A definição legal é ampla e inclui desde o formulário preenchido no balcão até o backup do servidor. Por isso a LGPD alcança qualquer atividade administrativa que envolva pessoas identificáveis. Entender o conceito evita um erro frequente: achar que “tratar dados” é apenas processar em sistemas, quando guardar um papel numa gaveta também é tratamento.
O que é tratamento de dados pessoais
O art. 5º, X, da Lei nº 13.709/2018 define tratamento como toda operação realizada com dados pessoais, citando como exemplos: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. A lista é exemplificativa: qualquer outra operação com dado pessoal também é tratamento.
Exemplos no dia a dia da prefeitura e da câmara
- Coleta: formulário de matrícula, ficha de atendimento, cadastro de beneficiários.
- Armazenamento: sistema de saúde, arquivo de processos, planilhas, backup.
- Uso: emissão de carnês, cálculo da folha, concessão de benefícios.
- Compartilhamento: envio de dados a outro órgão ou a um fornecedor.
- Publicação: divulgação de listas no diário oficial e no portal.
- Eliminação: descarte de documentos e formatação de equipamentos.
Princípios que orientam todo tratamento
O art. 6º exige que as atividades de tratamento observem a boa-fé e os seguintes princípios: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. Na prática:
- Finalidade e adequação: usar os dados para o propósito informado, compatível com o contexto.
- Necessidade: coletar o mínimo necessário.
- Livre acesso e transparência: permitir que o titular saiba o que se faz com seus dados.
- Segurança e prevenção: proteger e prevenir danos.
- Responsabilização: demonstrar que cumpre a lei.
O que cada tratamento precisa ter
- Finalidade clara e compatível com as competências do órgão.
- Base legal adequada (art. 7º ou art. 11). Veja base legal da LGPD.
- Dados limitados ao necessário.
- Prazo de guarda definido, conforme normas de arquivo e de prescrição.
- Medidas de segurança proporcionais ao risco.
- Registro da atividade. Veja registro das operações de tratamento.
- Transparência ao titular, com aviso de privacidade.
Imagine uma prefeitura de pequeno porte que mapeia o fluxo do cadastro de pacientes. Descobre que o formulário pede dados que nunca são usados (religião, por exemplo), que as fichas ficam em armários sem chave e que os dados são enviados por mensagem a profissionais externos. Cada etapa é um tratamento. O município ajusta o formulário para o necessário, guarda as fichas com chave, restringe o acesso e substitui o envio por canal seguro.
Tratamento no poder público: finalidade pública
O art. 23 diz que o tratamento pelo poder público deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público. O compartilhamento de dados entre órgãos tem regras próprias. Veja compartilhamento de dados no setor público.
Fim do tratamento e eliminação
A LGPD prevê hipóteses de término do tratamento e de eliminação dos dados, mas também autoriza a conservação para cumprimento de obrigação legal ou regulatória pelo controlador e para outras finalidades previstas. Para o setor público, isso se articula com as normas de arquivo e com as tabelas de temporalidade documental. Antes de eliminar qualquer documento ou base, o município deve conferir as regras de gestão documental aplicáveis.
Erros comuns
- Achar que só há tratamento em sistemas informatizados.
- Coletar dados “por precaução”, sem necessidade.
- Não definir prazo de guarda nem rotina de descarte.
- Não registrar o tratamento.
- Esquecer que a mera consulta ou visualização também é tratamento.
Ciclo de vida dos dados
Um modo útil de enxergar o tratamento é o ciclo de vida: coleta, uso, compartilhamento, armazenamento e eliminação. Em cada fase, o órgão deve perguntar o que faz, por que, com que base legal, quem acessa e quais riscos existem. Muitos problemas aparecem nas pontas do ciclo: coleta excessiva na entrada (formulários que pedem dados desnecessários) e retenção sem fim na saída (arquivos que nunca são descartados). Revisar o ciclo de cada atividade reduz o volume de dados mantidos e, com isso, o risco de incidentes.
Tratamento por terceiros
Quando um fornecedor realiza o tratamento em nome do município, o município continua responsável como controlador. É essencial identificar, em cada contrato, quais operações o fornecedor realizará, por quanto tempo, com que medidas de segurança e como os dados serão devolvidos ou eliminados. Veja operador de dados.
Como começar a organizar
O ponto de partida é o mapeamento: escolha duas ou três áreas de maior risco (saúde, assistência social, pessoal), descreva cada atividade com seus dados, finalidades e fluxos e registre as bases legais. Em seguida, corrija o que estiver fora do padrão, como coleta excessiva, acesso amplo demais ou falta de aviso ao titular. Com o tempo, o trabalho se estende às demais áreas.
