LGPD e Governo Digital: TCU aponta falhas de segurança no gov.br
Auditorias do TCU e nova prioridade da ANPD mostram o que falta para conciliar LGPD e governo digital com segurança na administração pública.
Auditorias do Tribunal de Contas da União mostram que o avanço do gov.br, hoje com 173 milhões de usuários, esbarra em falhas de governança que ameaçam o equilíbrio entre LGPD e governo digital no Brasil.
Desde 2022 o tribunal aponta baixa maturidade de conformidade em centenas de órgãos federais, e a Agência Nacional de Proteção de Dados respondeu elegendo o Poder Público como um dos quatro eixos prioritários de fiscalização para 2026-2027, agora com mais autonomia após virar agência reguladora.
No mesmo período, um golpe de R$ 2,7 milhões contra uma prefeitura cearense e um ataque à cadeia de suprimentos de um fornecedor usado por mais de 150 órgãos de segurança pública mostram o custo concreto de modernizar sem reforçar as salvaguardas técnicas.
A Agência também abriu consulta pública para orientar órgãos a conciliar transparência e proteção de dados, sinalizando que a cobrança regulatória deve se intensificar antes de virar sanção.
O portal gov.br chegou a 173 milhões de usuários cadastrados e reúne mais de 4.600 serviços públicos digitais, segundo auditoria do Tribunal de Contas da União concluída em agosto. O Acórdão 2.019/2026-Plenário, relatado pelo ministro Odair Cunha, resume o diagnóstico: os principais desafios da maior plataforma de serviços digitais do país deixaram de ser tecnológicos e passaram a ser de governança.
Entre as falhas listadas está o uso do nível mais baixo de autenticação — o chamado nível Bronze — em cerca de 64% dos serviços que exigem login, sem revalidação periódica das contas de nível Ouro e sem um critério padronizado para classificar o risco de cada serviço. O tribunal também apontou fragilidade na sincronização, entre bases de diferentes órgãos, de contas vinculadas a pessoas falecidas.
Esse tipo de falha esbarra direto no art. 46 da LGPD, que obriga controladores e operadores a adotar medidas de segurança técnicas e administrativas capazes de proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou comunicação. É esse dever de segurança que a Lei do Governo Digital (Lei 14.129/2021), ao ampliar a oferta de serviços públicos pela internet, pressupõe como pré-requisito — não como reforço a ser somado depois.
Prefeituras e órgãos federais tentam sustentar esse equilíbrio: reduzir filas e custos com serviços digitais sem abrir mão do mapeamento dos dados pessoais coletados, da definição de bases legais para cada tratamento e da capacidade de responder aos titulares, como descreve artigo da Fundação Theodomiro Santiago sobre a modernização da administração pública brasileira. O episódio do gov.br mostra que equilibrar LGPD e governo digital não é exercício teórico: é o que decide se um novo serviço online vira redução de fila ou nova porta de exposição de dados pessoais.
TCU já alertava desde 2022
A fragilidade não é nova. Em 2022, o Acórdão 1.384/2022-Plenário, sob relatoria do ministro Augusto Nardes, já classificava como alto o risco à privacidade de dados pessoais coletados por 382 órgãos e entidades da administração pública federal.
Do total avaliado, 58,9% estavam em estágio inicial de conformidade com a LGPD, apenas 16% tinham implementado controle de acesso em todos os sistemas que tratam dados pessoais e só 14% haviam identificado todos os compartilhamentos de dados com terceiros. Menos de 3% alcançavam estágio avançado de maturidade.
Quatro anos depois, o quadro pouco mudou. Auditoria do TCU divulgada em março de 2026 avaliou a governança de dados em cinco órgãos — IBGE, BNDES, Anatel, Ministério do Meio Ambiente e Mudança do Clima e INSS — e encontrou deficiências substanciais em todos eles, da institucionalização de políticas à definição de comitês e papéis. O Ministério do Meio Ambiente e Mudança do Clima apareceu com o nível de maturidade mais baixo, classificado como inexpressivo; o IBGE, o mais avançado, ainda manteve lacunas relevantes.
Já em 2022, a Agência Nacional de Proteção de Dados tentava preencher parte dessa lacuna pela via orientativa: lançou um guia de 26 páginas voltado ao poder público, que o então diretor Arthur Pereira Sabbat descreveu como um apoio para os entes estatais interpretarem e aplicarem a LGPD diante das demandas da sociedade sobre o tratamento de dados pessoais.
Poder Público vira alvo prioritário da ANPD
A Agência Nacional de Proteção de Dados formalizou uma resposta a esse cenário em dezembro de 2025. Pela Resolução CD/ANPD nº 30/2025, elegeu o tratamento de dados pessoais pelo Poder Público como um dos quatro eixos do Mapa de Temas Prioritários para o biênio 2026-2027 — ao lado de direitos dos titulares, proteção de crianças e adolescentes no ambiente digital e inteligência artificial.
Dentro desse eixo, a Agência sinalizou três frentes de fiscalização: o compartilhamento de dados pessoais entre órgãos públicos, as salvaguardas técnicas de sistemas de governo e o uso de dados biométricos — caso do reconhecimento facial — por entidades públicas. É exatamente o ponto que a auditoria do gov.br, tratada no início desta reportagem, identificou como frágil no login único do governo federal.
