LGPD no órgão público: os primeiros passos da adequação

Prefeituras, câmaras e autarquias tratam dados pessoais de toda a população: cadastros sociais, prontuários, matrículas escolares, folha de pagamento, processos administrativos, imagens de câmeras. A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a todos eles, com um capítulo próprio para o Poder Público (arts. 23 a 32).

A boa notícia é que a adequação não exige parar o serviço. Exige método.

O que é diferente no Poder Público

O órgão público trata dados para executar políticas públicas e cumprir as suas competências legais. Por isso, na maior parte dos casos, a base legal não é o consentimento, e sim o cumprimento de obrigação legal ou a execução de políticas públicas (art. 7º, II e III). A lei exige que o tratamento tenha finalidade pública, que o cidadão seja informado e que haja um encarregado responsável (art. 23).

Os primeiros passos

1. Regulamentar: um decreto ou ato do órgão define as regras internas, as responsabilidades e o fluxo de atendimento aos titulares.
2. Designar o encarregado: a identidade e o contato do encarregado devem ser divulgados publicamente, de preferência no sítio oficial (art. 41).
3. Inventariar os dados: quais dados cada setor coleta, para quê, com qual base legal, onde ficam guardados, com quem são compartilhados e por quanto tempo. O registro das operações de tratamento é obrigatório (art. 37).
4. Revisar contratos: sistemas e serviços terceirizados tratam dados em nome do órgão, e os contratos precisam prever as obrigações do fornecedor.
5. Publicar o aviso de privacidade: explicar ao cidadão, em linguagem simples, como o órgão trata os dados.
6. Cuidar da segurança: controle de acesso, cópias de segurança e um plano de resposta a incidentes.
7. Capacitar as equipes: boa parte dos vazamentos começa em uma planilha enviada para o endereço errado.

LGPD e transparência andam juntas

A Lei de Acesso à Informação continua valendo. Informações de interesse público, como contratos, despesas e remuneração de agentes públicos, seguem sendo divulgadas. A LGPD pede cuidado com o que não precisa ser exposto, como CPF completo, endereço residencial e dados de saúde. As duas leis se complementam.

Incidentes de segurança

Se houver um incidente que possa trazer risco ou dano relevante aos titulares, o órgão deve comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados (art. 48). O regulamento da ANPD sobre o tema fixa o prazo da comunicação, em regra de três dias úteis. Ter um plano pronto faz toda a diferença nessas horas.

E as sanções?

Os órgãos públicos não estão sujeitos às multas da LGPD, mas podem receber advertência, ter a infração publicada e ter o tratamento de dados bloqueado, suspenso ou eliminado (art. 52, § 3º). Os agentes públicos também respondem pelas suas condutas, e o órgão responde pelos danos causados aos titulares.

Como a TotalGov pode ajudar

Fazemos o diagnóstico do tratamento de dados, preparamos o decreto, a política de privacidade e a designação do encarregado, montamos o inventário com as equipes e capacitamos os servidores. Também temos um curso com o kit completo de documentos para adaptar.

---

Este artigo tem caráter informativo e não substitui a análise do caso concreto.