LGPD em prefeituras: um guia prático para começar a adequação

Poucas organizações tratam tantos dados pessoais quanto uma prefeitura. Cadastro de contribuintes, matrículas escolares, programas sociais, atendimento de saúde, folha de pagamento dos servidores, protocolo de processos: praticamente toda a população do município aparece, de alguma forma, nas bases da administração municipal.

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) se aplica integralmente ao poder público. A diferença é que, para a administração, o tratamento de dados está ligado à execução de políticas públicas e ao cumprimento de suas competências legais — e isso traz regras próprias.

O que a LGPD exige do poder público

A lei dedica um capítulo específico ao tratamento de dados pelo poder público. Em linhas gerais, o tratamento deve atender a uma finalidade pública, na persecução do interesse público, com o objetivo de executar competências legais ou cumprir atribuições do serviço público. O município deve informar com clareza, preferencialmente em seu site, em quais hipóteses trata dados pessoais, com qual finalidade e por quais procedimentos.

A prefeitura também precisa indicar um encarregado pelo tratamento de dados pessoais, que atua como canal de comunicação entre o órgão, os cidadãos e a Autoridade Nacional de Proteção de Dados (ANPD). Além disso, valem para o município os princípios gerais da lei — como finalidade, necessidade, transparência e segurança — e o dever de adotar medidas técnicas e administrativas para proteger os dados contra acessos indevidos e incidentes.

LGPD e transparência não são opostas

Uma dúvida frequente nas prefeituras é como conciliar a proteção de dados com a Lei de Acesso à Informação (Lei nº 12.527/2011) e com as exigências de transparência dos órgãos de controle. As duas leis convivem: a regra continua sendo a publicidade dos atos administrativos, e a proteção de dados orienta como divulgar — evitando expor informações pessoais desnecessárias ao objetivo de transparência. A ANPD publicou guia orientativo específico sobre o tratamento de dados pelo poder público, que é uma boa referência para esses casos.

Primeiros passos para a adequação

Nomear o encarregado e dar a ele condições reais de trabalho. Mais do que uma portaria, o encarregado precisa de acesso às secretarias, apoio da gestão e um canal público para receber solicitações dos cidadãos.

Mapear os dados. Levante, secretaria por secretaria, quais dados pessoais são coletados, para quê, onde ficam armazenados, quem tem acesso e com quem são compartilhados. Esse inventário é a base de todas as outras decisões.

Priorizar as áreas de maior risco. Saúde, assistência social e educação costumam concentrar dados sensíveis e de crianças e adolescentes. Comece por elas.

Revisar contratos com fornecedores. Sistemas de gestão, empresas de tecnologia e prestadores de serviço que acessam dados da prefeitura precisam de cláusulas de proteção de dados e de segurança da informação.

Publicar a política de privacidade e o canal do titular. O cidadão deve saber como seus dados são usados e a quem recorrer.

Preparar a resposta a incidentes. Defina quem faz o quê se houver vazamento ou acesso indevido, incluindo a avaliação sobre comunicação à ANPD e aos titulares.

Capacitar os servidores. A maior parte dos incidentes começa em rotinas simples: planilhas compartilhadas sem cuidado, senhas expostas, documentos deixados à vista. Capacitação contínua é parte da adequação, não um evento isolado.

Adequação como governança

A LGPD não deve ser tratada como um projeto pontual, com começo e fim. Para a prefeitura, ela é parte da governança: melhora a organização da informação, reduz riscos, fortalece a transparência e aumenta a confiança do cidadão na administração.

O ponto de partida é saber onde o município está hoje. Um diagnóstico de maturidade ajuda a definir prioridades realistas para a estrutura e o orçamento disponíveis.