Administração
Pública orientada
por dados.
Governo aberto · LGPD · processo administrativo digital · decisão algorítmica.
Quatro artigos — uma releitura crítica: o Estado que edita a regra é o que mais a descumpre contra o cidadão.
O Poder Público aparece, no mesmo gesto, em duas posições simultâneas.
Edita a regra.
- LAI · Lei 12.527 / 2011
- LGPD · Lei 13.709 / 2018
- L. 14.129/21 · gov. digital
- IN INSS 128 / 2022
- CNJ · Res. 615 / 2025
a mesma pessoa jurídica,
a olhar simultaneamente para dentro e para fora.
Descumpre a regra.
- vazamento Gov.br · 251M CPFs
- INSS · indef. sem motivação
- TJ-MA · IA · 80 → 969
- MP 954 · STF ADI 6.387
- LAI art. 23 · sigilo seletivo
Proteção de dados
& governo aberto.
A privacidade como direito fundamental complexo.
Não há mais como reduzir a privacidade a uma esfera de retraimento contra o Estado: ela é um feixe de pretensões, posições e deveres que se irradiam pela ordem constitucional.
Salgado e Saito mobilizam a noção de multifuncionalidade dos direitos fundamentais para sustentar que a proteção de dados pessoais não se esgota na clássica função de defesa contra ingerências do poder público. Ela carrega, simultaneamente, uma função de prestação normativa — exigir do Estado a edição de leis protetivas, como a LGPD — e uma função de prestação fática, exigindo políticas, autoridades e instituições.
O argumento desloca a discussão técnica para o terreno constitucional: a privacidade vincula todos os Poderes, e o legislador não cumpre a Constituição apenas se abstendo, mas também produzindo o arcabouço protetivo que dá densidade ao direito.
Ao desenhar essa moldura, os autores criam o vocabulário que vai amparar a leitura dos artigos seguintes — e que será determinante quando a discussão chegar à decisão automatizada.
Três funções simultâneas — e nenhuma delas exclui as outras.
i. Defesa. Contra ingerências do Estado — vigilância, retenção, compartilhamento sem finalidade. Esta é a função clássica, a que a LGPD não abandona.
ii. Prestação normativa. Dever de o legislador produzir o arcabouço protetivo: a própria LGPD, o regulamento da ANPD, instrumentos de tutela coletiva. O silêncio legislativo é, ele próprio, inconstitucional.
iii. Prestação fática. Estrutura administrativa para tornar o direito efetivo: ANPD, encarregados, canais de exercício de direitos, fiscalização. Sem instituição, a norma é decorativa.
A leitura é decisiva: regular não substitui defender. Quem trata os dados — o Estado, em larga medida — segue sendo aquele de quem o cidadão precisa ser defendido.
[2] prest_normativa → LGPD · ANPD
[3] prest_fatica → políticas, instituições
quando [2] e [3] aparecem.
A LGPD, lida em quatro ondas da história europeia.
Arquivos do Estado.
Hesse (1970), Suécia (1973), Privacy Act EUA (1974). Foco em bancos de dados estatais — contenção do regulador-coletor.
Liberdade negativa.
Modelo francês (1978). Ainda baseada na privacidade como liberdade negativa — dever de abstenção do poder público.
Autodeterminação.
Reconhece a vulnerabilidade do usuário. Princípios europeus — finalidade, qualidade, segurança — ganham densidade institucional.
Compliance & sanções.
GDPR (2016) e LGPD (2018). Direitos do titular, ANPD, compliance e sanções do regulador.
A LGPD brasileira é geneticamente híbrida: terceira-quarta geração — mas inscrita num Estado que ainda exibe traços da primeira. O regulador-coletor segue sendo a maior fonte de risco.
A ANPD e o limite da prestação normativa.
A ANPD nasce, em 2018, sem autonomia, sem orçamento próprio, vinculada à Presidência. Estrutura mínima para uma tarefa máxima.
A criação tardia da autoridade — e a fragilidade institucional persistente — confirma o argumento central de Salgado e Saito: a prestação normativa sem prestação fática é insuficiente.
Sem a ANPD operante, a função de defesa volta a depender do controle externo — STF, Ministério Público, Defensoria — e do próprio cidadão, em uma assimetria que a LGPD se propunha a corrigir.
