Monitoramento em áreas alfandegadas: segurança portuária e governança de dados sob a LGPD

A necessidade impõe limitação ao mínimo indispensável para cumprimento da obrigação regulatória. Isso envolve avaliar posicionamento de câmeras, ângulo de captação, tempo de retenção e volume de dados armazenados. Monitorar não significa monitorar além do necessário.

Não é novidade que a atividade portuária opera sob um regime jurídico rigoroso. 

A Lei nº 12.815/2013 (Lei dos Portos), a Instrução Normativa RFB nº 1.985/2020, a Portaria COANA nº 80/2022 e a Portaria RFB nº 143/2022 estabelecem exigências de controle e vigilância nas áreas alfandegadas, impondo aos administradores de recintos a manutenção de sistemas aptos a permitir o monitoramento das operações e o acesso pela fiscalização aduaneira.

Na prática, isso se materializa por meio de sistemas eletrônicos de monitoramento, usualmente CFTV, integrados ao ambiente tecnológico da Receita Federal.

O ponto central, contudo, não é a obrigação regulatória em si. É como essa obrigação dialoga com a Lei Geral de Proteção de Dados – LGPD.

A captação e o armazenamento de imagens de trabalhadores portuários, caminhoneiros, tripulantes e visitantes configuram tratamento de dados pessoais, nos termos do art. 5º, I e X, da Lei nº 13.709/2018.

Quando essas imagens são disponibilizadas automaticamente à Receita Federal, há também operação de compartilhamento.

Em ambientes portuários, o monitoramento eletrônico não é neutro do ponto de vista jurídico. Ainda que tenha finalidade legítima e fundamento regulatório, ele envolve vigilância contínua de pessoas em contexto laboral e operacional.

A depender da tecnologia utilizada, as imagens podem permitir:

• Identificação direta de indivíduos
• Análise de padrões de comportamento
• Cruzamento com outros sistemas de controle de acesso

Isso amplia a dimensão do tratamento de dados.

Sob a perspectiva constitucional, a proteção de dados pessoais integra o conjunto de direitos fundamentais relacionados à privacidade e à autodeterminação informativa. 

A LGPD concretiza essa proteção ao estabelecer limites materiais ao tratamento, mesmo quando há base legal válida.

A captação, o armazenamento e a disponibilização automatizada de imagens à Receita Federal configuram operações de tratamento legitimadas pelo art. 7º, II, da LGPD (cumprimento de obrigação legal ou regulatória).

Contudo, a base legal não esgota a análise.

O art. 6º da LGPD estabelece princípios que continuam plenamente aplicáveis, mesmo quando o tratamento é obrigatório.

Finalidade: O monitoramento deve estar claramente vinculado à segurança e à fiscalização aduaneira. A utilização das imagens para finalidades distintas, como controle informal de desempenho ou fiscalização disciplinar desvinculada da segurança pode caracterizar desvio de finalidade.

Adequação: O princípio da adequação exige coerência entre a finalidade declarada e a prática operacional. Se a justificativa do sistema é garantir segurança e rastreabilidade, o uso interno das imagens deve permanecer estritamente alinhado a esse objetivo.

Necessidade: A necessidade impõe limitação ao mínimo indispensável para cumprimento da obrigação regulatória. Isso envolve avaliar posicionamento de câmeras, ângulo de captação, tempo de retenção e volume de dados armazenados. 

Monitorar não significa monitorar além do necessário.

Transparência: Trabalhadores, prestadores de serviço e demais usuários das áreas alfandegadas devem ter ciência da existência do monitoramento e da possibilidade de compartilhamento com autoridade pública. A transparência pode se materializar por meio de sinalização adequada, políticas internas acessíveis e comunicação clara aos colaboradores.

Segurança: O princípio da segurança (art. 6º, VII) e o art. 46 da LGPD impõem a adoção de medidas técnicas e administrativas aptas a proteger as imagens contra acessos não autorizados, vazamentos ou uso indevido.

Em ambientes portuários, onde circulam informações estratégicas, a proteção das gravações é tão relevante quanto sua captação. Controle de acesso restrito, registro de visualizações, segregação de funções e políticas de descarte seguro tornam-se indispensáveis.

Prestação de Contas (Accountability): Este princípio exige capacidade de demonstrar conformidade. O controlador deve manter registro das operações (art. 37), documentar fluxos de integração com a Receita Federal e comprovar que medidas de segurança e governança foram implementadas.

A ausência de documentação transforma uma obrigação legítima em risco regulatório.

Hipoteticamente, imagine um recinto alfandegado que mantém sistema de monitoramento integrado ao ambiente da Receita Federal, conforme exigido pelas normas de alfandegamento.

O compartilhamento ocorre corretamente, contudo:

• Não há definição formal de prazo de retenção.
• O acesso interno às gravações não é registrado.
• As imagens começam a ser utilizadas para avaliar condutas operacionais sem vínculo direto com segurança aduaneira.

Nesse cenário, a base legal permanece válida. O problema surge na governança interna.

Em eventual fiscalização da Autoridade Nacional de Proteção de Dados (ANPD), o risco não estaria no cumprimento da obrigação regulatória, mas na incapacidade de demonstrar observância dos princípios da LGPD.

É nesse ponto que segurança jurídica e segurança da informação seguem unidas.

Em outras palavras, a legitimidade regulatória não transforma o monitoramento em prática ilimitada.

Há uma diferença relevante entre vigilância para segurança institucional e vigilância desproporcional.

E é aqui, nesse ponto, que a governança assume papel estruturante.

O equívoco mais comum está em presumir que a existência de base legal encerra a análise.

Não encerra!!

O art. 37 impõe ao controlador o dever de manter registro das operações de tratamento.
O art. 46 exige a adoção de medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados.

Isso significa que o recinto alfandegado precisa estruturar:

• Mapeamento formal do fluxo de imagens
• Descrição da integração sistêmica com a Receita Federal
• Política clara de retenção
• Controle de acesso interno às gravações
• Procedimentos de segurança da informação

A ausência desses elementos transforma uma obrigação legítima em vulnerabilidade regulatória.

O compartilhamento com a Receita Federal é parte da engrenagem regulatória do setor portuário. Os riscos surgem quando:

• As imagens são mantidas por prazo superior ao necessário
• Não há delimitação clara de quem pode acessar as gravações
• As equipes não recebem treinamento adequado
• As imagens passam a ser utilizadas para finalidades não previstas

Em ambientes de infraestrutura estratégica, a falta de governança documental pode gerar questionamentos tanto sob a ótica da proteção de dados quanto em auditorias regulatórias.

E a LGPD nesse contexto não é obstáculo à fiscalização aduaneira, tampouco impede monitoramento ou restringe a atuação da Receita Federal quando há fundamento legal.

O que a lei exige é organização. A LGPD é principiológica!

Quando o tratamento é estruturado com documentação adequada, fluxos claros, registros formais e equipes engajadas, o monitoramento deixa de ser apenas requisito regulatório e passa a integrar um modelo de governança institucional.

Em um setor altamente regulado como o portuário, maturidade operacional e maturidade em proteção de dados caminham juntas.

Cumprir a obrigação é necessário. Cumpri-la com governança é estratégico.

Juliane Pascoeto Cavalini e os demais profissionais do Sammarco Advogados escrevem quinzenalmente para o BE News, com seus artigos publicados sempre às terças-feiras.