LGPD na Gestão de Frotas: O Que Prefeituras Precisam Saber

A LGPD se aplica à administração pública, incluindo a gestão de frotas. Saiba quais dados pessoais estão em jogo, quais são as obrigações da prefeitura e como garantir conformidade.

Por Rodrígo Dell — Cofundador e CTO da CIVITRIA

Introdução A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) não é exclusiva do setor privado. A LGPD se aplica integralmente à administração pública, incluindo prefeituras municipais. E dentro da operação de uma prefeitura, poucos setores lidam com tantos dados pessoais quanto a gestão de frotas. Nomes de motoristas, números de CNH, dados de pacientes transportados pelo SUS, registros de localização de veículos, horários de trabalho — tudo isso constitui dado pessoal que precisa ser tratado de acordo com a legislação. Este artigo explica o que prefeituras precisam saber para manter a gestão de frotas em conformidade com a LGPD. Quais Dados Pessoais Estão na Gestão de Frotas A gestão de frotas municipais envolve o tratamento de dados pessoais em diversas camadas. Quando o município opera transporte sanitário (TFD), surgem dados de saúde — que a LGPD classifica como dados sensíveis , exigindo um nível ainda maior de proteção. A tabela abaixo organiza as principais categorias e sua classificação. Categoria Exemplos Classificação LGPD Dados de motoristas e servidores Nome completo, CPF, número e categoria da CNH, validade da habilitação, registro funcional, escalas de trabalho Dado pessoal Dados de abastecimento Quem abasteceu, quando, onde e em qual veículo — informações que, cruzadas, revelam padrões de comportamento individual Dado pessoal Dados de localização e operação Registros de localização de veículos, horários de trabalho, histórico de deslocamentos Dado pessoal Dados de pacientes (TFD/MoveSUS) Nome do paciente, diagnóstico ou tipo de tratamento, endereço residencial, telefone de contato, histórico de deslocamentos médicos Dado pessoal sensível (saúde) Bases Legais para o Tratamento de Dados em Frotas Públicas A administração pública pode tratar dados pessoais com base em diferentes fundamentos legais previstos na LGPD. No caso da gestão de frotas, as bases mais relevantes estão resumidas a seguir. Situação Base legal (LGPD) Artigo Operação geral da frota (execução de políticas públicas) Execução de política pública Art. 7º, III Prestação de contas ao TCE (obrigação legal ou regulatória) Cumprimento de obrigação legal Art. 7º, II Dados de saúde no transporte sanitário (TFD) Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária Art. 11, II, f Mesmo com base legal válida, valem sempre os princípios da LGPD (Art. 6º), especialmente a finalidade (usar os dados apenas para o propósito declarado), a necessidade (coletar apenas o mínimo necessário) e a segurança (proteger os dados contra acessos não autorizados). Obrigações Práticas para Prefeituras A conformidade na prática se traduz em cinco obrigações concretas. Cada uma é detalhada abaixo e, em conjunto, sustenta o tratamento adequado dos dados pessoais da frota. 1 Mapeamento de dados Identificar e documentar quais dados são coletados, por quê, onde ficam, quem acessa e por quanto tempo são mantidos. 2 Controle de acesso Restringir o acesso por função: cada servidor vê apenas o que sua atividade exige. 3 Segurança técnica Criptografia, autenticação forte, logs de auditoria e backups protegidos. 4 Política de retenção Definir prazos de guarda por tipo de dado, sem armazenamento indefinido. 5 Direitos dos titulares Ter processo definido para acesso, correção e exclusão dentro dos prazos legais. 1. Mapeamento de Dados O primeiro passo é identificar todos os dados pessoais tratados na gestão de frotas. Esse mapeamento é obrigatório e deve ser documentado, respondendo a: Quais dados são coletados; Por que são coletados (finalidade e base legal); Onde ficam armazenados; Quem tem acesso; Por quanto tempo são mantidos. Quando o tratamento envolve dados sensíveis — como os de pacientes do transporte sanitário — ou pode gerar risco às liberdades e aos direitos dos titulares, a prefeitura deve elaborar um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) , documentando os riscos e as medida…