Aniversário da LGPD: Estudo comparativo da governança de proteção de dados no ERJ

Introdução

No dia 14 de agosto, o Brasil celebra o aniversário da promulgação da lei geral de proteção de dados pessoais (LGPD - lei federal 13.709/18). O marco normativo transformou a relação entre cidadãos e o Poder Público, elevando a proteção de dados pessoais ao status de direito fundamental (art. 5º, LXXIX, da Constituição Federal). Para além de celebrar a vigência da legislação, a data convida a uma análise concreta de como os governos estão se organizando para a conformidade à LGPD. Este artigo convida a realizar esta reflexão com o foco nas administrações públicas fluminenses, avaliando como estão estruturando suas jornadas de adequação à LGPD na prática.

Nesse contexto, o Governo do Estado e o Governo da Cidade do Rio de Janeiro oferecem um ecossistema valioso para estudo. A comparação entre os modelos de governança da PCRJ - prefeitura da cidade do Rio de Janeiro e do GERJ - Governo do Estado do Rio de Janeiro permite compreender os diferentes caminhos regulatórios, tecnológicos e institucionais adotados pelos entes subnacionais para garantir os direitos dos titulares e consolidar a cultura de proteção de dados no setor público fluminense.

Para realizar essa comparação, este artigo está dividido em 10 partes: (1) Estruturação do encarregado de dados; (2) Normatização da política de proteção de dados pessoais por ato normativo próprio; (3) Diretrizes para a criação de comitês de privacidade por órgão/entidade; (4) Existência de comitê de elaboração de normas e apoio aos encarregados; (5) Ferramenta digital para a governança em proteção de dados; (6) Programa de capacitação e trilha de formação específica para encarregados de dados; (7) Capacitação em proteção de dados voltada aos servidores públicos; (8) Índice de avaliação de maturidade dos órgãos e entidades; (9) Guias, cartilhas e materiais orientativos; e (10) Sites institucionais e canais de atendimento ao titular de dados. Ao final, são apresentadas considerações finais, à guisa de conclusão da comparação realizada.

1. Estruturação do encarregado de dados (geral/central vs. setoriais) e nível de vinculação

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

A estrutura municipal adota a figura do encarregado de dados geral do município, vinculado à SMIT - Secretaria Municipal de Integridade, Transparência e Proteção de Dados, atuando de forma centralizada perante a ANPD - Agência Nacional de Proteção de Dados. Paralelamente, cada órgão e entidade da administração direta e indireta municipal designa seus encarregados de dados setoriais por meio de atos próprios do titular da pasta. A vinculação entre os encarregados setoriais e o encarregado geral obriga os setoriais a solicitar orientação prévia ao encarregado geral antes de efetuar qualquer comunicação formal com a ANPD, além de reportar periodicamente os avanços do seu respectivo Programa de Governança em Privacidade e Proteção de Dados Pessoais, cujas diretrizes encontram-se atualmente normatizadas pela resolução SEGOVI 91/22¹.

• Governo do Estado do Rio de Janeiro (GERJ):

O Governo Estadual estruturou a figura do encarregado de dados geral (central) vinculada à SETD - Secretaria de Estado de Transformação Digital. Em âmbito descentralizado, cada secretaria, autarquia, empresa pública e fundação estadual designa seu encarregado de dados setorial. A integração entre a SETD e os setores materializa-se através da Rede Estadual de Encarregados de Dados (que já realizou um encontro em 2025²), coordenada pela SETD para padronização metodológica e alinhamento do atendimento ao cidadão e aos órgãos de controle.

2. Normatização da política de proteção de dados pessoais por ato normativo próprio

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

O marco regulatório municipal atualmente em vigência é o decreto Rio 54.984/24, que instituiu a Política Municipal de Proteção de Dados Pessoais e regulamentou de forma detalhada a aplicação da LGPD no Executivo Municipal. O normativo estabelece os princípios gerais de tratamento de dados pessoais, define os atores estratégicos na implementação da Política, estabelece as obrigações dos agentes de tratamento, normatiza a elaboração dos instrumentos do Programa de Governança em Privacidade e Proteção de Dados, disciplina o compartilhamento de dados e integra salvaguardas de privacidade aos sistemas eletrônicos municipais.

