LGPD nas Câmaras Municipais: guia de governança

A proteção de dados em uma Câmara Municipal exige responsabilidades definidas, conhecimento dos fluxos de informação e critérios consistentes para acesso, publicação e retenção. Este guia ajuda diretores, procuradores e servidores a organizar essas rotinas sem tratar a LGPD como motivo para restringir a transparência de forma indiscriminada.

O que uma Câmara precisa organizar primeiro

• Definir quem decide sobre os tratamentos de dados e quem atua como encarregado.
• Mapear dados e fluxos em protocolos, proposições, processos administrativos, gravações e atas.
• Relacionar cada uso a uma finalidade pública e a uma base legal apropriada.
• Definir acessos, prazos de guarda, descarte e publicação conforme regras legais e arquivísticas.
• Preparar equipes para atender titulares e responder a incidentes de segurança.

A conformidade combina deveres legais com decisões de governança que ajudam a cumpri-los. A tecnologia pode apoiar controles e rastreabilidade, mas não determina sozinha a base legal, o prazo de guarda ou o que deve ser publicado.

O que a Portaria 67/2026 da Atricon diz, e o que não diz

A Portaria 67/2026 instituiu um grupo de trabalho de proteção de dados vinculado à Rede de Secretários de Governança e Gestão Estratégica dos Tribunais de Contas, a Rede SGG. O objetivo informado é promover a implementação da LGPD no Sistema Tribunais de Contas e compartilhar boas práticas. O ato foi publicado em 29 de outubro de 2026.

A portaria não se aplica às Câmaras Municipais e não cria obrigações para elas. Seu valor para o Legislativo municipal está na referência de cooperação: compartilhar aprendizados, coordenar áreas e tratar a proteção de dados como uma responsabilidade institucional, não como tarefa isolada de uma pessoa.

Como definir responsabilidades e o papel do encarregado

A Câmara deve deixar claro quem responde pelas decisões sobre o tratamento de dados e quem coordena o canal de comunicação com titulares e a Autoridade Nacional de Proteção de Dados, a ANPD. O encarregado orienta e facilita esse contato, mas não substitui a responsabilidade administrativa e jurídica da instituição.

Na prática, a Mesa Diretora ou a autoridade competente deve formalizar a designação, divulgar o contato institucional do encarregado e assegurar que ele consiga dialogar com áreas como procuradoria, tecnologia da informação, recursos humanos, arquivo, comunicação e gabinetes. A ANPD orienta agentes públicos sobre papéis, responsabilidades e tratamento de dados no setor público.

Um grupo interno pode coordenar a implementação

Um grupo de trabalho interno é uma recomendação de governança, não uma exigência geral que decorra da Portaria 67/2026. Pode ser conveniente quando os dados circulam por muitas áreas ou quando a Câmara precisa organizar um plano de adequação com entregas e responsáveis.

O grupo pode reunir representantes jurídicos, administrativos, de tecnologia, arquivo, comunicação e áreas legislativas. Atribuições úteis incluem validar o inventário de tratamentos, priorizar riscos, propor procedimentos e acompanhar pendências. A decisão sobre medidas e recursos, porém, deve permanecer com as autoridades competentes da Casa.

Mapeie dados e fluxos antes de escolher controles

O inventário deve mostrar que dados são tratados, por que, por quem, em quais sistemas e com quem são compartilhados. Comece pelos fluxos mais frequentes e sensíveis, em vez de tentar documentar toda a instituição de uma só vez.

• Protocolos e pedidos: formulários, anexos, contatos e documentos de identificação.
• Processo legislativo: proposições, emendas, manifestações, audiências e consultas públicas.
• Processos administrativos: recursos humanos, compras, contratos, pagamentos e atendimento.
• Registros de sessões: gravações, transcrições, atas, listas de presença e dados de votação.

Para cada fluxo, registre a origem dos dados, os perfis que acessam, os sistemas envolvidos, os destinatários e o prazo ou critério de guarda. Inclua também planilhas, caixas de e-mail e arquivos físicos: a LGPD alcança tratamento em meios digitais e não digitais.