A prioridade chega poucos meses depois de a Lei 15.352/2026 transformar a própria ANPD em agência reguladora, com autonomia funcional, técnica, decisória, administrativa e financeira e patrimônio próprio, ainda que vinculada ao Ministério da Justiça e Segurança Pública. A lei também criou a carreira de Especialista em Regulação de Proteção de Dados, com 200 novas vagas resultantes da conversão de cargos vagos em outros órgãos do Executivo federal.
Mais estrutura técnica para fiscalizar amplia a capacidade da Agência de abrir processo contra o próprio Estado — o que muda o cálculo de risco para secretarias, autarquias e empresas públicas que compartilham bases de dados sem documentar finalidade e base legal para o tratamento.
Prefeitura perde R$ 2,7 milhões em golpe
Em 1º de setembro, a Prefeitura de Senador Pompeu, no Ceará, confirmou o desvio de cerca de R$ 2,7 milhões dos cofres públicos. Criminosos se passaram por funcionários de uma instituição bancária e usaram engenharia social para induzir servidores autorizados a abrir brechas nos sistemas financeiros do município, explorando urgência, autoridade e confiança.
"A engenharia social é eficiente justamente porque muitas vezes não precisa quebrar uma barreira tecnológica", resume Flávia Brito, especialista em cibersegurança e CEO da Bidweb Security IT, sobre esse tipo de fraude.
Em escala federal, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) descreveu, em maio, na Recomendação 05/2026, um problema de outra ordem: ataque à cadeia de suprimentos da Dígitro Tecnologia, fornecedora de sistemas de interceptação telefônica e de dados usados por mais de 150 órgãos de segurança pública e de governo no país.
Falhas como senhas expostas em páginas de configuração sem máscara (CVE-2025-4526) e uma vulnerabilidade que permitia extração remota de dados sensíveis (CVE-2025-4527) comprometeram o sistema batizado Guardião, usado em investigações que dependem de sigilo. Nos dois casos, a exposição não se limita ao prejuízo financeiro direto: compromete a continuidade de serviços essenciais e a mesma salvaguarda técnica que a ANPD já sinalizou como prioridade de fiscalização para o Poder Público.
A engenharia social é eficiente justamente porque muitas vezes não precisa quebrar uma barreira tecnológica— Flávia Brito, especialista em cibersegurança e CEO da Bidweb Security IT · movimentoeconomico.com.br
ANPD prepara guia sobre LAI e LGPD
A Agência Nacional de Proteção de Dados e a Controladoria-Geral da União abriram, entre 9 e 21 de junho, consulta pública pela plataforma Brasil Participativo para um guia conjunto sobre transparência e proteção de dados pessoais. O objetivo declarado é apoiar agentes públicos a aplicar, de forma direta, tanto a Lei de Acesso à Informação — que garante o acesso público a informações produzidas ou custodiadas pelo Estado — quanto a LGPD, conciliando os limites e as exceções de cada uma diante de pedidos de acesso a dados pessoais.
O movimento acompanha o reforço institucional que a Lei 15.352/2026 já havia trazido para a saúde digital: com a ANPD investida de mais autonomia e poder de fiscalização, o Ministério da Saúde associou o fortalecimento da proteção de dados ao avanço de plataformas como o Meu SUS Digital e a Rede Nacional de Dados em Saúde (RNDS). Adriana Marques, encarregada de dados do Ministério, atribuiu esse avanço a mais estrutura técnica e maior capacidade de fiscalização para garantir o uso responsável da informação em saúde.
Na prática, os dois movimentos — orientação sobre LAI e LGPD para todo o Poder Público e reforço setorial na saúde — sinalizam que a fiscalização anunciada para 2026-2027 sai do papel antes de virar sanção: primeiro vem o guia, depois a cobrança. Equilibrar LGPD e governo digital, nesse sentido, deixou de ser tema de médio prazo e virou item de agenda regulatória imediata.
Segurança x exclusão digital dividem o TCU
A mesma auditoria que apontou fragilidades técnicas no gov.br, tratada no início desta reportagem, registrou um impasse interno sobre como corrigi-las. O relatório reconhece que gestores de serviços públicos evitam endurecer exigências de autenticação por temer excluir cidadãos com baixa alfabetização digital.
"Baixa inclusão digital é caracterizada por limitações de acesso à internet, baixa escolaridade digital e reduzida familiaridade com práticas básicas de segurança", afirmou o ministro Odair Cunha, relator do Acórdão 2.019/2026, ao descrever esse impasse.
A tensão apareceu também num ponto específico: as contas de pessoas falecidas vinculadas ao login único do gov.br. O ministro Bruno Dantas, ao acompanhar o voto de Cunha, ponderou que o bloqueio automático dessas contas pode travar procedimentos de inventário, sucessão e questões tributárias que dependem do acesso a informações do titular falecido — um contraponto direto à recomendação de revalidação periódica de credenciais.
Reforçar a autenticação reduz risco de fraude e de acesso indevido a dados pessoais, mas pode excluir quem já tem dificuldade de acesso a serviços digitais ou travar direitos de terceiros que dependem desses mesmos dados. O tribunal recomendou que a Secretaria de Governo Digital integre políticas de inclusão digital à estratégia de cibersegurança do gov.br, em vez de tratar as duas frentes como objetivos concorrentes.
Baixa inclusão digital é caracterizada por limitações de acesso à internet, baixa escolaridade digital e reduzida familiaridade com práticas básicas de segurança— Ministro Odair Cunha, TCU, Acórdão 2.019/2026-Plenário · convergenciadigital.com.br
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 10 de setembro de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.