Victor Ciocci Lopes de Moraes; Barbara Teles de Araújo da Silva

DOI: 10.22167/2675-6528-202601488

Artigo elaborado pela ferramenta ResumeAI, solução de inteligência artificial desenvolvida pelo Instituto Pecege voltada à síntese e redação.

Resumo

Investigou-se a equiparação funcional de entidades do terceiro setor, com foco em fundações de apoio vinculadas a instituições públicas de pesquisa, à categoria de “órgão de pesquisa” para fins de aplicação do artigo 11, inciso II, alínea “c”, da Lei Geral de Proteção de Dados Pessoais (LGPD). O objetivo principal foi estabelecer critérios materiais e diretrizes de conformidade que permitissem interpretar consistentemente essas entidades como órgãos de pesquisa para o tratamento de dados pessoais sensíveis, alinhando-se à finalidade pública da atividade científica. Empregou-se uma abordagem qualitativa, que incluiu pesquisa bibliográfica sistemática, análise documental de legislação federal e guias da ANPD, e um estudo de caso único de uma fundação de apoio hospitalar universitária de grande porte em São Paulo/SP. A coleta de dados foi exclusivamente secundária, focada em documentos institucionais e arcabouços legais. A pesquisa demonstrou que uma interpretação teleológica e sistemática da LGPD admitiu o enquadramento funcional dessas entidades, desde que observados critérios objetivos como finalidade científica legítima, interesse público, vínculo material com órgãos públicos de pesquisa e adoção de salvaguardas robustas de governança de dados. Os achados destacaram que uma interpretação orientada pela função efetivamente exercida, e não pela forma jurídica, refletiu melhor a realidade da pesquisa científica brasileira, conciliando a proteção de dados com o fomento ao conhecimento. Concluiu-se que permitir o reconhecimento de fundações de apoio como órgãos de pesquisa, sob condições específicas, representa um caminho legítimo para garantir segurança jurídica, proteger os titulares e promover o avanço científico de elevado valor social.

Palavras-chave: Compliance; Governança de dados; Inovação científica; Proteção de dados; Regulamentação.

1. Introdução

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, estabeleceu um marco regulatório fundamental no Brasil, consolidando um regime de tutela da privacidade, liberdade de informação e livre desenvolvimento da personalidade. Essa legislação, influenciada por regulamentações globais, inaugurou uma cultura de responsabilidade sobre dados, exigindo transparência e *accountability* de todos os agentes que tratam informações de pessoas naturais (Bioni, 2023; Doneda, 2021; Mendes & Bioni, 2021). A crescente digitalização e o processamento de dados impõem desafios complexos, particularmente no tratamento de dados pessoais sensíveis, devido ao seu elevado potencial discriminatório e aos riscos inerentes aos titulares.

No campo da pesquisa científica, essencial para o avanço do conhecimento, a manipulação de dados pessoais sensíveis – como informações de saúde, genéticas ou sobre origem étnica, conforme artigo 5º, inciso II, da LGPD – é frequente e submetida a regime jurídico rigoroso. A LGPD, reconhecendo a relevância pública da ciência, autoriza o tratamento desses dados sensíveis, independentemente de consentimento, quando necessário para estudos realizados por “órgão de pesquisa”, com a devida anonimização (Art. 11, inciso II, alínea “c”). Contudo, a definição legal de “órgão de pesquisa” (Art. 5º, XVIII) é deliberadamente aberta, demandando uma interpretação funcional. Essa ambiguidade gera incertezas jurídicas e desafios de conformidade para entidades que, embora não se enquadrem formalmente como órgãos públicos, exercem funções operacionais vitais na pesquisa científica brasileira.

O ecossistema de pesquisa no Brasil é marcado pela intensa colaboração entre órgãos públicos e entidades privadas sem fins lucrativos, notadamente as fundações de apoio. Essas organizações do terceiro setor, definidas por Fernandes (1994) e Carvalho Filho (2023) como agentes privados com finalidade pública, são reguladas pela Lei nº 8.958/1994 e atuam no suporte a instituições públicas de ensino, pesquisa e saúde. Sua natureza híbrida – privada na forma, pública na finalidade (Di Pietro, 2019; Paes, 2021) – as torna indispensáveis para a agilidade de projetos científicos complexos. Uma interpretação formalista da LGPD, que as exclua da categoria de “órgão de pesquisa”, pode inviabilizar estudos de alto interesse público, criar entraves burocráticos e fragmentar a responsabilidade sobre dados, sem promover efetivamente a proteção dos titulares (Rangel, Galvão Junior & Santos, 2019).

