LGPD em prefeituras: o que a lei exige e por onde começar

A LGPD se aplica integralmente à prefeitura, e o primeiro passo obrigatório é indicar um encarregado por ato formal e publicar essa indicação no Diário Oficial. Depois vêm o inventário de dados, o canal do titular e o plano de resposta a incidentes.

Este artigo reúne o que a lei e as resoluções da ANPD exigem do município, e termina com um roteiro de 90 dias.

A LGPD alcança o poder público

O Capítulo IV da Lei 13.709/2018 trata do tratamento de dados pelo poder público, nos arts. 23 a 30. Ele não cria um regime mais brando, apenas adapta a lei à lógica administrativa.

O art. 23 exige que o tratamento atenda à finalidade pública, para executar competências ou cumprir atribuições legais do serviço público. E impõe duas obrigações diretas.

• Informar as hipóteses em que a prefeitura trata dados pessoais, com previsão legal, finalidade e procedimentos, preferencialmente no sítio eletrônico.
• Indicar um encarregado quando realizar operações de tratamento.

Os arts. 25 a 27 tratam do uso compartilhado de dados, e o art. 27 exige que a comunicação de dados de órgão público para pessoa de direito privado seja informada à ANPD. Os arts. 29 e 32 permitem à autoridade pedir informações sobre as operações e a publicação de relatórios de impacto.

As bases legais que a prefeitura mais usa

Toda operação precisa de uma base legal do art. 7º. A base escolhida define quais direitos o titular pode exercer.

Base legal	Dispositivo	Exemplo típico no município
Cumprimento de obrigação legal	Art. 7º, II	Folha de pagamento, obrigações fiscais e previdenciárias
Execução de políticas públicas	Art. 7º, III	Cadastro de assistência social, saúde, educação
Exercício regular de direitos	Art. 7º, VI	Defesa em processo judicial ou administrativo
Proteção da vida	Art. 7º, VII	Atendimento de urgência
Tutela da saúde	Art. 7º, VIII	Prontuário na rede municipal

O inciso III é a base típica do setor público. Ele exige política pública prevista em leis e regulamentos, ou respaldada em contratos e convênios.

Consentimento raramente serve na prefeitura, porque quem precisa de um serviço público não tem liberdade real para recusar. Use consentimento só onde a adesão é voluntária, como uma newsletter.

Nomear o encarregado pelo tratamento de dados

O art. 41 da LGPD obriga o controlador a indicar um encarregado, e o § 1º manda divulgar publicamente a identidade e o contato dessa pessoa. A Resolução CD/ANPD nº 18, de 16 de julho de 2024, detalha essa atuação.

O que a Resolução 18/2024 exige

• Indicação por ato formal, escrito, datado e assinado, com as formas de atuação e as atividades a desempenhar, conforme o art. 3º.
• Apresentação desse documento à ANPD quando solicitado.
• Substituto formalmente designado para ausências e impedimentos, conforme o art. 4º.
• O encarregado pode ser pessoa natural do quadro, pessoa natural externa ou pessoa jurídica, conforme o art. 12.
• A função não exige inscrição em entidade nem certificação específica, conforme o art. 14.

A regra específica do setor público

O art. 5º da resolução obriga as pessoas jurídicas de direito público a indicar encarregado, preferencialmente entre servidores ou empregados públicos de reputação ilibada.

O § 1º traz a exigência que muita prefeitura desconhece. A indicação precisa ser publicada em Diário Oficial, no caso do município, o Diário Oficial municipal.

Publicar só no site não cumpre a regra. São duas obrigações, o ato no Diário Oficial e a divulgação em destaque no sítio eletrônico, conforme o art. 9º.

Autonomia e conflito de interesses

O art. 10 lista os deveres da prefeitura. Ela deve prover recursos humanos, técnicos e administrativos, garantir autonomia técnica livre de interferências e assegurar acesso direto ao alto escalão.

