A Companhia de Tecnologia da Informação e Comunicação do Paraná, a Celepar, está no centro de uma discussão que vai muito além da venda de uma empresa estatal.
O governo do Paraná pretende desestatizar a companhia. Do outro lado, partidos políticos, órgãos de controle e entidades ligadas à proteção de dados questionam se é possível transferir o controle de uma empresa que opera sistemas utilizados pelo poder público sem criar riscos para informações pessoais, sistemas de segurança pública e estruturas tecnológicas consideradas estratégicas.
Até o momento, a privatização continua suspensa.
O que é a Celepar?
Criada em 1964, a Celepar é a empresa de tecnologia da informação e comunicação do Paraná. Ao longo de décadas, a companhia passou a atuar na construção, operação e manutenção de sistemas utilizados por diferentes órgãos públicos.
Isso significa que sua importância não está apenas na empresa em si, mas na infraestrutura tecnológica que ela opera.
Sistemas governamentais envolvem informações de diferentes naturezas, incluindo dados administrativos, fiscais, educacionais, de saúde, trânsito e segurança pública.
É justamente essa característica que tornou a tentativa de privatização muito mais complexa do que a venda convencional de uma empresa estatal.
A privatização foi autorizada em 2024
Em novembro de 2024, a Assembleia Legislativa do Paraná aprovou a Lei Estadual nº 22.188/2024, autorizando a desestatização da Celepar.
A intenção do governo era transferir o controle da companhia para a iniciativa privada por meio de um processo de venda de ações.
O projeto avançou durante 2025, incluindo a abertura de uma sala de informações (data room) para potenciais investidores.
Em fevereiro de 2026, o governo chegou a publicar o edital do leilão da companhia.
O leilão, porém, não aconteceu.
Quando os dados entraram definitivamente no centro da discussão
A principal controvérsia passou a ser a seguinte:
é possível privatizar a empresa sem colocar em risco os dados e sistemas que ela administra?
A resposta não é tão simples.
Pela lógica da proteção de dados, a Celepar não é automaticamente “dona” das informações processadas em seus sistemas.
Os órgãos públicos podem continuar sendo os controladores dos dados, enquanto a empresa atua na infraestrutura e no processamento tecnológico.
O próprio Governo do Paraná defende exatamente essa tese.
Segundo a estrutura estadual de governança digital, a desestatização não transferiria a titularidade dos dados para o comprador da Celepar. O Estado continuaria como responsável pelas informações, enquanto a companhia forneceria a infraestrutura tecnológica necessária para seu processamento.
Mas isso não elimina todas as preocupações.
Porque, em segurança da informação, controle jurídico e controle técnico não são exatamente a mesma coisa.
Uma organização pode não ser proprietária de determinado banco de dados e, ainda assim, possuir acesso privilegiado à infraestrutura capaz de armazená-lo, processá-lo, transferi-lo ou disponibilizá-lo.
É aí que surge a preocupação com governança, privilégios de acesso, segregação de ambientes, criptografia, auditoria, gestão de identidades, resposta a incidentes e continuidade dos serviços.
O caso da segurança pública é ainda mais sensível
Entre os pontos levantados durante o processo está a situação dos sistemas relacionados à segurança pública.
Documentos analisados pelo Tribunal de Contas do Paraná apontaram a existência de dezenas de sistemas associados a informações de segurança pública operados pela Celepar.
Em determinado documento técnico, o TCE-PR menciona 114 sistemas de dados classificados como relacionados à segurança pública.
A eventual migração desses sistemas também levantou preocupações sobre infraestrutura.
A Secretaria de Segurança Pública teria de possuir capacidade tecnológica suficiente para absorver os sistemas, incluindo datacenter, servidores, redes, licenças e equipes especializadas.
Isso transforma a questão em algo maior do que simplesmente:
“privatizar ou não privatizar?”
A pergunta passa a ser:
quais sistemas podem ser transferidos para uma estrutura privada, quais precisam permanecer sob controle estatal e como garantir que uma empresa privada não tenha acesso indevido a informações que deveriam permanecer protegidas pelo Estado?
O STF entrou na história
Em novembro de 2025, PT e PSOL ingressaram no Supremo Tribunal Federal com a ADI 7896, questionando a legislação que autorizou a desestatização.
O argumento envolve, entre outros pontos, proteção de dados pessoais, segurança pública, soberania digital e competência legislativa.