A atuação dessas fundações de apoio no tratamento de dados sensíveis é significativa, especialmente em pesquisas clínicas e genômicas. Evidências empíricas, como as observadas em uma fundação de apoio hospitalar universitária de grande porte em São Paulo/SP, revelam elevado nível de maturidade em governança de dados, compatível com as exigências para o tratamento de dados sensíveis em contextos científicos. Essas entidades possuem arcabouço normativo robusto, com políticas de tratamento de dados, privacidade e segurança da informação, e procedimentos para anonimização. A estrutura de governança é solidificada por comitês multidisciplinares e Encarregados de Dados (DPOs) formalmente nomeados. O mapeamento detalhado do fluxo de dados e a formalização de relações com terceiros, via contratos com cláusulas de proteção de dados, demonstram controle rigoroso e reforçam a capacidade institucional sobre a cadeia de tratamento.

A indeterminação da definição de “órgão de pesquisa” na LGPD, somada ao papel estrutural e à governança de dados demonstrada pelas fundações de apoio, cria incerteza jurídica que pode comprometer a continuidade de pesquisas de elevado valor social. A necessidade de harmonizar a proteção de dados pessoais sensíveis com o fomento à ciência, evitando entraves desproporcionais, justifica a presente investigação. Este trabalho busca analisar os fundamentos jurídicos e operacionais que permitem a equiparação funcional de entidades do terceiro setor, especificamente fundações de apoio, à categoria de “órgão de pesquisa” para fins de aplicação do artigo 11, inciso II, alínea “c”, da LGPD. O objetivo principal é estabelecer critérios materiais e diretrizes de conformidade que viabilizem uma interpretação consistente dessas entidades como órgãos de pesquisa para o tratamento de dados pessoais sensíveis, alinhando a proteção dos titulares à finalidade pública da atividade científica e à promoção do avanço do conhecimento.

2. Material e Métodos

A pesquisa foi desenvolvida sob uma abordagem qualitativa, de natureza aplicada e com caráter exploratório-propositivo. Essa escolha metodológica justificou-se pela complexidade do problema investigado, que envolve uma questão jurídica demandando interpretação funcional da definição legal de “órgão de pesquisa”. A regulamentação ainda incipiente e a literatura especializada limitada sobre o tema exigiram uma construção analítica robusta e a proposição de critérios operacionais que pudessem ser aplicados na prática institucional, visando a harmonização entre a proteção de dados e o fomento à ciência no Brasil.

O estudo concentrou-se no ecossistema de pesquisa brasileiro, com foco nas entidades do terceiro setor, especialmente as fundações de apoio vinculadas a instituições públicas de ensino, pesquisa e saúde. A unidade de análise principal consistiu em documentos legais, normativos e institucionais, além de um estudo de caso único. O contexto temporal da pesquisa abrangeu o período de implementação e consolidação da Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, e suas regulamentações subsequentes, refletindo os desafios jurídicos e operacionais contemporâneos.

A pesquisa não envolveu uma população ou amostra no sentido estatístico, dada sua natureza qualitativa. A unidade de análise primária foi composta por um conjunto selecionado de documentos e um estudo de caso específico. Os documentos incluíram a legislação federal aplicável, como a LGPD, a Lei nº 8.958/1994, a Lei nº 10.973/2004 e a Lei nº 13.243/2016. Foram também examinadas resoluções e deliberações do Conselho Nacional de Saúde, com destaque para a Resolução CNS nº 510/2016, além de notas técnicas e guias emitidos pela Autoridade Nacional de Proteção de Dados (ANPD).

Adicionalmente, foram analisados documentos institucionais relacionados à governança de dados de entidades do terceiro setor, com o objetivo de compreender suas práticas e estruturas. O estudo de caso único incidiu sobre uma fundação de apoio hospitalar universitária de grande porte, localizada em São Paulo/SP. A seleção dessa fundação foi estratégica, por representar um exemplo relevante de entidade que atua intensamente no suporte à pesquisa científica e no tratamento de dados pessoais sensíveis, permitindo uma análise aprofundada de sua maturidade em governança de dados.

A coleta de dados foi realizada exclusivamente por meio de fontes secundárias, sem qualquer interação direta com seres humanos, como entrevistas ou questionários. Essa abordagem garantiu que a pesquisa não fosse submetida ao Comitê de Ética em Pesquisa (CEP), uma vez que não envolveu participantes humanos. Os instrumentos de coleta consistiram na pesquisa bibliográfica sistemática e na pesquisa documental, que permitiram o levantamento e a organização do material para análise.

O método de execução da pesquisa foi estruturado em três frentes complementares e integradas. A primeira frente consistiu na pesquisa bibliográfica sistemática, que abrangeu obras de direito de proteção de dados, direito administrativo, direito constitucional, governança em privacidade, regulação responsiva e estudos sobre o terceiro setor. Essa etapa visou a fundamentação teórica e a compreensão do arcabouço conceitual e normativo pertinente ao tema.

