Compartición de datos entre entes públicos

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La compartición de datos entre entes públicos exige un cumplimiento riguroso de la LGPD (Ley General de Protección de Datos Personales de Brasil) y requiere procesos estructurados de due diligence para evitar infracciones y responsabilidades.

El escenario actual de la compartición de datos en el sector público

Vivimos en una era en la que la administración pública depende cada vez más del flujo de información entre sus diversos órganos y entidades. Al analizar el funcionamiento de las políticas públicas en Brasil, se advierte que los programas de salud, asistencia social, seguridad social y fiscalización tributaria dependen del acceso cruzado a bases de datos mantenidas por distintos entes federativos. Este intercambio de información, aunque necesario para la eficiencia administrativa, conlleva riesgos sustanciales cuando no se realiza dentro de parámetros legales claros.

La Ley General de Protección de Datos Personales (Ley n.º 13.709/2018) trajo un marco regulatorio que incide directamente en la forma en que la Unión, los estados y los municipios comparten datos entre sí. Antes de la LGPD, la compartición entre entes públicos ocurría con frecuencia de manera informal, mediante convenios genéricos o simples solicitudes administrativas. Con la plena vigencia de la ley, se constata que esta práctica tuvo que ser reformulada por completo, pues ahora se exigen bases legales específicas, finalidades determinadas y mecanismos de protección adecuados.

El concepto de due diligence aplicado a los datos, que ya estaba consolidado en el sector privado, ha cobrado relevancia en el contexto público. Se trata de un proceso sistemático de verificación y evaluación que busca garantizar que la compartición de datos personales entre entes públicos cumpla todos los requisitos legales, técnicos y operativos exigidos por la legislación vigente. Cuando se realiza una due diligence de datos en el sector público, se evalúa no solo el cumplimiento legal, sino también la seguridad de la información, la calidad de los datos y la capacidad institucional de los involucrados.

Este tema guarda relación directa con la auditoría de protección de datos, que se aborda en un artículo específico.

Este tema guarda relación directa con los datos abiertos y la protección de datos, que se aborda en un artículo específico.

Bases legales y requisitos para la compartición entre entes públicos

Al examinar el marco normativo que regula la compartición de datos entre entes públicos, se observa que la LGPD establece reglas específicas en los artículos 23 a 30. El artículo 26 de la ley es particularmente relevante, ya que determina que el uso compartido de datos personales por el Poder Público debe atender a finalidades específicas de ejecución de políticas públicas y de atribución legal de los órganos y las entidades públicas. La norma es clara al prohibir la compartición con entidades privadas, salvo las excepciones expresamente previstas.

La due diligence de datos en el sector público no es una mera formalidad burocrática, sino un mecanismo esencial para garantizar que la compartición de información entre entes públicos respete los derechos fundamentales de los ciudadanos.

En la práctica, se constata que la compartición legítima entre entes públicos exige el cumplimiento simultáneo de varios requisitos. Primero, debe existir una finalidad pública claramente definida, vinculada a las competencias legales del órgano solicitante. Segundo, el tratamiento debe limitarse al mínimo necesario para alcanzar esa finalidad, conforme al principio de minimización de datos. Tercero, el órgano que comparte los datos debe mantener un registro de las operaciones de tratamiento, tal como exige el artículo 37 de la LGPD.

Además de la LGPD, otras normas influyen en esta compartición. El Decreto n.º 10.046/2019, que regula la gobernanza en la compartición de datos en el ámbito de la administración pública federal, estableció el Cadastro Base do Cidadão (registro base de ciudadanos) y el Comité Central de Gobernanza de Datos. Este decreto creó categorías de compartición (amplia, restringida y específica) según la sensibilidad de los datos involucrados. Al realizar la due diligence, es necesario clasificar correctamente los datos en cada una de estas categorías para definir el procedimiento adecuado.