Em fevereiro de 2026, o ministro Flávio Dino concedeu uma decisão cautelar impondo condições ao processo.
O ministro determinou que a desestatização deveria observar a Lei Geral de Proteção de Dados (LGPD) e a legislação relacionada à segurança pública.
Também determinou que o Paraná preservasse o controle e poderes de fiscalização sobre sistemas e dados pessoais sensíveis, além daqueles relacionados à segurança pública, defesa e investigação criminal.
Outro ponto importante foi a exigência de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) específico para a transição societária.
A decisão mudou completamente o ritmo da privatização.
Paraná mudou a legislação
Em março de 2026, o governo conseguiu aprovar uma alteração na legislação.
A Lei Estadual nº 23.025/2026 acrescentou, entre outras medidas, poderes fiscalizatórios diretos do Estado sobre o tratamento de dados pessoais sensíveis e determinados dados enquadrados na LGPD.
A nova lei estabelece que essa fiscalização deve ocorrer antes, durante e depois do processo de desestatização.
A estratégia do governo foi justamente demonstrar ao STF que as preocupações relacionadas à proteção dos dados poderiam ser solucionadas por meio de novas garantias legais e técnicas.
Mas o problema não desapareceu
Mesmo com as alterações, o processo continuou sendo questionado.
O Tribunal de Contas do Paraná também analisou questões relacionadas à operação.
Em abril de 2026, o TCE-PR decidiu suspender a análise de uma denúncia relacionada à venda até que o Supremo apresentasse uma decisão colegiada definitiva sobre a ADI 7896.
Ou seja: enquanto o STF não resolve a questão constitucional, o próprio Tribunal de Contas prefere aguardar.
O julgamento no STF teve mais uma reviravolta
Em junho, o ministro Cristiano Zanin devolveu o processo para julgamento.
A análise havia sido marcada para o plenário virtual entre 7 e 18 de agosto.
Flávio Dino manteve sua posição.
Zanin, porém, apresentou uma divergência importante.
Para ele, a ação não deveria sequer ser conhecida pelo STF da forma como foi apresentada, porque os questionamentos envolveriam principalmente aspectos administrativos e contratuais da privatização, e não necessariamente a constitucionalidade da lei estadual.
Na prática, seu entendimento poderia retirar do STF a discussão naquele formato.
Mas o julgamento não chegou ao fim.
Em 7 de agosto, o ministro Alexandre de Moraes pediu vista do processo.
Com isso, a análise foi novamente interrompida.
O que isso significa na prática?
Significa que, no momento da publicação desta matéria, a privatização da Celepar continua suspensa.
O pedido de vista não significa que Alexandre de Moraes seja contra ou a favor da privatização.
Significa que o ministro solicitou mais tempo para analisar o processo.
Enquanto isso, continua válida a decisão cautelar de Flávio Dino.
Portanto, o governo do Paraná não pode simplesmente retomar o processo e concluir a venda da companhia.
O caso ainda precisa voltar ao STF.
Afinal, os dados dos paranaenses seriam vendidos?
Essa talvez seja a pergunta mais comum e citada exaustivamente na Internet.
Talvez a resposta tecnicamente correta seja:
não é correto afirmar simplesmente que “os dados seriam vendidos”.
Os dados pessoais continuam vinculados aos seus titulares e aos respectivos controladores e operadores dentro das regras estabelecidas pela legislação.
O que está em discussão é a transferência do controle societário da empresa que presta serviços tecnológicos para o Estado.
O verdadeiro debate é sobre quem terá controle operacional sobre a infraestrutura tecnológica que processa determinadas informações e quais mecanismos impedirão acessos indevidos ou usos incompatíveis com a finalidade pública desses dados.
Essa diferença é fundamental.
O risco não está apenas no banco de dados
Imagine uma empresa privada assumindo a operação de uma infraestrutura que processa informações utilizadas por:
hospitais públicos;
escolas;
órgãos de trânsito;
sistemas tributários;
serviços digitais;
órgãos policiais;
sistemas administrativos;
estruturas de inteligência e segurança pública.
Mesmo que os dados continuem juridicamente sob controle do Estado, a segurança dependerá de uma cadeia tecnológica inteira.
Isso envolve:
IAM e gestão de privilégios
Quem possui acesso?
Quais contas administrativas existem?