Associe cada finalidade a uma base legal adequada

Não existe uma base legal única para todas as atividades de uma Câmara. A área responsável deve identificar a finalidade concreta e verificar a hipótese legal aplicável, considerando as regras próprias do poder público e, quando houver dados sensíveis, as condições específicas previstas na legislação.

Em atividades públicas, consentimento não deve ser adotado automaticamente como solução padrão. O tratamento pode estar associado, por exemplo, a uma obrigação legal ou ao exercício de competências e atribuições públicas, conforme o caso. Registre a análise e explique a finalidade ao titular de forma clara. A orientação da ANPD sobre o setor público oferece parâmetros para avaliar esses tratamentos.

Transparência não significa publicar todos os dados

A publicidade dos atos legislativos deve ser conciliada com a proteção de dados mediante avaliação do documento e de cada informação nele contida. Uma proposição, ata ou gravação pode ter interesse público e, ao mesmo tempo, conter dados pessoais que não são necessários para informar sobre o ato.

Antes de publicar, verifique a finalidade da divulgação, a necessidade de cada campo e se há fundamento legal para restringir uma parte. Exemplos que podem exigir avaliação incluem números de documentos, endereços residenciais, telefones pessoais, dados bancários, informações de saúde e anexos com dados de terceiros. Em alguns casos, é possível ocultar apenas os trechos desnecessários e manter acessível o restante do documento.

O mesmo cuidado vale para pedidos de acesso, documentos de recursos humanos e manifestações de cidadãos. A análise deve considerar as regras de acesso à informação, sigilos previstos em lei e obrigações arquivísticas. Não se deve restringir documentos em bloco apenas porque contêm algum dado pessoal, nem tratar todo dado presente em documento público como automaticamente irrestrito.

Controle acesso, retenção e descarte com critérios documentados

O acesso deve corresponder às funções de cada usuário. Perfis individualizados, revisão periódica de permissões e registros de operações ajudam a reduzir consultas ou alterações sem justificativa e permitem reconstruir o histórico de um processo.

Defina prazos e critérios de retenção considerando a finalidade do tratamento, obrigações legais, tabelas de temporalidade e regras de gestão documental. A LGPD não autoriza eliminar documentos públicos sem análise arquivística. Quando a finalidade termina, a equipe deve avaliar se cabe eliminação segura ou conservação por dever legal, histórico ou arquivístico.

Registre também como a Câmara recebe solicitações dos titulares, localiza informações e responde. O procedimento deve prever validação de identidade quando necessária, encaminhamento ao setor responsável e análise de eventuais limites legais ao pedido.

Capacite equipes com exemplos das rotinas legislativas

Treinamentos curtos e recorrentes tendem a ser mais úteis quando abordam tarefas reais: receber anexos com dados excessivos, encaminhar documentos por e-mail, publicar uma ata ou operar uma gravação. A orientação deve dizer o que fazer, a quem recorrer e como registrar uma decisão duvidosa.

Inclua servidores efetivos, comissionados, gabinetes e equipes terceirizadas conforme suas atividades e acessos. Mudanças de gestão, de equipe ou de sistema são bons momentos para revisar orientações e permissões. Uma capacitação geral ajuda, mas não substitui instruções específicas para quem trata dados sensíveis ou administra sistemas.

Organize o atendimento a titulares e a resposta a incidentes

O canal do encarregado precisa encaminhar pedidos de titulares a uma equipe que consiga localizar e avaliar os dados. Registre a solicitação, a área responsável, a análise realizada e a resposta, respeitando prazos e direitos aplicáveis.

Para incidentes, mantenha um procedimento que indique como detectar, comunicar internamente, conter, preservar evidências e avaliar riscos. A regulamentação da ANPD prevê comunicação pelo controlador à Agência e aos titulares quando o incidente puder causar risco ou dano relevante, no prazo de três dias úteis, ressalvadas regras específicas. Operadores devem informar o controlador sem demora injustificada, e essa articulação pode ser prevista em contrato.

