A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) já é maior de idade regulatória: entrou em vigor em 2020, teve sanções aplicáveis a partir de 2021 e, desde então, deveria ter transformado a forma como o Poder Público brasileiro coleta, armazena e compartilha dados pessoais. Só que os números oficiais contam outra história — e ela é desconfortável.
Enquanto o setor privado corre para se adequar, a administração pública brasileira segue estruturalmente exposta. E isso não é opinião: é o que mostram o IBGE, o TCU, o GSI da Presidência da República e a própria ANPD, que colocou o Poder Público como prioridade oficial de fiscalização para o ciclo 2026–2027.
O retrato oficial: dados que assustam
Levantamentos recentes deixam claro o tamanho do problema:
- 72% dos municípios brasileiros não têm área ou pessoa formalmente responsável pela LGPD (IBGE — MUNIC 2024).
- Apenas 42% dos órgãos federais avaliados se declaram adequados à LGPD (TCU — Auditoria AudTI, 2025).
- As notificações de incidentes de segurança em órgãos públicos cresceram mais de 3x entre 2025 e 2026 (GSI — Presidência da República).
- A ANPD publicou a Resolução CD/ANPD nº 30/2025, elegendo o Poder Público como um dos 4 eixos prioritários de fiscalização para 2026–2027.
Traduzindo: a maioria absoluta das prefeituras não tem sequer um encarregado de dados (DPO). Menos da metade da União se considera pronta. Os ataques dobraram e triplicaram. E o regulador avisou: vem fiscalização pesada.
Por que a administração pública está tão atrás?
Não é falta de lei — a LGPD é clara. É uma combinação de fatores estruturais que se retroalimentam:
1. Cultura de "dado é papel"
Muitos órgãos ainda tratam dado pessoal como se fosse formulário de arquivo morto. Nomes, CPFs, endereços, laudos médicos, dados de vulnerabilidade social circulam por planilhas, e-mails pessoais e grupos de WhatsApp sem qualquer controle de acesso, log ou base legal formalizada.
2. Ausência de encarregado (DPO) real
A LGPD exige que todo agente de tratamento, público inclusive, indique um encarregado. Na prática, quando existe, é um servidor sobrecarregado, sem orçamento, sem equipe e frequentemente sem formação específica em proteção de dados. Em 72% dos municípios, sequer isso: não há ninguém indicado.
3. Sistemas legados e "colcha de retalhos" tecnológica
Sistemas de saúde, tributação, assistência social e recursos humanos convivem com bases desconectadas, sem criptografia em repouso, sem controle granular de acesso e com logs incompletos — ou inexistentes. Quando o incidente acontece, ninguém sabe o que vazou, quando e para quem.
4. Compras públicas que ignoram proteção de dados
Editais e contratos de TI muitas vezes não exigem cláusulas mínimas de LGPD, DPA (Data Processing Agreement) ou requisitos de segurança. O órgão terceiriza o tratamento — e a responsabilidade legal continua sendo dele.
5. Falta de mapeamento (RoPA)
O Registro das Operações de Tratamento (RoPA) é a espinha dorsal de qualquer programa de privacidade. Sem ele, o órgão não sabe: quais dados coleta, com que finalidade, por quanto tempo, com quem compartilha, sob qual base legal. Sem RoPA, não há adequação possível — só improviso.
Os riscos concretos (que já estão acontecendo)
Não estamos falando de risco hipotético. O que está em jogo, hoje, para um órgão exposto:
- Sanções administrativas da ANPD: advertência, publicização da infração, bloqueio dos dados e multa de até R$ 50 milhões por infração (art. 52 da LGPD). Órgãos públicos não pagam multa pecuniária direta, mas respondem com sanções reputacionais, publicização e suspensão de tratamento — o que paralisa serviços.
- Ações civis públicas e ACPs do MP: o Ministério Público e a Defensoria já ajuizaram dezenas de ações por tratamento irregular, especialmente em saúde e assistência social.
- Responsabilização pessoal do gestor: improbidade administrativa (Lei 8.429/92) e responsabilização por dano ao erário quando a omissão causa vazamento.
- Vazamentos e ransomware: prefeituras inteiras já ficaram semanas sem sistema por ataques que exploram exatamente a ausência de controles básicos.
- Perda de confiança do cidadão: o dado do cidadão é entregue ao Estado sem escolha. Vazá-lo é quebrar um contrato social.
