LGPD na Administração Pública: O que revelam as auditorias dos Tribunais de Contas

Seis anos depois da entrada em vigor da lei 13.709/18 (LGPD), o grau de adequação da Administração Pública brasileira deixou de ser objeto de estimativa. Os Tribunais de Contas passaram a medi-lo. O TCU concluiu dois ciclos de auditoria sobre o tema, com coletas em 2021 e 2024, e o segundo foi executado em ação coordenada com Tribunais de Contas estaduais no âmbito da Rede Integrar. O TCE/RJ repetiu a avaliação de suas 91 prefeituras jurisdicionadas, o TCE/PE divulgou seu índice de adequação e o TCE/MG, por seu Núcleo de Proteção de Dados, consolidou as respostas de 1.355 instituições públicas mineiras.

Esse conjunto forma a base empírica mais consistente de que dispomos sobre a conformidade do Poder Público à LGPD, porque é produzido por quem tem competência constitucional para fiscalizar a gestão e acesso direto aos jurisdicionados. Proponho aqui uma leitura cruzada desses resultados, com três objetivos: identificar os gargalos que se repetem entre esferas e entes, examinar a função que o controle externo vem assumindo diante dos limites sancionatórios da ANPD - Autoridade Nacional de Proteção de Dados e indicar ajustes metodológicos para os próximos ciclos. A premissa, desenvolvida em obra anterior, é a de que o setor público é o maior controlador de dados pessoais do país, em volume e em sensibilidade, e que sua maturidade de implementação permanece precária (Braga; Ferreira, 2026, p. 105-106).

1. O que os números mostram

1.1 Esfera federal

A primeira auditoria do TCU (TC 039.606/20-1), sob relatoria do ministro Augusto Nardes, avaliou 382 organizações federais pelo método de autoavaliação de controles internos (CSA, Control Self-Assessment), com questionário estruturado em nove dimensões: preparação, contexto organizacional, liderança, capacitação, conformidade do tratamento, direitos do titular, compartilhamento de dados pessoais, violação de dados pessoais e medidas de proteção. O acórdão 1.384/22-TCU-Plenário registrou que 76,7% das organizações estavam nos graus inexpressivo (17,8%) ou inicial (58,9%), contra 20,4% no intermediário e 2,9% no aprimorado. Entre os achados, 82% não mantinham registro das operações de tratamento, somente 2% haviam elaborado relatório de impacto abrangendo todos os processos de risco, 84% não tinham plano de resposta a incidentes envolvendo dados pessoais e apenas 16% haviam implantado gestão de acessos em todos os sistemas que tratam dados pessoais (Brasil, 2022b).

O segundo ciclo (TC 009.980/24-5), relatado pelo ministro Walton Alencar Rodrigues, alcançou 387 órgãos e entidades e passou a exigir, além das respostas, documentos comprobatórios. O acórdão 1.372/25-TCU-Plenário apresenta evolução mensurável: inexpressivo 13,44%, inicial 44,96%, intermediário 33,07% e aprimorado 8,53% (Brasil, 2025a). A soma dos dois graus inferiores caiu de 76,7% para 58,4%, mas os controles estruturantes seguem deficitários. Das 387 organizações, 270 (69,77%) não mantinham registro das operações de tratamento, 280 (72,35%) não haviam elaborado nenhum relatório de impacto à proteção de dados pessoais (RIPD), 80 (20,87%) não possuíam Política de Segurança da Informação e 48 (12,4%) ainda não haviam indicado encarregado (Brasil, 2025b).

1.2 Estados e municípios

Participaram da ação coordenada de 2024 os Tribunais de Contas do Amazonas, da Bahia, do Ceará, do Pará, de Pernambuco, do Paraná, do Rio de Janeiro e do Rio Grande do Norte, que fiscalizaram órgãos estaduais e municipais (Brasil, 2025b). O TCE/RJ, porém, já havia antecipado a avaliação municipal. No primeiro ciclo, executado em 2022 e julgado em 30 de janeiro de 2023, 74 das 91 prefeituras (81%) foram classificadas como inexpressivas, 16 como iniciais e somente uma alcançou o nível intermediário (Braga; Ferreira, 2026, p. 106-107). No segundo ciclo, já integrado à ação coordenada nacional (processo 217.899-0/24, acórdão 003931/2025-PLENV), o quadro passou a 66 prefeituras inexpressivas, 21 iniciais, 4 intermediárias e nenhuma aprimorada. Nenhuma prefeitura havia elaborado inventário de dados pessoais, 87 (95,6%) não haviam produzido RIPD e 90 (98,9%) não possuíam ou não atualizavam plano de resposta a incidentes (Silva, 2025).

O TCE/PE, na mesma ação coordenada, avaliou 65 órgãos estaduais, 12 prefeituras e 11 entidades do Recife. O iLGPD - Índice de Adequação à LGPD médio foi de 32,48%, com 23,9% das instituições no nível inexpressivo, 45,5% no iniciando, 21,6% no intermediário e 9,1% no aprimorado. Do total, 80,6% não tinham procedimentos claros para comunicar incidentes à ANPD, 79,5% não registravam as operações de tratamento e 28,4% não haviam nomeado encarregado (Pernambuco, 2025).

O diagnóstico de maior alcance numérico é o do TCE/MG. O questionário, com 51 questões nas mesmas nove dimensões, construído a partir da LGPD, da ABNT NBR ISO/IEC 27701:2019 e do questionário do TCU, foi encaminhado em 2024 a cerca de 2.000 jurisdicionados, dos quais 1.355 responderam. O relatório do Núcleo de Proteção de Dados, datado de 10 de fevereiro de 2025, adotou escala de cinco faixas e concluiu que 22% das instituições estavam em nível muito baixo ou inexistente, 58% em nível baixo, 9,2% em nível médio, pouco mais de 6% em nível alto e 4,4% em nível muito alto (Minas Gerais, 2025).

