Uma auditoria ampla realizada pelo Tribunal de Contas da União (TCU) apontou que quase um terço das organizações públicas federais ainda não implementou medidas básicas para cumprir a Lei Geral de Proteção de Dados (LGPD). O levantamento avaliou 387 órgãos e entidades e revelou falhas estruturais, ausência de controles e descumprimento direto de pontos essenciais da legislação, como a nomeação de encarregados de proteção de dados e a formalização de políticas de segurança da informação.

A situação se torna ainda mais grave diante da recente publicação do Decreto nº 12.573/2025, que regulamenta o tratamento de dados pessoais por órgãos e entidades da administração pública federal. O decreto reforça a obrigatoriedade de observância aos princípios da LGPD e amplia o papel da ANPD como supervisora e coordenadora das ações de adequação no setor público. Entre as diretrizes, estão a necessidade de programas estruturados de governança em privacidade, medidas de transparência ativa sobre o uso de dados e responsabilização clara por eventuais falhas.

Para Eduardo Nery, CEO da Every Cybersecurity e especialista em proteção de dados, os resultados são alarmantes. “Estamos falando de instituições que concentram um volume gigante de dados sensíveis. Quando o próprio setor público não garante a segurança dessas informações, o risco de vazamentos, acessos indevidos e uso inadequado aumenta drasticamente”, alerta.

Segundo o relatório técnico do TCU, muitas organizações também não estruturaram processos para lidar com incidentes, nem cumprem com clareza a exigência de comunicar vazamentos à Autoridade Nacional de Proteção de Dados (ANPD). Outro ponto crítico é a dificuldade em harmonizar a LGPD com a Lei de Acesso à Informação, o que pode gerar conflitos entre transparência e proteção de dados, prejudicando tanto o cidadão quanto a gestão pública.

Na visão de Nery, o problema não é apenas técnico, mas cultural. “A LGPD não é um checklist para preencher, é uma mudança de mentalidade. O cidadão tem o direito de saber como seus dados estão sendo usados, por quem, e com qual finalidade. Quando órgãos públicos falham nisso, falham também na prestação do serviço público com responsabilidade e respeito”.

A auditoria resultou em uma série de recomendações do TCU para que os chamados Órgãos Governantes Superiores, como CNJ, CNMP e Ministério da Gestão, intensifiquem a supervisão e induzam o desenvolvimento da maturidade digital das entidades que supervisionam. Para Nery, esse acompanhamento é essencial, mas deve vir acompanhado de metas, prazos e capacitação. “Não basta dizer que é importante. É preciso investir, formar equipes, definir fluxos e responsabilizar quem negligencia uma lei que já está em vigor há cinco anos”, destaca.

Todas as 387 organizações auditadas receberam relatórios individuais com sugestões práticas e comparativos com entidades similares. Mesmo assim, o especialista acredita que o cenário só deve mudar com pressão institucional e participação ativa da sociedade. “Privacidade e proteção de dados são pilares da democracia. Se o cidadão não cobrar e o governo não agir, continuaremos vulneráveis”.