Dados públicos e LGPD: Um teste para decidir o que publicar

A dúvida chega ao setor jurídico das entidades públicas quase sempre no mesmo formato: este documento pode ir para o portal? A pergunta costuma vir acompanhada de duas posições extremas. De um lado, o gestor que suprime nomes, números e assinaturas de tudo o que publica, invocando a lei 13.709/18 (LGPD). De outro, quem publica os autos inteiros, com cópias de documentos de identidade e comprovantes de residência, invocando a lei 12.527/11 (LAI). As duas condutas falham pela mesma razão, que é a ausência de um método. A LGPD não é sinal verde para negar tudo, assim como a LAI não é autorização para divulgar tudo.

Proponho aqui um teste aplicável pelo servidor que decide, com fundamento normativo em cada etapa, além de uma análise técnica sobre o que distingue anonimização, pseudonimização e mascaramento, tema s que a prática administrativa costuma tratar como sinônimos. O texto se dirige a entidades públicas, discute o papel dos planos de classificação da informação e traz, de forma breve, soluções já testadas na França, no Reino Unido, nos Estados Unidos e no sistema interamericano.

1. A LAI já protegia dados pessoais, e a LGPD deu sistema ticidade

A proteção de dados pessoais no setor público brasileiro não começou em 2018. A LAI determina, no art. 6º, III, que o poder público assegure a proteção da informação pessoal, e dedica os arts. 31 e 32 ao tema . O art. 31 impõe que o tratamento de informações pessoais se dê de forma transparente e com respeito à intimidade, à vida privada, à honra e à imagem, além das liberdades e garantias individuais. O § 1º restringe o acesso a informações relativas à intimidade, à vida privada, à honra e à imagem, pelo prazo máximo de cem anos, a agentes públicos legalmente autorizados e à própria pessoa. O § 3º dispensa o consentimento em hipóteses específicas e, ao tratar de estatísticas e pesquisas científicas de evidente interesse público, veda expressamente a identificação do titular, o que significa que a exigência de desidentificação já constava do direito brasileiro em 2011. O § 4º completa o desenho ao impedir que a restrição de acesso seja invocada para prejudicar apuração de irregularidades ou a recuperação de fatos históricos relevantes.

O que a LGPD acrescentou foi método. Ela trouxe definições operacionais, princípios aplicáveis a cada operação, bases legais, deveres de segurança e de prestação de contas, além de um capítulo dedicado ao Poder Público. A leitura conjunta das duas leis já foi assentada pela Controladoria-Geral da União no enunciado 4/22, segundo o qual as decisões sobre publicidade de informações pessoais em pedidos de acesso devem ser fundamentadas nos arts. 3º e 31 da LAI, e a LAI, a lei 14.129/21 e a LGPD são sistema ticamente compatíveis entre si. Em 2024, a CGU voltou ao tema em dois enunciados sobre o art. 31, § 1º, para afastar a presunção automática do prazo máximo de sigilo e para determinar que as negativas fundadas nesse dispositivo sejam relatadas e monitoradas.

A Advocacia-Geral da União seguiu a mesma direção no parecer 00006/25/GAB/DECOR/CGU/AGU, de 23 de maio de 2025, ao examinar a divulgação de anexos de convênios no Transferegov. O parecer recomendou a supressão de dados pessoais excessivos ou desnecessários, como CPF, RG, endereço e estado civil, à luz dos princípios da finalidade, da necessidade e da proporcionalidade, e ao mesmo tempo rejeitou leitura da legislação ordinária que inviabilize o controle social da Administração. O ponto decisivo, e que costuma passar despercebido, é que a própria LAI funciona como base legal para o tratamento: publicar dado pessoal em cumprimento de dever legal de transparência é cumprimento de obrigação legal, na forma do art. 7º, II, da LGPD, combinado com os arts. 23 e 26 da mesma lei. Não é preciso consentimento do titular para publicar aquilo que a lei manda publicar, e não é lícito publicar o que a lei não exige apenas porque o documento chegou ao processo. O guia orientativo da ANPD sobre o Poder Público segue a mesma lógica ao recomendar anonimização ou pseudonimização sempre que isso não comprometa o exercício do controle social.

