LGPD para prefeituras: lições de Feira de Santana

Cumprir a LGPD para prefeituras começa por organizar como os dados dos cidadãos são usados, protegidos e divulgados. A lei prevê transparência, segurança e responsáveis pelo tratamento; para colocar isso em prática, a TOGETHER recomenda começar pelo mapeamento dos dados e definir quem executa cada correção. A retirada de um documento exposto deve vir acompanhada da avaliação do incidente e das comunicações cabíveis.

O caso de Feira de Santana ajuda a enxergar essas decisões. Em 26 de outubro de 2026, a ANPD divulgou sanções e medidas corretivas relacionadas à exposição de dados médicos pelo município. A seguir, separamos os deveres legais das entregas recomendadas para organizar o trabalho da prefeitura.

O que a ANPD informou sobre Feira de Santana

Segundo a notícia oficial da ANPD, a prefeitura recebeu advertência, determinação de publicização da infração e medidas corretivas após um processo administrativo sancionador. O episódio ocorreu em setembro de 2025 e envolveu nomes e diagnósticos de 1.241 pessoas.

A publicação no Diário Oficial atendia a uma determinação judicial sobre o corte do passe livre, mas incluiu indevidamente informações médicas. A notícia registra retirada no mesmo dia, ausência de comunicação do incidente e falta de resposta às solicitações da fiscalização.

As correções abrangem encarregado, políticas, resposta a incidentes, avaliação de impacto, compartilhamento entre secretarias, revisão antes de publicar e capacitação. A publicização da infração no site municipal foi fixada em seis meses.

O histórico da exposição de dados em Feira de Santana está no artigo anterior da TOGETHER. Aqui, a LGPD para prefeituras ganha uma aplicação prática: transformar o desdobramento de 2026 em uma rotina de prevenção.

LGPD para prefeituras: dever geral e medida específica

Os deveres gerais vêm da lei e dos regulamentos aplicáveis. As determinações noticiadas foram dirigidas à Prefeitura de Feira de Santana.

Essa diferença ajuda a prefeitura a orientar o diagnóstico. O artigo 46 exige medidas de segurança adequadas à proteção dos dados, mas a escolha dos controles precisa considerar as operações e seus riscos. Uma matriz de acessos e um teste de recuperação de cópias de segurança são exemplos de implementação recomendados pela TOGETHER.

As recomendações traduzidas em entregas da prefeitura

A LGPD para prefeituras envolve responsabilidades que precisam sair do papel. A tabela relaciona obrigações e entregas para orientar a execução. Cada documento precisa corresponder a uma prática real, com responsável e evidência de que funciona.

Recomendação	O que a prefeitura precisa ter	Base legal
Indicar encarregado	Indicação formal, substituto e contato divulgado no portal; publicação da indicação no Diário Oficial.	LGPD, arts. 23 e 41; Resolução 18/2024, arts. 3º a 5º e 8º a 10.
Proteger os dados	Controles de acesso, cópias de segurança testadas, revisão de publicações e resposta a incidentes.	LGPD, arts. 46 a 49; Resolução 15/2024 para comunicação e registro de incidentes.
Dar transparência	Informações acessíveis sobre finalidade, previsão legal e práticas de tratamento, organizadas por serviço.	LGPD, art. 23, I.
Capacitar equipes	Orientação a funcionários e contratados, com atividades por função e registro das ações.	LGPD, art. 41, § 2º, III; art. 50 sobre boas práticas e ações educativas.

A tabela ajuda a dividir o trabalho entre administração, jurídico, TI e áreas de atendimento.

Por onde começar a adequação à LGPD para prefeituras

A metodologia da TOGETHER começa pelo data mapping, ou mapeamento de dados. É o levantamento de quais informações a prefeitura utiliza, para quê, em quais sistemas, por quem e com quais compartilhamentos. O registro das operações de tratamento é um dever previsto no artigo 37; o mapeamento ajuda a construir esse registro com informações da rotina.

Recomendamos começar pelos serviços que envolvem dados mais delicados ou maior exposição, como saúde e publicação de documentos.

Uma ficha de mapeamento pode reunir:

Serviço público, finalidade e fundamento legal do tratamento.
Categorias de pessoas e dados envolvidos, identificando informações sensíveis.
Origem dos dados, sistemas usados e pessoas com acesso.
Destinatários, fornecedores e motivo de cada compartilhamento.
Critérios de guarda, descarte e responsável pelas decisões.

Informações sobre saúde vinculadas a uma pessoa são dados pessoais sensíveis, conforme o artigo 5º, II, da LGPD. Identificar essa condição no mapa permite discutir acessos e divulgação com o cuidado necessário.

O mapeamento de dados da prefeitura deve terminar em decisões. Para cada lacuna, recomendamos registrar a correção, o responsável e a evidência esperada. A gestão pode acompanhar, por exemplo, se um acesso amplo foi restringido e testado. Uma exposição conhecida precisa ser contida de imediato, em paralelo ao mapeamento.

LGPD para prefeituras: compartilhamento e Diário Oficial

O compartilhamento no poder público deve atender a finalidades específicas de execução de políticas públicas e atribuições legais. Na prefeitura, a circulação interna dos dados precisa ter justificativa e limites de acesso.

Uma secretaria de transporte que verifica a elegibilidade para um benefício precisa identificar quais dados são necessários e se o diagnóstico médico precisa circular.

Antes de enviar um arquivo ao Diário Oficial, recomendamos uma conferência com registro do responsável:

Confirmar a finalidade e o fundamento da publicação.
Conferir se cada campo pessoal é necessário para atender ao ato.
Identificar diagnósticos ou outras informações que exigem proteção específica.
Validar a versão destinada ao público, inclusive anexos e planilhas.
Registrar a aprovação e definir como corrigir uma exposição identificada depois.

