Por que edital público de fomento é um caso sensível de LGPD
Um edital de fomento cultural ou esportivo não coleta só nome, e-mail e CPF. Para viabilizar a pontuação de ações afirmativas — cotas raciais, para pessoas com deficiência, de gênero ou de território —, é comum que o proponente precise declarar informações sobre origem racial ou étnica e sobre deficiência. A LGPD (Lei nº 13.709/2018) classifica esse tipo de informação como dado pessoal sensível, categoria que exige cuidado redobrado em relação a um dado pessoal comum, justamente por poder gerar discriminação se exposto ou tratado de forma inadequada.
O que isso exige, na prática, de quem administra o edital
- Finalidade específica e explícita. O proponente precisa saber, no momento em que declara um dado sensível, exatamente para que ele será usado — no caso, validar a pontuação de bônus de uma ação afirmativa.
- Minimização. Coletar apenas o que é necessário para essa finalidade, e não reaproveitar o dado sensível para outra finalidade não informada ao titular.
- Controle de acesso. Restringir quem, dentro da administração pública, pode ver esse dado — normalmente os avaliadores responsáveis por validar a declaração, não toda a equipe envolvida no edital.
- Armazenamento seguro, preferencialmente em solo nacional, atendendo a requisitos de soberania de dados que já são padrão para sistemas usados pela administração pública.
Trilha de auditoria: onde LGPD e prestação de contas se encontram
Além da proteção do dado em si, um edital público precisa registrar quem validou cada autodeclaração de ação afirmativa, quando e com base em quê — não só para a LGPD, mas porque essa mesma trilha é o que sustenta a prestação de contas do processo perante órgãos de controle. Um sistema que trata esses dois requisitos como a mesma coisa — proteção de dados pessoais e histórico auditável de decisão — evita retrabalho e reduz o risco de inconsistência entre o que foi decidido e o que fica registrado.
O papel do encarregado de dados (DPO) nesse processo
A LGPD prevê a figura do encarregado de proteção de dados (DPO) como o canal de contato entre o titular dos dados, o órgão controlador e a Autoridade Nacional de Proteção de Dados (ANPD). Em editais que lidam com dados sensíveis de ações afirmativas, esse canal precisa estar acessível ao proponente para dúvidas sobre como sua declaração será usada, armazenada e, quando aplicável, descartada.