O Ministério Público do Paraná (MPPR) abriu um inquérito para apurar possíveis irregularidades no processo de privatização da Celepar (Companhia de Tecnologia da Informação e Comunicação do Paraná), que incluiriam um "data center fake" para supostamente armazenar dados da área da segurança pública. O alvo da investigação é o contrato com a Indra Brasil, braço brasileiro da espanhola Indra, no valor aproximado de R$ 162,4 milhões.
A Indra Brasil Soluções e Serviços Tecnológicos foi contratada pela Secretaria de Estado da Segurança Pública (Sesp) em junho do ano passado. Ao MPPR, a Sesp informou que o contrato "tinha como objeto a adequação da infraestrutura física do data center" – a Lei Geral de Proteção de Dados Pessoais (LGPD) impede que dados da segurança sejam administrados por empresas privadas, o que atrasou o processo de venda da Celepar.
O líder da oposição na Assembleia Legislativa, deputado Arilson Chiorato (PT), denunciou o caso em agosto do ano passado ao MP, alegando que se tratava da contratação de um "data center fake" para possibilitar a venda da Celepar. Em janeiro, a Sesp informou que o contrato com a Indra foi rescindido e que os dados da segurança seriam armazenados na Nuvem Soberana do Serpro, o Serviço Federal de Processamento de Dados.
Em seguida, a 4ª Promotoria de Proteção ao Patrimônio Público do MPPR solicitou esclarecimentos sobre o possível compartilhamento de dados da segurança com a Indra, notas empenhadas, justificativa da escolha do fornecedor e relatório de atividades prestadas.
José Marcos Lopes
Secretaria informou que tem data center próprio
Na resposta ao MPPR, a Sesp negou que a empresa tenha acessado dados e informou que sete aplicações hospedadas no ambiente da Celepar haviam sido segregadas, o que representaria 52% da base total de informações. A Secretaria afirmou ainda que possui um data center próprio, "oriundo de estrutura antes vinculada à Copel, que foi implantado e gerido apenas por servidores da Sesp", e que não produziu um Relatório de Impacto de Proteção de Dados (RIPD), "por não haver risco aos dados dos titulares", que não seriam acessados pela Indra.
No despacho que instaura o Inquérito Civil, a promotora de Justiça Suzane Maria Carvalho do Prado considerou necessário a Sesp esclarecer quais sistemas ainda estão ligados à Celepar. "É fundamental a pormenorização dos sistemas da Sesp atrelados à Celepar, dado que, oficialmente, a única informação fornecida pelo Governo do Estado do Paraná é que 7 (sete) dos 70 (setenta) sistemas foram segregados, porém nada foi dito sobre o conteúdo de cada um deles".
A promotora também solicitou informações sobre o possível acesso a dados. "Fundamental, também, é saber sobre o Registro de Operações de Tratamento (ROPA) e o Relatório de Impacto à Proteção de Dados Pessoais (RIPD), que, nesse caso, deve existir desde antes da conclusão do contrato, frente a relevância dos dados sensíveis que são expostos em data center estrangeiro.
Privatização segue suspensa
A privatização da Celepar foi suspensa no dia 11 de setembro de 2025 pelo ministro Flávio Dino, do Supremo Tribunal Federal (STF), relator da Ação Direita de Inconstitucionalidade que questiona a lei que autorizou a desestatização, aprovada em novembro de 2024 pela Assembleia Legislativa. Em março deste ano, o ministro Cristiano Zanin pediu vista do processo. Ele teria 90 dias para apresentar seu voto.
Em abril, o pleno do Tribunal de Contas do Estado do Paraná (TCE-PR) decidiu por unanimidade acatar a denúncia apresentada contra a privatização da Celepar, mas optou por aguardar uma decisão colegiada do STF.
Ao suspender o leilão marcado para o dia 17 de março, Flávio Dino apontou insegurança jurídica, já que há um processo em trâmite no TCE-PR, e fez uma série de recomendações ao governo do Paraná:
- Que a desestatização da Celepar observe a legislação federal sobre proteção de dados pessoais, notadamente a LGPD e a Lei nº 13.675/2018 (Política Nacional de Segurança Pública);
- Que o Estado do Paraná preserve o controle sobre os sistemas e as bases de dados pessoais sensíveis e classificados no rol do art. 4º, III, da LGPD, vedada a sua transferência integral a entes de natureza privada, exceto na hipótese em que o capital seja integralmente constituído pelo Estado;
- Que o Estado do Paraná preserve os poderes fiscalizatórios, de forma direta, sobre as atividades de tratamento dos dados pessoais sensíveis e classificados no rol do art. 4º, III, da LGPD, sem prejuízo da competência da Autoridade Nacional de Proteção de Dados - ANPD;
- Que o Estado do Paraná elabore, antes que evolua a desestatização da Celepar, um “relatório de impacto à proteção de dados pessoais” específico para a transição societária, a ser Documento assinado digitalmente conforme MP n° 2.200-2/2001 de 24/08/2001.