• Governo do Estado do Rio de Janeiro (GERJ):

A normatização estadual fundamenta-se no decreto estadual 48.891/24, que instituiu a Política de Governança em Privacidade e Proteção de Dados Pessoais do Estado do Rio de Janeiro. O texto disciplina as diretrizes para o tratamento ético e seguro de dados pessoais pelo Estado, estabelece as responsabilidades da administração direta e indireta, detalha os instrumentos de gestão de riscos de privacidade, normatiza os fluxos de atendimento aos direitos dos titulares e fixa a obrigatoriedade da elaboração periódica do plano de adequação por todas as unidades administrativas estaduais. Um ponto de destaque é o Comitê de Governança em Privacidade e Proteção de Dados Pessoais, que orienta a aplicação da Política, possuindo um núcleo normativo e um núcleo executivo.

3. Diretrizes para a criação de comitês de privacidade por órgão/entidade

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

O decreto Rio 54.984/24 disciplina no seu art. 20 a criação e as atribuições dos Comitês de Privacidade e Proteção de Dados Pessoais no âmbito de cada órgão e entidade da Administração direta e indireta municipal. Significa que o encarregado de dados setorial não está sozinho dentro do seu órgão/entidade com a pauta da conformidade à LGPD. Cabe ao Comitê, entre outras atribuições: elaborar, implementar e atualizar os documentos do PGPPDP - Programa de Governança em Privacidade e Proteção de Dados Pessoais do seu respectivo órgão/entidade; apoiar o encarregado setorial na reavaliação da efetiva necessidade e adequação dos tratamentos de dados pessoais realizados; e promover ações internas de aculturamento. Todos os órgãos e entidades municipais possuem páginas próprias de LGPD, em que divulgam as informações relativas aos seus Programas de Governança e informações para atendimento ao titular de dados pessoais.³

• Governo do Estado do Rio de Janeiro (GERJ):

No âmbito estadual, o art. 18, § 5º, do decreto estadual 48.891/24 prevê a criação da Comissão Permanente de Avaliação de Dados em cada órgão ou entidade pública. Essa comissão possui a incumbência de avaliar os procedimentos de seleção e destinação de dados pessoais, a partir da adaptação dos instrumentos de gestão de documentos das atividades-meio e das atividades-fim, visando a sua eliminação ou recolhimento para guarda permanente, observados o transcurso dos prazos estabelecidos na tabela de temporalidade e as disposições da LGPD. Adicionalmente, conforme determina o art. 36, I, do mesmo decreto, cada órgão ou entidade estadual deve designar formalmente um responsável pelo projeto de adequação, servidor encarregado de operacionalizar os trabalhos práticos de implementação da LGPD na unidade. Importante destacar que, de acordo com o art. 35, incisos I e II, do mesmo decreto, esse projeto de adequação será elaborado e terá sua execução acompanhada pelo núcleo executivo do Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais.

4. Existência de Comitê de elaboração de normas e apoio aos encarregados

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

A SMIT atua como órgão central da proteção de dados pessoais, tendo por atribuições, entre outras competências constantes no art. 24 do decreto Rio 54.984/24, o seguinte: disseminar o conhecimento das políticas e normas de governança em proteção de dados pessoais; desenvolver as metodologias para elaboração dos instrumentos de governança de privacidade e de proteção de dados pessoais; divulgar em sítio eletrônico institucional os nomes e dados de contato dos encarregados de dados setoriais de cada órgão e entidade da Administração Pública Municipal; estabelecer as orientações para atendimento aos titulares de dados pessoais, de modo que o exercício de direito dos titulares seja plenamente garantido; entre outras atribuições. O encarregado de dados geral, indicado pelo secretário municipal de integridade e transparência, possui centralidade neste arranjo, tendo por atribuições, entre outras constantes do art. 8º do já citado decreto, as seguintes: orientar os controladores de dados e os encarregados de dados setoriais, divulgar as orientações quanto às boas práticas, aos padrões de governança de dados e à segurança da informação no tratamento de dados pessoais, manter comunicação permanente com os encarregados de dados setoriais, elaborar e disponibilizar material de divulgação e capacitação a respeito das boas práticas sobre proteção de dados pessoais e instrumentalizar e garantir a transparência da governança em privacidade e proteção dos dados pessoais

