Checklist de adequação à LGPD para prefeituras

20/02/2026 Redação Observatório Evoluta 3 min de leitura

Em resumo

Checklist com os pontos que a LGPD exige do poder público: finalidade pública e transparência do tratamento (art. 23), encarregado (arts. 23 e 41), registro das operações (art. 37), segurança (art. 46), comunicação de incidentes (art. 48) e relatório de impacto quando exigido.

A Lei 13.709/2018 (LGPD) vale para o poder público e traz regras específicas no capítulo sobre tratamento de dados por pessoas jurídicas de direito público. Este checklist reúne os pontos centrais para uma prefeitura ou câmara iniciar ou revisar a adequação. Ele segue o texto da lei. Adapte à legislação e à realidade do seu órgão: a ANPD edita normas complementares e o tamanho do órgão e o volume de dados mudam a profundidade do trabalho.

Como usar

Passe pelos blocos com o encarregado, a área de tecnologia, o jurídico e as áreas que tratam mais dados (saúde, assistência social, educação, tributos, recursos humanos). Registre responsável e prazo de cada pendência.

1. Finalidade pública e transparência (art. 23)

☐ O tratamento de dados é feito para atender a finalidade pública, na persecução do interesse público, para executar competências legais ou atribuições do serviço público.
☐ Estão informadas, em veículo de fácil acesso, preferencialmente o site, as hipóteses em que o órgão trata dados pessoais, com previsão legal, finalidade, procedimentos e práticas.
☐ Há aviso de privacidade nos formulários e canais de atendimento.

2. Encarregado (arts. 23, III, e 41)

☐ Encarregado indicado por ato formal (documento escrito, datado e assinado), preferencialmente servidor ou empregado público de reputação ilibada (Resolução CD/ANPD 18/2024, arts. 3º e 5º).
☐ Identidade e contato do encarregado divulgados de forma clara, preferencialmente no site.
☐ Encarregado aceita reclamações e comunicações dos titulares, recebe comunicações da ANPD e orienta funcionários e contratados.

3. Mapeamento e registro (art. 37)

☐ Levantamento dos dados pessoais tratados por área, finalidade, base legal e compartilhamentos.
☐ Registro das operações de tratamento mantido e atualizado.
☐ Dados coletados limitados ao necessário para a finalidade (princípio da necessidade, art. 6º, III).

4. Segurança e incidentes (arts. 46 e 48)

☐ Medidas de segurança técnicas e administrativas para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação.
☐ Controle de acesso por perfil, cópias de segurança e registro de acessos.
☐ Procedimento para incidentes definido: quem avalia, quem comunica.
☐ Comunicação à ANPD e ao titular em caso de incidente que possa acarretar risco ou dano relevante, com natureza dos dados, titulares envolvidos, medidas de segurança, riscos e medidas de mitigação (art. 48).
☐ Prazo de comunicação conhecido: três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, ressalvado prazo de legislação específica (Resolução CD/ANPD 15/2024, arts. 6º e 9º).

5. Contratos e terceiros

☐ Contratos com fornecedores que tratam dados em nome do órgão têm cláusulas de proteção de dados.
☐ O operador trata os dados conforme as instruções do órgão, que verifica a observância (art. 39).
☐ Sistemas contratados foram avaliados quanto a segurança.

6. Relatório de impacto e direitos dos titulares

☐ Relatório de impacto à proteção de dados elaborado quando a ANPD determinar, com descrição dos dados, metodologia de coleta e segurança e análise de riscos e medidas de mitigação (art. 38).
☐ Canal para atendimento de pedidos dos titulares funcionando.
☐ Autoridades da Lei de Acesso à Informação mantidas; a LGPD não dispensa a sua instituição (art. 23, § 2º).