Digitalização, inteligência artificial e registros audiovisuais exigem governança

Processos digitais podem facilitar controle de acesso, histórico de movimentações e recuperação de documentos, desde que a Câmara configure permissões e defina responsabilidades. O sistema não decide se uma informação pode ser publicada, qual é sua base legal ou quando um documento deve ser eliminado.

Ao usar inteligência artificial, verifique quais dados são enviados, quem pode acessá-los, por quanto tempo são mantidos, se podem ser usados para treinar modelos e quais controles existem sobre fornecedores e subprocessadores. Dados pessoais ou sensíveis não devem ser inseridos em ferramentas sem avaliação institucional de finalidade, segurança e condições contratuais.

Gravações e transcrições também pedem critérios de acesso, revisão e publicação. Uma ferramenta como o Intelispeak, da Govsys, pode organizar falas e momentos de sessões para consulta e apoiar a produção de registros; a instituição ainda precisa validar o conteúdo e decidir o que publicar. O Legiflow pode apoiar fluxos legislativos digitais e a LegIA pode auxiliar tarefas documentais, mas a adoção dessas soluções não garante, por si só, conformidade com a LGPD.

Na avaliação de fornecedores, a Câmara pode examinar documentos sobre finalidades, acessos, segurança, compartilhamentos, retenção e responsabilidades. A política de privacidade da Govsys é um exemplo de documento institucional a consultar nesse processo, sem substituir a análise do contrato e do tratamento concreto.

Lista de verificação para iniciar a governança

• Há autoridade responsável e contato público do encarregado?
• Os principais fluxos de dados e sistemas estão inventariados?
• Cada tratamento tem finalidade e base legal registradas?
• As regras de acesso, publicação, retenção e descarte estão documentadas?
• As equipes sabem encaminhar pedidos de titulares e incidentes?
• Contratos de tecnologia esclarecem papéis, segurança e comunicação de incidentes?

Os itens acima combinam deveres legais, como tratar dados com finalidade e segurança e manter registros das operações, com recomendações de governança, como formar um grupo interno ou organizar um inventário por etapas. A Câmara deve adaptar os procedimentos ao seu Regimento, às normas locais e às obrigações arquivísticas, sem presumir que um modelo único sirva a todas as Casas.

Perguntas frequentes

A LGPD se aplica às Câmaras Municipais?

Sim. A LGPD alcança o tratamento de dados pessoais feito por Câmaras Municipais, em papel ou em sistemas digitais. Isso inclui atividades legislativas e administrativas. A aplicação da lei não elimina deveres de publicidade: exige avaliar finalidade, necessidade, base legal, segurança e eventual restrição de cada informação.

A Portaria 67/2026 da Atricon obriga as Câmaras Municipais?

Não. A Portaria 67/2026 institui um grupo de trabalho ligado à Rede SGG para atuar no Sistema Tribunais de Contas e compartilhar boas práticas nesse âmbito. Ela não se aplica às Câmaras Municipais nem cria obrigações para elas. A iniciativa pode servir como referência de cooperação institucional.

A Câmara precisa pedir consentimento para todo tratamento de dados?

Não. Consentimento não é a solução padrão para as atividades de uma Câmara. A instituição deve identificar a finalidade pública ou a obrigação legal pertinente e verificar a base legal adequada para cada operação, inclusive quando houver dados sensíveis. A decisão precisa considerar o contexto e ser registrada.

Como conciliar transparência legislativa e proteção de dados?

A Câmara deve preservar a publicidade dos atos e, ao mesmo tempo, avaliar quais dados pessoais são necessários em cada documento. Dependendo do caso, pode publicar o conteúdo com ocultação pontual de informações ou restringir acesso a partes protegidas por lei. Sigilo generalizado não substitui essa análise.

O que fazer diante de um incidente com dados pessoais?

Primeiro, a Câmara deve conter o incidente, preservar registros e avaliar quais dados e titulares foram afetados e o risco ou dano relevante. Quando a comunicação for exigida, o controlador deve observar o prazo de três dias úteis previsto na regulamentação da ANPD, além de informar os titulares conforme aplicável.