• Governo do Estado do Rio de Janeiro (ERJ):

- O apoio normativo e de gestão no Estado é estruturado por meio do Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais, subdividido em dois núcleos específicos de atuação:

- Núcleo normativo: possui a atribuição de elaborar propostas de normas, resoluções, diretrizes técnicas e orientações interpretativas sobre a aplicação da LGPD para o Poder Executivo Estadual. É composto por representantes da SETD - Secretaria de Estado de Transformação Digital, da PGE-RJ - Procuradoria Geral do Estado, da CGE-RJ - Controladoria Geral do Estado e do PRODERJ - Centro de Tecnologia da Informação e Comunicação do Estado.

- Núcleo Executivo: responsável por coordenar a execução das estratégias aprovadas, acompanhar o cronograma físico das rotinas de adequação, prover suporte operacional à Rede de Encarregados e monitorar o andamento dos projetos de privacidade nos órgãos. Sua composição reúne membros técnicos das áreas de tecnologia, gestão e controle da SETD, CGE-RJ e PRODERJ.

5. Ferramenta digital para a governança em proteção de dados 

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

A Prefeitura do Rio adota a disponibilização padronizada de modelos documentais em seu repositório oficial (lgpd.prefeitura.rio). A administração municipal fornece guias, modelos e cartilhas orientativas para auxiliar na elaboração de inventário de dados pessoais, RIPD - relatório de impacto à proteção de dados pessoais, plano de resposta a incidentes, análise de riscos no tratamento de dados pessoais, entre outros documentos do Programa de Governança em Privacidade e Proteção de Dados Pessoais, atualmente regulamentado pela resolução SEGOVI 91/22. Esses modelos são conceitualmente e estruturalmente alinhados às diretrizes do PPSI - Programa de Privacidade e Segurança da Informação do Governo Federal, permitindo que cada órgão e entidade municipal construa seus artefatos de conformidade de forma autônoma.⁴

• Governo do Estado do Rio de Janeiro (ERJ):

O Governo do Estado optou pela contratação centralizada de infraestrutura tecnológica via licitação pública. Por intermédio da SETD e do PRODERJ, realizou-se Pregão Eletrônico para Registro de Preços voltado à aquisição de uma plataforma corporativa digital de governança em LGPD. A solução contratada incluiu um software de gestão de privacidade (para automação de inventário de dados, mapeamento de processos, geração de RIPD e fluxo de atendimento aos titulares) associado à prestação de serviços técnicos de consultoria especializada para apoiar os órgãos estaduais aderentes nas etapas de adequação. Foi necessário que cada órgão e entidade estadual aderisse individualmente ao registro de preços, e contratasse por meio de recursos financeiros próprios a ferramenta digital contratada pelo PRODERJ.

6. Programa de capacitação e trilha de formação específica para encarregados de dados

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

A capacitação direcionada aos Encarregados e equipes técnicas municipais é promovida pela SMIT - Secretaria Municipal de Integridade, Transparência e Proteção de Dados em parceria com a FGV - Fundação João Goulart, responsável pelo desenvolvimento da "Trilha de Formação em Privacidade e Proteção de Dados Pessoais". Segundo dados divulgados no portal institucional (lgpd.prefeitura.rio), a trilha e os módulos de qualificação em privacidade já alcançaram a marca de mais de 1.200 servidores públicos municipais capacitados.⁵

• Governo do Estado do Rio de Janeiro (ERJ):

No Estado do Rio, as capacitações formais voltadas para os Encarregados de Dados Setoriais são executadas pela SETD em parceria com a ESCI - Escola Superior de Controle Interno da CGE-RJ. Conforme relatórios de gestão da CGE-RJ e registros de capacitação da SETD, foram realizadas turmas e oficinas práticas presenciais e síncronas - incluindo workshops dedicados ao mapeamento de processos, elaboração de inventários de dados e uso do portal de governança -, capacitando os Encarregados de Dados Setoriais e os integrantes das Comissões Permanentes dos órgãos estaduais. Também é possível que as Escolas de Governo dos Órgãos e Entidades ministrem suas próprias capacitações em seus cursos e capacitações.

