Guia de uso livre

LGPD no poder público: o que a lei pede ao município, à câmara e ao órgão pequeno

Guia · 30 de outubro de 2026 · próxima revisão prevista: 30 de abril de 2027 · não é parecer jurídico

Para quem trabalha em prefeitura, câmara, consórcio ou órgão estadual ou distrital pequeno e precisa cumprir a Lei Geral de Proteção de Dados sem uma equipe jurídica só para isso. O guia mostra o que a lei diz ao poder público, com o artigo, e uma ordem de trabalho para começar.

Como ler este guia. O que está entre aspas é texto da lei, com o artigo. O que vem marcado como "Síntese do site" ou "Proposta do site, não obrigação legal" é leitura deste site, e não texto da lei. As citações foram lidas no texto compilado da Lei 13.709/2018 e da Lei 12.527/2011 (LAI) em 30/10/2026.

1. A quem se aplica o capítulo do poder público

A LGPD vale para todos os entes: as normas gerais dela "devem ser observadas pela União, Estados, Distrito Federal e Municípios" (art. 1º, parágrafo único). O capítulo IV, dos arts. 23 a 32, traz as regras próprias do poder público.

Ele alcança as pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da LAI (LGPD, art. 23, caput). A lista da LAI começa pelos "órgãos públicos integrantes da administração direta dos Poderes Executivo, Legislativo, incluindo as Cortes de Contas, e Judiciário e do Ministério Público" e segue com autarquias, fundações públicas e outras entidades (LAI, art. 1º, parágrafo único). Prefeitura e câmara municipal estão nesse primeiro grupo.

Empresa pública e sociedade de economia mista têm regra própria. Se atuam "em regime de concorrência", recebem o tratamento das empresas privadas. Se estão "operacionalizando políticas públicas", recebem o tratamento do poder público (LGPD, art. 24).

Consórcio público: o enquadramento depende da natureza jurídica dele, que está no ato de constituição. Confirme com a procuradoria do consórcio. Este guia não conferiu a lei dos consórcios.

2. O que o capítulo pede (arts. 23 a 32)

Finalidade pública

O tratamento pelo poder público "deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público" (art. 23, caput). Valem também os princípios do art. 6º, como a finalidade e a necessidade: tratar só o "mínimo necessário" para cada finalidade.

Informar como trata os dados

O órgão precisa informar "as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos" (art. 23, I). Síntese do site: na prática, é o aviso de privacidade no portal.

A ANPD "poderá dispor sobre as formas de publicidade das operações de tratamento" (art. 23, § 1º). E a LGPD não dispensa o órgão de instituir as autoridades da LAI (art. 23, § 2º).

Indicar um encarregado

O art. 23, III, pede que "seja indicado um encarregado quando realizarem operações de tratamento de dados pessoais, nos termos do art. 39 desta Lei". A remissão ao art. 39 está assim no texto; as regras do encarregado estão no art. 41, na seção 6.

Uso compartilhado entre órgãos

"O uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º desta Lei" (art. 26, caput). Os dados devem ficar "em formato interoperável e estruturado para o uso compartilhado" (art. 25).

Transferência a entidades privadas: a regra e as exceções

A regra é a proibição: "É vedado ao Poder Público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto" nos casos do art. 26, § 1º:

• "em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado", observada a LAI (inciso I);
• "nos casos em que os dados forem acessíveis publicamente, observadas as disposições desta Lei" (inciso III);
• "quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres" (inciso IV);
• quando a transferência objetivar "exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades" (inciso V).

O inciso II foi vetado. E "Os contratos e convênios de que trata o § 1º deste artigo deverão ser comunicados à autoridade nacional" (art. 26, § 2º).

O art. 27 trata da comunicação ou do uso compartilhado com pessoa de direito privado: ele "será informado à autoridade nacional e dependerá de consentimento do titular", exceto nas hipóteses de dispensa de consentimento da lei, no uso compartilhado com publicidade nos termos do art. 23, I, e nas exceções do art. 26, § 1º. A forma de informar a ANPD "será objeto de regulamentação" (art. 27, parágrafo único).

O que a ANPD pode pedir ao órgão

A ANPD "poderá solicitar, a qualquer momento," informações sobre o tratamento (art. 29). Em caso de infração, "poderá enviar informe com medidas cabíveis para fazer cessar a violação" (art. 31). E "poderá solicitar a agentes do Poder Público a publicação de relatórios de impacto à proteção de dados pessoais" (art. 32).

