O servidor designado encarregado de dados da prefeitura, muitas vezes acumulando a função com outro cargo e sem equipe dedicada, se depara com uma pergunta incômoda: por onde começar? A LGPD não foi escrita pensando no setor privado apenas, mas boa parte do material disponível fala de e-commerce, cookies e marketing — quase nada fala da realidade de um órgão que processa dados de saúde no CRAS, informações de matrícula escolar, prontuários da rede municipal de saúde e cadastros do Bolsa Família.
Essa lacuna deixa muitos municípios travados: sabem que precisam se adequar, mas não sabem qual é o primeiro passo concreto. E o risco de não agir cresce a cada mês — não apenas o risco de sanção da Autoridade Nacional de Proteção de Dados (ANPD), mas o risco reputacional de um vazamento de dados sensíveis de cidadãos, que hoje vira notícia rapidamente.
Este guia organiza a LGPD no setor público em passos práticos para o encarregado de dados que precisa sair do papel e agir.
O que a Lei 13.709/2018 exige especificamente de órgãos públicos
A Lei Geral de Proteção de Dados (Lei 13.709/2018) trata a administração pública de forma diferenciada em alguns pontos, mas não isenta o órgão de suas obrigações centrais:
- Necessidade de base legal para todo tratamento de dados pessoais, mesmo quando o órgão já coleta aquele dado há anos por hábito administrativo
- Dever de transparência sobre quais dados são coletados e para qual finalidade
- Obrigação de nomear um encarregado de dados (DPO), com canal de contato divulgado publicamente
- Dever de adotar medidas técnicas e administrativas de segurança da informação
- Obrigação de comunicar incidentes de segurança que envolvam risco relevante aos titulares
Diferente da iniciativa privada, o órgão público muitas vezes pode tratar dados com base no artigo 23 da lei, que trata do tratamento por pessoas jurídicas de direito público para execução de políticas públicas. Isso não dispensa a governança — apenas simplifica a base legal em alguns cenários, mantendo intactas as obrigações de segurança e transparência.
As funções do encarregado de dados na prática
O papel do DPO em uma prefeitura vai muito além de "responder e-mail sobre LGPD". As atribuições centrais, segundo a lei, incluem:
- Receber reclamações e comunicações de titulares de dados e da ANPD
- Orientar servidores sobre práticas de proteção de dados
- Executar ou coordenar as demais atribuições determinadas pelo controlador (o próprio órgão)
- Manter registro atualizado das operações de tratamento de dados realizadas pelas secretarias
Na maioria dos municípios, o encarregado não tem poder de decisão isolada sobre sistemas e processos — por isso o cargo precisa de respaldo direto da gestão para ter efetividade, incluindo autonomia para exigir ajustes de fornecedores de tecnologia que processam dados em nome do órgão.
Mapeamento de dados: o primeiro passo real
Antes de qualquer política ou termo de consentimento, é preciso saber o que existe. O mapeamento de dados (data mapping) é o ponto de partida de qualquer trabalho sério de LGPD no setor público:
- Listar todos os sistemas que coletam dados pessoais (saúde, educação, assistência social, tributos, recursos humanos)
- Identificar quais dados são sensíveis (saúde, biometria, dados de crianças e adolescentes)
- Verificar onde esses dados são armazenados e por quanto tempo
- Mapear quem tem acesso a cada base — servidores, terceirizados, fornecedores de sistema
- Registrar com quais empresas ou órgãos esses dados são compartilhados
Esse mapeamento normalmente revela surpresas: planilhas com dados de saúde circulando por e-mail pessoal, sistemas legados sem controle de acesso por perfil, backups armazenados sem qualquer criptografia.
Segurança da informação: onde a maioria dos órgãos falha
A LGPD exige medidas técnicas e administrativas proporcionais ao risco, e a fiscalização recente tem mostrado atenção especial a:
- Controle de acesso por perfil de usuário, evitando que qualquer servidor veja qualquer dado
- Criptografia de dados sensíveis em trânsito e em repouso
- Política de backup testada, não apenas configurada
- Registro de log de acessos aos sistemas que tratam dados sensíveis
- Contratos com fornecedores de tecnologia que incluam cláusulas específicas de proteção de dados
É neste ponto que a tecnologia contratada pelo órgão se torna decisiva: um sistema mal configurado, por melhor que seja a intenção do gestor, expõe o município a risco. A Studio 9 estrutura esse pilar dentro da solução de LGPD & Segurança, aplicando controles de acesso e criptografia diretamente nos sistemas que o órgão já usa no dia a dia.
Resposta a incidentes: ter um plano antes de precisar dele
Vazamento de dados não é hipótese distante para o setor público — é um dos setores mais visados, por concentrar dados sensíveis de grande volume de cidadãos em sistemas muitas vezes desatualizados. O encarregado de dados precisa ter, previamente definido:
- Um fluxo claro de quem aciona quem no momento em que um incidente é identificado
- Prazo interno para avaliação de risco e decisão sobre comunicação à ANPD e aos titulares
- Modelo de comunicação transparente, evitando tanto a omissão quanto o pânico institucional
Improvisar essa resposta no meio de uma crise de vazamento é o cenário que mais amplia o dano reputacional de um município.
Conclusão
A LGPD no setor público não é um projeto que se conclui e se arquiva — é uma rotina de governança que precisa ser sustentada com apoio técnico contínuo, já que novos sistemas, novos fornecedores e novas secretarias sempre trazem novos riscos de tratamento de dados.
A solução de LGPD & Segurança da Studio 9 apoia o encarregado de dados desde o mapeamento inicial até a implementação de controles técnicos nos sistemas do órgão, reduzindo o risco de incidente e dando respaldo documental em caso de fiscalização da ANPD. Para estruturar a adequação do seu órgão com apoio técnico especializado, fale com a equipe pelo WhatsApp: (79) 9 8820-5410.