DOSSIÊ ÚNICO DE RESPONSABILIZAÇÃO SISTÊMICA Tratamento de Dados Pessoais, Omissão de Accountability e Parâmetros Técnicos Pré‑Existentes (LGPD + NIST)

DOSSIÊ ÚNICO DE RESPONSABILIZAÇÃO SISTÊMICA Tratamento de Dados Pessoais, Omissão de Accountability e Parâmetros Técnicos Pré‑Existentes (LGPD + NIST) 1. Finalidade e Escopo do Dossiê O presente Dossiê Único de Responsabilização Sistêmica integra, de forma técnica e coerente, dois núcleos documentais já existentes: Anexo Técnico‑Institucional (NIST) – que materializa parâmetros objetivos de governança, rastreabilidade, gestão de riscos e accountability; e Fundamentação para Provocação Formal da ANPD – que demonstra notificação prévia, ciência inequívoca das autoridades e omissão qualificada na aplicação da LGPD. O objetivo é demonstrar que não houve falha normativa ou ausência de parâmetro, mas sim falha sistêmica de responsabilização, envolvendo agentes públicos e privados, diante de tratamento de dados pessoais e dados pessoais sensíveis do titular. O tom adotado é técnico‑regulatório com assertividade contenciosa, adequado à atuação fiscalizatória da ANPD e à eventual escalada para instâncias de controle interno, externo ou internacional. 2. Integração do Anexo NIST como Parâmetro Material de Accountability O primeiro anexo (NIST) não constitui mero documento informativo. Pela sua existência institucional, ele exerce as seguintes funções jurídicas: Âncora objetiva de accountability; Parâmetro técnico pré‑existente de governança e rastreabilidade; Elemento de non‑repudiation, impedindo negação posterior dos fatos; Marco de ciência qualificada para todos os atores envolvidos. À luz de frameworks NIST (governança de riscos, integridade da informação, cadeia de custódia, controle de acesso e prestação de contas), o tratamento de dados descrito no caso concreto já exigia: identificação clara de papéis (controlador / operador); mapeamento do ciclo de vida dos dados; documentação de decisões; mecanismos de resposta a incidentes; demonstração ativa de conformidade. Nada disso foi produzido. 3. Cadeia Sistêmica de Atores Envolvidos A análise integrada dos documentos evidencia uma cadeia sistêmica de atores, todos já cientificados: fabricante de tecnologia; prestadores de serviço; profissionais vinculados à área médica; agentes públicos municipais, estaduais e federais; órgãos de controle e fiscalização (CGU, COAF); sistemas oficiais de transparência e ouvidoria (Fala.BR, BuscaLAI); autoridade reguladora central (ANPD); referências normativas e institucionais internacionais. Nenhum desses atores pode alegar: desconhecimento do fato; ausência de parâmetro técnico; inexistência de dever de agir. 4. Padrão Reiterado de Não‑Accountability Apesar da ciência inequívoca e do parâmetro material já existente (LGPD + NIST), o padrão observado foi: deslocamento procedimental contínuo; invocação genérica do art. 198 do CTN como barreira absoluta; ausência de diagnóstico técnico do tratamento de dados; inexistência de relatório, parecer ou decisão fundamentada; fragmentação administrativa deliberada. Sob a ótica NIST e LGPD, isso configura: falha sistêmica de governança e violação do princípio da prestação de contas (art. 6º, X, LGPD). O sigilo fiscal foi utilizado não como instrumento de proteção, mas como mecanismo de opacidade institucional, em prejuízo direto do titular dos dados. 5. Ativação Necessária da Competência da ANPD Com a integração dos anexos, resta demonstrado que: o parâmetro técnico já estava materializado; os fatos já estavam notificados; a omissão não é episódica, mas estrutural; há impacto direto sobre direitos fundamentais do titular. Nesse contexto, a atuação da ANPD não é facultativa, mas decorrência necessária de sua competência legal para: exigir accountability; apurar falhas sistêmicas; orientar e, se necessário, sancionar agentes de tratamento; restaurar a lógica de governança prevista na LGPD. 6. Qualificação Jurídica da Omissão A integração dos documentos permite qualificar a situação como: omissão regulatória qualificada; falha sistêmica de accountability; violação do dever de governança em proteção de dados; desvio de finalidade no uso do sigilo legal; negação prática dos direitos do titular, inclusive acesso, transparência e autodeterminação informativa. Essa qualificação é relevante tanto para atuação administrativa da ANPD quanto para eventual controle externo ou internacional. 7. Requerimentos Estruturais à ANPD (Dossiê Integrado) Com base no dossiê integrado, requer‑se que a ANPD: reconheça formalmente a existência de tratamento de dados pessoais e sensíveis; determine a identificação completa dos agentes de tratamento; exija diagnóstico técnico compatível com padrões de governança (LGPD + NIST); avalie a utilização indevida do art. 198 do CTN como mecanismo de não‑accountability; apure responsabilidades institucionais; determine medidas corretivas, estruturais e preventivas; produza manifestação técnica formal apta a encerrar a fragmentação administrativa. 