Por que o secretário não deveria ter acesso a todo processo sigiloso da própria pasta

Um processo sigiloso — um recurso administrativo, a apuração de uma multa, um processo disciplinar — não deveria ficar automaticamente visível para qualquer pessoa com cargo de chefia na pasta, incluindo o próprio secretário, só porque ela ocupa o topo daquele organograma. O acesso a esse tipo de processo precisa depender de uma delegação específica e registrada, não do cargo que a pessoa ocupa naquele momento.

Hierarquia não é a mesma coisa que necessidade de acesso

Ocupar o cargo mais alto de uma secretaria não significa, por si só, ter necessidade legítima de ver cada processo tramitando sob aquela pasta. O sigilo existe justamente para os casos que exigem tratamento restrito mesmo dentro da própria estrutura interna — e se o critério de acesso é “ocupa cargo de chefia”, o sigilo desaparece na prática, porque passa a abranger automaticamente qualquer titular do cargo, atual ou futuro, sem que ninguém precise justificar por que precisa enxergar aquele caso.

A confusão comum é tratar posição hierárquica como sinônimo de confiança irrestrita. São coisas diferentes: confiança se deposita na pessoa; acesso a informação sigilosa se concede a partir de uma necessidade concreta e verificável, associada a um processo específico — não a um cargo genérico que qualquer pessoa pode vir a ocupar.

Sigilo amarrado ao cargo se rompe no primeiro afastamento

Quando o secretário titular sai de férias, é substituído interinamente ou deixa o cargo após uma nova nomeação, o acesso amarrado ao cargo segue o próximo ocupante — não a pessoa, nem a necessidade real daquele momento específico. Um substituto interino, ou um secretário recém-empossado, herda automaticamente a visibilidade sobre processos sigilosos abertos antes da sua gestão, sem que exista qualquer avaliação de que ele de fato precisa acessar aquele caso.

Esse é exatamente o tipo de exposição que o princípio da necessidade da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) busca evitar: o art. 6º, III, define a necessidade como a limitação do tratamento de dados ao mínimo necessário para a finalidade concreta, não ao máximo que a estrutura hierárquica permite alcançar. Um modelo de acesso por cargo ignora esse princípio por construção, porque concede o máximo possível a quem quer que ocupe a posição, e não o mínimo necessário para quem precisa decidir sobre aquele processo em particular.

Restringir o próprio secretário fortalece a defesa em auditoria

A reserva costuma ser: “o secretário é quem responde pela pasta, então ele deveria poder ver tudo”. Na prática, é o oposto que protege a instituição. Uma trilha de acesso em que somente quem recebeu delegação explícita abriu determinado processo sigiloso é o que comprova segregação de funções diante de um controle interno, de um tribunal de contas ou de uma apuração formal. Se o próprio secretário pode abrir qualquer processo sigiloso a qualquer momento sem que isso fique condicionado a uma delegação registrada, a instituição perde justamente a capacidade de provar que ninguém acessou informação sensível sem motivo formal — inclusive o próprio secretário.

Essa lógica se aplica igualmente a uma prefeitura, a uma câmara municipal ou a uma autarquia: o que muda é o tipo de processo tratado como sigiloso — recurso tributário, processo disciplinar, apuração de conduta — não a lógica de que acesso deveria seguir necessidade documentada, e não cargo.

Conclusão

Desenhar o controle de acesso por delegação específica, em vez de por cargo, exige mais trabalho de configuração inicial do que simplesmente dar acesso total a quem está no topo do organograma. Mas é esse desenho — não a hierarquia — que sustenta a explicação quando alguém pergunta quem acessou um processo sigiloso e por quê. Um processo eletrônico bem configurado registra essa delegação de forma explícita, em vez de depender da memória de quem concedeu acesso a quem, e quando.