A Lei Geral de Proteção de Dados — Lei nº 13.709, de 2018 — alcança o poder público. Prefeituras tratam dados pessoais em praticamente todos os serviços: saúde, educação, assistência social, tributos, recursos humanos, protocolo. E, ao contrário do setor privado, o município não pode simplesmente pedir consentimento para tudo: o tratamento se apoia, na maior parte dos casos, na execução de políticas públicas e no cumprimento de obrigação legal.
Adequação, aqui, não é comprar um sistema. É organizar informação e responsabilidade.
O primeiro passo é saber o que se trata
Não existe adequação sem inventário. O mapeamento dos tratamentos responde, para cada atividade:
- Que dados pessoais são coletados.
- De quem, e por qual canal.
- Para qual finalidade.
- Com que base legal.
- Onde ficam armazenados e por quanto tempo.
- Com quem são compartilhados — inclusive fornecedores e outros entes.
- Quem, dentro da prefeitura, responde por aquele tratamento.
Comece pelas áreas de maior volume e maior sensibilidade: saúde, assistência social, educação e recursos humanos. Tentar mapear a prefeitura inteira de uma vez é a forma mais eficiente de não terminar nunca.
Nomear o encarregado
A lei prevê a figura do encarregado pelo tratamento de dados pessoais, que serve de canal entre o titular, a autoridade e o órgão. No município, três cuidados:
- Nomeação formal e publicada, com identificação do canal de contato.
- Atribuições definidas, com tempo real para exercê-las — encarregado que acumula outras seis funções é encarregado no papel.
- Acesso às áreas. Sem autoridade para pedir informação às secretarias, o encarregado não consegue trabalhar.
Base legal, não consentimento para tudo
O erro mais comum na adequação de prefeituras é montar termos de consentimento para atividades que não dependem de consentimento. Serviços públicos prestados por obrigação legal ou no exercício de política pública têm base própria.
Pedir consentimento onde ele não se aplica cria dois problemas: sugere ao cidadão que ele pode recusar um tratamento que é obrigatório, e produz um passivo de gestão de consentimentos que ninguém vai manter.
O caminho é definir a base legal correta para cada tratamento no mapeamento e documentar essa decisão.
Adequação à LGPD não começa com política de privacidade publicada no portal. Começa com a resposta honesta à pergunta: que dados pessoais nós temos e por quê?
Contratos e fornecedores
Boa parte do tratamento de dados do município acontece em sistemas de terceiros: folha, saúde, tributos, protocolo. A adequação precisa alcançar esses contratos:
- Cláusulas de proteção de dados nos contratos novos.
- Revisão dos contratos vigentes, com aditivo quando cabível.
- Definição de responsabilidades em caso de incidente.
- Exigência de devolução ou eliminação dos dados ao fim do contrato.
- Verificação de onde os dados ficam hospedados.
Atendimento ao titular
O cidadão tem direitos: confirmação de tratamento, acesso, correção, informação sobre compartilhamentos, entre outros. O município precisa de um canal e de um fluxo:
- Canal identificado no portal, junto com o do serviço de informação ao cidadão.
- Registro de cada pedido, com protocolo e data.
- Fluxo interno que encaminhe o pedido à área que detém o dado.
- Prazo controlado e resposta fundamentada.
- Registro estatístico dos pedidos e dos prazos.
Na prática, o canal da LGPD costuma conviver com o canal de acesso à informação. São finalidades distintas e podem compartilhar a mesma porta de entrada, desde que o tratamento interno seja diferenciado.
Incidentes
Vazamento e acesso indevido acontecem. O que diferencia um município preparado é ter, antes do incidente, três coisas definidas: quem é acionado, em que prazo, e como se documenta o ocorrido. Improvisar durante o incidente produz decisões ruins e registro insuficiente.
Um roteiro de doze meses
Uma sequência viável para um município de porte médio: nos primeiros três meses, nomeação do encarregado e mapeamento das áreas críticas; do quarto ao sexto mês, definição das bases legais e revisão dos contratos de maior risco; do sétimo ao nono, canal de atendimento ao titular e política de privacidade publicada; do décimo ao décimo segundo, plano de resposta a incidentes, capacitação das equipes e primeira revisão do mapeamento.
Nada disso exige investimento alto. Exige constância e uma pessoa com mandato para conduzir.
Governança que se demonstra. O Observatório de Gestão registra trilha de auditoria de cada ação, controla acesso por território e mantém os dados em infraestrutura no Brasil. Conheça a solução.