A LGPD nas prefeituras entrou em nova fase em 2026. A Lei 15.352/2026, publicada no Diário Oficial da União em 25 de fevereiro, transformou a Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, conforme o texto da lei no Planalto. As regras da Lei Geral de Proteção de Dados não mudaram, mas o órgão que fiscaliza ganhou estrutura.
O que a lei mudou na ANPD
A ANPD passa a ser autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, além de patrimônio próprio. A lei transforma 797 cargos vagos do Executivo federal em 200 cargos efetivos de Especialista em Regulação de Proteção de Dados e 18 cargos em comissão e funções de confiança, sem aumento de despesa, e cria outros 26 cargos comissionados e funções para a agência. Ela resulta da conversão da Medida Provisória 1.317/2025 e também fixou em 17 de março de 2026 o início da vigência do ECA Digital (Lei 15.211/2025).
Isso não significa nova obrigação legal para os municípios. O que muda é o contexto: um regulador com mais servidores tende a fiscalizar mais.
O que a LGPD exige de um município
Com base na LGPD e no guia da Confidata (consultoria, publicado em 16 de janeiro de 2026), estes são os pontos básicos para o poder público:
- Encarregado. A LGPD exige que o órgão público indique um encarregado (art. 23, III) e divulgue sua identidade e contato, de preferência no site (art. 41, §1º). Não há regime simplificado para o poder público: a designação vale para qualquer porte de município. Municípios pequenos podem recorrer a encarregado compartilhado, por consórcio ou contratação especializada.
- Transparência. O órgão deve informar em que hipóteses trata dados pessoais, com a previsão legal, a finalidade e os procedimentos, em veículo de fácil acesso, de preferência no site (art. 23, I).
- Registro das operações (ROPA). A lei obriga a manter registro das operações de tratamento (art. 37). Na prática, é um mapeamento por secretaria, com finalidade, base legal, categorias de dados e prazo de retenção. A fonte recomenda começar por Saúde, Educação e Assistência Social.
- Relatório de impacto (RIPD). A ANPD pode exigir o relatório e pedir que órgãos públicos o publiquem (arts. 32 e 38). A boa prática é elaborá-lo antes de tratamentos de alto risco, como biometria de servidores, prontuário eletrônico ou plataformas educacionais que tratam dados de crianças.
A mesma fonte alerta para o conflito de interesses ao designar o servidor de TI como encarregado, já que ele fiscalizaria o próprio trabalho.
O que a ANPD tem na agenda
O Mapa de Temas Prioritários 2026-2027, aprovado pela Resolução CD/ANPD nº 30, de 23 de dezembro de 2025, tem entre seus quatro temas o tratamento de dados pessoais pelo Poder Público, com foco em compartilhamento de dados, salvaguardas técnicas de gestão e governança e uso de dados biométricos. A meta é realizar 20 atividades de fiscalização no setor público até o primeiro semestre de 2027 e, no segundo semestre, monitorar a adequação ao regulamento de uso compartilhado de dados pelo Poder Público.
O que isso muda para o seu órgão
A conclusão prática é simples: quem não tem o básico deveria começar agora, e não quando chegar a notificação. Roteiro em cinco passos:
- Designe e publique o encarregado, com canal de contato funcionando no site.
- Mapeie os dados das secretarias de maior risco e registre finalidade e base legal.
- Concilie LGPD e transparência. Dados pessoais protegidos convivem com o dever de publicar atos de gestão; o canal de ouvidoria e e-SIC é por onde chegam muitas solicitações de titulares.
- Revise contratos e sistemas que tratam dados de cidadãos, exigindo cláusulas de proteção dos fornecedores.
- Treine as equipes. Servidor que atende o público precisa saber o que pode e o que não pode informar.