3. As bases legais que o poder público mais usa

O art. 7º diz que o tratamento "somente poderá ser realizado nas seguintes hipóteses". Duas delas são as que mais aparecem no serviço público:

• Art. 7º, II: "para o cumprimento de obrigação legal ou regulatória pelo controlador;"
• Art. 7º, III: "pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;"

Para dado pessoal sensível, como saúde, origem racial ou biometria (art. 5º, II), as hipóteses são as do art. 11. Sem consentimento, quando indispensável para:

• Art. 11, II, "a": "cumprimento de obrigação legal ou regulatória pelo controlador;"
• Art. 11, II, "b": "tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;"

Quando o órgão usa essas duas alíneas, "será dada publicidade à referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei" (art. 11, § 2º). E dispensar o consentimento "não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei" (art. 7º, § 6º).

Síntese do site: quando o tratamento decorre de uma competência legal, a base costuma ser o art. 7º, II ou III (ou o art. 11, II, "a" ou "b"), e não o consentimento. É leitura dos arts. 7º, 11 e 23, não texto de lei. A base de cada atividade é decisão do órgão, registrada no inventário.

4. Os direitos do titular e como responder

O titular pode obter do controlador, "a qualquer momento e mediante requisição" (art. 18):

• "confirmação da existência de tratamento" e "acesso aos dados" (I e II);
• "correção de dados incompletos, inexatos ou desatualizados" (III);
• "anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei" (IV);
• "informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados" (VII);
• e os direitos ligados ao consentimento e à portabilidade (V, VI, VIII e IX).

O pedido é feito "mediante requerimento expresso do titular ou de representante legalmente constituído" (art. 18, § 3º) e é "atendido sem custos para o titular" (§ 5º). Se não der para atender na hora, a resposta pode "comunicar que não é agente de tratamento dos dados e indicar, sempre que possível, o agente" ou "indicar as razões de fato ou de direito que impedem a adoção imediata da providência" (§ 4º).

Para confirmação e acesso, o art. 19 dá duas formas: "em formato simplificado, imediatamente", ou por "declaração clara e completa", "fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular".

No poder público há uma regra a mais: "Os prazos e procedimentos para exercício dos direitos do titular perante o Poder Público observarão o disposto em legislação específica", em especial a Lei do Habeas Data, a Lei Geral do Processo Administrativo e a LAI (art. 23, § 3º).

Proposta do site, não obrigação legal: a lei não diz, para cada caso, qual prazo prevalece. Enquanto o órgão não tiver orientação própria, responda no menor prazo aplicável ao pedido e confirme a regra com a procuradoria ou o controle interno.

5. Pedido de acesso à informação e pedido do titular

São dois pedidos diferentes, que muitas vezes chegam pelo mesmo canal.

Quando o pedido da LAI envolve informação pessoal de outra pessoa, vale o art. 31 da LAI. As informações pessoais relativas à intimidade, vida privada, honra e imagem "terão seu acesso restrito, independentemente de classificação de sigilo e pelo prazo máximo de 100 (cem) anos", "a agentes públicos legalmente autorizados e à pessoa a que elas se referirem" (art. 31, § 1º, I). Terceiros só acessam "diante de previsão legal ou consentimento expresso da pessoa a que elas se referirem" (§ 1º, II).

Essa restrição "não poderá ser invocada com o intuito de prejudicar processo de apuração de irregularidades em que o titular das informações estiver envolvido" (art. 31, § 4º).

Proposta do site, não obrigação legal: no protocolo, marque se o pedido é da LAI ou do titular. Se a pessoa pede os próprios dados, trate como pedido do titular. Se pede dado de outra pessoa, trate pela LAI e aplique o art. 31.

6. O encarregado: o que a lei pede

"O controlador deverá indicar encarregado pelo tratamento de dados pessoais" (art. 41, caput). O encarregado é o "canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD)" (art. 5º, VIII).

A lei exige publicar quem é e como falar com ele: "A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador" (art. 41, § 1º).

As atividades dele (art. 41, § 2º):

• "aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências";
• "receber comunicações da autoridade nacional e adotar providências";
• "orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais";
• "executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares".

A ANPD "poderá estabelecer normas complementares" sobre o encarregado, "inclusive hipóteses de dispensa da necessidade de sua indicação" (art. 41, § 3º). Este guia não conferiu essas normas complementares: confira a regra vigente da ANPD antes de definir o perfil e a forma de indicação.

7. Incidente de segurança

"O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares" (art. 48, caput).

O prazo na lei é "razoável". "A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo" (art. 48, § 1º):

• "a descrição da natureza dos dados pessoais afetados";
• "as informações sobre os titulares envolvidos";
• "a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados";
• "os riscos relacionados ao incidente";
• "os motivos da demora, no caso de a comunicação não ter sido imediata";
• "as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo".

