señala que la ley de privatización es específica y tiene como único objeto otorgar autorización legislativa al proceso de venta de la participación controladora en Celepar, además de definir competencias y responsabilidades institucionales en el ámbito de dicho proceso.

“Esta ley, en ningún momento, regula el marco legal de la protección de datos personales, materia ya abordada en la Constitución Federal y la LGPD”, añade el comunicado de la firma.

El proceso de privatización de Celepar, iniciado en 2024, pasó por audiencias públicas, aprobación en la Asamblea Legislativa y análisis del TCE (Tribunal de Cuentas), que incluso suspendió temporalmente el proceso.

Después de atender todas las solicitudes y desestimar tres demandas colectivas, dos acciones directas de inconstitucionalidad (ADIs) y dos recursos de mandamus, el gobierno estatal decidió publicar el aviso de privatización en febrero, incluso con la ADI pendiente ante el Supremo Tribunal Federal –como la Procuraduría General de la República había expresado su apoyo a la jurisdicción estatal, la percepción era que la cuestión estaba prácticamente resuelta.

En una entrevista hace dos semanas, Canziani afirmó que el gobierno estatal había tomado todas las precauciones para preservar la protección de los datos de los ciudadanos, como lo garantiza la LGPD (Ley General de Protección de Datos de Brasil), que prohíbe su venta por parte de la futura empresa gestora privada.

“El ciudadano es el titular de los datos; el Estado, el responsable; y Celepar, el operador. Esta estructura se mantendrá”, declaró Canziani en aquel momento. En esta configuración, según la LGPD (Ley General de Protección de Datos de Brasil), el responsable decide qué se hace con los datos, mientras que el operador se limita a ejecutar el tratamiento, según las condiciones del responsable.

Caso emblemático

Dos expertos en la LGPD entrevistados por NeoFeed abordaron el tema de forma diferente. Rony Vainzof, socio del bufete VLK Advogados, afirma que Dino interpretó la ley conforme a la Constitución, manteniéndola, pero condicionando su aplicación al cumplimiento de la LGPD y de la Ley 13.675/2018, que regula la Política Nacional de Seguridad Pública y Defensa Social (PNSPDS).

“En la práctica, el ministro entendió, con cautela, que la privatización debe cumplir la LGPD (Ley General de Protección de Datos de Brasil) y la PNSPDS (Política Nacional de Seguridad Pública); el Estado de Paraná debe preservar el control sobre los sistemas y bases de datos de datos personales sensibles y relacionados con la seguridad pública, prohibiendo su transferencia completa a entidades privadas”, dice Vainzof.

Según la interpretación del experto Dino, el Estado debe mantener poderes de supervisión directa sobre el tratamiento de estos datos, sin perjuicio de la competencia de la ANPD (Autoridad Nacional de Protección de Datos); además, antes de que se lleve a cabo el proceso de privatización, se debe elaborar un informe de Evaluación de Impacto de Protección de Datos (EIPD) específico para la transición societaria, que se presentará a la ANPD.

Fernando Gallacci, socio de infraestructura del despacho de abogados Souza Okawa Advogados, por otro lado, destaca que el caso es emblemático porque se trata de la primera discusión concreta sobre la privatización de una empresa estatal de datos después de que el gobierno federal abandonara la idea de privatizar el Servicio Federal de Procesamiento de Datos ( Serpro ), una empresa pública de tecnología del gobierno federal.

“Se trata, ante todo, del regreso del debate sobre la privatización, pero ahora atenuado por el debate sobre los datos personales que poseen y gestionan las empresas estatales”, afirma Gallacci. “Se trata de un mercado nuevo y, como tal, ha sido objeto de un debate considerable para comprender sus límites y oportunidades”.

Según él, no parece que, legalmente, la suspensión del procedimiento deba prosperar. Por lo tanto, la decisión cautelar debería seguir otras ya adoptadas en el caso Celepar, con revisión por parte del órgano colegiado.

“Es difícil encontrar inconstitucionalidad abstracta en la simple privatización de Celepar; la Constitución no prohíbe ese tipo de privatización, ni tampoco la legislación infraconstitucional, que solo delimita garantías para la operación privada de datos recolectados en el ámbito de los servicios públicos –y, cabe mencionar, cuya gestión privada ya ocurre en varios contratos bajo la custodia de los poderes públicos”, añade.

Según Gallacci, basta con que la ley de privatización establezca expresamente que el proceso de venta del control de Celepar debe cumplir con la LGPD (Ley General de Protección de Datos de Brasil) y otras normas de seguridad de la información, preservando los servicios públicos, para resolver el problema planteado por el ministro Flávio Dino. «El asunto se cerrará de la manera propuesta por la Procuraduría General de la República, con una interpretación simple, conforme a la Constitución».

Según el experto, la cuestión probablemente se resolverá en abstracciones jurídicas, pero resurgirá en los detalles, donde, según él, siempre está el diablo.

“El punto crucial del debate llegará cuando se realicen estudios detallados y se publique la convocatoria de licitación, que definirá las reglas de este nuevo mercado de datos personales basado en el apoyo del sector privado para el procesamiento de datos recopilados en el ejercicio de funciones estatales”, afirma Gallacci. “La verdadera batalla estará en los detalles”.

El secretario Canziani, a su vez, compara la desconfianza del ministro en la gestión de los datos personales que serán guardados por la privatizada Celepar con la indulgencia del poder público cuando un funcionario de Dataprev -empresa pública federal responsable de procesar, almacenar y proteger datos relacionados a la Seguridad Social en Brasil- filtró datos de jubilados del INSS, utilizados principalmente para ofertas abusivas de préstamos de nómina.

"Esta es una empresa pública que sufrió una filtración de datos, pero independientemente de cualquier discrepancia, si fuera una empresa privada, habría una multa cuantiosa", afirma. Por ahora, Acciones civiles públicas interpuestas por el Instituto de Defensa Colectiva contra Dataprev y el INSS. Piden R$ 5.000 de indemnización por daño moral para cada beneficiario afectado, pero no fue identificado el funcionario involucrado en la filtración.

Este artículo fue actualizado a las 20:36 con un comunicado del despacho de abogados Stocche Forbes Advogados, contratado por el gobierno del estado de Paraná para ayudar en el proceso de privatización de Celepar.