A segunda frente correspondeu à pesquisa documental, que envolveu o exame minucioso da legislação federal, das resoluções do Conselho Nacional de Saúde, das notas técnicas e guias da ANPD, e dos documentos institucionais de governança de dados de entidades do terceiro setor. Essa análise foi crucial para identificar os requisitos legais e as orientações práticas sobre o tratamento de dados pessoais sensíveis em contextos de pesquisa científica, bem como o papel das fundações de apoio.

A terceira frente consistiu no estudo de caso único da fundação de apoio hospitalar universitária em São Paulo/SP. Para esta etapa, foram analisados documentos internos da entidade, como políticas de tratamento de dados, políticas de privacidade, políticas de segurança da informação e procedimentos operacionais padrão para anonimização e pseudonimização. Essa análise permitiu avaliar a maturidade da governança de dados da fundação e suas práticas de conformidade com a LGPD.

O tratamento e a análise dos dados coletados foram realizados mediante uma matriz analítica, construída em três eixos principais. O primeiro eixo, jurídico-normativo, focou na identificação de conceitos, princípios e requisitos legais relacionados ao tratamento de dados sensíveis e à definição de órgão de pesquisa. O segundo eixo, organizacional-funcional, mapeou elementos de governança, finalidades institucionais, processos internos de tratamento de dados e estruturas de controle adotadas pela entidade analisada.

O terceiro eixo, de conformidade e salvaguardas, avaliou os mecanismos de proteção de dados, padrões contratuais, políticas internas e práticas de mitigação de risco. Para cada documento e para o estudo de caso, foram buscados elementos que evidenciassem a finalidade científica ou tecnológica, a cooperação institucional com órgãos públicos, a existência de processos formais de governança em privacidade, os papéis e responsabilidades no tratamento de dados, e as salvaguardas operacionais e jurídicas. Essas categorias orientaram a análise de conteúdo e serviram de base para a construção dos critérios jurídicos propostos.

A análise dos dados do estudo de caso seguiu a mesma matriz analítica aplicada à etapa documental, porém com foco em três dimensões específicas: a maturidade de governança em privacidade da fundação, seu papel operacional no suporte à pesquisa científica e o alinhamento de suas práticas institucionais às exigências legais para enquadramento como órgão de pesquisa. A convergência e divergência entre os documentos foram examinadas para identificar padrões institucionais, lacunas de conformidade e evidências empíricas que pudessem subsidiar os critérios jurídicos propostos.

A interpretação do conjunto de materiais baseou-se em hermenêutica jurídica, com ênfase nos métodos sistemático e teleológico, combinada a técnicas de análise de conteúdo qualitativa para os documentos institucionais. Essa abordagem permitiu uma compreensão aprofundada da legislação e das práticas, buscando uma interpretação funcional da LGPD que considerasse a realidade do ecossistema de pesquisa. O caráter aplicado do estudo decorreu da integração entre as evidências documentais, o estudo de caso e a análise jurídico-funcional, permitindo a construção de critérios materiais e diretrizes práticas de conformidade.

3. Resultados e Discussão

A análise dos resultados obtidos neste estudo revela uma complexa intersecção entre o arcabouço normativo da Lei Geral de Proteção de Dados Pessoais (LGPD) e a realidade operacional das entidades do terceiro setor que atuam no fomento à pesquisa científica no Brasil. A premissa central que guiou a investigação, a de que a definição legal de “órgão de pesquisa” (Art. 5º, XVIII, da LGPD) é aberta e demanda uma interpretação funcional, foi amplamente corroborada pelos achados. Esta abertura, embora intencional para permitir flexibilidade regulatória, tem gerado incertezas jurídicas e desafios práticos significativos para as fundações de apoio, que, apesar de sua natureza privada, desempenham um papel essencialmente público na cadeia de produção do conhecimento.

O Terceiro Setor, conforme delineado por Fernandes (1994) e Carvalho Filho (2023), compreende entidades privadas sem fins lucrativos que operam em prol do interesse público, complementando as funções estatais. No contexto da pesquisa científica, as fundações de apoio emergem como atores cruciais, reguladas pela Lei nº 8.958/1994. Di Pietro (2021) destaca a posição híbrida dessas fundações, que, embora privadas em sua forma jurídica, perseguem finalidades públicas e recebem tratamento equiparável ao de entidades públicas em diversos aspectos, como gestão de recursos e prestação de contas. Esta dualidade é fundamental para compreender a necessidade de uma interpretação funcional da LGPD. A doutrina administrativista contemporânea reconhece amplamente essa natureza “privada, porém pública”, o que confere a essas entidades uma legitimidade intrínseca para serem consideradas no escopo de atividades de interesse público, como a pesquisa científica. A ausência de uma clareza normativa específica para essas entidades no contexto da LGPD, contudo, cria um vácuo que precisa ser preenchido por uma interpretação que harmonize a letra da lei com sua finalidade teleológica.