7. Capacitação em proteção de dados voltada aos servidores públicos

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

O decreto Rio 54.984/24 determina, em seu art. 13, o dever de sensibilização e treinamento contínuo de todo o quadro funcional envolvido no tratamento de dados pessoais. A SMIT disponibiliza conteúdos educativos, como guias e cartilhas que podem ser acessados.⁶ Além disso, o encarregado de dados central ministra palestras e capacitações sobre boas práticas no tratamento de dados pessoais e diretrizes da LGPD, direcionados ao funcionalismo geral da administração direta e indireta.

• Governo do Estado do Rio de Janeiro (ERJ):

O Executivo Estadual promove a conscientização geral de seus servidores mediante ações educacionais continuadas das Escolas de Governo, combinadas com a oferta de cursos em parceria com a Fundação CECIERJ e plataformas EAD de cursos institucionais, como aqueles disponibilizados pela ENAP. Adicionalmente, órgãos finalísticos promovem ciclos de sensibilização interna, como a SEPLAG-RJ - Secretaria de Estado de Planejamento e Gestão, que implementou ações informativas voltadas aos seus profissionais da área pública.

8. Índice de avaliação de maturidade dos órgãos e entidades

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

A Prefeitura implementou o IAALGPD - Índice de Avaliação da Adequação à LGPD, normatizado pelas resoluções SMIT "N" 08/24, SMIT "N" 14/25 e SMIT "N" 21/26. Conforme detalhado, o IAALGPD é um instrumento de mensuração periódica da maturidade em proteção de dados nos órgãos municipais.⁷ A sistemática funciona por meio de um questionário estruturado que avalia dimensões estratégicas (governança, mapeamento, direitos do titular, segurança da informação e contratos/parcerias). Cada órgão/entidade deve responder às questões e submeter formalmente as evidências comprobatórias correspondentes à SMIT. Com base nas pontuações apuradas, os órgãos são classificados em níveis de maturidade (aprimorado, intermediário, inicial ou inexpressivo), permitindo monitorar a evolução histórica da adequação municipal.

• Governo do Estado do Rio de Janeiro (ERJ):

O Governo do Estado do Rio não possui, até o momento, um índice de maturidade exclusivo próprio e tornado disponível publicamente para avaliar sistematicamente seus próprios órgãos e entidades estaduais. Contudo, no cenário fluminense de controle externo, destaca-se a atuação do TCE/RJ, que realizou ampla auditoria operacional para avaliar o grau de adequação à LGPD nos 91 municípios sob sua jurisdição (excluída a capital), cujos resultados e lições aprendidas foram amplamente analisados pela doutrina especializada em artigos jurídicos⁸. O levantamento revelou diagnósticos sobre as assimetrias municipais e recomendou a adoção de planos de adequação estruturados de conformidade.

9. Guias, cartilhas e materiais orientativos

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

A administração municipal disponibiliza um acervo pedagógico composto pela "Cartilha sobre Proteção de Dados Pessoais para Servidores Públicos Municipais" (divulgada via resolução SMIT "N" 15/25⁹) e pelo "Guia do decreto de LGPD". Em âmbito setorial, órgãos como a Fundação Rio-Águas, a SMS-Rio - Secretaria Municipal de Saúde, a SECONSERVA - Secretaria Municipal de Conservação e a RIOSAUDE, entre outras, editaram cartilhas de boas práticas específicas para suas áreas de atuação. É possível conhecer mais do trabalho orientativo divulgado por estes órgãos e entidades municipais através do portal lgpd.prefeitura.rio.

• Governo do Estado do Rio de Janeiro (GERJ):

A CGE-RJ e a SETD centralizam em portal próprio normativos relativos à aplicação da LGPD, disponíveis no portal da transparência¹⁰ e no repositório normativo da CGE¹¹. Não foi possível identificar, até o momento da elaboração deste artigo, cartilhas e guias orientativos disponibilizados publicamente para os servidores públicos.

