A proteção de dados pessoais no Brasil transcendeu a esfera das relações consumeristas privadas e consolidou-se como um pilar fundamental da administração pública moderna. Com a vigência plena da Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), o Estado passou a ocupar uma posição dúplice e complexa: atua simultaneamente como o maior controlador de dados do país e como o ente responsável por fiscalizar e regular o ecossistema de privacidade.
Para os profissionais do Direito, compreender a dinâmica do tratamento de dados pelo Poder Público exige ir além das noções básicas. Não se trata apenas de afastar o consentimento — que perde relevância frente às bases legais de execução de políticas públicas —, mas de dominar a complexidade da **interoperabilidade** e do uso compartilhado de dados. A conformidade estatal não se resume à nomeação formal de um Encarregado (DPO); ela demanda uma arquitetura institucional que equilibre a legalidade estrita do Direito Administrativo com a flexibilidade exigida pela tecnologia.
A advocacia consultiva e o assessoramento jurídico de órgãos públicos encontram neste cenário um campo vasto e técnico. A estruturação de governança não é apenas uma medida de “boa prática”, mas uma blindagem necessária contra riscos que vão desde a responsabilidade civil até a improbidade administrativa.
O tratamento de dados pessoais pelas pessoas jurídicas de direito público interno possui regramento específico no Capítulo IV da LGPD. A premissa básica é que tal tratamento deve ocorrer para o atendimento de uma finalidade pública, na persecução do interesse público. Contudo, para o advogado especialista, a análise deve ser mais profunda.
Diferentemente do setor privado, onde o legítimo interesse ou a execução de contrato são comuns, no setor público a bússola é a competência legal. O artigo 23 da LGPD vincula o tratamento às atribuições legais do órgão. O grande desafio jurídico, entretanto, reside no **artigo 26**, que trata do uso compartilhado de dados.
A administração pública moderna exige que órgãos conversem entre si (interoperabilidade). Porém, o advogado deve estar atento: um dado coletado para fins de saúde pode ser compartilhado para fins fiscais sem ferir o princípio da finalidade? A validação jurídica desses fluxos e a elaboração de convênios e acordos de cooperação técnica que respeitem a segregação de finalidades são as verdadeiras fronteiras da conformidade no setor público.
Além disso, a transparência ganha contornos de dever constitucional. A LGPD, em diálogo com a Lei de Acesso à Informação (Lei 12.527/2011), cria um sistema onde o segredo é a exceção. O jurista deve garantir que a publicidade administrativa não seja sufocada por uma interpretação excessivamente restritiva da privacidade, evitando o fenômeno conhecido como “LGPD washing” (uso da lei como desculpa para a opacidade).
A complexidade do fluxo de dados — que envolve saúde, educação, segurança e tributação — torna inviável que a responsabilidade recaia sobre um único indivíduo. A teoria sugere a criação de Conselhos e Comitês de proteção de dados para descentralizar a decisão.
Contudo, é preciso realismo. Em grandes estruturas estaduais ou federais, um conselho multidisciplinar é essencial. Mas, e nos pequenos municípios, que representam a maioria dos entes federativos? A imposição de estruturas burocráticas pesadas pode paralisar a gestão.
O papel do advogado é desenhar uma **Governança Mínima Viável**. Em vez de conselhos complexos, pode-se optar por comitês enxutos ou grupos de trabalho intersetoriais. O foco deve ser a eficácia da medida, não a complexidade da estrutura. Juridicamente, a instituição desses órgãos — sejam grandes ou pequenos — serve para demonstrar a boa-fé e a diligência da administração (accountability), fundamentais para atenuar responsabilidades em eventuais incidentes.
O Encarregado pelo Tratamento de Dados Pessoais (art. 41 da LGPD) atua como a ponte entre o governo, o cidadão e a ANPD. No setor público, a posição deste profissional exige uma análise crítica sobre sua **independência funcional**.
Muitas vezes, o DPO é um cargo de confiança (comissionado). O advogado deve questionar: este profissional terá autonomia para apontar falhas de segurança que possam comprometer a gestão do Prefeito ou do Secretário que o nomeou? A falta de independência técnica é um risco jurídico latente.
Dada a natureza sensível dos dados estatais, a qualificação técnica exigida é elevadíssima. O profissional deve navegar entre o Direito Digital, a Segurança da Informação e o Direito Administrativo. Para atuar com excelência e mitigar riscos de conflito de interesses através de pareceres tecnicamente inatacáveis, recomenda-se uma especialização robusta, como a Pós-Graduação em Data Protection Officer. A falta de preparo técnico pode levar a orientações equivocadas que expõem o ente público e o próprio gestor.
Este é um dos temas mais debatidos e cruciais para a defesa pública. A regra geral da responsabilidade do Estado é objetiva (teoria do risco administrativo, art. 37, § 6º, CF). Se há conduta, dano e nexo, o Estado paga, independentemente de culpa.
No entanto, em casos de vazamento de dados decorrentes de ataques cibernéticos (hackers), o debate se sofistica. Estaríamos diante de uma conduta omissiva do Estado (falha no dever de guarda/segurança)? Parte relevante da doutrina e jurisprudência defende a aplicação da **Teoria da Culpa do Serviço (Faute du Service)** para casos de omissão.
Nesta ótica, a responsabilidade seria **subjetiva**. O Estado só responderia se comprovada a negligência, imprudência ou imperícia na implementação das medidas de segurança. Aqui, a governança deixa de ser apenas “compliance” e vira tese de defesa: se o ente público comprovar que adotou todas as medidas técnicas possíveis e exigíveis pelo estado da arte (firewalls, criptografia, treinamentos), é possível argumentar pela exclusão da culpa e, consequentemente, do dever de indenizar.
