Lei Geral de Proteção de Dados Pessoais: o que é e como funciona na gestão pública

A LGPD vale para qualquer operação com dados pessoais (coleta, armazenamento, uso, compartilhamento, eliminação), em meio físico ou digital. Para o poder público, o tratamento deve atender à finalidade pública, na persecução do interesse público, com o objetivo de executar competências legais ou cumprir atribuições legais do serviço público. Não é uma lei “só para empresas”: prefeituras, câmaras, autarquias e fundações municipais estão no seu campo de aplicação.

O que é a LGPD

A Lei nº 13.709/2018 dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural (art. 1º). O parágrafo único do mesmo artigo estabelece que as normas gerais da lei são de interesse nacional e devem ser observadas pela União, pelos Estados, pelo Distrito Federal e pelos Municípios. É a lei geral do tema, e é complementada por regulamentos e orientações da Agência Nacional de Proteção de Dados (ANPD), nome adotado com a Lei nº 15.352/2026, que transformou a antiga autoridade em agência.

Para que serve

Dar ao cidadão direitos sobre seus dados: saber, acessar, corrigir, pedir eliminação nos casos previstos.
Exigir das organizações responsabilidade: justificar por que coletam, usar só o necessário, proteger contra vazamentos e prestar contas.
Para o gestor, reduzir o risco de sanções, incidentes e danos à imagem.

Conceitos essenciais (art. 5º)

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável. Veja dado pessoal.
Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Veja dado pessoal sensível.
Titular: pessoa natural a quem se referem os dados.
Controlador: quem decide sobre o tratamento (no setor público, em regra, o órgão ou ente). Veja controlador de dados.
Operador: quem trata os dados em nome do controlador.
Encarregado: pessoa indicada para atuar como canal de comunicação entre o controlador, os titulares e a ANPD. Veja encarregado de proteção de dados.

O que a lei exige do poder público

O Capítulo IV (arts. 23 a 32) regula o tratamento pelo poder público. O art. 23 determina que o tratamento seja realizado para atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar competências legais ou cumprir atribuições legais do serviço público, desde que o órgão informe as hipóteses em que realiza o tratamento, com informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos, e que indique um encarregado. O mesmo artigo esclarece que a LGPD não dispensa a instituição das autoridades da Lei de Acesso à Informação, e que os prazos e procedimentos para o exercício dos direitos do titular perante o poder público observam a legislação específica. O art. 26 trata do uso compartilhado de dados.

Outros dispositivos de destaque: o art. 6º lista os princípios (finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas); o art. 7º traz as bases legais; o art. 37 exige que controlador e operador mantenham registro das operações de tratamento; o art. 41 manda indicar encarregado e divulgar sua identidade e contato; e o art. 48 manda comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.

Sanções

O art. 52 prevê sanções administrativas aplicáveis pela autoridade nacional, como advertência, publicização da infração, bloqueio e eliminação dos dados, suspensão do banco de dados ou da atividade de tratamento e proibição de atividades. A lei admite que várias dessas sanções sejam aplicadas a entidades e órgãos públicos, sem prejuízo da responsabilização prevista em outras normas, como a Lei de Acesso à Informação e as leis de responsabilidade dos agentes públicos (art. 52, §3º). A multa em percentual do faturamento é prevista para pessoas jurídicas de direito privado.

Como funciona na prática

Governança: nomear encarregado, formar um comitê e aprovar a política de proteção de dados.
Mapeamento: levantar quais dados pessoais cada área trata, para qual finalidade, com quem os compartilha e onde os guarda. Veja mapeamento de dados.
Base legal: definir a hipótese legal de cada tratamento. Veja base legal da LGPD.
Contratos e termos: revisar contratos com fornecedores de sistemas e instrumentos de compartilhamento.
Segurança: adotar medidas técnicas e administrativas e plano de resposta a incidentes.
Direitos dos titulares: criar canal e rotina de atendimento aos pedidos.
Treinamento: capacitar servidores.
Transparência: publicar aviso de privacidade e as informações exigidas pelo art. 23.

Imagine uma prefeitura de pequeno porte que decide adequar-se à LGPD. Nomeia o encarregado por portaria, mapeia as áreas que tratam mais dados (saúde, assistência social, educação, tributos), identifica a base legal de cada tratamento, revisa o contrato do sistema de cadastro e publica o aviso de privacidade. Treina os servidores do balcão para não entregar dados a terceiros. Em seis meses, o município tem um programa funcional, ainda que simples.

LGPD e Lei de Acesso à Informação

As duas leis convivem: a LAI manda a regra da transparência, e a LGPD protege os dados pessoais. Informações de gestão pública (cargo e remuneração de servidores, contratos, despesas) continuam públicas; dados pessoais de intimidade, saúde e vida privada têm proteção. Em dúvida, aplique as duas em conjunto. Veja informação pessoal e Lei de Acesso à Informação.

Erros comuns

Achar que a LGPD é só para empresas privadas.
Pedir consentimento onde há obrigação legal ou política pública (a base legal é outra).
Divulgar dados pessoais desnecessários em portal de transparência e diário oficial.
Não ter plano de resposta a incidentes.
Nomear encarregado só no papel, sem tempo, formação ou acesso à direção.
Contratar sistemas sem cláusulas de proteção de dados.

Perguntas frequentes sobre Lei Geral de Proteção de Dados Pessoais

O que é a LGPD?

É a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), que disciplina o tratamento de dados pessoais por pessoas naturais e por pessoas jurídicas de direito público ou privado, para proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade. Prefeituras e câmaras se submetem a ela.

A LGPD vale para prefeituras e câmaras municipais?

Sim. O art. 1º estabelece que as normas gerais da lei são de interesse nacional e devem ser observadas por União, estados, Distrito Federal e municípios, e o Capítulo IV trata especificamente do tratamento pelo poder público. O município deve nomear encarregado e informar publicamente como trata os dados pessoais.

A prefeitura precisa pedir consentimento para tratar dados?

Nem sempre. O poder público trata dados para executar competências legais e políticas públicas, hipóteses que têm base legal própria, diferente do consentimento. Quando não houver outra base legal adequada, o consentimento pode ser necessário. A escolha da base deve ser analisada para cada tratamento, com apoio jurídico.

Órgão público pode ser punido pela LGPD?

A lei admite que várias sanções administrativas da autoridade nacional, como advertência, publicização da infração, bloqueio ou eliminação de dados e suspensão da atividade de tratamento, sejam aplicadas a órgãos públicos, sem prejuízo de outras responsabilizações. A multa em percentual do faturamento é prevista para pessoas jurídicas de direito privado.

Evoluta Serviços relacionados a este conteúdo