O retrato é, portanto, ambíguo: temos um direito robusto no papel que esbarra em uma estrutura administrativa frágil para concretizá-lo.
[autonomia orçamentária] limitada
[poder sancionatório] previsto
[capacidade de fiscalização] a construir
sem prestação fática.
A função de defesa persiste — e o caso brasileiro acaba de provar.
O coração da tese deste seminário já está em Salgado & Saito, em uma única ressalva: a regulação não anula a função de defesa do direito fundamental. O Estado segue sendo, nas palavras dos autores, "um poderoso agente de tratamento" — e a LGPD, longe de neutralizar essa dimensão, a confirma.
A prova prática chegou rápido. Snowden mostrou que o aparato estatal é, por definição, o maior coletor. A MP 954/2020, no Brasil, transferiu dados de telecom para o IBGE sem finalidade clara — e foi preciso o STF, na ADI 6.387, conter o regulador-coletor.
O regulador não se autodefende. Foi necessário outro Poder.
Cidadão
É o sujeito que precisa, ainda hoje, ser protegido contra o aparato que escreve a norma. No nosso Conselho de Contestação Algorítmica, esta voz carrega Salgado & Saito — a autodeterminação informativa do administrado em face do regulador-coletor.
Voz do art. i · Mapeada 1:1 com o Conselho.
Três marcos articulados num único ciclo.
Mark Moore.
Valor público como critério de desempenho: gestores devem maximizar benefícios para a coletividade. Revisitado em Recognizing Public Value (2013).
Dunleavy.
Sucede a New Public Management. Duas ondas: (i) reintegração de serviços e digitalização; (ii) web social, cloud, apps. Fluxo de informação como elo Estado–cidadão.
OCDE.
Três áreas: governo de dados, dados para valor público, dados para confiança. Meta: serviços públicos melhores com salvaguardas éticas.
A pergunta deixa de ser "o Estado é transparente?" — e passa a ser "quem consegue ler os dados que ele abriu?"
Os quatro princípios que orientam a abertura.
i. Transparência. Publicidade ativa de informações, formatos abertos, atualização sistemática.
ii. Accountability. Possibilidade efetiva de pedir contas — não apenas ver, mas responsabilizar.
iii. Participação. Canais para que o dado virado público alimente deliberação, e não só consulta.
iv. Tecnologia. Padrões, APIs e interoperabilidade — sem os quais a abertura é apenas publicação inerte.
A INDA, criada em 2012, ainda hoje é pedra de toque. Mas sua implementação convive com vazios de governança que reaparecem nas barreiras estruturais do slide seguinte.
Da Constituição à Lei do Governo Digital — um arcabouço normativo, agora completo.
A Constituição de 1988 inscreveu publicidade como princípio da Administração (art. 37) e habeas data como instrumento (art. 5º, LXXII). De lá para cá, o legislador foi adensando o vocabulário.
A Lei de Responsabilidade Fiscal (LC 101/2000) introduz a transparência ativa de finanças públicas. A Lei de Acesso à Informação (12.527/2011) generaliza a transparência passiva e ativa — e, simultaneamente, regulamenta o sigilo (art. 23).
A Lei do Marco Civil (12.965/2014) traz a neutralidade e a proteção de dados como princípios da internet. A LGPD (13.709/2018) define o regime geral. A Lei do Governo Digital (14.129/2021) consolida — e cria o federalismo de adesão.
Vinte anos, sete leis-chave: um arcabouço completo no papel. A pergunta seguinte, dos próprios autores, é o que se faz com ele.
Portais municipais — e o limite da transparência.
- Decreto 2021 — Estratégia de Transformação Digital da PCR
- Conecta Recife — serviços e informações
- Portal da Transparência — publicidade de dados
- 3 Selos Ouro consecutivos
- SMIT · Dec. 57.653/2017
- SP156 — serviços digitais
- Atendimento digital e assistido
- Descomplica Digital — atendimento assistido
- GeoPortal — camadas e downloads vetoriais
- Viabilidades urbanísticas automatizadas
- ISS & alvará sanitário — online setoriais
- Questão de leitura · integração de jornadas
A mesma LAI que abre, fecha — o Estado decide o que abre de si mesmo.
