Newsletter Semanal #2 - LGPD Municipal: a ANPD saiu da orientação e entrou na fiscalização

LGPD Municipal: a ANPD saiu da orientação e entrou na fiscalização

Nos últimos meses, a Autoridade Nacional de Proteção de Dados (ANPD) deu sinais claros de que a Lei Geral de Proteção de Dados Pessoais deixou de ser apenas matéria de orientação preventiva para o setor público. Três movimentações recentes mostram esse avanço: a abertura de processo administrativo sancionador envolvendo dados de saúde, o resultado da primeira fase de fiscalização sobre encarregados de dados e canais de atendimento, e o encerramento da consulta pública sobre o futuro Guia de Transparência e Proteção de Dados Pessoais, conduzido em conjunto com a Controladoria-Geral da União (CGU).

Para Prefeituras e Câmaras Municipais, essas movimentações não são um alerta distante. Elas indicam que a adequação à LGPD passou a integrar, de forma concreta, o ambiente de fiscalização, controle interno, auditoria e responsabilização administrativa.

O processo sancionador que expôs a fragilidade da terceirização

Em 8 de julho de 2026, a ANPD instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania (ISAC), organização social responsável pela gestão de unidades públicas de saúde em diversos estados brasileiros. O caso envolveu um ataque cibernético de ransomware que teria afetado aproximadamente 500 mil registros de pacientes, incluindo dados cadastrais e dados sensíveis de saúde, como prontuários, exames, diagnósticos, prescrições e internações.

O caso não envolve diretamente uma Prefeitura ou Câmara específica, mas sua relevância para a administração municipal é significativa. Muitos municípios mantêm contratos, convênios, termos de colaboração, termos de fomento, contratos de gestão, credenciamentos ou parcerias com organizações sociais, empresas de sistemas, laboratórios, clínicas, hospitais e prestadores de serviços que tratam grande volume de dados pessoais, muitas vezes sensíveis, em áreas como saúde, educação, assistência social, tributos e folha de pagamento.

O ponto jurídico central é simples de enunciar e difícil de ignorar: a terceirização da execução do serviço não elimina a responsabilidade institucional do ente público pela governança, pela fiscalização contratual e pelo controle do tratamento de dados pessoais realizado em seu nome ou para execução de política pública.

O que o caso revela para a gestão municipal

A ANPD apontou, no caso do ISAC, possível insuficiência de medidas técnicas e administrativas de segurança, comunicação inadequada às pessoas afetadas, ausência de informações públicas sobre o encarregado de dados e falta de elementos capazes de demonstrar as providências corretivas adotadas após o incidente.

Para Prefeituras e Câmaras, a lição prática é que não basta inserir uma cláusula genérica de LGPD nos contratos administrativos. É necessário verificar, documentar e fiscalizar como os dados pessoais são efetivamente tratados por contratados, conveniados, parceiros e operadores de sistemas. Na prática, a administração municipal deve ser capaz de responder, para cada contrato relevante, a perguntas como: quais dados são tratados e se há dados sensíveis entre eles; onde e como são armazenados, inclusive em nuvem; se existem subcontratados envolvidos; quais medidas de segurança são adotadas; quem tem acesso às informações; qual é o prazo de retenção; e como se dará a comunicação de um eventual incidente, inclusive quanto à responsabilidade por notificar os titulares e a própria ANPD.

Sem essas respostas documentadas, o ente público fica exposto em uma eventual fiscalização, incidente de segurança, denúncia de titular ou questionamento de órgão de controle.

O impacto para as Prefeituras

As Prefeituras tratam grande volume de dados pessoais em praticamente todas as suas áreas, com maior sensibilidade quando envolvem crianças, adolescentes, idosos, pacientes, pessoas em situação de vulnerabilidade social, servidores públicos e contribuintes. As áreas de maior atenção incluem a Saúde, com prontuários, exames e histórico de atendimento; a Educação, com matrículas e dados de crianças e adolescentes; a Assistência Social, com CadÚnico, CRAS, CREAS e medidas protetivas; a Administração e Finanças, com folha de pagamento e dados bancários e previdenciários; a Tributação, com cadastro imobiliário e dados patrimoniais; e as contratações públicas, com documentos de representantes legais, sócios e fiscais de contrato.

Diante desse cenário, recomenda-se que cada Prefeitura revise prioritariamente os contratos e sistemas que envolvam dados sensíveis, compartilhamento entre secretarias ou tratamento massivo de dados pessoais.

O impacto para as Câmaras Municipais

Embora não tratem, em regra, o mesmo volume de dados sensíveis das secretarias de saúde e assistência social, o Poder Legislativo municipal também está diretamente sujeito à LGPD. As Câmaras tratam dados pessoais em folha de pagamento de servidores e agentes políticos, portarias, contratos administrativos, processos licitatórios, diárias, ouvidoria, e-SIC, requerimentos e projetos legislativos, transmissões de sessões e documentos funcionais.

O ponto mais sensível para as Câmaras está na compatibilização entre publicidade legislativa, transparência pública e proteção de dados pessoais. A publicação de atos oficiais é obrigatória, mas essa obrigação não autoriza a divulgação indiscriminada de CPF completo, RG, endereço residencial, telefone pessoal, dados bancários, documentos médicos, informações familiares, dados de menores ou assinaturas sem necessidade pública. A Câmara deve divulgar o que for necessário ao controle social, preservando dados acessórios, excessivos ou sensíveis que não sejam indispensáveis à finalidade pública da publicação.

