Em muitos órgãos, a pretensa implementação da lei se resume à edição de um decreto, à nomeação formal de um encarregado ou à publicação de uma política genérica de privacidade. Não há inventário das operações de tratamento, inexiste matriz de riscos e relatório de impacto à proteção de dados, regras efetivas de compartilhamento, procedimentos de resposta a incidentes ou definição clara das responsabilidades administrativas.

Essa aparência de conformidade não representa governança, mas sim, quando muito, um compliance meramente formal, incapaz de proteger o titular, o órgão público e os próprios agentes responsáveis pelas decisões.

A questão, portanto, já não se limita à responsabilidade institucional do ente público, mas também a responsabilidade pessoal (administrativa, civil e criminal) dos servidores que tinham o dever e a possibilidade concreta de agir, e não o fizeram.

A LGPD não impõe apenas deveres ao órgão público. A pessoa jurídica de direito público efetivamente ocupa a posição de controladora e responde institucionalmente pelas operações de tratamento realizadas no exercício de suas competências. Isso, contudo, não significa que servidores, dirigentes, autoridades e agentes responsáveis por decisões concretas estejam imunes a responsabilização e integralmente protegidos pela estrutura estatal.

A própria Autoridade Nacional de Proteção de Dados ao reconhecer que a LGPD se aplica amplamente aos órgãos e entidades da União, dos Estados, do Distrito Federal e dos Municípios, abrangendo os três Poderes, os Tribunais de Contas e o Ministério Público; também afirma que o servidor que infringir a legislação poderá sofrer responsabilização administrativa pessoal e autônoma, conforme as circunstâncias de sua atuação.

Você também pode gostar

• Estatais

  A autonomia do art. 58 da Lei das Estatais e a validação da due diligence de integridade pelo Tribunal de Contas da União

• Contratação Pública

  O dever de motivar a alteração de minutas padronizadas: reflexões sobre o Acórdão 1148/2026 – TCU Plenário

Não se trata, portanto, de escolher entre a responsabilidade do Estado e a do agente, mas de reconhecer que as duas podem coexistir, ainda que estejam submetidas a pressupostos e regimes jurídicos distintos.

O órgão público responde pela organização do tratamento e pelas falhas da atividade administrativa, já o servidor, por sua vez, poderá responder quando sua conduta ou sua omissão for individualizável e representar violação de um dever funcional concreto ou de um bem juridicamente tutelado.

O verdadeiro desafio está em estabelecer quando a deficiência institucional deixa de ser um problema abstrato da Administração e passa a ser imputável a uma pessoa determinada, porque nem toda ausência de adequação é punível.

A Administração Pública brasileira convive com limitações reais. Muitos municípios, por exemplo, possuem estruturas reduzidas, escassez de servidores especializados, sistemas antigos, dependência de fornecedores e restrições orçamentárias relevantes. Essas circunstâncias não podem ser ignoradas por quem avalia a conduta do gestor.

Contudo, existe uma diferença substancial entre o gestor que reconhece suas limitações, estabelece prioridades, registra os riscos e adota medidas progressivas, daquele que simplesmente não diagnostica, não planeja, não decide e não age. É nessa segunda hipótese que reside a responsabilização.

A omissão passível de responsabilização pode ser compreendida como a inércia consciente do agente público que, tendo competência funcional, conhecimento dos riscos e possibilidade razoável de adotar providências preventivas ou corretivas, deixa injustificadamente de agir.

O direito fundamental à proteção de dados não admite indiferença administrativa e o tratamento de dados pessoais não é uma atividade periférica na Administração Pública. Trata-se de um dever de governança, integridade, eficiência, transparência e respeito aos direitos fundamentais.

No Estado digital, proteger os dados pessoais dos cidadãos é parte do dever de administrar e, quando esse dever é conscientemente ignorado, o risco deixa de pertencer apenas à instituição e passa a acompanhar pessoalmente quem tinha competência, conhecimento e possibilidade de agir.

 

Como citar este texto:
PIRONTI, Rodrigo. O risco pessoal do servidor pela inércia do poder público na proteção de dados. Blog Zenite. 20 jul. 2026. Disponível em: https://zenite.blog.br/o-risco-pessoal-do-servidor-pela-inercia-do-poder-publico-na-protecao-de-dados/. Acesso em: dd mmm. aaaa.

 

Os artigos e pareceres assinados são de responsabilidade de seus respectivos autores, inclusive no que diz respeito à origem do conteúdo, não refletindo necessariamente a orientação adotada pela Zênite.

Gostaria de ter seu trabalho publicado no Zênite Fácil e no Blog da Zênite? Então encaminhe seu artigo doutrinário para editora@zenite.com.br, observando as seguintes diretrizes editoriais.