Há ainda um terceiro pilar, frequentemente esquecido, que é o acesso parcial. O art. 7º, § 2º, da LAI determina que, quando não for autorizado o acesso integral por ser a informação parcialmente sigilosa, assegura-se o acesso à parte não sigilosa por meio de certidão, extrato ou cópia com ocultação da parte protegida. O direito brasileiro já possui, portanto, a figura que o direito comparado chama de versão pública. Negar o documento inteiro porque um campo contém dado pessoal contraria esse dispositivo, e é exatamente esse o erro mais comum nas respostas a pedidos de acesso. No plano do compartilhamento entre órgãos, o STF, ao julgar a ADIn 6.649 e a ADPF 695, submeteu o fluxo de dados pessoais na Administração aos parâmetros da LGPD, com exigência de finalidade, necessidade, proporcionalidade e publicidade, o que reforça que transparência e proteção de dados operam no mesmo eixo, e não em eixos opostos.

A adaptação normativa interna também já tem precedentes. O Conselho Nacional do Ministério Público editou a resolução 311/25 para atualizar, à luz da LGPD, a norma que aplicava a LAI no âmbito da instituição (Braga; Ferreira, 2026, p. 48). É o tipo de movimento que estados e municípios precisam replicar, já que os decretos locais de regulamentação da LAI costumam ser anteriores à LGPD e não tratam da articulação entre as duas leis.

2. Antes de publicar ou anonimizar, minimizar

A discussão sobre anonimização costuma chegar tarde. Quando o servidor pergunta se deve tarjar o CPF de um anexo, o dado já foi coletado, digitalizado, replicado em três sistema s e enviado por correio eletrônico. O princípio da necessidade do art. 6º, III, da LGPD opera antes disso, na definição de quais dados o procedimento exige. Editais que pedem cópia de documento de identidade quando bastaria o número do registro profissional, formulários de ouvidoria que exigem endereço residencial para responder a uma reclamação sobre iluminação pública e processos de inscrição que anexam certidões inteiras produzem o problema que depois se tenta resolver com tarja.

A regra prática é simples: dado não coletado não precisa ser protegido, tampouco anonimizado, e nunca vaza. No caso de processos de contratação, a distinção foi bem posta na obra que escrevi com Ricardo Padovini Pleti Ferreira: informações que permitem saber quem contratou com o poder público, por qual valor e em que condições devem ser públicas, enquanto endereços residenciais, telefones pessoais, dados de terceiros sem pertinência e cópias de documentos pessoais anexadas por hábito não agregam controle social e apenas ampliam a superfície de risco (Braga; Ferreira, 2026, p. 87-89).

3. O teste de publicação

A tabela 1 organiza, em sete etapas, a decisão sobre um dado pessoal que se pretende publicar. Ela não substitui a análise do caso concreto, mas obriga o decisor a percorrer os pontos que a jurisprudência e os órgãos de controle consideram relevantes, e a registrar as razões.

Tabela 1. Teste de publicação de dado pessoal pelo ente público

Elaboração do autor, a partir da lei 12.527/11, da lei 13.709/18, do enunciado CGU 4/22 e do parecer 00006/25/GAB/DECOR/CGU/AGU.

Três observações sobre o uso do teste. A primeira é que a etapa 2 resolve a maioria dos casos. Quando a lei determina a publicação, o debate sobre consentimento é impertinente, e foi nesse sentido que o STF fixou, no tema 483 da repercussão geral, que é legítima a publicação, inclusive em sítio eletrônico mantido pela Administração, dos nomes dos servidores e dos valores dos respectivos vencimentos e vantagens pecuniárias. A segunda é que a etapa 4 exige um exercício honesto: perguntar o que o cidadão consegue fiscalizar com aquele dado. O nome do responsável que assinou o contrato permite controle; o número do documento de identidade dele, na maioria das vezes, não permite. A terceira é que a etapa 6 vale nas duas direções. Ocultar sem motivar é tão irregular quanto expor sem necessidade, e a ausência de motivação é justamente o vício que a AGU apontou no parecer citado.

Quatro exemplos mostram como o teste opera. Na folha de pagamento, o dever legal existe e o tema 483 é expresso, de modo que nome, cargo, lotação e remuneração são publicados; o CPF, o endereço e o número de dependentes não ajudam no controle e ficam de fora. Em uma lista de beneficiários de programa social, o interesse público recai sobre o número de atendidos, os critérios e a distribuição territorial, o que se alcança com agregação, enquanto a identificação individual, quando exigida por norma específica, deve ser limitada ao mínimo indispensável e jamais incluir dado de saúde ou de condição social que revele vulnerabilidade. Em processo de contratação, a regra se inverte: identificar o contratado e quem assinou é o núcleo do controle, e a supressão desses elementos esvazia a fiscalização. Em manifestação de ouvidoria, o conteúdo da demanda pode ser público em forma estatística, mas a identidade do manifestante é protegida, sob pena de inibir o próprio canal.

Clique aqui e confira o artigo na íntegra.