El papel del encargado de datos (DPO) en los entes públicos

Cada órgano público que participa en operaciones de compartición debe tener designado a su encargado del tratamiento de datos personales, conforme al artículo 23, inciso III, de la LGPD. Este profesional desempeña un papel central en la due diligence, pues es responsable de evaluar el cumplimiento de las operaciones de compartición, orientar a los funcionarios sobre las prácticas adecuadas y servir de canal de comunicación con la Autoridad Nacional de Protección de Datos (ANPD). Se observa que muchos entes públicos aún no han estructurado adecuadamente esta función, lo que representa un riesgo significativo en las operaciones de compartición.

Convenios y acuerdos de cooperación técnica

El instrumento jurídico que formaliza la compartición entre entes públicos merece especial atención en la due diligence. Se advierte que los convenios, los acuerdos de cooperación técnica y los términos de uso son los vehículos más comunes para este fin. Estos instrumentos deben contener cláusulas específicas sobre la finalidad de la compartición, los tipos de datos involucrados, las medidas de seguridad adoptadas, los plazos de conservación, las responsabilidades de cada parte y los procedimientos en caso de incidentes de seguridad. La ausencia de cualquiera de estos elementos puede comprometer la validez jurídica de la compartición.

Metodología de due diligence para la compartición de datos públicos

Cuando estructuramos un proceso de due diligence orientado a la compartición de datos entre entes públicos, seguimos etapas metodológicas que garantizan una evaluación completa de los riesgos y del cumplimiento normativo. La primera etapa consiste en el mapeo de los flujos de datos, identificando qué información personal se compartirá, su origen, su destino, los sistemas involucrados y los responsables en cada extremo de la operación. Este mapeo es fundamental porque permite visualizar el ciclo completo de los datos e identificar puntos de vulnerabilidad.

La segunda etapa comprende el análisis de la base legal aplicable. Se verifica si la compartición pretendida encuentra amparo en alguna de las hipótesis previstas en la LGPD, especialmente en el artículo 7º (para datos personales comunes) y en el artículo 11 (para datos personales sensibles). En el caso de los entes públicos, las bases legales aplicables con mayor frecuencia son la ejecución de políticas públicas (artículo 7º, inciso III), el cumplimiento de una obligación legal o regulatoria (artículo 7º, inciso II) y la tutela de la salud (artículo 7º, inciso VIII). Cada base legal conlleva exigencias específicas que deben cumplirse íntegramente.

La tercera etapa se refiere a la evaluación de impacto a la protección de datos personales, conocida por la sigla RIPD (Informe de Impacto a la Protección de Datos). Aunque la ANPD aún no ha reglamentado de forma definitiva la obligatoriedad del RIPD para todas las operaciones de compartición entre entes públicos, se considera una buena práctica elaborarlo siempre que haya tratamiento de datos sensibles, tratamiento a gran escala o cuando la compartición involucre datos de poblaciones vulnerables, como beneficiarios de programas sociales o asegurados del INSS (Instituto Nacional del Seguro Social de Brasil).

Evaluación de la seguridad de la información

Un componente crítico de la due diligence es la evaluación de las medidas de seguridad de la información adoptadas por los entes involucrados en la compartición. Se verifica si existen políticas de seguridad formalizadas, controles de acceso adecuados, cifrado en tránsito y en reposo, registros de auditoría, procedimientos de respuesta a incidentes y planes de continuidad. La disparidad en el nivel de madurez en seguridad de la información entre los distintos órganos públicos es un desafío recurrente que se advierte en la práctica. Un ente con controles robustos puede ver comprometidos sus datos al compartirlos con otro que no cuenta con el mismo nivel de protección.

Gobernanza y monitoreo continuo

La due diligence no termina con la formalización de la compartición. Se implementan mecanismos de monitoreo continuo que permiten verificar si las condiciones inicialmente evaluadas siguen vigentes con el paso del tiempo. Esto incluye auditorías periódicas, la revisión de los accesos concedidos, la actualización de los instrumentos jurídicos cuando sea necesario y el seguimiento de posibles cambios legislativos o regulatorios que puedan afectar la compartición. La ANPD ha emitido orientaciones y guías que deben incorporarse a este monitoreo continuo.

