A LGPD foi criada para proteger os direitos fundamentais de liberdade e privacidade dos cidadãos. Essa legislação, a Lei nº 13.709, de 14 de agosto de 2018, entrou em vigor em setembro de 2020 e padronizou as práticas de proteção das informações pessoais. Além disso, ela segue parâmetros internacionais, como os estabelecidos pelo Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, referência que inspirou boa parte da legislação brasileira.

A lei estabelece uma série de princípios que a gestão pública deve observar no tratamento de dados pessoais. Quando o assunto são serviços públicos, ela também orienta o uso adequado das informações e reforça a necessidade de digitalização de processos.

Segundo a legislação, o tratamento de dados pessoais só pode ocorrer sob determinadas condições. Entre elas estão o consentimento do titular, o cumprimento de obrigação legal ou regulatória, o interesse legítimo do controlador e a proteção da vida ou da incolumidade física.

Para dados sensíveis, como aqueles relacionados à saúde, religião ou etnia, a lei impõe requisitos mais rigorosos, como a necessidade de consentimento específico e destacado do titular. As exceções ficam restritas às situações que envolvem cumprimento de obrigação legal ou regulatória, ou proteção da vida ou da incolumidade física.

Especificamente sobre o poder público, a lei determina que os órgãos coletem dados apenas para atender a uma finalidade pública. Ela também prevê responsabilização em caso de infração no tratamento de dados pessoais. Ou seja, como a LGPD busca assegurar que os dados pessoais sejam usados de forma transparente e com fins legítimos, seu descumprimento pode gerar sanções.

Como a LGPD se aplica à gestão municipal?

A prefeitura atua como agente de tratamento de dados em diversas situações. Afinal, o município recebe informações de diferentes tipos, usadas para executar políticas públicas, cumprir obrigações legais, prestar serviços, fiscalizar atividades, contratar fornecedores e responder a demandas administrativas. Cada um desses tipos de dado, portanto, pode ter um nível distinto de sensibilidade, o que demanda cuidados variados.

Sem um fluxo definido para cuidar do cumprimento da LGPD, surgem riscos como vazamento de dados, acessos indevidos e contratos sem definição clara sobre tratamento e segurança.

Por que a adequação deve ser prioridade nos primeiros meses de mandato?

O poder executivo municipal é um alvo recorrente de denúncias e sanções no setor público. Falhas como, por exemplo, a ausência de um encarregado de dados podem se tornar um grande problema em caso de fiscalização. Por isso, ao assumir a gestão pública, é urgente realizar a adequação, já que a nova equipe não sabe, de início, se a gestão anterior tratava os dados de forma correta.

Quais os principais desafios da LGPD para municípios?

Muitos municípios ainda estão em fase inicial de adaptação à lei, o que cria diversas dificuldades. A seguir, conheça algumas delas.

Capacitação. Muitos municípios ainda sofrem com a falta de capacitação dos servidores para lidar com proteção de dados.

Tecnologia. Em muitos locais, ainda faltam recursos tecnológicos para atender às exigências da lei, o que torna necessário implementar novas ferramentas para se adaptar.

Conscientização. Mais do que apenas treinar, é preciso, portanto, criar uma cultura de conscientização sobre a importância dos cuidados com os dados.

Como implementar a LGPD para municípios na prática?

Para colocar a lei em prática, alguns passos são muito importantes. Conheça-os, a seguir.

Decisões importantes. O primeiro passo é estabelecer os responsáveis pelo tratamento, o encarregado de dados e os pontos focais das secretarias que operam dados pessoais. Também é importante definir um canal institucional para dúvidas, solicitações e incidentes.

Registros. A prefeitura deve manter um inventário que registre o serviço ou processo relacionado aos dados, a finalidade do tratamento, as categorias de titulares, os tipos de dados coletados, a origem das informações, as áreas e pessoas com acesso, os compartilhamentos internos e externos, o sistema ou repositório utilizado, o prazo de retenção, as medidas de segurança aplicadas e o responsável pelo tratamento.

Classificação de riscos. É preciso priorizar processos que envolvam dados sensíveis, grande volume de titulares, crianças e adolescentes, benefícios sociais, saúde, biometria, documentos pessoais ou compartilhamento com terceiros. O ideal, então, é começar pelos fluxos críticos, criar um padrão de avaliação e expandi-lo progressivamente.

Rastreabilidade. A regra de acesso deve seguir a necessidade de trabalho. Isso significa controlar quem recebeu o documento, quem analisou, quem aprovou, quando houve alteração e qual foi a decisão.

Preparação para incidentes. A prefeitura precisa ter um procedimento para identificar, registrar, avaliar e encaminhar incidentes de segurança. Também é necessário padronizar o tratamento das solicitações dos titulares e definir como reagir em caso de falhas ou vazamentos. Vale lembrar, ainda, que boa parte desse processo depende diretamente da digitalização dos serviços públicos, já que dados dispersos em papel dificultam qualquer tentativa de rastreabilidade.

Adiar a adequação à LGPD para municípios significa, portanto, abrir mão de segurança jurídica institucional e pessoal. Afinal, a governança em privacidade deve entrar na pauta desde a transição de gestão, não depois de uma denúncia ou sanção.

Antes de estruturar o programa de conformidade do município, vale conhecer como a proteção de dados se conecta à rotina da gestão pública. No artigo LGPD no setor público: por que é tão importante e como se adequar?, do blog da Ikhon, explicamos os cuidados que os órgãos públicos devem adotar no tratamento de dados e os primeiros passos dessa adequação.