Cristóvam e Hahn tratam abertura, transparência, proteção e regulação como ciclo único. Mas existe uma assimetria estrutural que merece nome: a abertura é um dever jurídico do Estado e, ao mesmo tempo, é o próprio Estado quem decide o que abre.
A LAI, no art. 23, autoriza a classificação como reservado, secreto ou ultrassecreto. Recife, SP, Florianópolis são boas práticas; a opacidade seletiva é a prática corrente. O regulador da transparência também é o operador do sigilo.
É a tensão que define a persona Administrador Público: governança que promete abertura e controla as chaves do sigilo.
Administrador Público
Voz da governança: capacidade técnica, dever de transparência ativa, fundamentação. Mas também: discricionariedade na classificação do sigilo, na seleção do que se publica, na arquitetura do portal.
Voz do art. ii · Mapeada 1:1 com o Conselho.
O ciclo proteção ↔ abertura — e seu ponto cego.
Defesa que persiste.
Salgado & Saito: o direito fundamental complexo não se reduz à LGPD; a função de defesa segue ativa. O Estado é o maior agente de tratamento.
Transparência seletiva.
Cristóvam & Hahn: ciclo único de transparência, dados, participação, regulação. Mas o regulador também é operador do sigilo (LAI art. 23).
A decisão automatizada.
Nenhum dos dois artigos chega à decisão algorítmica concreta. O cidadão pode ver e ser protegido — mas a decisão que o afeta pode permanecer opaca.
A Parte II atravessa este ponto cego — saúde, big data e explicabilidade.
Saúde, big data
& explicabilidade.
Big data na saúde — o lugar onde a proteção de dados encontra seu maior estresse.
Dados sensíveis, populações inteiras, decisões clínicas e administrativas entrelaçadas: a saúde digital expõe os limites de uma LGPD desenhada num paradigma pré-big-data.
Cinco campos em que big data, IA e governança de saúde se sobrepõem: pesquisa clínica, prontuário eletrônico nacional, telemedicina, vigilância epidemiológica e financiamento. Em todos, o Estado é, simultaneamente, regulador e principal coletor.
Soberania de dados — não como nacionalismo digital, mas como capacidade institucional de manter governança sobre fluxos transfronteiriços.
Princípios clássicos da LGPD entram em tensão com a lógica do big data, que opera agregando, recombinando e inferindo.
Cinco campos onde a LGPD já chega tarde.
i. Pesquisa clínica — consentimento granular versus reanálise futura de coortes.
ii. Prontuário eletrônico nacional — integração entre níveis de atenção; risco de inferência identificadora a partir de quase-identificadores.
iii. Telemedicina — captação de dados biométricos contínuos; assimetria entre paciente, plataforma e operadora.
iv. Vigilância epidemiológica — uso emergencial vira regime permanente (lição da pandemia).
v. Financiamento e regulação — bases administrativas (SUS, SIH, SIA) alimentando modelos preditivos pelo próprio gestor.
Em todos, finalidade, minimização e anonimização ficam frágeis justamente quando o Estado é o grande coletor.
Soberania de dados e privacy by design — o que a tradição europeia oferece.
Sarlet e Molinaro mobilizam o conceito alemão-europeu de soberania informacional não no registro geopolítico, mas no registro institucional: capacidade do Estado de manter governança e arbitragem sobre fluxos de dados que, por natureza, são transfronteiriços.
A categoria importa porque o big data em saúde envolve, quase sempre, processadores estrangeiros, infraestruturas em nuvem e modelos treinados em outros contextos. A pergunta não é se devemos abrir mão — é como manter autoridade decisória.
No plano técnico, privacy by design (Cavoukian) — princípios incorporados na arquitetura do sistema, e não acoplados a posteriori — aparece como condição mínima. Para os autores, é ele, não a anonimização posterior, que faz a LGPD funcionar em ambiente big data.
Quando o coletor é o regulador — a minimização vira letra morta.
Sarlet e Molinaro mostram que a LGPD foi concebida em um paradigma pré-big-data. Finalidade, minimização e anonimização ficam frágeis quando o Estado é o grande coletor. O seminário põe essa tensão em diálogo com bases públicas de saúde, assistência, educação e serviços digitais, sem tomar seu volume como prova de uso preditivo.
A concentração de bases públicas suscita riscos de acesso indevido e exige fiscalização. Alegações de vazamento precisam identificar base, responsável e fonte verificável; não as usamos aqui como fato comprovado sobre o Gov.br. Nossa pergunta permanece: quem controla o controlador?