A indispensabilidade prática das fundações de apoio na operacionalização de projetos científicos é um achado empírico robusto. A agilidade administrativa que essas entidades proporcionam é incompatível com a rigidez do regime de direito público, sendo vital para pesquisas financiadas por agências como FAPESP, CNPq, CAPES ou NIH. Tais projetos frequentemente demandam contratação célere de pessoal, aquisição de equipamentos importados e gestão de recursos em moeda estrangeira, procedimentos que seriam inviabilizados ou severamente atrasados sob as regras estritas da administração pública direta. Além disso, uma parcela substancial desses projetos envolve pesquisa em saúde, ciências exatas e sociais, áreas que rotineiramente tratam dados pessoais sensíveis. A literatura jurídica, no entanto, ainda não abordou de forma sistemática o enquadramento dessas fundações sob a LGPD, focando-se mais genericamente na proteção de dados em instituições privadas sem fins lucrativos. Essa lacuna teórica e prática sublinha a urgência de uma interpretação que reconheça a função efetiva dessas entidades, em vez de se ater a uma classificação meramente formal.

A indeterminação do conceito de “órgão de pesquisa” na LGPD e nas orientações da Autoridade Nacional de Proteção de Dados (ANPD) constitui um dos principais desafios identificados. O texto legal da LGPD, ao definir “órgão de pesquisa” no Art. 5º, XVIII, e ao permitir o tratamento de dados pessoais sensíveis sem consentimento para estudos por esses órgãos (Art. 11, II, “c”), não oferece critérios subsidiários claros para sua identificação. A única menção complementar, no Art. 13, §2º, impõe a obrigação de publicação de resultados em estudos de saúde pública, mas falha em delimitar quem são esses órgãos. Os guias da ANPD, como o “Guia Orientativo de Tratamento de dados pessoais para fins acadêmicos e para a realização de estudos e pesquisas” (ANPD, 2023), abordam o tema de forma tangencial, reconhecendo a dispensa de consentimento, mas sem definir os contornos do “órgão de pesquisa” para entidades com natureza pública ou privada sem fins lucrativos que realizam atividades de estudo e pesquisa de forma eventual ou acessória.

Essa falta de clareza gera, na prática, efeitos negativos multifacetados. Primeiramente, o receio de autuação leva muitas entidades do terceiro setor a exigir o consentimento dos titulares mesmo em situações onde a dispensa seria aplicável, tornando a pesquisa operacionalmente inviável ou cientificamente comprometida. A obtenção de consentimento em larga escala para estudos retrospectivos ou com grandes bases de dados, por exemplo, é frequentemente impraticável e pode introduzir vieses. Em segundo lugar, observa-se uma disparidade no tratamento: enquanto universidades públicas e institutos governamentais adotam uma interpretação inclusiva do artigo, fundações de apoio que realizam atividades idênticas se veem juridicamente desamparadas. Essa assimetria cria um campo de jogo desigual e desestimula a colaboração entre setores. Por fim, a insegurança jurídica leva as entidades a contratar pareceres externos e a adotar múltiplas bases legais cumulativas como estratégia defensiva, elevando os custos de transação sem um ganho real na proteção dos direitos dos titulares. Essa sobrecarga burocrática desvia recursos que poderiam ser investidos diretamente na pesquisa, comprometendo a eficiência e a produtividade científica.

O papel operacional das fundações de apoio na cadeia científica é muito mais abrangente do que uma mera intermediação financeira ou administrativa. Conforme Lopes, Santos e Xavier (2014) apontam, o marco regulatório do Terceiro Setor tem evoluído para melhorar a prestação de contas, mas a análise aprofundada revela que essas entidades atuam como verdadeiros “hubs operacionais”. Elas são responsáveis pela gestão financeira e prestação de contas a agências de fomento, pela contratação ágil de pessoal técnico e pesquisadores, pela aquisição de equipamentos e insumos (inclusive internacionais), pela formalização de acordos de cooperação e parcerias, e, crucialmente, pela gestão de bancos de dados e repositórios de saúde, além da operacionalização de plataformas de coleta e análise de dados.