Como o TCE/MG replicou as dimensões e, em larga medida, a formulação das questões do TCU, e como a coleta mineira foi contemporânea ao segundo ciclo federal, a comparação é metodologicamente defensável para controles equivalentes. A Tabela 1 reúne os indicadores em que há correspondência entre as fontes.

Tabela 1. Percentual de organizações sem o controle indicado, por diagnóstico

Controle	TCU 2021 (382)	TCU 2024 (387)	TCE-RJ 2024 (91)	TCE-MG 2024 (1.355)	TCE-PE 2025 (88)
Encarregado	31%¹	12,4%	77%	86,1%	28,4%
Registro das operações de tratamento	82%	69,8%	100%²	90,2%	79,5%
Política de Segurança da Informação	24%	20,9%	88%	76,6%	n.d.
Plano de resposta a incidentes	84%	n.d.	98,9%	89,4%	n.d.
Política de privacidade	75%	37,7%	n.d.	72,5%	43,1%

Fontes: Brasil (2022b; 2025b); Silva (2025), com base no acórdão 003931/2025-PLENV do TCE-RJ; Minas Gerais (2025); Pernambuco (2025).¹ Complemento dos 69% que haviam nomeado encarregado.² Nenhuma prefeitura havia elaborado inventário de dados pessoais. n.d.: não divulgado nas fontes consultadas.

A leitura da tabela afasta uma explicação cômoda. A lei é a mesma para a União e para os municípios, mas a distância entre 12,4% e 86,1% de organizações sem encarregado não se explica por diferença normativa, e sim por capacidade institucional. Há também um descompasso entre a vitrine digital e a retaguarda de governança: em 2022, o Brasil foi classificado em segundo lugar entre 198 países no GovTech Maturity Index do Banco Mundial (Brasil se torna..., 2022), ao mesmo tempo em que a maior parte de seus órgãos federais permanecia nos graus inferiores de adequação à LGPD. A oferta de serviços digitais cresceu mais rápido do que a capacidade de governar os dados que esses serviços coletam.

2. Os gargalos que se repetem

2.1 O encarregado existe no papel, quando existe

Em Minas Gerais, apenas 188 das 1.355 instituições (13,9%) haviam nomeado encarregado, 157 publicaram a nomeação em veículo oficial e 1.200 não divulgaram na internet sua identidade e contato (Minas Gerais, 2025), em descumprimento direto do art. 41, § 1º, da LGPD e da resolução CD/ANPD 18/24, que exige ato formal de indicação. No âmbito federal, o problema residual levou o TCU a determinar a 48 organizações a nomeação do encarregado em 60 dias (Brasil, 2025a).

A designação, porém, é o piso da análise. A experiência europeia mostra que o gargalo se desloca para posição, recursos e autonomia. Na ação coordenada de 2023 do European Data Protection Board, com 25 autoridades e 17.490 respondentes, os encarregados do setor público tinham menos probabilidade de contar com substituto (36,4% contra 56,3% no setor privado) e com orçamento próprio (26,6% contra 56,8%); os recursos foram considerados suficientes em 66% dos casos no setor público e em 91% no privado (European Data Protection Board, 2024, p. 16). Nos Estados Unidos, o Government Accountability Office constatou que as 24 agências examinadas haviam designado responsáveis por privacidade, em geral acumulando outras atribuições principais, e sugeriu ao Congresso exigir por lei um responsável sênior dedicado (Estados Unidos, 2022). As auditorias brasileiras ainda perguntam se há ato de nomeação. O próximo passo é perguntar se o encarregado tem tempo, orçamento, acesso à alta administração e ausência de conflito de interesses.

2.2 O inventário como gargalo de origem

O registro das operações de tratamento (art. 37 da LGPD) é o controle do qual dependem quase todos os demais: não se definem bases legais, prazos de retenção, relatórios de impacto, fluxos de atendimento a titulares ou o escopo de um incidente sem saber quais dados são tratados, onde, por quem e com quem são compartilhados. Os números convergem. Faltava o registro em 69,77% das organizações federais em 2024, em 90,18% das mineiras e em 79,5% das pernambucanas, e nenhuma prefeitura fluminense havia elaborado inventário. Em Minas Gerais, somente 12,10% identificaram todos os processos que tratam dados pessoais, 40,22% não sabiam onde os dados estavam armazenados, 64,65% não haviam documentado as bases legais e 72,54% não haviam avaliado se retêm os dados pelo tempo necessário (Minas Gerais, 2025).

2.3 Risco sem gestão e RIPD como exceção

Em Minas Gerais, 72% das instituições não avaliaram os riscos dos processos que tratam dados pessoais, apenas 4,0% elaboraram RIPD abrangendo todos os processos que podem gerar riscos aos titulares e 2,8% implementaram controles para todos os riscos identificados (Minas Gerais, 2025). No plano federal, 72,35% não haviam elaborado nenhum RIPD em 2024 (Brasil, 2025b). O quadro é mais grave no setor público porque a LGPD conferiu à ANPD a prerrogativa de solicitar a agentes do Poder Público a publicação de relatórios de impacto (art. 32). Como sustentamos em obra conjunta, "a elaboração do RIPD, em especial, depende diretamente da maturidade do programa de conformidade adotado" (Braga; Ferreira, 2026, p. 71). Relatório de impacto produzido sem inventário e sem metodologia de risco não passa de documento.

Clique aqui e confira o artigo na íntegra.