O texto é sempre parecido, em qualquer órgão, em qualquer empresa grande:
Fica vedada a utilização de ferramentas, aplicações e serviços não homologados pelo departamento de tecnologia para o tratamento de informações institucionais.
Uma linha de fundamento legal antes, uma linha de responsabilização depois, assinatura, publicação no boletim interno. Todo mundo já viu essa norma. Muita gente já a cumpriu. Alguma gente já a redigiu.
Eu redigiria. É o meu ofício — sou encarregado de proteção de dados pessoais, e o meu instinto profissional, treinado e correto, é restringir o que não consigo governar.
É exatamente por isso que este texto me custou a escrever.
O caso da proibição é bom
Antes de derrubar, preciso sustentar — e sustentar de verdade, não como espantalho.
Quem assina uma vedação dessas está olhando para algo real. Está olhando para dado pessoal de cidadão sendo colado dentro de um serviço que ninguém sabe onde processa, sob termos de uso que ninguém leu, sem base legal definida, sem contrato que constitua aquele fornecedor como operador, sem registro da operação de tratamento, sem avaliação de impacto quando ela seria devida, sem qualquer garantia de que aquele conteúdo não vai alimentar o treinamento de um modelo de terceiro.
E está olhando para uma responsabilidade que não é dividida: quando algo quebrar, quem responde perante a autoridade nacional, perante o controle interno e perante o tribunal de contas é o órgão. Não a unidade. Não o servidor que teve a ideia. O órgão.
Quem proíbe não é um burocrata assustado com novidade. É alguém tentando proteger o titular do dado e a instituição, com o único instrumento que colocaram na mão dele. O risco que essa pessoa enxerga existe, e eu não vou fingir que não.
O problema não é o diagnóstico dela. É o que o instrumento faz depois de publicado.
O que a norma efetivamente muda
Passe o filme dos seis meses seguintes à publicação.
A dor que motivou a solução informal continua existindo — o processo repetitivo continua repetitivo, o prazo continua apertado, o volume continua o mesmo. A capacidade técnica de quem construiu aquilo continua existindo. E o canal oficial continua sem vazão, porque a norma não contratou ninguém, não removeu uma linha da fila do departamento de tecnologia, não mudou nenhuma das variáveis daquela conta.
Uma coisa mudou. Uma só.
Antes da norma, havia uma chance de a pessoa perguntar. Depois, não há mais — porque agora perguntar é confessar.
A vedação não elimina o comportamento. Elimina a sua notícia dele.
Para onde o risco vai
Aqui eu falo do lugar onde efetivamente trabalho, e é a parte que mais me preocupa.
O tratamento não cessa. Ele migra — e migra sempre na mesma direção, que é a pior possível:
- da conta institucional para a conta pessoal;
- do computador do órgão, que tem inventário e antivírus, para o celular particular, que não tem nada;
- do arquivo em rede, que tem backup e controle de acesso, para o drive pessoal;
- da conversa com o colega, que ainda podia virar uma dúvida encaminhada ao encarregado, para o silêncio.
Compare os dois estados.
Antes: risco real, mas visível, endereçável, com dono identificável. Alguém pode chegar naquela planilha, olhar, medir, corrigir, exigir um mínimo, desligar se for o caso.
Depois: risco igualmente real, agora invisível, sem dono declarado, rodando em infraestrutura sobre a qual a instituição não tem absolutamente nenhum controle.
E o dado tratado ali continua sendo tratado sob a responsabilidade do órgão. A norma interna não transfere titularidade nenhuma para fora. Ela não é oponível à autoridade nacional como excludente, não protege o órgão perante o titular lesado e não aparece como defesa em nenhuma fiscalização séria — "nós havíamos proibido" é, no máximo, um dado sobre a cultura interna, nunca uma resposta ao dever de segurança que continua sendo do controlador.
O que se abriu mão, ao proibir, não foi da responsabilidade. Foi do conhecimento.
Você continua respondendo. Só que agora responde por algo que não consegue enxergar.
Quem a norma pune
Existe um efeito colateral que nunca entra na exposição de motivos.
Uma vedação dessas não atinge a organização de maneira uniforme. Ela atinge quem estava tentando resolver alguma coisa — porque só essas pessoas estavam fazendo algo passível de vedação. Quem já tinha desistido, quem já tinha aprendido que aqui nada anda, quem cumpre o expediente e vai embora, esse não é alcançado por norma nenhuma: não havia nada a proibir.
Então o que a norma faz, na prática, é punir seletivamente o servidor mais comprometido da equipe. O que se importava o bastante para tentar. O que trabalhou em cima do horário para automatizar algo que ele mesmo faz na mão todo dia.
E a lição institucional que isso ensina — para ele e para todos os que assistiram — é curta e definitiva: iniciativa é passivo.
Essa lição não se desfaz depois com discurso de inovação, cartaz no corredor, hackathon interno ou programa de ideias. Ela é aprendida uma vez e fica. Nenhuma organização inova depois de institucionalizá-la, e o custo dela não aparece em relatório nenhum, porque o que se perde são coisas que não chegaram a acontecer.
O que eu não estou dizendo
Preciso ser explícito, porque o mal-entendido aqui é fácil e caro.
Não estou defendendo ausência de regramento. Passo os meus dias escrevendo norma interna, e continuo achando que dado pessoal de cidadão não pode circular em serviço desconhecido, sem base legal e sem registro. Isso não é rigor excessivo; é o mínimo.
O que não funciona é uma combinação específica: restrição sem caminho.
Vedação acompanhada de um canal por onde a demanda legítima efetivamente passa é governança — a regra diz "não por aí" e mostra por onde. Vedação com o canal oficial engasgado é outra coisa: é uma placa. Ela informa que o comportamento é proibido, não oferece alternativa nenhuma a quem tem a dor, e produz um único efeito mensurável, que é apagar a informação sobre o que passou a acontecer.
Mais controle nominal sobre um gargalo não desfaz o gargalo. Só o torna oficial.
Duas perguntas antes de assinar
Se a norma está na sua mesa esperando assinatura, eu faria duas perguntas antes — e faço as duas a mim mesmo, porque essa mesa também é a minha.
A dor que motivou aquele comportamento vai deixar de existir amanhã? Se a resposta é não, o comportamento também não vai.
Se ele não vai deixar de existir, eu vou ficar sabendo no que ele se transformou? Se a resposta é não, o que você está prestes a assinar não reduz risco. Redistribui risco para fora do seu campo de visão, mantendo intacta a sua responsabilidade sobre ele.
Existe um jeito de dizer "não por aí" e, no mesmo ato, dizer "por aqui" — com critério público, prazo de resposta e revisão humana. É o que estou construindo, em aberto, para ser adaptado, criticado e reaproveitado. O primeiro documento disso é o manifesto.
Leia, discorde, me diga onde estou errado. E se você assinou uma norma dessas — ou trabalhou sob uma —, o que eu mais quero saber é o que aconteceu nos seis meses seguintes. Esse relato vale mais do que qualquer argumento que eu consiga escrever aqui.