Algoritmo simples, modelo preditivo, IA generativa: três coisas distintas.
Sob o mesmo guarda-chuva — "decisão por algoritmo" — convivem ferramentas técnica e juridicamente distintas. A precisão dessa distinção é o que torna a discussão sobre explicabilidade possível.
O algoritmo simples é determinístico — uma regra explícita, auditável linha a linha. Decisões tomadas por ele são, em princípio, plenamente reconstituíveis. A explicabilidade é, no limite, o próprio código.
O modelo preditivo estatístico (regressões, árvores, gradient boosting) já opera em terreno probabilístico. Há explicabilidade — mas em importância de variáveis, em graus de contribuição, e não em "porquê" no sentido jurídico.
A IA contemporânea — redes neurais profundas, modelos de linguagem — apresenta um gap explicativo estrutural: o sistema responde, mas a justificativa não é endogenamente recuperável. Tratar uma rede neural como planilha é o que cria a opacidade administrativa.
Três modos: humana, híbrida, algorítmica.
Humana. O agente público analisa, decide e fundamenta. Pode usar ferramentas, mas a decisão é dele — e o ônus argumentativo permanece humano.
Híbrida. O sistema sugere, classifica, prioriza; o agente decide. Aqui mora o risco da "humanização decorativa" — a decisão real é da máquina, o carimbo é humano.
Algorítmica pura. A decisão é tomada e comunicada sem interveniente humano. A tipologia é uma leitura doutrinária. A LGPD garante pedido de revisão (art. 20); o art. 19 da Lei do Governo Digital trata da Base Nacional de Serviços Públicos.
Para Tavares e coautores, cada tipologia exige arquitetura própria de explicabilidade e contraditório. A diferença é constitucional, não cosmética.
decide: human · justify: human
[B] hybrid
decide: human (or system?)
justify: human (rubber-stamp?)
[C] algorithmic_pure
decide: system
review: LGPD art. 20
A explicabilidade tem três tempos.
Antes da decisão.
Avaliação de impacto algorítmico, transparência ativa sobre critérios, prazos, parâmetros. Não é «publicação do código»; é compreensibilidade pública dos pressupostos.
Durante a decisão.
Logging, trilhas de auditoria, identificação dos dados efetivamente usados e do modelo em execução. Esta é a camada que possibilita o contraditório posterior.
Depois da decisão.
Motivação ao destinatário em linguagem inteligível, indicação dos dados, base legal, modelo usado e canal direto de contestação. Aqui a explicabilidade vira devido processo.
O contraditório tem que ser prévio — recurso depois não sana a nulidade.
A leitura constitucional do art. 5º, LV, é direta: o devido processo administrativo exige contraditório prévio. Adiar para o recurso é, na prática, suprimir o instituto — porque a decisão já produziu efeitos sobre o destinatário.
Tavares e coautores fazem a translação para a decisão automatizada: direito à explicação antes, direito a manifestar-se antes, direito à revisão por agente competente. Sem os três, não há contraditório — há comunicação de resultado.
Essa releitura é o que vira software no nosso protótipo. O Conselho de Contestação Algorítmica é uma materialização desse esquema: explicar, abrir, deliberar, recorrer.
Aqui é onde o Estado-regulador mais descumpre o Estado-norma. A próxima parte do seminário mostra como.
[1] explicação prévia dos critérios
[2] oportunidade de manifestar-se
[3] revisão por agente competente
[1] missing
[2] missing
[3] missing
O regulador é o maior infrator.
Quem edita a regra é o que mais a descumpre contra o cidadão.
Quem edita a regra.
- LAI · transparência
- LGPD · proteção
- L. 14.129/21 · gov. digital
- CF art. 5º LV · contraditório
- IN 128/22 INSS · motivação
- CNJ Res. 615/25 · IA judicial
Quem descumpre.
- LAI art. 23 · sigilo seletivo
- Gov.br · risco de exposição
- MP 954 · STF a conteve
- INSS · sem contraditório
- INSS · viola própria IN
- TJ-MA · 80 → 969 sentenças por IA
A trabalhadora rural recebe isto, no celular.