Encarregados de dados sob fiscalização direta

Outro sinal relevante veio da conclusão da primeira fase dos processos de monitoramento da ANPD voltados a verificar o cumprimento das obrigações relacionadas à indicação de encarregados de dados e à disponibilização de canais de comunicação entre controladores e titulares. Ao todo, 21 empresas e órgãos públicos foram encaminhados para avaliação de possível sanção, por não responderem ou não atenderem adequadamente às solicitações de conformidade.

Esse ponto tem impacto direto sobre Prefeituras e Câmaras. A LGPD exige que o controlador indique um encarregado pelo tratamento de dados pessoais, responsável por atuar como canal de comunicação entre o controlador, os titulares e a própria ANPD; e essa informação precisa estar acessível ao cidadão, não bastando uma portaria interna de designação. Recomenda-se que o site institucional de cada ente contenha, em local visível, a identificação do encarregado ou da unidade responsável, um e-mail institucional específico, um formulário ou canal de atendimento ao titular, uma explicação breve sobre seus direitos, o procedimento e prazo de resposta, e a integração com Ouvidoria e e-SIC. A ausência dessas informações pode gerar risco de denúncia, petição de titular e apontamento de fragilidade de governança em fiscalização.

O que vem por aí: o Guia de Transparência e Proteção de Dados

A ANPD e a Controladoria-Geral da União abriram consulta pública para receber contribuições ao futuro Guia de Transparência e Proteção de Dados Pessoais, voltado à aplicação harmônica entre a Lei de Acesso à Informação e a LGPD. Prevista inicialmente para o período de 9 a 21 de junho de 2026, a consulta foi prorrogada até 24 de julho de 2026.

Embora a versão definitiva do guia ainda não tenha sido publicada, o documento deve se tornar referência técnica em auditorias, recomendações de controle interno, pareceres jurídicos, respostas a pedidos da LAI, portais da transparência e rotinas de publicação oficial, orientando questões como quando uma informação pessoal deve ser divulgada ou protegida, como usar anonimização ou tarjamento, e quais cuidados adotar em documentos administrativos, funcionais, contratuais e legislativos.

Riscos práticos que merecem atenção imediata

A partir dessas movimentações, é possível identificar alguns riscos prioritários para Prefeituras e Câmaras Municipais: o risco contratual, decorrente de contratos com empresas de sistemas, organizações sociais e prestadores de serviço sem cláusulas adequadas de proteção de dados; o risco de incidente de segurança, pela inexistência de um plano de resposta; o risco de transparência excessiva, pela publicação integral de documentos com dados pessoais sensíveis; o risco de omissão institucional, pela ausência de encarregado formalmente designado; o risco de falta de documentação, pela inexistência de inventário de dados e registro das operações de tratamento; e o risco de responsabilização administrativa, pela incapacidade de demonstrar a órgãos de controle quais medidas foram adotadas.

Caminhos para a adequação

Para as Prefeituras, recomenda-se rever contratos, convênios e contratos de gestão que envolvam dados pessoais, com prioridade para as áreas de saúde, educação, assistência social e folha de pagamento; identificar operadores e eventuais controladores conjuntos; exigir cláusulas específicas de segurança e resposta a incidentes; designar formalmente o encarregado e publicar o canal de atendimento; criar fluxo interno para solicitações de titulares; integrar Ouvidoria, e-SIC, Controle Interno, Procuradoria e Encarregado; elaborar ou atualizar a Política de Privacidade; iniciar o inventário de dados por secretaria; e revisar as publicações no portal da transparência.

Para as Câmaras Municipais, recomenda-se designar ou revisar a designação do encarregado; publicar o canal de atendimento ao titular; revisar portarias, folha, contratos e o portal da transparência; evitar a divulgação de dados pessoais desnecessários; criar procedimento de tarjamento ou anonimização antes da publicação; estabelecer fluxo conjunto entre Secretaria Legislativa, Ouvidoria, e-SIC e Procuradoria; revisar contratos de sistemas legislativos e de transmissão de sessões; inserir cláusulas de proteção de dados nos contratos administrativos; treinar servidores envolvidos em publicações e atendimento ao cidadão; e avaliar a edição de ato normativo interno regulamentando a LGPD no âmbito da Câmara.

Conclusão

As recentes movimentações da ANPD demonstram um avanço relevante da fiscalização em matéria de proteção de dados pessoais no setor público, especialmente em atividades que envolvem dados sensíveis, serviços terceirizados, encarregados de dados e transparência pública. Para as Prefeituras, o alerta mais sensível está nos contratos e parcerias de saúde, educação, assistência social e armazenamento em nuvem. Para as Câmaras Municipais, o maior ponto de atenção é compatibilizar a publicidade dos atos legislativos e administrativos com a proteção de dados pessoais.

A recomendação central é que os entes municipais não tratem a LGPD como uma formalidade documental. A adequação precisa ser demonstrável, com atos formais, fluxos internos, revisão contratual, canal público ao titular, controle de publicações, medidas de segurança e documentação mínima das operações de tratamento. Essas providências reduzem riscos de incidentes, denúncias e sanções, além de fortalecer a governança pública e a segurança jurídica dos gestores municipais.

***

A equipe da Gonçalo & Gregório Advocacia está à disposição de Prefeituras e Câmaras Municipais para apoiar a revisão de contratos, a designação do encarregado de dados, a estruturação do canal de atendimento ao titular e a elaboração de planos de resposta a incidentes.