10. Sites institucionais e canais de atendimento ao titular de dados

• Prefeitura da cidade do Rio de Janeiro (PCRJ):

O atendimento ao titular de dados na capital é estruturado pelo portal da LGPD da prefeitura, que centraliza as regras, a legislação e a indicação dos canais de contato de cada Encarregado de Dados Setorial respectivo para cada órgão e entidade. O exercício dos direitos previstos no art. 18 da LGPD também pode ser realizado por meio da Central 1.746, plataforma oficial de atendimento ao cidadão carioca. A Central 1.746 conta com uma categoria de serviço específica sobre Proteção de Dados Pessoais¹², onde o titular pode encaminhar requerimentos formais sobre confirmação de tratamento, acesso, correção ou eliminação de dados tratados pelo Executivo municipal.

• Governo do Estado do Rio de Janeiro (GERJ):

O Governo do Estado disponibiliza as informações e orientações de privacidade no Portal da Transparência (transparencia.rj.gov.br/lgpd). Por meio dessa página oficial, o cidadão tem acesso aos Avisos de Privacidade estaduais e às orientações para formulação de requerimentos de titulares, os quais são processados centralizadamente por meio do Sistema de Ouvidoria do Estado do Rio de Janeiro (OUVERJ, regulado pelo decreto estadual 48.727/23) ou mediante peticionamento formal nos canais das Ouvidorias Setoriais de cada órgão. Também é possível realizar requerimentos do titular direcionados diretamente para a encarregada de dados geral do estado^.

Conclusão

Neste aniversário da LGPD, a comparação entre a prefeitura da cidade do Rio de Janeiro e o Governo do Estado do Rio de Janeiro evidencia que a adequação do setor público à lei não segue uma fórmula única. O município do Rio consolidou uma governança marcada por um índice de aferição interna de maturidade (IAALGPD), comitês de privacidade setoriais com atribuições claras de elaboração dos programas de governança e integração direta dos direitos do titular à plataforma de atendimento Central 1746. Por sua vez, o Estado organizou sua estrutura focando na articulação normativa por núcleos especializados (normativo e executivo) do seu Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais na formação da Rede Estadual de DPOs e na contratação centralizada de plataforma tecnológica corporativa.

Ambas as iniciativas demonstram o compromisso de traduzir os princípios constitucionais e legais da proteção de dados em práticas administrativas eficientes, servindo de referência para a consolidação da proteção de dados pessoais voltada para os cidadãos cariocas e fluminenses do estado do Rio de Janeiro.

_________

1. As diretrizes podem ser acessadas no site: https://lgpd.prefeitura.rio/programa-de-governanca-em-privacidade-e-protecao-dos-dados-pessoais.

2. Disponível em: https://www.rj.gov.br/proderj/node/1505

3. Disponível em: https://lgpd.prefeitura.rio/portais-de-lgpd-da-prefeitura-2.

4. As diretrizes podem ser acessadas no site: https://lgpd.prefeitura.rio/programa-de-governanca-em-privacidade-e-protecao-dos-dados-pessoais/.

5. É possível obter mais informações no link: https://lgpd.prefeitura.rio/trilha-de-formacao-em-privacidade-e-protecao-de-dados-pessoais/.

6. Disponível em: https://lgpd.prefeitura.rio/guias_e_cartilhas_e_cookies/

7. Disponível em: https://lgpd.prefeitura.rio/indice-de-avaliacao-de-adequacao-a-lgpd-na-prefeitura-da-cidade-do-rio-de-janeiro/

8. Disponível em: https://www.migalhas.com.br/depeso/435026/licoes-aprendidas-com-a-auditoria-do-tce-rj-relativa-a-lgpd

9.  Disponível em link: https://lgpd.prefeitura.rio/guias_e_cartilhas_e_cookies/

10. Disponível em: transparencia.rj.gov.br/lgpd

11. Disponível em: https://cge.rj.gov.br/lgpd/

12. Disponível em: https://www.1746.rio/hc/pt-br/articles/20394381676443-Informa%C3%A7%C3%B5es-sobre-o-tratamento-de-dados-pessoais-pela-Prefeitura-do-Rio-de-Janeiro