IBGP Responde – Governança e compliance de dados no setor público

Reunimos as 15 dúvidas mais relevantes sobre governança e compliance de dados no setor público: da LGPD e do papel do controlador à acomodação, à gestão de riscos e ao valor público. Um guia direto para o servidor que quer decidir melhor.

Para que serve a governança de proteção de dados?

Serve, essencialmente, para ajudar a organização a decidir melhor sobre proteção de dados. Governança não é apenas publicar uma política, criar um comitê ou estabelecer um processo de gestão de incidentes — embora tudo isso faça parte. O propósito é qualificar as decisões, tornando-as contextuais e adequadas aos riscos existentes.

Se, depois de todas essas implementações, a organização só ganhou mais burocracia, então nada de fundamental mudou. A governança cumpre seu papel quando aumenta a capacidade de tomar boas decisões, protege o valor da organização e, ao mesmo tempo, serve o titular de dados de forma mais efetiva, gerando legitimidade.

Por que o setor público "ficou com o abacaxi" da LGPD?

Porque herdou os desafios mais significativos da proteção de dados. As grandes empresas privadas se adaptaram rapidamente, pois tinham orçamento e recursos, e as pequenas e médias empresas tiveram vários requisitos dispensados pela Autoridade Nacional de Proteção de Dados (ANPD).

O setor público, por outro lado, enfrenta obrigações fortes e inescapáveis, agravadas por um cenário que envolve a Lei de Acesso à Informação e o uso crescente de inteligência artificial. Tudo isso tem impacto direto nas decisões, na alocação de recursos e nas prioridades das organizações públicas.

Quem são hoje os maiores detentores de dados pessoais?

Atualmente, os maiores detentores de dados pessoais são as grandes empresas de tecnologia, e não mais o Estado. O volume de dados que companhias como Google, Microsoft ou Meta possuem é imensamente maior do que o do governo, que concentra sobretudo dados cadastrais, como nome, CPF e patrimônio.

Historicamente, os dados pessoais se concentravam no poder público — cenário simbolizado pela distopia de vigilância descrita em 1984, de George Orwell, e ilustrado por casos reais como o de Snowden. Com as redes sociais, o equilíbrio mudou, e as big techs passaram a manter até perfis psicométricos baseados no comportamento e nas preferências das pessoas.

O que é o "escambo virtual"?

Escambo virtual é a lógica de troca que caracteriza a economia digital: o usuário fornece algo e, em troca, recebe outra coisa. Nem sempre o que se dá é dinheiro — muitas vezes são informações e dados pessoais, e o que se recebe é um serviço.

Um exemplo comum é o dos aplicativos de navegação: ao informar origem e destino, o usuário entrega dados sobre onde mora, trabalha e circula, e em troca recebe a melhor rota. As empresas entenderam bem essa dinâmica e passaram a oferecer diversos serviços em troca da captura de dados pessoais.

A LGPD veio para atrapalhar?

Não necessariamente. A LGPD pode ser vista menos como um obstáculo e mais como um freio. Assim como carros mais potentes precisam de freios mais fortes para que a velocidade seja segura, uma economia fortemente baseada em dados precisa de uma regulação robusta para poder se desenvolver com menos risco de "acidentes".

Uma legislação razoável e bem calibrada favorece uma economia de dados mais efetiva, capaz de gerar desenvolvimento econômico e social. Resta sempre o debate sobre a calibragem — se a lei foi longe demais ou não —, mas a regulação, em si, tende a fortalecer o ambiente de dados em vez de enfraquecê-lo.

Quais são os três grandes desafios da governança de proteção de dados?

São o entendimento, a acomodação e a tradução. O entendimento é a compreensão correta dos conceitos, muitas vezes abstratos, da LGPD. A acomodação é o equilíbrio entre as exigências da lei e o contexto específico da organização, além da harmonização com outras normas. A tradução é a conversão dos comandos legais em processos de trabalho concretos.

Esses três elementos são essenciais porque, sem eles, a governança fica enviesada e pode acabar prejudicando aquilo que se busca, em vez de favorecer. Juntos, eles permitem que a governança de fato ajude a organização a decidir melhor e a proteger o valor público.

No setor público, quem é o controlador de dados?

No setor público, o controlador não é o presidente do órgão. Embora ele represente a instituição perante terceiros, não age em nome próprio, e sim em nome da instituição — por força da teoria do órgão e do princípio da impessoalidade. Apontar o presidente como controlador é um erro grave, ainda que comum.

Na administração direta, como ministérios e tribunais, há ainda o problema da ausência de personalidade jurídica (o CNPJ é apenas um cadastro fiscal). A solução adotada pelo Tribunal de Contas da União, em 2021, foi definir o controlador como a própria União, pessoa jurídica de direito público — tese com a qual a ANPD concordou no mês seguinte.

O consentimento é a principal base legal no setor público?

Não. Apesar de a maioria dos cursos sobre a LGPD dedicar muito tempo ao consentimento, ele não é a principal base legal de tratamento para o setor público. Focar excessivamente nele é, inclusive, um problema, porque desvia a atenção das hipóteses realmente mais aplicáveis à administração pública.