Quem pode consultar determinado banco?
Quem pode alterar informações?
Segregação de ambientes
Os sistemas de segurança pública estarão fisicamente e logicamente isolados dos demais?
Criptografia
Os dados estarão criptografados em repouso e em trânsito?
Quem controla as chaves?
Logs e auditoria
O Estado conseguirá auditar integralmente quem acessou determinada informação?
SOC e resposta a incidentes
Quem será responsável pela detecção e resposta caso ocorra uma invasão?
Gestão de terceiros
O novo controlador poderá contratar outras empresas para operar partes da infraestrutura?
Continuidade
O que acontece se o contrato for encerrado?
Portabilidade
O Estado conseguirá retirar seus sistemas e dados da infraestrutura privada sem ficar dependente do fornecedor?
Essas perguntas são tão importantes quanto a própria questão societária.
A discussão também é sobre soberania digital
Existe ainda um conceito que ganhou força nesse caso: a soberania digital.
Uma infraestrutura tecnológica utilizada pelo Estado pode ser considerada estratégica mesmo quando não contém exclusivamente informações classificadas.
Imagine, por exemplo, que o governo dependa de uma única empresa para manter funcionando sistemas essenciais de saúde, educação, segurança ou arrecadação.
A questão passa a ser:
o Estado possui capacidade real de operar sem aquele fornecedor?
Se a resposta for não, surge um problema conhecido em segurança e tecnologia como vendor lock-in, ou dependência tecnológica.
Em uma infraestrutura crítica, essa dependência pode representar um risco estratégico.
O outro lado da discussão
Também é importante destacar que existe um argumento favorável à privatização.
O governo do Paraná sustenta que a Celepar pode continuar prestando serviços tecnológicos ao Estado mesmo sob controle privado, desde que sejam estabelecidas regras rígidas de segurança, governança e proteção de dados.
A estrutura estadual também afirma que os órgãos públicos continuariam sendo responsáveis pelos dados e que a empresa atuaria como prestadora tecnológica.
Esse argumento é importante.
Empresas privadas operam diariamente infraestruturas extremamente sensíveis para bancos, hospitais, empresas de energia e grandes organizações.
Portanto, ser uma empresa privada não significa automaticamente ser insegura.
O problema está no modelo de governança.
Quem controla?
Quem fiscaliza?
Quem audita?
Quem responde por um incidente?
Quem pode acessar?
E, principalmente:
o Estado consegue recuperar sua infraestrutura caso o contrato termine?
O caso Celepar pode virar precedente
Talvez esse seja o aspecto mais importante de toda a discussão.
A Celepar pode acabar se tornando um caso de referência para outras empresas públicas de tecnologia.
Governos estaduais e municipais possuem cada vez mais infraestrutura digital própria.
Datacenters, nuvens governamentais, sistemas de saúde, educação, segurança, arrecadação e identidade digital passaram a ser parte essencial da infraestrutura do Estado.
A pergunta que o caso Celepar coloca para o Brasil é:
até onde um governo pode transferir a operação de sua infraestrutura digital para a iniciativa privada sem perder o controle estratégico sobre ela?
Essa discussão provavelmente não termina com a Celepar.
Ela tende a aparecer novamente sempre que um governo decidir privatizar ou terceirizar uma infraestrutura tecnológica considerada crítica.
E agora?
Por enquanto, o cenário é de espera.
A privatização continua suspensa.
O processo no STF foi interrompido pelo pedido de vista de Alexandre de Moraes e a decisão cautelar de Flávio Dino permanece produzindo efeitos.
O ministro terá prazo regimental para devolver o processo, e depois o presidente do STF deverá definir a retomada do julgamento.
Até lá, o governo do Paraná não pode simplesmente concluir a venda da companhia.
A questão, portanto, continua em aberto.
E talvez a pergunta mais importante não seja simplesmente “a Celepar deve ser privatizada?”
Mas:
“qual modelo garante que uma infraestrutura digital estratégica continue sob controle efetivo do Estado, mesmo que sua operação esteja nas mãos de uma empresa privada?”
Essa é a pergunta que o STF terá de enfrentar.
Status em 09/09/2026: 🟠 privatização suspensa / julgamento pendente no STF. O pedido de vista de Alexandre de Moraes interrompeu o julgamento em agosto e, neste momento, não há decisão definitiva autorizando a continuidade da venda.
Créditos: