LGPD nas Prefeituras: Como Adequar a Gestão Municipal à Lei de Proteção de Dados em 2026

A Lei Geral de Proteção de Dados (Lei 13.709/2018) aplica-se plenamente ao poder público, incluindo prefeituras municipais. Em 2026, com a ANPD (Autoridade Nacional de Proteção de Dados) mais ativa e fiscalizando entes públicos, municípios que ainda não implementaram a LGPD correm risco de sanções, processos e danos à reputação. Este guia mostra o caminho da adequação.

Por Que a LGPD se Aplica às Prefeituras

O art. 1º da LGPD é claro: a lei se aplica a qualquer operação de tratamento de dados pessoais realizada por pessoa jurídica de direito público. Prefeituras tratam dados pessoais o tempo todo:
Dados de servidores (folha de pagamento, dados bancários, saúde)
Dados de contribuintes (IPTU, ISS, taxas)
Dados de beneficiários de programas sociais (CadÚnico, Bolsa Família)
Dados de estudantes (matrículas, histórico escolar)
Dados de pacientes (prontuários da rede municipal de saúde)
Dados de cidadãos (ouvidoria, Nota Fiscal de Serviço)

As Bases Legais para o Poder Público

O poder público tem acesso a bases legais específicas para tratar dados:
Cumprimento de obrigação legal ou regulatória (art. 7º, II): o município pode tratar dados quando a lei exige
Execução de políticas públicas (art. 7º, III): para prestar serviços públicos
Exercício regular de direitos (art. 7º, VI): em processos administrativos
Proteção da vida ou incolumidade física (art. 7º, VII): situações de emergência

O consentimento (tão importante no setor privado) raramente é a base legal usada pelo poder público — na maioria dos casos, a atuação pública dispensa consentimento.

Principais Obrigações da Prefeitura Sob a LGPD

1. Encarregado de Proteção de Dados (DPO) O art. 23 da LGPD exige que entes públicos indiquem um Encarregado de Proteção de Dados (DPO — Data Protection Officer). O DPO é o ponto de contato com a ANPD e com os titulares dos dados. Pode ser servidor efetivo ou profissional contratado.

2. Registro das Atividades de Tratamento (ROPA) A prefeitura deve mapear e registrar todos os tratamentos de dados pessoais realizados: quais dados, para qual finalidade, com qual base legal, por quanto tempo são mantidos e com quem são compartilhados.

3. Política de Privacidade e Aviso de Privacidade O Portal de Transparência e o site da prefeitura devem ter uma Política de Privacidade clara, informando como os dados dos cidadãos são tratados.

4. Resposta a Direitos dos Titulares Cidadãos têm direito a: - Confirmar se seus dados são tratados - Acessar seus dados - Corrigir dados incorretos - Eliminar dados (quando não há base legal para manutenção) - Portabilidade de dados - Informação sobre compartilhamento

A prefeitura deve ter canais e procedimentos para responder esses pedidos em prazo razoável.

5. Comunicação de Incidentes de Segurança Em caso de vazamento ou acesso não autorizado a dados pessoais, a prefeitura deve: - Notificar a ANPD em até 72 horas do conhecimento do incidente - Comunicar os titulares afetados quando o incidente puder causar risco significativo

Como Implementar a LGPD na Prefeitura: Passo a Passo

Fase 1: Diagnóstico (1-2 meses) - Inventário de sistemas que tratam dados pessoais - Mapeamento dos fluxos de dados - Avaliação dos riscos de segurança

Fase 2: Adequação (3-6 meses) - Nomeação do DPO - Elaboração da Política de Privacidade - Revisão de contratos com fornecedores (contratos de TI) - Treinamento de servidores - Adequação de sistemas de TI

Fase 3: Monitoramento Contínuo - Revisão periódica do ROPA - Auditorias de segurança de dados - Atualização da Política de Privacidade - Resposta a incidentes

Contratos com Fornecedores de TI

Sistemas de gestão pública (ERP, SGTI, sistemas de saúde) processam dados pessoais por conta da prefeitura. Os contratos com esses fornecedores devem incluir cláusulas de LGPD:
Finalidade específica do tratamento
Obrigação de sigilo dos dados
Medidas de segurança implementadas
Notificação de incidentes
Devolução/destruição de dados ao fim do contrato

Sanções da ANPD para o Poder Público

A ANPD pode aplicar sanções ao poder público em caso de descumprimento:
Advertência com prazo para medidas corretivas
Publicidade da infração (comunicado oficial)
Bloqueio dos dados pessoais
Eliminação dos dados tratados em desconformidade

Diferentemente do setor privado, as multas pecuniárias não se aplicam diretamente ao ente público, mas o gestor responsável pode ser responsabilizado pessoalmente.

Dados Sensíveis: Atenção Especial

Dados de saúde (prontuários, laudos médicos), dados sobre origem racial ou étnica, dados genéticos e dados sobre crianças e adolescentes são considerados dados sensíveis pela LGPD e exigem cuidados adicionais.

Prefeituras com UBS, CAPS, ESF e CRAS tratam grandes volumes de dados sensíveis — essas áreas devem ser priorizadas na adequação LGPD.

A Evoluta apoia municípios na implementação da LGPD, incluindo diagnóstico, política de privacidade, treinamento de equipes e adequação de contratos.