O prazo em dias está no regulamento da ANPD, não na lei. A Resolução CD/ANPD nº 15/2024 diz que a comunicação à ANPD "deverá ser realizada pelo controlador no prazo de três dias úteis, ressalvada a existência de prazo para comunicação previsto em legislação específica" (art. 6º). O prazo conta "do conhecimento pelo controlador de que o incidente afetou dados pessoais" (art. 6º, § 1º). A comunicação ao titular segue o mesmo prazo de três dias úteis (art. 9º).

A ANPD "verificará a gravidade do incidente" e pode determinar "ampla divulgação do fato em meios de comunicação" e "medidas para reverter ou mitigar os efeitos do incidente" (art. 48, § 2º). Na avaliação, conta se o órgão adotou medidas "que tornem os dados pessoais afetados ininteligíveis" para quem não tinha autorização (§ 3º).

A resolução foi lida no Diário Oficial da União de 26/04/2024, pelo link da página de regulamentações da ANPD, em 30/10/2026. Regulamento muda: confira a versão vigente no portal da ANPD antes de montar o plano.

8. Sanções que se aplicam a órgão público

Pelo art. 52, § 3º, o disposto nos incisos I, IV, V, VI, X, XI e XII do caput "poderá ser aplicado às entidades e aos órgãos públicos". São estas sanções:

• "advertência, com indicação de prazo para adoção de medidas corretivas" (I);
• "publicização da infração após devidamente apurada e confirmada a sua ocorrência" (IV);
• "bloqueio dos dados pessoais a que se refere a infração até a sua regularização" (V);
• "eliminação dos dados pessoais a que se refere a infração" (VI);
• "suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período" (X);
• "suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período" (XI);
• "proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados" (XII).

A multa simples e a multa diária (incisos II e III) não estão nessa lista. O mesmo § 3º diz que isso vale "sem prejuízo do disposto na Lei nº 8.112, de 11 de dezembro de 1990, na Lei nº 8.429, de 2 de junho de 1992, e na Lei nº 12.527, de 18 de novembro de 2011".

As sanções vêm "após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa" (art. 52, § 1º). As dos incisos X, XI e XII só são aplicadas "após já ter sido imposta ao menos 1 (uma) das sanções de que tratam os incisos II, III, IV, V e VI do caput deste artigo para o mesmo caso concreto" (art. 52, § 6º, I).

9. Contrato com fornecedor que trata dado pessoal

Quando o fornecedor trata dados em nome do órgão, ele é o operador: "pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador" (art. 5º, VII). O controlador é a "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento" (art. 5º, VI). Prefeitura, secretaria e câmara não têm personalidade jurídica própria: a pessoa jurídica é o município (ou o estado, o DF, a autarquia), e o órgão decide dentro dela. Como isso se divide entre o Executivo e a câmara na sua cidade é pergunta para a procuradoria.

O que a lei diz sobre essa relação:

• "O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria" (art. 39).
• "O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem" (art. 37).
• Os dois devem adotar medidas de segurança "aptas a proteger os dados pessoais de acessos não autorizados" (art. 46).
• "o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador" (art. 42, § 1º, I).

O art. 38 trata do relatório de impacto, que a ANPD "poderá determinar ao controlador" que elabore. O art. 40 trata de padrões técnicos e do tempo de guarda dos registros, por norma da ANPD; ele não fala de contrato.

A LGPD não traz cláusula-modelo nem lista de cláusulas obrigatórias. Os itens abaixo são proposta do site, não obrigação legal, para escrever a cláusula a partir dos artigos acima. Adapte com a procuradoria e com o regulamento de contratações do ente.

ITENS PARA A CLÁUSULA DE PROTEÇÃO DE DADOS PESSOAIS
(proposta de PolíticaBSB, não modelo oficial: adapte com a procuradoria do órgão)

