Por que vazar dado sensível em processo público é falha de fluxo, não erro do servidor

Vazar dado sensível em processo público não é, na origem, erro do servidor que recebeu o documento — é falha de desenho do fluxo administrativo que permite que qualquer arquivo circule e seja publicado sem passar por uma camada que verifique o que ele contém antes de chegar ao próximo setor ou ao olhar público. Um CPF que aparece no meio de uma certidão juntada só para comprovar um requisito formal, o nome de uma pessoa errada repetido numa certidão de antecedentes que confundiu homônimos: nenhum dos dois nasce de negligência individual. Nasce de um processo que trata documento anexado como peça a ser conferida apenas quanto à presença — está anexado ou não —, sem nenhuma etapa que confira o conteúdo antes de ele avançar.

Cobrar atenção do servidor não resolve um problema de volume

Nenhum servidor público abre e lê, linha a linha, todos os anexos de todos os processos que passam pela mesa dele num mês. Isso não é falta de zelo — é incompatível com o volume de protocolo que qualquer órgão de porte médio recebe. Quando a exigência informal é “preste mais atenção ao que está anexando”, a gestão está pedindo a um ser humano para fazer, de memória e em escala, o que só uma camada estruturada de triagem consegue sustentar.

O caso clássico aparece em processos legislativos de homenagem — um projeto de lei que denomina uma via pública com o nome de alguém costuma exigir comprovação biográfica, e é comum anexar documentação de apoio, como uma certidão que ateste a idoneidade do homenageado. Quando essa certidão vem de um cartório ou tribunal e traz, por erro de busca, o registro de um homônimo, o CPF e outros dados dessa terceira pessoa — que não tem nenhuma relação com o processo — entram no arquivo e tramitam junto. Ninguém que recebeu aquele anexo tinha a missão de auditar seu conteúdo; a missão de todo mundo era confirmar que o arquivo exigido havia sido enviado.

Publicidade do processo e proteção de dado pessoal não competem — são dois requisitos do mesmo fluxo

A tensão parece ser entre transparência e privacidade, mas não é bem assim. A Lei de Acesso à Informação (12.527/2011), no art. 31, já determina que o tratamento de informação pessoal pelo poder público seja feito com respeito à intimidade, à vida privada, à honra e à imagem das pessoas, restringindo o acesso a esse tipo de dado independentemente de classificação de sigilo. A LGPD (13.709/2018) soma a isso o princípio da minimização: o órgão público só deve tratar o dado pessoal necessário para a finalidade declarada daquele processo — e o CPF de um homônimo mencionado incidentalmente numa certidão não cumpre nenhuma finalidade do processo de denominação de via pública. Vale a precisão técnica: CPF e antecedente criminal de terceiro não se enquadram na categoria estrita de “dado sensível” da LGPD (art. 5º, II, reservada a dado racial, religioso, de saúde, entre outros) — mas isso não reduz a obrigação do órgão. A proteção vem da LAI e do regime geral da própria LGPD para dado pessoal, não depende da categoria de dado sensível para existir.

Processo público precisa continuar auditável — isso não muda. O que muda é onde a verificação acontece: não deveria ser o cidadão, nem o Tribunal de Contas ao consultar o processo meses depois, a primeira camada a notar que um documento carrega dado de terceiro sem relação com o pedido. Essa camada precisa existir antes — no momento em que o documento é anexado, antes de tramitar para o próximo setor ou se tornar peça pública.

Tratar como falha individual garante que o problema vai se repetir

Quando um vazamento desse tipo é tratado como erro do servidor — advertência, treinamento de reforço, memorando interno pedindo mais cuidado —, a arquitetura do fluxo que permitiu a entrada do documento sem triagem continua intacta. O próximo documento com o mesmo problema vai entrar pela mesma porta, sem nenhuma barreira nova, esperando que o próximo servidor perceba o que o anterior não percebeu.

Essa é também uma questão de responsabilização correta: a LGPD atribui ao órgão público, como agente de tratamento, o dever de adotar medidas técnicas e administrativas aptas a proteger dado pessoal — não ao servidor individual que seguiu o procedimento vigente. Redesenhar o ponto de entrada do processo para incluir conferência de conteúdo antes da tramitação — seja checklist formal, seja leitura automática do documento por IA sinalizando dado pessoal fora de contexto — é decisão de gestão do fluxo, não circular interna de boas práticas.

Conclusão

O vazamento de dado sensível em processo público quase sempre tem a mesma origem: um fluxo desenhado para verificar se o documento chegou, não o que ele contém. Enquanto a correção for pedir mais atenção a quem já está sobrecarregado de protocolo, o problema vai continuar aparecendo — só que cada vez num processo diferente. A saída está em mover a verificação para antes da tramitação, com regra clara sobre o que pode e o que não pode avançar sem revisão. Veja como a leitura automática de documentos por IA já atua nessa camada de conferência em outros tipos de processo, e agende uma demonstração do Aprova para avaliar como aplicar o mesmo princípio ao fluxo legislativo ou administrativo do seu órgão.