A função de tratamento de dados pessoais sensíveis, especialmente de pacientes e participantes de pesquisa clínica e epidemiológica, não é periférica, mas central. Em muitos projetos, a fundação de apoio atua como controladora ou operadora de dados, nos termos do Art. 5º, VI e VII, da LGPD. Isso envolve o recebimento de *datasets* desidentificados ou pseudonimizados de hospitais parceiros, a gestão de plataformas de randomização, a organização de prontuários eletrônicos de pesquisa e a garantia da integridade dos registros ao longo do ciclo de vida do projeto. Em diversas situações, é a fundação que mantém os registros de atividades de tratamento, nomeia o Encarregado de Dados (DPO) e estabelece os contratos com fornecedores de tecnologia. Essa atuação demonstra uma responsabilidade direta e substancial no tratamento de dados, o que reforça o argumento de sua equiparação funcional a um órgão de pesquisa. A complexidade e a escala dessas operações exigem um nível de governança e conformidade que transcende a mera formalidade jurídica.

A análise documental da fundação de apoio estudada revelou um nível elevado de maturidade em governança de dados, comparável ao de organizações que rotineiramente tratam dados pessoais sensíveis em contextos de pesquisa científica. Esta maturidade foi avaliada em cinco dimensões centrais. A primeira dimensão, a criação normativa interna, demonstrou um arcabouço robusto, incluindo Políticas de Tratamento de Dados Pessoais, Políticas de Privacidade, Políticas de Segurança da Informação e Procedimentos Operacionais Padrão para anonimização e pseudonimização. A coerência interna, a atualização periódica e o alinhamento aos princípios da LGPD (finalidade, necessidade, prevenção, responsabilização) são evidências de salvaguardas formais, um critério essencial para a equiparação funcional.

A segunda dimensão, estrutura de governança e capacitação institucional, revelou que o processo de adequação à LGPD envolveu um comitê multidisciplinar com participação de áreas jurídica, de TI, gestão corporativa e *compliance*. A nomeação formal de um Encarregado de Dados (DPO) capacitado, com atribuições claras e canais de comunicação definidos com titulares, ANPD e equipes de pesquisa, reforça a legitimidade institucional da fundação. A existência de um DPO atuante desmistifica a ideia de que entidades do terceiro setor teriam governança deficitária em comparação com instituições públicas. Pelo contrário, a proatividade na designação de um DPO e a estruturação de um comitê multidisciplinar demonstram um compromisso sério com a proteção de dados, alinhado às melhores práticas de governança corporativa e regulatória.

Na terceira dimensão, o mapeamento, classificação e rastreabilidade dos dados, o Registro de Atividades de Tratamento (RAT) analisado demonstrou um nível de detalhamento superior ao observado em muitas instituições públicas e privadas de porte similar. O RAT continha definições claras de finalidades, bases legais, categorias de dados (pessoais e sensíveis), identificação de controladores e operadores, prazos de retenção e descrição de medidas técnicas e administrativas de segurança. Esse grau de rastreabilidade é crucial para a conformidade e sinaliza uma maturidade operacional compatível com a exigência para órgãos de pesquisa. A capacidade de documentar e gerenciar o ciclo de vida dos dados de forma tão granular é um indicativo forte de que a entidade possui os controles necessários para mitigar riscos e garantir a proteção dos titulares.

A quarta dimensão avaliou a formalização de relações com terceiros e conformidade contratual. Os contratos com fornecedores de tecnologia, prestadores de serviços e instituições parceiras incorporam cláusulas específicas de proteção de dados, abrangendo confidencialidade, padrões mínimos de segurança, regras de subcontratação, notificações de incidentes e requisitos para transferência internacional de dados. Esse conjunto de mecanismos demonstra um controle institucional efetivo sobre a cadeia de tratamento de dados, reduzindo riscos jurídicos e operacionais. A robustez desses contratos é um pilar fundamental para a segurança das operações científicas e para a demonstração de *accountability*, um dos princípios basilares da LGPD. A diligência na formalização dessas relações é um testemunho do compromisso da fundação com a proteção de dados em todas as suas interações.

Por fim, a quinta dimensão analisou a integração da governança à prática da pesquisa. Embora a fundação não possua um “departamento de pesquisa” formalmente estruturado, a documentação evidenciou que as áreas envolvidas em projetos científicos (departamentos hospitalares, unidades de pesquisa clínica, núcleos de gestão de estudos) operam sob a orientação direta das políticas e procedimentos de privacidade da fundação. Há procedimentos padronizados de acesso a dados por pesquisadores, fluxos de anonimização antes da disponibilização de bases, modelos de cláusulas para compartilhamento de dados sensíveis com parceiros científicos e supervisão da governança de privacidade sobre estudos em fase inicial. Essa integração operacional reforça o argumento de que a fundação desempenha funções essenciais típicas de órgãos públicos de pesquisa, apesar de sua personalidade jurídica privada. A governança não é apenas uma formalidade, mas uma parte intrínseca da execução dos projetos de pesquisa.