Esse procedimento traduz os princípios de finalidade e necessidade e os deveres de prevenção e segurança em uma decisão verificável. O documento completo pode precisar de acesso restrito, enquanto a versão pública contém somente as informações necessárias à divulgação legalmente exigida.

Incidente de segurança: conter, avaliar e comunicar

A prefeitura deve avaliar a comunicação quando um incidente puder causar risco ou dano relevante aos titulares. A Resolução 15/2024 traz critérios para essa análise, e dados sensíveis são um dos elementos considerados junto com a possibilidade de afetar significativamente direitos e interesses fundamentais.

O plano da prefeitura deve definir como a equipe identifica o ocorrido, contém a exposição e registra o momento em que o controlador tomou conhecimento de que dados pessoais foram afetados. Esse marco importa para a contagem do prazo.

Quando a comunicação é devida, o prazo à ANPD é de três dias úteis, ressalvada legislação específica, contado daquele conhecimento. A comunicação aos titulares também tem prazo de três dias úteis contado do conhecimento pelo controlador de que o incidente afetou dados pessoais.

Recomendamos que o procedimento identifique quem reúne as informações técnicas, quem avalia o risco e quem encaminha a comunicação. TI pode conter o problema e preservar evidências; o encarregado orienta a resposta; o controlador responde pela comunicação. A distribuição precisa funcionar também durante ausências.

Um exercício com cenário fictício permite verificar se os contatos atendem e se a equipe consegue explicar o ocorrido aos cidadãos. O artigo sobre simulado de incidente e teste da resposta apresenta uma abordagem que pode ser adaptada à estrutura municipal.

Encarregado e fornecedores na LGPD para prefeituras

A LGPD para prefeituras também envolve a relação com fornecedores. A lei se aplica ao tratamento de dados pessoais por pessoas jurídicas públicas e privadas, nas situações previstas na lei. A prefeitura precisa identificar as decisões do município, as atribuições das unidades e o papel efetivo de cada fornecedor.

O controlador toma as decisões sobre o tratamento; o operador trata dados em nome do controlador. Um fornecedor de sistema pode atuar como operador em determinada atividade e como controlador em outra. Na revisão dos contratos, recomendamos descrever os papéis, as instruções, os acessos e como avisar sobre incidentes.

As secretarias precisam de responsabilidades claras. A Resolução 18/2024 permite encarregado próprio para órgãos sem personalidade jurídica com obrigações típicas de controlador, levando em conta a realidade do órgão, a quantidade de tratamentos de dados e a necessidade de distribuir responsabilidades. A estrutura municipal determina se cabe indicar encarregado próprio para um órgão.

O encarregado deve ter meios de trabalho, autonomia técnica e acesso às instâncias de decisão, com prevenção de conflitos de interesse. A indicação por operadores é facultativa nos termos do artigo 6º da Resolução 18; portanto, a mesma regra de indicação não pode ser atribuída indistintamente a todos os fornecedores.

Como a TOGETHER pode apoiar a prefeitura

A TOGETHER oferece apoio em LGPD para prefeituras para transformar o diagnóstico em tarefas acompanháveis. A consultoria em LGPD começa pelo data mapping e pode apoiar a revisão de fluxos, documentos, contratos e práticas de publicação, com prioridades definidas a partir dos riscos identificados.

O DPO as a Service pode compor o apoio contínuo. No setor público, a indicação de encarregado recai preferencialmente sobre servidor ou empregado público. A avaliação deve considerar recursos, autonomia técnica e conflitos; a contratação de apoio externo preserva a responsabilidade do controlador.

Para conhecer atividades e registros desse acompanhamento, veja o conteúdo sobre rotina e entregáveis da gestão do encarregado. O escopo deve corresponder à estrutura e às necessidades do município.

Converse com a TOGETHER para organizar o projeto de adequação à LGPD da sua prefeitura a partir do mapeamento dos dados e definir prioridades, responsáveis e entregas de adequação.

Perguntas frequentes

A prefeitura precisa indicar encarregado?

Sim. A Resolução 18/2024 exige indicação pelas pessoas jurídicas de direito público abrangidas quando realizam tratamento de dados pessoais. A indicação deve ser formal e publicada no Diário Oficial, com identidade e contato divulgados de forma clara e acessível no site.

Retirar o documento do ar resolve o incidente?

A retirada ajuda a conter a exposição, mas permanece a necessidade de avaliar o risco, registrar a resposta e realizar as comunicações cabíveis. A comunicação é exigida quando houver risco ou dano relevante, conforme a LGPD e a Resolução 15/2024.

Toda prefeitura precisa publicar integralmente qualquer RIPD?

Não há essa obrigação geral no artigo 38, que prevê a possibilidade de determinação de elaboração do Relatório de Impacto à Proteção de Dados Pessoais pela ANPD. O RIPD descreve processos que podem gerar riscos e medidas para enfrentá-los; antes de divulgar o relatório, a prefeitura precisa proteger os dados pessoais e outras informações protegidas.

Prefeitura pode receber multa da LGPD?

As multas simples e diárias do artigo 52, incisos II e III, não integram as sanções aplicáveis aos órgãos e entidades públicos listadas no § 3º. Há outras sanções previstas para o setor público. Os fornecedores privados da prefeitura não estão automaticamente fora do alcance dessas multas.

A Resolução 15/2024 exige uma política geral de segurança?

A Resolução 15 aprova o Regulamento de Comunicação de Incidente de Segurança e disciplina comunicação e registros. Os deveres gerais de segurança estão na LGPD, especialmente nos artigos 46 a 49; a política é uma forma recomendada de organizar sua implementação.