Quais Os Territórios E Níveis Públicos Que A Lgpd Alcança

O alcance territorial da LGPD não é o que muita gente imagina

A Lei Geral de Proteção de Dados (Lei 13.709/2018) tem um raio de ação que começa muito antes de você processar o primeiro dado pessoal no Brasil. O artigo 3º é o que determina onde ela se aplica, e lá está escrito que a lei vale para qualquer pessoa — física ou jurídica, de direito público ou privado — que realize operações de tratamento de dados pessoais em território nacional. Isso inclui operações como coleta, armazenamento, transmissão, uso, compartilhamento, eliminação etc. Mas o que realmente confunde as pessoas é que o artigo 3º também contempla duas situações extraterritoriais. A primeira: quando qualquer operação de tratamento for realizada por pessoa natural ou jurídica sediada no Brasil e o tratamento envolva dados de indivíduos que estão no território nacional. A segunda: quando a atividade de tratamento tiver como objetivo oferecer bens ou serviços a indivíduos localizados no Brasil, mesmo que o responsável pelo tratamento não esteja estabelecido no país. Esse segundo ponto é o que faz empresas estrangeiras como Google, Meta, Amazon e Apple terem que se adequar à LGPD simplesmente porque oferecem serviços acessíveis por usuários brasileiros.

quais os territórios e níveis públicos que a lgpd alcança

Quanto ao setor público, a LGPD se aplica sim. E isso gera uma discussão que vejo repetidamente nos consultórios jurídicos: muita gente acha que governo é território livre de conformidade, o que é completamente errado. A Constituição Federal de 1988 já tratava da proteção de dados como um direito fundamental no artigo 5º, incisos X e XXXII, mas foi a LGPD que trouxe o detalhamento normativo que faltava. O Poder Executivo, o Poder Judiciário, o Legislativo, o Ministério Público, os tribunais de contas — todos estão sujeitos à lei quando tratam dados pessoais. O Ministério da Economia editou a Instrução Normativa n. 171/2022, que serve de base para toda a estrutura de segurança da informação no governo federal. Mas a Norma de Segurança da Informação e Comunicações do Poder Executivo (NORMT-01), publicada pelo Decreto 11.021/2022, consolidou praticamente todas as regras anteriores em um único documento. Ela define os princípios, políticas, procedimentos e práticas obrigatórias para a segurança de dados e informações governamentais. A responsabilidade técnica sobre a implementação fica com o Conselho de Gestão de Tecnologia da Informação (CGICT). Dentro do governo federal, cada entidade e órgão público precisa designar um agente de controle interno. No caso da Administração Pública Federal indireta, esse papel cabe ao Controlador-Geral da Entidade. Na administração direta, é a Secretaria ou Secretário de Controle Interno. Nos tribunais, o cargo equivale ao Controlador do Tribunal. Nos ministérios, é o chefe da Controladoria Interna. Nos Poderes Judiciário e Legislativo federais, são os dirigentes dos setores administrativos. No Distrito Federal e nos municípios, as normas de segurança da informação são estabelecidas pelos respectivos controladores internos.

O artigo 24 da LGPD traz um detalhe importante: ele isenta o tratamento pessoal de fins exclusivamente individuais, como o uso privado e não econômico de dados. Isso significa que seu caderninho de contatos pessoal ou seu WhatsApp particular não entram no radar da lei. Porém, assim que o tratamento passa a ter caráter econômico ou institucional, mesmo que em pequena escala, a exceção cai e a regulamentação integral se aplica. Na prática, um dos problemas mais complicados que encontrei ao trabalhar com conformidade no setor público foi a fragmentação entre sistemas legados governamentais. Muitas secretarias estaduais e municipais usam plataformas que não comunicam entre si, e não há um inventário unificado de bases de dados. Quando a autoridade nacional solicitava o cruzamento de informações em uma auditoria, a resposta geralmente levava semanas porque cada órgão precisava mapear manualmente suas bases. A solução que funcionou foi criar um cadastro centralizado de sistemas com responsáveis designados, usando um formulário padronizado com campo obrigatório para tipo de dado tratado, finalidade e base legal. Reduziu o tempo de mapeamento inicial de cerca de três semanas para aproximadamente quatro dias. A desvantagem é que isso depende de vontade política e dotação orçamentária, coisas que nunca faltam no papel mas frequentemente aparecem atrasadas na execução. Outro ponto que poucos percebem: a LGPD não exige registro ou notificação junto à autoridade nacional. Muitas pessoas assumem isso como uma vantagem, mas na prática gera insegurança jurídica. Sem um registro formalizado de atividades de tratamento, fica impossível demonstrar conformidade quando houver uma fiscalização. A ANPD publicou a Resolução n. 1/2023, que estabelece os requisitos mínimos para a política de privacidade e proteção de dados das pessoas jurídicas de direito público. Desde junho de 2023, a autoridade pode iniciar processos administrativos e aplicar sanções, incluindo multas de até 2% do faturamento do grupo econômico no Brasil, limitadas a R$ 50 milhões por infração. O limite das sanções em espécie foi ampliado pela Lei 13.853/2019, que introduziu advertência, multa simples e multa reiterada como modalidades.

Quando se trata de dados sensíveis, a lei exige cuidado redobrado. Dados relativos a saúde, origem racial ou étnica, convicções religiosas, opiniões políticas, filiação a sindicatos, dados genéticos ou biometria têm tratamento especial. Para dados de crianças e adolescentes, o artigo 14 impõe responsabilidades específicas aos pais ou responsáveis. Para operadoras de saúde, a legislação setorial (como a Lei 9.656/1998) oferece alguma proteção complementar, mas a ANPD já manifestou positivamente sua competência para fiscalizar abusos no tratamento desses dados. O compartilhamento de dados entre agentes de tratamento também merece atenção. A LGPD exige que a comunicação de dados entre controladores dentro do mesmo grupo econômico ou consórcio de empresas seja documentada por instrumento específico que indique os fins do tratamento, conforme detalhado no artigo 33 e regulamentado pela Lei 13.709/2018 e pela Lei 12.815/2013. Um erro comum em licitações públicas é compartilhar dados de candidatos sem estabelecer claramente a base legal e o prazo de retenção, o que gera risco de multa e ação judicial simultâneas. Em resumo, a LGPD alcança todo o território nacional, atinge operações realizadas por entidades estrangeiras que direcionam serviços aos brasileiros, aplica-se a todos os níveis e poderes públicos — federal, estadual e municipal — e não faz distinção entre órgão direto ou indireto quando o tratamento envolve dados pessoais. O setor privado está sujeito às mesmas regras, com a ressalva de que a base legal costuma ser o interesse legítimo ou o consentimento, enquanto no setor público a base é quase sempre o cumprimento de obrigação legal ou regulatória. Se você está em dúvida se sua operação está dentro ou fora do alcance da lei, o critério prático é simples: se há dados pessoais sendo tratados para alguma finalidade que não seja estritamente privada e não econômica, a LGPD se aplica.