O desenvolvimento teórico e prático deste estudo permite aprofundar a compreensão da aplicação da LGPD às entidades do Terceiro Setor que apoiam a pesquisa científica. A abordagem proposta transcende a análise da natureza jurídica formal da entidade, focando na perspectiva funcional, orientada pela atividade efetivamente desempenhada, pela finalidade pública da pesquisa e pela existência de mecanismos consistentes de governança e responsabilização. Essa mudança de foco é crucial, pois a produção científica contemporânea, especialmente na área da saúde, ocorre em arranjos institucionais complexos, envolvendo universidades, hospitais, fundações de apoio, pesquisadores e gestores que compartilham responsabilidades, fluxos de informação e bases de dados. Nesse ambiente, uma interpretação excessivamente restritiva da LGPD pode comprometer não apenas a segurança jurídica das operações, mas também a continuidade de projetos de elevado interesse social.

Sob essa ótica, é possível propor um modelo de equiparação funcional condicionada, segundo o qual determinadas entidades do Terceiro Setor podem ser tratadas, para fins específicos de tratamento de dados pessoais sensíveis, como órgãos de pesquisa. Isso ocorre quando demonstram vínculo material com a atividade científica, finalidade pública comprovada e adoção de salvaguardas adequadas. Tal proposta não busca afastar a proteção conferida pela LGPD, mas sim viabilizá-la de forma compatível com a realidade institucional da pesquisa no Brasil. Em termos práticos, o ponto central deixa de ser apenas “o que a entidade é” e passa a ser “o que ela faz, para quem faz e sob quais controles”. Isso é especialmente importante em instituições que atuam de maneira estrutural no suporte a projetos de ensino, assistência, inovação e pesquisa, operando em ambientes sensíveis, com grande volume de dados pessoais e responsabilidade social.

A partir dessa premissa, também se mostra pertinente a construção de um modelo de proporcionalidade regulatória, segundo o qual o nível de exigência de conformidade deve variar conforme o risco do tratamento. Projetos de pesquisa com baixo potencial de reidentificação e elevada relevância social não devem ser submetidos ao mesmo grau de rigidez aplicado a estudos multicêntricos, genômicos ou com bases massivas de dados hospitalares. No contexto das fundações de apoio, esse entendimento é particularmente útil porque permite preservar a fluidez operacional dos projetos sem renunciar à integridade dos titulares e da rastreabilidade dos tratamentos. A aplicação de uma abordagem baseada em risco permite otimizar os recursos de conformidade, direcionando-os para onde são mais necessários e eficazes, sem criar barreiras desnecessárias à inovação científica.

Outro avanço conceitual relevante é o da governança em pesquisa. A realidade dos projetos científicos mostra que a gestão de dados não se concentra em um único agente, mas é distribuída entre diferentes atores dentro da instituição. Universidade, fundação de apoio, pesquisador responsável, área jurídica, *compliance*, tecnologia da informação e comitês de ética integram uma rede de corresponsabilidade que precisa ser formalizada e coordenada. Nesse sentido, a LGPD deve ser tratada como um sistema de governança e não apenas como um conjunto de vedações. Quando a fundação possui políticas internas, fluxos documentados, matriz de responsabilidades, cláusulas contratuais robustas, protocolos de segurança, registros de tratamento e capacidade de resposta a incidentes, ela demonstra maturidade suficiente para sustentar um enquadramento funcional mais consistente. A governança cooperativa e a responsabilização compartilhada são elementos-chave para garantir a proteção de dados em ambientes complexos de pesquisa.

A partir dessa expansão teórica, é possível transformar a discussão em um conjunto de instrumentos práticos, reutilizáveis por responsáveis de projetos de pesquisa dentro das entidades. Como exemplo, tem-se um *framework* pensado para organizar a implementação operacional da conformidade em quatro etapas, conforme a Tabela 1.

Tabela 1. Framework de implementação da LGPD.

Etapa	Descrição
Filtrar	Identificar a natureza do projeto, os tipos de dados tratados, os atores envolvidos e a finalidade científica
Integrar	Alinhar jurídico, pesquisa, TI, compliance e governança institucional para mitigar riscos de conformidade
Regular	Formalizar papéis, contratos, cláusulas de privacidade, mecanismos de segurança e fluxos de compartilhamento
Evidenciar	Manter registros, relatórios, trilhas de auditoria, logs de acesso e documentação comprobatória da adequação do tratamento

