TCU revela falhas na aplicação da LGPD por órgãos federais

Uma auditoria ampla realizada pelo Tribunal de Contas da União (TCU) apontou que quase um terço das organizações públicas federais ainda não implementou medidas básicas para cumprir a Lei Geral de Proteção de Dados (LGPD). O levantamento avaliou 387 órgãos e entidades e revelou falhas estruturais, ausência de controles e descumprimento direto de pontos essenciais da legislação, como a nomeação de encarregados de proteção de dados e a formalização de políticas de segurança da informação.

A situação se torna ainda mais grave diante da recente publicação do Decreto nº 12.573/2025, que regulamenta o tratamento de dados pessoais por órgãos e entidades da administração pública federal. O decreto reforça a obrigatoriedade de observância aos princípios da LGPD e amplia o papel da ANPD como supervisora e coordenadora das ações de adequação no setor público. Entre as diretrizes, estão a necessidade de programas estruturados de governança em privacidade, medidas de transparência ativa sobre o uso de dados e responsabilização clara por eventuais falhas.

Para Eduardo Nery, CEO da Every Cybersecurity e especialista em proteção de dados, os resultados são alarmantes. “Estamos falando de instituições que concentram um volume gigante de dados sensíveis. Quando o próprio setor público não garante a segurança dessas informações, o risco de vazamentos, acessos indevidos e uso inadequado aumenta drasticamente”, alerta.

Segundo o relatório técnico do TCU, muitas organizações também não estruturaram processos para lidar com incidentes, nem cumprem com clareza a exigência de comunicar vazamentos à Autoridade Nacional de Proteção de Dados (ANPD). Outro ponto crítico é a dificuldade em harmonizar a LGPD com a Lei de Acesso à Informação, o que pode gerar conflitos entre transparência e proteção de dados, prejudicando tanto o cidadão quanto a gestão pública.

Na visão de Nery, o problema não é apenas técnico, mas cultural. “A LGPD não é um checklist para preencher, é uma mudança de mentalidade. O cidadão tem o direito de saber como seus dados estão sendo usados, por quem, e com qual finalidade. Quando órgãos públicos falham nisso, falham também na prestação do serviço público com responsabilidade e respeito”.

A auditoria resultou em uma série de recomendações do TCU para que os chamados Órgãos Governantes Superiores, como CNJ, CNMP e Ministério da Gestão, intensifiquem a supervisão e induzam o desenvolvimento da maturidade digital das entidades que supervisionam. Para Nery, esse acompanhamento é essencial, mas deve vir acompanhado de metas, prazos e capacitação. “Não basta dizer que é importante. É preciso investir, formar equipes, definir fluxos e responsabilizar quem negligencia uma lei que já está em vigor há cinco anos”, destaca.

Todas as 387 organizações auditadas receberam relatórios individuais com sugestões práticas e comparativos com entidades similares. Mesmo assim, o especialista acredita que o cenário só deve mudar com pressão institucional e participação ativa da sociedade. “Privacidade e proteção de dados são pilares da democracia. Se o cidadão não cobrar e o governo não agir, continuaremos vulneráveis”.