Os arts. 18 a 21 tratam do conflito de interesses. O encarregado pode acumular funções, desde que atenda plenamente às atribuições e não haja conflito. O risco aparece quando a mesma pessoa toma decisões estratégicas sobre tratamento de dados e fiscaliza essas decisões.

Vale registrar o art. 17. As atribuições do encarregado não transferem a ele a responsabilidade, perante a ANPD, pela conformidade do tratamento. Quem responde é o município, na condição de controlador.

Inventário de dados e registro das operações

O art. 37 da LGPD obriga controlador e operador a manter registro das operações de tratamento. Esse registro é a espinha dorsal do programa, e na prática vira um inventário por secretaria e por processo.

Para cada operação, descreva estes pontos.

1. O processo e a secretaria responsável.
2. As categorias de dados coletadas, separando dados sensíveis.
3. A finalidade e a base legal aplicável.
4. Com quem os dados são compartilhados.
5. Onde ficam armazenados e por quanto tempo.
6. Quais medidas de segurança protegem o processo.

Comece pelas áreas de maior risco. Saúde, assistência social, educação e recursos humanos concentram dados sensíveis e volume alto.

Canal do titular e prazos de resposta

O art. 18 lista os direitos do titular, entre eles confirmação de tratamento, acesso, correção, anonimização, portabilidade e informação sobre compartilhamento. O art. 19 fixa os prazos de resposta para confirmação e acesso.

Formato da resposta	Prazo
Formato simplificado	Imediatamente
Declaração clara e completa, com origem dos dados, critérios e finalidade	Até 15 dias, contados do requerimento

O art. 18, § 5º, exige atendimento gratuito. O § 4º trata do caso em que a providência imediata é impossível, e então a prefeitura deve informar as razões de fato ou de direito.

Monte um canal único, com protocolo e prazo controlado. Formulário no site mais atendimento presencial funciona bem, porque nem todo munícipe tem acesso digital.

Não confunda esse canal com o serviço de informação ao cidadão da Lei de Acesso à Informação, pois os pedidos seguem regimes distintos.

Comunicação de incidentes de segurança

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprovou o regulamento que detalha o procedimento.

Quando comunicar

O art. 5º da resolução define o critério. Há risco ou dano relevante quando o incidente afeta significativamente direitos fundamentais dos titulares e, cumulativamente, envolve ao menos um destes itens.

• Dados pessoais sensíveis.
• Dados de crianças, adolescentes ou idosos.
• Dados financeiros.
• Dados de autenticação em sistemas.
• Dados protegidos por sigilo legal, judicial ou profissional.
• Dados em larga escala.

Uma prefeitura marca quase todos esses itens no dia a dia. Trate o plano de resposta como prioridade.

Prazos confirmados na resolução

Obrigação	Prazo	Base
Comunicar à ANPD	3 dias úteis do conhecimento de que o incidente afetou dados pessoais	Art. 6º, caput e § 1º
Complementar informações	20 dias úteis, contados da comunicação	Art. 6º, § 3º
Comunicar aos titulares	3 dias úteis do conhecimento	Art. 9º, caput
Guardar o registro do incidente	No mínimo 5 anos	Art. 10

A comunicação à ANPD é feita por formulário eletrônico e deve trazer as doze informações do art. 6º, § 2º, entre elas a natureza dos dados afetados, o número de titulares e a causa principal.

A comunicação ao titular exige linguagem simples e forma direta e individualizada. Quando isso é inviável, o art. 9º, § 3º, manda divulgar o incidente pelos meios disponíveis, por no mínimo três meses.

Atenção a um detalhe. A resolução dobra esses prazos para agentes de tratamento de pequeno porte, categoria da Resolução CD/ANPD nº 2/2022 formada por entidades privadas. A prefeitura não entra nela, e seu prazo segue sendo de 3 dias úteis.

Mantenha o registro inclusive dos incidentes não comunicados. Documente a análise que levou a essa decisão.