Fonte: O autor

Esse modelo tem a vantagem de traduzir a LGPD em fluxo de processos, facilitando sua adoção por fundações que operam com múltiplos projetos simultâneos e diferentes níveis de sensibilidade de informações. A etapa de “Filtrar” exige a identificação da natureza do projeto, dos tipos de dados tratados, dos atores envolvidos e da finalidade científica, estabelecendo a base para as decisões subsequentes. A “Integrar” foca no alinhamento entre as áreas jurídica, de pesquisa, TI, *compliance* e governança institucional, visando mitigar riscos de conformidade através de uma abordagem holística. A “Regular” formaliza papéis, contratos, cláusulas de privacidade, mecanismos de segurança e fluxos de compartilhamento, garantindo que todas as interações e responsabilidades estejam claramente definidas e documentadas. Por fim, a etapa de “Evidenciar” enfatiza a manutenção de registros, relatórios, trilhas de auditoria, *logs* de acesso e documentação comprobatória da adequação do tratamento, elementos cruciais para demonstrar a conformidade e a *accountability* perante os titulares e as autoridades reguladoras.

Complementarmente, apresenta-se um guia prático estruturado em oito passos, desenvolvido como instrumento de apoio operacional e mais explorado neste trabalho como apêndice. O roteiro orienta desde a classificação do projeto até a documentação das medidas de governança. Este documento demonstra ser uma ferramenta de diagnóstico rápido, voltada aos responsáveis por projetos de pesquisa. Essa ferramenta pode ser baseada em perguntas simples, como: o projeto trata dados sensíveis; há vínculo com instituição pública de pesquisa; a finalidade é exclusivamente científica; existe risco relevante de reidentificação; as responsabilidades estão definidas em contrato; há medidas técnicas e administrativas documentadas; o projeto possui relatório de impacto ou documento equivalente; e o princípio da minimização foi observado. Quando a maioria das respostas for positiva, a maturidade de conformidade pode ser considerada satisfatória. Quando houver muitas respostas negativas, recomenda-se revisão imediata antes da execução do tratamento. Esse tipo de instrumento é especialmente útil em estruturas institucionais amplas, nas quais a velocidade de contratação e execução de projetos precisa coexistir com um ambiente de controle robusto e transparente.

Do ponto de vista social, o potencial de impacto dessa proposta é expressivo. Em contextos das entidades do terceiro setor que apoiam atividades de ensino, pesquisa, assistência e inovação em ambiente acadêmico e hospitalar de grande complexidade, a correta interpretação da LGPD pode significar a diferença entre a continuidade ou a paralisação de pesquisas relevantes para a sociedade. Estudos na área da saúde, por exemplo, dependem frequentemente de dados sensíveis para produzir evidências sobre prevenção, diagnóstico, tratamento e formulação de políticas públicas. Quando a conformidade é excessivamente formalista, o efeito prático pode ser o atraso de projetos, a elevação de custos, a perda de oportunidade científica e a redução do benefício coletivo. Por outro lado, quando a governança é bem estruturada, a LGPD passa a funcionar como instrumento de confiança, legitimidade e responsabilização, sem impedir a produção de conhecimento útil à população. A harmonização entre a proteção de dados e o fomento à ciência é um imperativo social, e a interpretação funcional da LGPD é o caminho para alcançá-la.

Em síntese, a expansão teórica aqui proposta indica que a análise da LGPD aplicada ao terceiro setor deve considerar a função efetivamente exercida pela entidade, o risco concreto do tratamento, a existência de governança cooperativa e a finalidade pública da pesquisa. Já o material prático desenvolvido oferece um caminho operacional claro, replicável e adaptável por diferentes instituições. Para gestores de pesquisa, esse conjunto pode servir como manual de implementação, base para revisão contratual, roteiro de governança e instrumento de padronização institucional. Para a sociedade, representa uma forma de conciliar proteção de dados, segurança jurídica e avanço científico, especialmente em um país no qual a pesquisa muitas vezes depende de arranjos institucionais híbridos e de entidades de apoio com papel crucial na execução dos projetos.

Por fim, no plano doutrinário, os achados desta pesquisa reforçam a necessidade de superação da dicotomia público-privado como critério organizador da regulação de dados em contextos de pesquisa científica. O ecossistema científico pode ser considerado híbrido, com financiamento público e privado, execução por entidades públicas e do Terceiro Setor, dados coletados em hospitais públicos e analisados em laboratórios privados, resultados publicados em plataformas internacionais. Nesse ecossistema, a regulação de dados precisa ser funcional, adaptativa e orientada pela finalidade, e não pela forma. Uma interpretação estritamente formalista, que desconsidere esse papel estrutural, tende a produzir insegurança jurídica e a dificultar a continuidade de pesquisas relevantes, sobretudo em áreas que demandam o tratamento de dados sensíveis em larga escala. Os resultados obtidos sustentam que a equiparação funcional, quando lastreada em critérios objetivos, como finalidade científica legítima, interesse público, vínculo material com órgãos de pesquisa e mecanismos sólidos de governança, constitui solução juridicamente defensável e adequada. O trabalho confirma, portanto, que a proteção de dados e o avanço científico não são objetivos antagônicos. Ao contrário, podem ser mutuamente fortalecidos quando sustentados por práticas proporcionais ao risco, governança cooperativa e salvaguardas consistentes. Nesse cenário, permitir que fundações de apoio sejam reconhecidas, em determinadas condições, como órgãos públicos de pesquisa para fins da LGPD representa um caminho legítimo para conciliar segurança jurídica, proteção dos titulares e promoção de conhecimento de elevado valor social.