Riesgos y responsabilidades en la compartición inadecuada

Al analizar los riesgos asociados a la compartición de datos entre entes públicos sin la debida due diligence, se identifican consecuencias en múltiples dimensiones. En el ámbito administrativo, la LGPD prevé sanciones que van desde advertencias hasta la publicidad de la infracción, pasando por el bloqueo y la eliminación de los datos personales involucrados. Aunque la aplicación de multas pecuniarias a la administración pública directa tiene particularidades, la ANPD ya ha demostrado disposición a responsabilizar a entes públicos por irregularidades en el tratamiento de datos.

En el ámbito judicial, la compartición irregular de datos puede generar responsabilidad civil del Estado, con la obligación de indemnizar a los titulares perjudicados. El artículo 42 de la LGPD establece que el controlador o el operador que cause un daño patrimonial, moral, individual o colectivo en razón del ejercicio de la actividad de tratamiento de datos está obligado a repararlo. Se observa que las acciones colectivas promovidas por el Ministerio Público y por organizaciones de la sociedad civil son cada vez más frecuentes en este campo.

Existe también el riesgo reputacional que, aunque menos tangible, puede comprometer de manera significativa la confianza de los ciudadanos en los servicios públicos digitales. Cuando un incidente de seguridad derivado de una compartición inadecuada se hace público, el impacto en la credibilidad institucional puede ser duradero. Se han analizado casos en los que filtraciones de datos de beneficiarios de programas sociales provocaron la exposición indebida de información sensible, como condiciones de salud y situación socioeconómica, con el consiguiente perjuicio de vergüenza y discriminación.

Desde el punto de vista del funcionario público involucrado, la compartición irregular de datos puede constituir una infracción disciplinaria y, en casos más graves, un ilícito penal. La Ley de Acceso a la Información (Ley n.º 12.527/2011) ya preveía sanciones por el acceso o la divulgación indebidos de información reservada, y la LGPD reforzó este marco de responsabilidad individual.

Buenas prácticas y recomendaciones para el cumplimiento normativo

A partir de la experiencia del área en el análisis de operaciones de compartición de datos entre entes públicos, se ha consolidado un conjunto de buenas prácticas que contribuyen de manera significativa al cumplimiento normativo. La primera recomendación es la creación de un inventario centralizado de todas las comparticiones de datos en las que participa el órgano, ya sea como proveedor o como receptor. Este inventario debe mantenerse actualizado y contener información sobre la base legal utilizada, los datos involucrados, los plazos y los responsables.

Se recomienda también la estandarización de los instrumentos jurídicos utilizados para formalizar la compartición. Los modelos de convenios y de acuerdos de cooperación técnica que ya contemplen las exigencias de la LGPD facilitan el análisis jurídico y reducen el riesgo de omisiones relevantes. Estos modelos deben revisarse periódicamente para incorporar nuevas orientaciones de la ANPD y eventuales modificaciones legislativas.

La capacitación de los funcionarios que operan los sistemas y que tienen acceso a los datos compartidos es otro pilar fundamental. Se observa que muchos incidentes de seguridad se deben a fallas humanas, como el envío de datos por canales inseguros, la concesión de accesos excesivos o la ausencia de procedimientos para una eliminación segura. Los programas de capacitación regulares, junto con una cultura organizacional de protección de datos, son inversiones que generan un retorno significativo en términos de reducción de riesgos.

Por último, cabe destacar la importancia de establecer canales de comunicación eficientes entre los encargados de datos de los distintos entes involucrados en la compartición. Esta comunicación facilita la gestión de incidentes, la actualización de procedimientos y la resolución de dudas operativas. En un escenario de creciente digitalización de los servicios públicos, la cooperación entre los profesionales responsables de la protección de datos resulta cada vez más relevante para garantizar que la compartición de información entre entes públicos cumpla su finalidad sin comprometer los derechos de los ciudadanos.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.