O correto é conhecer todo o cardápio de bases legais previstas na lei e saber escolher a mais adequada a cada situação. Reconhecer que nem toda a LGPD se aplica da mesma forma a todos é parte do entendimento necessário para aplicar a lei com segurança.

Por que a LGPD exige uma abordagem interdisciplinar?

Porque a LGPD não é uma lei apenas jurídica, nem apenas técnica ou de TI. Analisá-la só pelo lado jurídico enviesa a compreensão; analisá-la só pela TI, também. Um comitê de proteção de dados precisa reunir competências jurídicas, técnicas e de negócio para tomar boas decisões.

Uma analogia útil é a de um trem a vapor em movimento: a física enxerga a inércia, a química a combustão, a biologia a regulação térmica do maquinista, a engenharia a eficiência. Cada olhar capta um aspecto. Com a LGPD é igual — quanto mais áreas do conhecimento envolvidas, mais completa a compreensão e melhores as decisões.

O que significa "acomodar" a LGPD à organização?

Acomodar não é se acomodar no sentido de descansar; é equilibrar as exigências da LGPD com a realidade da organização, como quem encaixa uma peça de Lego na outra. Cada organização tem desafios próprios, e aplicar a lei em um ministério da educação é diferente de aplicá-la em um da saúde, porque os dados, os processos e as finalidades são distintos.

Por isso, é preciso entender exatamente quais são os principais processos, sistemas e entregas de valor afetados pela LGPD naquela organização específica. A pessoa mais indicada para fazer essa acomodação é a equipe interna, que conhece a realidade do órgão — consultorias trazem método, mas nem sempre entendem os meandros da organização.

Como conciliar a LGPD com a Lei de Acesso à Informação?

A conciliação entre a LGPD e a Lei de Acesso à Informação (LAI) é um dos pontos que mais geram confusão. Muita gente acredita, de forma equivocada, que a LGPD impõe sigilo e chega a negar pedidos de acesso à informação com base nela — o que não se sustenta, já que a LGPD não tem essa finalidade.

Cabe à governança navegar nesse "mar revolto", harmonizando a cultura de privacidade que vem da LGPD com a cultura de transparência que vem da LAI. As duas precisam coexistir dentro da mesma organização pública, e equilibrá-las, assim como equilibrar a LGPD com outras normas, é papel central da governança.

Por que começar pela priorização em vez do inventário de dados?

Existe um dogma segundo o qual a adequação à LGPD deve começar por um inventário completo de tudo o que acontece na organização. Vale, porém, questionar esse pressuposto, porque inventariar tudo de uma vez pode ser lento e pouco produtivo.

Uma alternativa é priorizar: começar com um piloto na área mais exposta a riscos, aprender com ele, corrigir o que deu errado e avançar para uma segunda área já mais madura, aplicando as lições aprendidas e construindo o referencial passo a passo. Essa priorização é um dos pilares da tradução dos requisitos legais em processos de trabalho.

Por que o treinamento em LGPD deve ser segmentado por público?

Porque cada público-alvo tem necessidades diferentes, e um treinamento único para todos não funciona. As autoridades não vão parar longas horas para um curso, então precisam de ações simples, porém significativas, que chamem sua atenção. Já quem trabalha diretamente com a lei, como as áreas jurídica e de TI, precisa de capacitação bem mais aprofundada.

Há ainda quem atue no órgão sem lidar diretamente com a LGPD, que demanda outra abordagem, e os terceirizados, subdivididos entre os de TI e os demais. Reconhecer esses públicos e oferecer capacitação sob medida é uma forma de traduzir as exigências legais para o cotidiano das pessoas, aproximando a lei da realidade de cada um.

O que é uma abordagem de governança de dados baseada em riscos?

É uma alternativa à abordagem baseada em processos (como a oferecida pela roda do DAMA). Em vez de partir da estrutura, ela parte dos processos de trabalho da organização para elencar os riscos de proteção de dados, como acesso não autorizado, perda de dados, retenção além do necessário ou reidentificação de dados anonimizados.

Esses riscos podem ser organizados em camadas — operacionais, táticos e estratégicos — e, para cada um, avaliam-se os controles capazes de mitigá-lo. Medindo o percentual de controles implementados, é possível responder objetivamente à pergunta da alta autoridade: "estamos protegidos?", indicando, por exemplo, um nível de 87% e explicando o porquê. A escolha entre processo e risco cabe à governança.

Como a governança de dados protege o valor público?

A governança protege o valor público ao garantir que os processos de trabalho cumpram os requisitos de leis, jurisprudência e normas técnicas, provendo direção, monitoramento e controle. Mas ela não age sozinha: soma-se às diretrizes estratégicas, que alocam recursos, e a quatro pilares essenciais do setor público — integridade, transparência, accountability e sustentabilidade.

Orientados por esses pilares, os recursos de pessoas, orçamento e TI são aplicados sobre o processo, que gera um produto destinado ao cidadão. Quando esse produto resolve o problema do cliente, produz-se valor público sustentável. Por isso, não se trata de governança pela governança: o objetivo é tornar o valor público cada vez mais sustentável, mesmo sob a proteção de dados pessoais.

Quer implementar a LGPD no seu órgão sem burocracia e protegendo o valor público? Conheça nossa formação em governança e compliance de dados no setor público e capacite a sua equipe para decidir melhor.