Embora o artigo 52 da LGPD isente os órgãos públicos das multas pecuniárias milionárias, o advogado não deve se enganar: as consequências podem ser ainda mais devastadoras para o gestor público (o CPF por trás do CNPJ).
As sanções aplicáveis incluem advertência, bloqueio de dados e, a mais temida, a **publicização da infração**. Uma sanção pública da ANPD declarando que um órgão foi negligente com dados dos cidadãos não gera apenas dano reputacional e político. Ela pode servir de **prova emprestada** para Ações Civis Públicas por **Improbidade Administrativa** (Lei 8.429/92).
A violação aos princípios da administração pública (legalidade e eficiência), comprovada pela sanção da ANPD, coloca o gestor na mira do Ministério Público. Portanto, a blindagem jurídica através de programas de conformidade efetivos é uma questão de sobrevivência política e administrativa.
A implementação da LGPD não revogou a Lei de Acesso à Informação. Pelo contrário, o desafio é harmonizá-las. O advogado deve estar atento aos precedentes, como o **Enunciado nº 3/2019 da CGU**, que orienta a interpretação conjunta das normas.
Nem todo dado pessoal é sigiloso perante o Estado. Salários de servidores, listas de beneficiários de programas sociais e diárias de viagem envolvem recursos públicos e, portanto, prevalece o interesse da transparência. O papel dos órgãos de controle interno é realizar o teste de ponderação: a divulgação é necessária para o controle social? Se sim, a privacidade cede espaço, resguardados dados sensíveis (como saúde ou biometria) que não tenham relação com a despesa pública.
A elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é mandatória para tratamentos de alto risco. No Estado, onde o tratamento é massivo e muitas vezes compulsório (o cidadão não tem opção de “não dar” o dado para a Receita Federal), o risco é presumido.
O RIPD não é um documento burocrático; é um diagnóstico de segurança. A advocacia preventiva deve atuar na revisão desses relatórios, garantindo que a metodologia de gestão de riscos esteja alinhada com os princípios do *Privacy by Design*. Um RIPD bem fundamentado é uma peça chave na defesa do ente público em caso de incidentes.
O cenário da proteção de dados é dinâmico. A ANPD, autarquia de natureza especial, continua a editar normas que impactam diretamente o pacto federativo e a rotina administrativa. Para o advogado, dominar não apenas a letra da lei, mas a doutrina administrativista aplicada à tecnologia, é obrigatório.
A estruturação de órgãos de proteção de dados exige um profissional que entenda de leis, de tecnologia e de política pública. Dominar a teoria e a prática da LGPD no setor público é, hoje, uma das competências mais valiosas e escassas no mercado jurídico.
Quer dominar a Governança de Dados e se destacar na advocacia com profundidade técnica? Conheça nosso curso Pós-Graduação em Data Protection Officer e transforme sua carreira.
**1. O Poder Público precisa de consentimento do cidadão para tratar dados pessoais?**
Como regra, não. O Estado opera majoritariamente com base na execução de políticas públicas e cumprimento de obrigação legal (Art. 7º, II e III da LGPD). O consentimento é exceção e deve ser evitado, pois o cidadão raramente tem opção real de “não consentir” frente ao Estado, o que viciaria a vontade.
**2. O Encarregado (DPO) de um órgão público pode ser responsabilizado pessoalmente?**
Em regra, o DPO não responde pessoalmente, pois age em nome da pessoa jurídica (teoria do órgão). Contudo, se agir com dolo, fraude ou cometer erros grosseiros por negligência técnica injustificável, poderá responder em regresso ou via processo administrativo disciplinar.
**3. Qual a tese de defesa do Estado em caso de ataque ransomware?**
A defesa pode se basear na Teoria da Culpa do Serviço (*Faute du Service*), argumentando que se trata de uma conduta omissiva. Se o Estado provar que adotou todas as medidas de segurança exigíveis (firewall, backup, atualização), não houve negligência, rompendo o dever de indenizar, caracterizando o ataque como fortuito externo.
**4. O que é “Publicização da Infração” e por que ela é perigosa?**
É uma sanção onde a ANPD obriga o órgão a tornar pública a violação da lei. Diferente da multa, ela ataca a reputação. Juridicamente, serve de prova robusta de má gestão, podendo embasar ações de improbidade administrativa contra os gestores responsáveis.
**5. Como fica a divulgação de salários de servidores com a LGPD?**
Permanece obrigatória. O entendimento consolidado (inclusive pelo STF e CGU) é que a remuneração de agentes públicos está atrelada ao princípio da publicidade e controle do gasto público. A LGPD não se sobrepõe à transparência do uso de verbas estatais.
Acesse a lei relacionada em http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
Busca uma formação contínua com grandes nomes do Direito com cursos de certificação e pós-graduações voltadas à prática? Conheça a Escola de Direito da Galícia Educação.
Este artigo teve a curadoria do time da Galícia Educação e foi escrito utilizando inteligência artificial a partir de seu conteúdo original em https://www.conjur.com.br/2025-dez-08/prefeitura-do-rio-renova-conselho-municipal-de-protecao-de-dados-para-bienio-2025-2027/.
Advogado que se especializa cobra mais — e escolhe onde atuar.
Pós em Direito: R$ 2.250 no Pix ou 12× R$ 212,50 — a mensalidade não trava o limite do seu cartão.
Prefere falar com alguém? Chamar um especialista no WhatsApp.
Quem ensina aqui atua na área — professores com banca, cátedra e prática.
Ver as pós em Direito