1. Papéis. O [ente], por meio do [órgão], atua como controlador; a
   contratada atua como operadora e trata dados pessoais apenas em nome
   dele (LGPD, art. 5º, VI e VII).
2. Instruções. A contratada trata os dados só para o objeto do contrato
   e segundo as instruções escritas do órgão, que pode verificar o
   cumprimento (art. 39).
3. Dados e finalidade. Anexo com quais dados, de quem, para quê e por
   quanto tempo. Nada fora disso.
4. Registro. A contratada mantém registro das operações que realiza
   e o entrega quando o órgão pedir (art. 37).
5. Segurança. Medidas técnicas e administrativas descritas no anexo
   (art. 46), proporcionais ao tipo de dado.
6. Incidente. A contratada avisa o órgão sem demora, com o que souber
   dos itens do art. 48, § 1º, para que o controlador comunique
   a ANPD e o titular no prazo do regulamento.
7. Pedidos do titular. A contratada repassa ao órgão, sem demora e no
   prazo que o contrato fixar, qualquer pedido que receber, e ajuda a
   atendê-lo (art. 18).
8. Subcontratação. Só com autorização escrita do órgão, nas mesmas
   condições.
9. Fim do contrato. Devolução ou eliminação dos dados, conforme o órgão
   decidir, com registro do que foi feito.
10. Responsabilidade. Lembrete do art. 42, § 1º, I: o operador responde
   solidariamente quando descumpre a lei ou não segue as instruções
   lícitas do controlador.

Copiar os itens

10. Uma sequência mínima de adequação

A ordem abaixo é proposta do site, não obrigação legal. Cada passo indica o artigo que o motiva. Ajuste ao tamanho da equipe.

1. Inventário. Liste as atividades que tratam dados pessoais: quais dados, de quem, para quê, quem acessa, com quem se compartilha e por quanto tempo. É o registro do art. 37 e a base de tudo o que vem depois.
2. Bases legais. Para cada atividade, a hipótese do art. 7º (ou do art. 11, se houver dado sensível) e a norma que dá a competência ao órgão.
3. Aviso de privacidade no portal. As informações do art. 23, I: previsão legal, finalidade, procedimentos e práticas, em linguagem simples. Inclua a publicidade da dispensa de consentimento do art. 11, § 2º, quando houver.
4. Encarregado. Ato de indicação e publicação da identidade e do contato no portal (art. 41, § 1º).
5. Fluxo de pedidos. Um caminho para o pedido do titular (arts. 18 e 19) ao lado do pedido da LAI, com prazos e responsáveis. Veja a seção 5.
6. Contratos com operadores. Levante os contratos em que o fornecedor trata dados do órgão e inclua a cláusula nos próximos (arts. 37, 39 e 46).
7. Plano de incidente. Quem identifica, quem decide, quem comunica a ANPD e o titular, e um modelo com os itens do art. 48, § 1º. O prazo do regulamento é curto, então o plano tem que existir antes do incidente.

Para quem usa inteligência artificial no trabalho, o checklist de uso responsável de IA monta um rascunho de orientação que inclui o que não colar em ferramenta não avaliada pelo órgão. Para o portal, a autoavaliação de transparência ajuda a ver o que já está publicado.

O que este guia não resolve

Ele resume a regra federal e propõe uma ordem de trabalho. Não diz qual base legal vale para uma atividade concreta, nem se um órgão específico cumpre a lei. Isso depende da competência legal do órgão, do regulamento local, quando houver, e da orientação da procuradoria e do controle interno.

Ficaram de fora porque não foram conferidos: as normas da ANPD sobre o encarregado, o regulamento da informação do art. 27, a lei dos consórcios públicos e regras de contratação sobre a cláusula. Nada aqui substitui parecer jurídico.

Fontes consultadas

• Lei 13.709/2018 (LGPD), arts. 1º (parágrafo único), 5º (VI a VIII e XVI), 6º, 7º (II, III e § 6º), 11 (II, "a" e "b", e § 2º), 18 e 19 — consultado em 30 de outubro de 2026
• Lei 13.709/2018 (LGPD), arts. 23 a 32 — tratamento de dados pessoais pelo poder público — consultado em 30 de outubro de 2026
• Lei 13.709/2018 (LGPD), arts. 37 a 42, 46, 48 e 52 (§§ 1º, 3º e 6º) — operador, encarregado, incidente e sanções — consultado em 30 de outubro de 2026
• Lei 12.527/2011 (LAI), arts. 1º (parágrafo único), 10, 11 e 31 — consultado em 30 de outubro de 2026
• Resolução CD/ANPD nº 15/2024, arts. 6º e 9º — prazo de comunicação de incidente (Diário Oficial da União de 26/04/2024) — consultado em 30 de outubro de 2026

Este site não põe link para fora, porque não faz requisição a domínio nenhum. As leis estão no repositório de legislação do Planalto, em planalto.gov.br, e a resolução, no portal da ANPD, em gov.br/anpd. Todas podem ser encontradas pelo número.

Depois deste guia

Se o órgão precisar organizar o inventário ou formar a equipe, a página de municípios e câmaras mostra como trabalhamos com entes pequenos, e os outros guias estão em estudos, notas e guias.