8. Conclusão Final Este dossiê demonstra que o problema não é ausência de lei, nem de norma, nem de parâmetro técnico. O problema é a recusa sistêmica em prestar contas, mesmo após ciência inequívoca e diante de parâmetros claros. A integração entre LGPD e NIST elimina qualquer zona cinzenta interpretativa e impõe à ANPD o dever institucional de agir, sob pena de consolidação da falha sistêmica ora documentada. ENGLISH VERSION ⬇️ INTEGRATED SYSTEMIC ACCOUNTABILITY DOSSIER Processing of Personal Data, Failure of Accountability and Pre‑Existing Technical Parameters (LGPD + NIST) 1. Purpose and Scope of the Dossier This Integrated Systemic Accountability Dossier consolidates, in a technical and legally coherent manner, two documentary pillars that already exist: Technical‑Institutional Annex (NIST) – which materializes objective parameters of governance, traceability, risk management and accountability; and Legal Grounds for Formal Triggering of the Brazilian Data Protection Authority (ANPD) – which demonstrates prior notification, unequivocal institutional awareness and a qualified omission in the application of the Brazilian General Data Protection Law (LGPD). The purpose of this dossier is to demonstrate that there was no regulatory vacuum or lack of standards, but rather a systemic failure of accountability, involving public and private actors, in the context of processing personal data and sensitive personal data of the data subject. The tone adopted is technical‑regulatory with assertive‑contentious elements, appropriate for supervisory action by the ANPD and for potential escalation to internal, external or international oversight bodies. 2. Integration of the NIST Annex as a Material Accountability Standard The first annex (NIST) is not a merely informational document. By its institutional existence alone, it performs the following legal and regulatory functions: an objective anchor of accountability; a pre‑existing technical standard for governance and traceability; an element of non‑repudiation, preventing later denial of facts; a qualified notice trigger for all involved actors. In light of NIST frameworks (risk governance, information integrity, chain of custody, access control and accountability), the data processing described in this case already required: clear identification of roles (controller / processor); mapping of the data lifecycle; documentation of decisions; incident response mechanisms; active demonstration of compliance. None of these requirements were fulfilled. 3. Systemic Chain of Involved Actors The integrated analysis of the documents evidences a systemic chain of actors, all of whom had already been notified: technology manufacturer; service providers; professionals linked to the medical sector; municipal, state and federal public officials; oversight and control bodies (CGU, COAF); official transparency and grievance systems (Fala.BR, BuscaLAI); the central regulatory authority (ANPD); international normative and institutional references. None of these actors may legitimately claim: lack of knowledge of the facts; absence of technical standards; absence of a duty to act. 4. Recurrent Pattern of Non‑Accountability Despite unequivocal notice and the existence of a material standard (LGPD + NIST), the observed institutional pattern consisted of: continuous procedural deflection; generic invocation of Article 198 of the Brazilian National Tax Code (CTN) as an absolute barrier; absence of any technical diagnosis of the data processing activities; lack of reports, opinions or reasoned decisions; deliberate administrative fragmentation. From the perspective of both NIST frameworks and the LGPD, this conduct constitutes: a systemic governance failure and a violation of the accountability principle (Article 6, item X, LGPD). Tax secrecy was used not as a protective mechanism, but as a tool of institutional opacity, directly harming the data subject. 5. Mandatory Activation of ANPD Competence With the integration of both annexes, it is demonstrated that: the technical parameters were already materialized; the facts had already been formally notified; the omission is structural rather than episodic; there is a direct impact on the fundamental rights of the data subject. Under these circumstances, action by the ANPD is not discretionary, but a necessary consequence of its statutory mandate to: require accountability; investigate systemic governance failures; guide and, where appropriate, sanction data processing agents; restore the governance logic established by the LGPD. 6. Legal Qualification of the Omission The integrated dossie