O que a ANPD priorizou para 2026–2027
A Resolução CD/ANPD nº 30/2025 definiu quatro eixos de fiscalização — e o Poder Público é um deles. Na prática, isso significa:
- Fiscalizações programadas em órgãos federais, estaduais e municipais.
- Auditorias temáticas em saúde, assistência social, educação e tributação.
- Cobrança formal do encarregado, do RoPA e do canal de atendimento ao titular.
- Notificação obrigatória de incidentes dentro do prazo regulatório, sob pena de sanção.
Órgão que for auditado sem ter o básico feito não terá para onde correr.
Plano prático de adequação em 6 fases
Adequação à LGPD não é projeto de dois meses nem produto de prateleira. É programa contínuo. Mas dá para estruturar em fases claras:
Fase 1 — Diagnóstico e governança (0 a 60 dias)
- Indicar formalmente o encarregado (DPO) e publicar seus contatos no site oficial.
- Criar o Comitê de Proteção de Dados, com representantes de TI, jurídico, ouvidoria e áreas finalísticas.
- Publicar a Política de Proteção de Dados e o Aviso de Privacidade nos portais.
Fase 2 — Mapeamento (RoPA) (60 a 120 dias)
- Levantar todas as operações de tratamento por secretaria/departamento.
- Registrar: finalidade, base legal, categorias de dados e titulares, prazo de retenção, compartilhamentos, medidas de segurança.
- Priorizar por criticidade (saúde, assistência, folha, tributação vêm primeiro).
Fase 3 — Bases legais e minimização (120 a 180 dias)
- Confirmar a base legal para cada tratamento (execução de política pública, obrigação legal, cumprimento de contrato, consentimento etc.).
- Eliminar coletas desnecessárias — dado que não se coleta não vaza.
- Formalizar bases legais em normativos internos.
Fase 4 — Segurança da informação (180 a 270 dias)
- Controle de acesso baseado em perfil (least privilege).
- Criptografia em trânsito e em repouso para dados sensíveis.
- Logs de acesso e trilhas de auditoria em todos os sistemas críticos.
- Plano de resposta a incidentes com prazo de notificação à ANPD e aos titulares.
- Backups testados e segregados.
Fase 5 — Contratos e terceiros (270 a 360 dias)
- Revisar todos os contratos de TI com cláusulas LGPD e DPA.
- Novos editais só saem com anexo obrigatório de proteção de dados.
- Diligência prévia (due diligence) em fornecedores que tratam dados sensíveis.
Fase 6 — Canal do titular e cultura (contínuo)
- Canal ativo para o cidadão exercer seus direitos de titular (acesso, correção, portabilidade, eliminação, oposição).
- Treinamento obrigatório de servidores, com trilha por perfil.
- Indicadores mensais reportados ao Comitê e à alta administração.
O papel da tecnologia — e onde a GM Tecnologia entra
Adequação não se resolve com documento em Word. Precisa de plataforma que sustente:
- Registro digital do RoPA, versionado e auditável.
- Fluxo de atendimento a titulares com prazos e trilhas.
- Registro e notificação de incidentes conforme padrão ANPD.
- Painel para o encarregado acompanhar KPIs de conformidade.
- Integração com os sistemas legados para logs, consentimento e minimização.
É exatamente esse tipo de plataforma — feita para a realidade brasileira, com foco em governo e em empresas reguladas — que a GM Tecnologia desenvolve sob medida. Do diagnóstico ao portal do cidadão, do RoPA à resposta a incidentes, com integração aos sistemas que o órgão já usa.
Conclusão: a janela está fechando
O prazo confortável acabou. O IBGE mostrou o buraco. O TCU auditou. O GSI contabilizou os incidentes. A ANPD escreveu o calendário. E o cidadão, cada dia mais, cobra.
Órgão público que ainda não começou seu programa de LGPD não está atrasado — está exposto. E o custo de continuar exposto, em 2026 e 2027, será maior do que qualquer investimento estruturado de adequação.
A boa notícia: dá para começar hoje, com um passo mínimo — indicar o encarregado, publicar o aviso de privacidade e iniciar o RoPA das operações mais críticas. O resto vem por evolução.
Se sua prefeitura, autarquia ou órgão precisa de um parceiro técnico para tirar o programa do papel — do diagnóstico à plataforma — fale com o time comercial da GM Tecnologia. Em poucas horas retornamos com uma proposta prática e um caminho de execução.