A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) representa a mais abrangente reforma do ordenamento jurídico brasileiro em matéria de privacidade e tratamento de dados. Embora frequentemente discutida sob a ótica do setor privado, a LGPD impõe obrigações igualmente severas — e em certos aspectos ainda mais rigorosas — ao poder público, em todas as suas esferas e poderes.
A LGPD Aplica-se ao Setor Público
O art. 1º da LGPD não deixa margem a dúvidas: a lei se aplica a qualquer operação de tratamento de dados pessoais realizada por pessoa natural ou jurídica, de direito público ou privado. Isso significa que União, estados, municípios, autarquias, fundações, empresas públicas e sociedades de economia mista estão integralmente submetidos ao regime da LGPD — sem exceções de natureza orçamentária ou administrativa.
Bases Legais Específicas
A LGPD estabelece bases legais específicas para o tratamento de dados pessoais pelo poder público: (a) execução de políticas públicas previstas em lei ou amparadas em contratos e convênios; e (b) cumprimento de obrigação legal. Entretanto, a lei impõe restrições: o poder público não pode transferir dados a entidades privadas exceto nas hipóteses legais, e deve manter os dados em formato interoperável e estruturado para uso compartilhado.
O Encarregado de Dados (DPO) no Setor Público
O art. 41 da LGPD exige que todo controlador indique um encarregado pelo tratamento de dados pessoais (Data Protection Officer). Para o setor público, a nomeação é obrigatória, e o encarregado deve possuir conhecimento jurídico-regulatório e técnico-operacional, além de ser capaz de conduzir a comunicação entre o órgão, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).
Na prática, muitos órgãos públicos ainda enfrentam dificuldades para estruturar essa função — frequentemente atribuída a servidores sem capacitação adequada ou com acúmulo de funções incompatível com a complexidade das atribuições. A ANPD tem sinalizado que exigirá comprovação de independência funcional e recursos suficientes para o encarregado.
Relatório de Impacto e Accountability
A LGPD adota o princípio da responsabilização e prestação de contas (accountability): o controlador deve demonstrar, a qualquer momento, que adota medidas eficazes para comprovar o cumprimento da lei. Para o setor público, isso se traduz na obrigação de elaborar Relatórios de Impacto à Proteção de Dados Pessoais (RIPD) sempre que o tratamento envolver alto risco a direitos e liberdades — como no uso de dados sensíveis, decisões automatizadas ou vigilância em larga escala.
Desafios Específicos
O setor público enfrenta desafios singulares: a tensão entre transparência e privacidade — pois a Lei de Acesso à Informação (Lei nº 12.527/2011) impõe divulgação ampla, enquanto a LGPD impõe restrições; a dispersão normativa que gera bases de dados fragmentadas e inconsistentes; e a escassez de recursos para investimento em infraestrutura tecnológica e capacitação de pessoal.
Superar esses desafios exige planejamento estratégico, coordenação interinstitucional e, sobretudo, vontade política. A adequação não é opcional: aLGPD prevê sanções administrativas aplicáveis também ao setor público, e a omissão pode gerar responsabilização civil por danos decorrentes de tratamento inadequado de dados pessoais.
Este artigo tem finalidade exclusivamente informativa e não constitui consultoria jurídica. Para orientação sobre adequação à LGPD no setor público, agende uma consulta com nossa equipe de Direito Digital.