Uma mulher de 62 anos, aposentadoria por idade rural negada por inferência entre CadÚnico, RAIS e CNIS. O sistema decide. O aplicativo comunica. Não há motivação, não há contraditório, não há rosto.
O regulador-do-recurso é quem suprime o recurso.
Aposentadoria por idade rural
Inconsistência cadastral e risco elevado de inelegibilidade detectado em modelo automatizado.
Os dados entram. A decisão sai. Tudo no meio está oculto.
Cada caixa pontilhada é um hook que o devido processo administrativo prevê — e que o INSS não cumpre. Sete nulidades em um único ato.
Holanda já conteve. Brasil ainda está no estágio da denúncia.
SyRI — Systeem Risico Indicatie
- Direcionamento territorial e racial
- Cruzamento de bases sem finalidade clara
- Opacidade sobre critérios e pesos
- Tribunal de Haia · proibido por violar privacidade, finalidade, minimização e devido processo
INSS · aposentadoria rural
- Direcionamento por inferência cadastral
- Cruzamento opaco entre CadÚnico, RAIS, CNIS
- Sem motivação personalizada
- Sem decisão judicial estruturante — ainda no estágio de denúncia
Episódios e cenários: o Estado diante das próprias regras.
A comparação pergunta como o Estado controla os próprios sistemas. Os cenários didáticos não comprovam ocorrências históricas; no TJ-MA, a correição apontou uso inadequado de IA e determinou sindicância em 2025. Decisão de 07/04/2025, p. 1–2.
Duas camadas que precisam vir antes da contestação.
Literacia algorítmica.
O cidadão muitas vezes nem sabe que foi uma máquina que decidiu — e não faz ideia do que é «inteligência artificial» ou «decisão algorítmica».
Não se contesta o que não se compreende. Empoderar não é só abrir um canal de recurso: é traduzir a decisão em linguagem que a pessoa entenda. Transparência não basta — falta inteligibilidade.
Notícia humana.
Tese normativa: certas decisões podem ser automatizadas — mas a comunicação de uma decisão adversa a alguém em situação de vulnerabilidade deveria ser feita por uma pessoa, não por uma máquina.
Humano no circuito não apenas na decisão — também no cuidado da comunicação. Notificar um indeferimento por um app frio, a quem depende do benefício para comer, é violência burocrática silenciosa.
Protótipo: devolver à pessoa o contraditório que o Estado suprimiu.
Decisão.
A pessoa submete o ato. O sistema lê o documento bruto.
Motivação ou caixa-preta?
Diagnóstico do que falta à decisão.
De onde vem.
Bases possíveis; quase-identificadores; risco de inferência.
Quatro vozes.
Defensoria · Cientista · Administrador · Cidadão. As 4 leituras do seminário, virando software.
Saídas jurídicas.
LAI, LGPD, recurso administrativo — em linguagem da pessoa.
| persona | artigo | o que ela carrega |
|---|---|---|
| Defensoria Pública | Tavares et al. | contraditório prévio · art. 5º LV · LGPD art. 20 |
| Cientista de Dados | — transversal — | explicabilidade · viés de proxy · auditabilidade |
| Administrador Público | Cristóvam & Hahn | governança · IN 128/2022 · L. 14.129/2021 |
| Cidadão | Salgado & Saito · Sarlet & Molinaro | autodeterminação informativa · exclusão digital |
Agora, em simulação.
A trabalhadora rural, indeferida automaticamente, leva seu caso ao Conselho de Contestação Algorítmica. Quatro perspectivas jurídicas — as quatro leituras do seminário — deliberam em três fases. No fim, o sistema não decide pela pessoa: ele devolve a ela o contraditório que o Estado suprimiu.
O Conselho,
publicado.
Esta demonstração foi pensada para o seminário. A interface React/Gemini apresenta quatro perspectivas em uma única chamada no projeto original. Aqui, usamos casos e pareceres preparados, sem chamada de IA e sem dados pessoais.
› region: navegador
› build: estático
› status: ✓ serving
› ssl: ✓ active
Não há Administração Pública 4.0 democrática
sem quatro colunas.
A Administração Pública digital está decidindo melhor — ou apenas decidindo mais rápido, com menos chance de compreensão, contestação e participação?
Ana Vitória Vanzin & Vinícius Oliveira · PPGD/UFSC · 2026
Acessar Material