LGPD em órgãos públicos: o que o gestor precisa saber

Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade

Resposta direta: a LGPD se aplica ao poder público e não é opcional. Órgãos e entidades precisam de base legal para tratar dados pessoais, finalidade definida, segurança proporcional ao risco, encarregado com canal de contato, registro de operações e processo para responder incidentes e solicitações de titulares. O desafio no setor público não é “ter um aviso de privacidade”: é provar que o tratamento é necessário, seguro e rastreável.

1. O que muda no setor público

O poder público trata dados pessoais para executar políticas públicas, prestar serviços e cumprir obrigações legais. Isso não significa autorização genérica: cada tratamento precisa de finalidade legítima, base legal, necessidade e transparência. O titular tem direitos, e o órgão precisa conseguir responder a eles.

2. Base legal e finalidade

No setor público, as bases legais mais frequentes envolvem execução de políticas públicas, cumprimento de obrigação legal, exercício regular de direitos e proteção da vida ou da incolumidade física. A escolha precisa ser feita caso a caso, com apoio jurídico — não por analogia com o setor privado.

Documente:

• a norma ou o programa que autoriza o tratamento;
• a finalidade específica e o resultado esperado;
• os dados estritamente necessários;
• quem são os titulares e por quanto tempo os dados ficam retidos;
• com quem os dados são compartilhados e sob qual fundamento.

3. Encarregado e canal do titular

O órgão precisa indicar encarregado, publicar canal de comunicação e ter processo para receber, registrar e responder solicitações. O encarregado não resolve tudo sozinho: ele coordena um fluxo que envolve atendimento, jurídico, TI e as áreas de negócio.

• Divulgue nome ou unidade, canal e horário de atendimento.
• Registre cada solicitação com prazo, responsável e resposta.
• Defina o que exige validação de identidade do titular.
• Não use o canal do encarregado como substituto do atendimento ao cidadão.

4. Segurança da informação

A LGPD exige medidas técnicas e administrativas adequadas ao risco. Para o setor público, isso se conecta diretamente à IN GSI/PR 7/2022 e às normas do órgão. Um programa mínimo inclui:

• inventário de sistemas que tratam dados pessoais;
• controle de acesso com MFA para contas privilegiadas;
• criptografia em trânsito e em repouso quando aplicável;
• logs centralizados e retenção definida;
• backup testado e plano de continuidade;
• gestão de fornecedores e contratos com cláusulas de proteção de dados;
• treinamento periódico e canal de denúncia.

5. Incidentes com dados pessoais

Incidente de segurança não é sinônimo de incidente de privacidade. Um ransomware pode atingir dados pessoais e exigir comunicação à ANPD e aos titulares quando houver risco relevante. O fluxo precisa ser paralelo ao de notificação ao CTIR Gov, quando aplicável.

1. Registre o incidente e a data de confirmação.
2. Avalie categorias e volume de dados, titulares afetados e probabilidade de dano.
3. Contenha e preserve evidências.
4. Decida com o jurídico sobre comunicação à ANPD e aos titulares.
5. Documente a avaliação de risco, mesmo quando a comunicação não for exigida.
6. Corrija a causa e atualize o plano de resposta.

6. Contratos e terceiros

O órgão continua responsável quando terceiriza. Contratos com operadores devem prever:

• finalidade e escopo do tratamento;
• medidas de segurança mínimas e comprovação;
• notificação de incidentes em prazo compatível com o dever do órgão;
• subcontratação controlada;
• devolução ou eliminação de dados ao final;
• auditoria e responsabilização.

Perguntas frequentes

Fontes

• Lei 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.
• ANPD — guias e regulamentos, incluindo comunicação de incidentes.
• IN GSI/PR 7/2022 — segurança da informação na administração federal.
• Decreto 11.856/2023 — Política Nacional de Cibersegurança.