4. Conclusão

Conclui-se que o objetivo foi atingido, ao analisar os fundamentos jurídicos e operacionais que permitem a equiparação funcional de fundações de apoio à categoria de “órgão de pesquisa” para fins da LGPD. O estudo demonstrou a viabilidade de uma interpretação teleológica e sistemática da lei, que reconhece a natureza híbrida dessas entidades e seu papel estrutural na pesquisa científica brasileira. Foram estabelecidos critérios materiais e diretrizes de conformidade, evidenciando que a proteção de dados pessoais sensíveis pode ser harmonizada com o fomento à ciência, desde que haja governança robusta e finalidade pública comprovada. A análise de caso de uma fundação de apoio hospitalar universitária confirmou a maturidade em governança de dados, com políticas internas, estrutura de DPO, mapeamento detalhado e formalização contratual, elementos que sustentam a equiparação funcional e garantem a segurança jurídica e a proteção dos titulares.

Contudo, este estudo possui limitações inerentes à sua metodologia, que se baseou em pesquisa documental e um único estudo de caso, sem a coleta de dados primários por meio de entrevistas ou questionários com agentes do setor. Essa abordagem, embora adequada para a construção teórica e proposição de um *framework*, pode restringir a generalização dos achados para a totalidade das fundações de apoio no Brasil, que podem apresentar diferentes níveis de maturidade em governança. Sugere-se, para estudos futuros, a realização de pesquisas empíricas mais abrangentes, com múltiplos estudos de caso ou levantamentos, para validar e refinar os critérios propostos em diversos contextos institucionais. Adicionalmente, investigações sobre o impacto da implementação do *framework* em longo prazo e a análise de futuras orientações da Autoridade Nacional de Proteção de Dados (ANPD) seriam valiosas para consolidar a segurança jurídica no ecossistema de pesquisa.

Referências Bibliográficas

Bioni, B.R. 2023. Proteção De Dados Pessoais: A Função e os Limites do Consentimento. Forense, Rio de Janeiro, RJ, Brasil.

Brasil. Autoridade Nacional de Proteção De Dados [ANPD]. Junho de 2023. Guias Orientativos: Tratamento de dados pessoais para fins acadêmicos e para a realização de estudos e Pesquisas. Brasília, DF, Brasil.

Carvalho Filho, J.S. 2023. Manual De Direito Administrativo. Atlas, São Paulo, SP, Brasil.

Di Pietro, M.S.Z. 2019. Parcerias na administração pública: concessão, permissão, terceiro setor, parcerias público-privadas e outras formas. Forense, São Paulo, SP, Brasil.

Doneda, D. 2021. Da Privacidade à Proteção de Dados Pessoais. Thomson Reuters Brasil, São Paulo, SP, Brasil.

Fernandes, R.C. 1994. Privado porém público: o Terceiro Setor na América Latina. Relume-Dumará, Rio de Janeiro, RJ, Brasil.

Lopes, L.F.; Santos, B.; Xavier, I.R. 2014. Marco regulatório das organizações da sociedade civil: a construção da agenda no Governo Federal – 2011 a 2014. Secretária-geral da Presidência da República. Brasília, DF, Brasil.

Mendes, L.S.F.; Bioni, B.R. 2021. Tratado de Proteção de Dados Pessoais. Forense, Rio de Janeiro, RJ, Brasil.

Paes, J.E.S. 2021. Fundações e entidades de interesse social: aspectos jurídicos, administrativos, contábeis e tributários. Forense. Brasília, DF, Brasil.

Rangel, L.J.; Galvão Junior, L.C.; Santos, M.J. 2019. As parcerias entre a administração pública e associações da área da saúde. Perspectivas em gestão e conhecimento. Disponível em: https://periodicos.ufpb.br/index.php/pgc/article/view/41225.

Artigo oriundo de Trabalho de Conclusão de Curso da Especialização em Compliance e ESG do MBA USP/Esalq

Para saber mais sobre o curso, clique aqui e acesse a plataforma MBX Academy