Relatório de impacto à proteção de dados

O art. 38 permite que a ANPD determine ao controlador a elaboração do relatório de impacto, o RIPD. O art. 32 acrescenta que ela pode solicitar aos agentes do poder público a publicação desses relatórios.

O RIPD não é automaticamente obrigatório, mas é a melhor ferramenta para decisões de risco alto. Elabore um antes de implantar videomonitoramento, reconhecimento facial, cruzamento de bases entre secretarias ou tratamento de dados sensíveis em larga escala. O documento descreve os tipos de dados, a coleta, as medidas de segurança e a análise de risco.

Capacitação de servidores

A maioria dos incidentes começa em erro humano. Planilha enviada ao e-mail errado e senha compartilhada causam mais dano que ataque sofisticado.

Faça capacitação por perfil, não uma palestra única. Registre presença e material datado, porque isso vira prova de diligência em fiscalização.

Sanções aplicáveis ao poder público

O art. 52 lista as sanções administrativas da ANPD. O § 3º define quais delas alcançam entidades e órgãos públicos, e o rol é o dos incisos I, IV, V, VI, X, XI e XII.

• Advertência, com prazo para adoção de medidas corretivas.
• Publicização da infração após apurada e confirmada.
• Bloqueio dos dados pessoais até a regularização.
• Eliminação dos dados pessoais objeto da infração.
• Suspensão parcial do funcionamento do banco de dados por até 6 meses, prorrogável.
• Suspensão do exercício da atividade de tratamento por até 6 meses, prorrogável.
• Proibição parcial ou total do exercício de atividades de tratamento.

A multa dos incisos II e III não consta desse rol, o que não significa ausência de consequência. O § 3º ressalva a aplicação da Lei 8.112/1990, da Lei 8.429/1992, de improbidade administrativa, e da Lei 12.527/2011. O art. 31 prevê ainda que a ANPD envie informe com medidas para fazer cessar a violação.

Some a isso a responsabilidade civil e a exposição política de um vazamento. Suspender um banco de dados da saúde municipal paralisa o serviço.

O guia da ANPD para o poder público

A ANPD publica o “Guia orientativo Tratamento de dados pessoais pelo Poder Público” na área de materiais educativos do seu site. Ele trata de bases legais, princípios, uso compartilhado e divulgação de dados pessoais.

O guia é orientativo, não tem força de norma, mas indica como a autoridade interpreta a lei. Confira sempre a versão mais recente no portal.

Roteiro de 90 dias para começar

Fase	Período	Entregas principais
Fundação	Dias 1 a 30	Ato de indicação do encarregado e do substituto, publicação em Diário Oficial, divulgação no site, comitê interno
Diagnóstico	Dias 31 a 60	Inventário das áreas críticas, mapeamento de bases legais, levantamento de contratos com fornecedores
Operação	Dias 61 a 90	Canal do titular, plano de resposta a incidentes, política de privacidade publicada, primeira capacitação

Depois dos 90 dias, o trabalho vira rotina. Revise o inventário a cada semestre, teste o plano de incidentes uma vez por ano e inclua cláusulas de proteção de dados em todo novo contrato.

Não tente fazer tudo de uma vez. A prefeitura que indica o encarregado, publica o ato e abre o canal do titular já saiu na frente.

Aviso importante

Este texto é informativo e reflete a legislação vigente na data de publicação. Ele não substitui parecer jurídico. A procuradoria do município deve analisar o caso concreto, e as normas da ANPD mudam com frequência.

Como a EBG Sistemas pode ajudar

A EBG Sistemas desenvolve sistemas sob medida, sites, aplicativos e SaaS, e faz adequação à LGPD para prefeituras, OSCs e empresas de São Paulo. Atuamos na parte técnica e documental, com inventário de operações, ajustes nos sistemas, canal do titular e plano de resposta a incidentes. Quem programa é quem atende, e o trabalho jurídico permanece com a procuradoria do município. Respondemos em até 2 horas em dias úteis e enviamos orçamento em 24 horas.

Veja o serviço de adequação à LGPD ou fale com a gente pelo contato.