Transformação digital e proteção de dados: análise institucional da implementação da LGPD nas capitais brasileiras

Digital transformation and data protection in Brazil: an institutional analysis of the general data protection law in state capitals

RESUMO

Introdução:  A transformação digital no setor público brasileiro enfrenta desafios relacionados à governança de dados, especialmente após a promulgação da Lei Geral de Proteção de Dados (LGPD). Este artigo investiga como as capitais brasileiras têm estruturado suas políticas de governança de dados e seus impactos na transformação digital municipal. A pesquisa utiliza o Institutional Analysis and Development Framework (IAD) para analisar os arranjos institucionais que influenciam a formulação e implementação dessas políticas.

Materiais e métodos:  Adotou-se uma abordagem qualitativa, empregando análise documental de instrumentos normativos municipais e entrevistas semiestruturadas com gestores públicos, técnicos e representantes de órgãos de controle envolvidos na implementação da LGPD nas 27 capitais brasileiras. Os dados foram analisados mediante análise de conteúdo temática, utilizando o IAD como lente teórica.

Resultados:  A implementação da LGPD promoveu a incorporação de novos atores na governança de dados municipais, particularmente órgãos de controle interno e externo. Identificou-se significativa heterogeneidade nas estratégias de implementação entre as capitais, caracterizada por: (i) ausência de mecanismos efetivos de coordenação horizontal; (ii) variações substanciais nos arranjos organizacionais adotados; e (iii) limitações na padronização de instrumentos e procedimentos. Esta diversidade compromete a efetividade das políticas e limita o desenvolvimento de plataformas digitais integradas de serviços públicos.

Discussão:  A fragmentação observada na governança de dados e a carência de coordenação federativa efetiva constituem obstáculos estruturais à transformação digital nos municípios brasileiros. Os achados sugerem a necessidade de mecanismos de coordenação intergovernamental mais robustos e de diretrizes nacionais que promovam convergência nas práticas de governança de dados.

Palavras-chave
governança de dados; Lei Geral de Proteção de Dados; transformação digital municipal; coordenação federativa; análise institucional

ABSTRACT

Introduction:  Digital transformation in Brazil's public sector faces persistent challenges related to data governance, particularly following the enactment of the General Data Protection Law (Lei Geral de Proteção de Dados - LGPD, in Portuguese). This article examines how Brazilian state capitals have structured their data governance policies and the implications of these arrangements for the digital transformation of local governments. The analysis draws on the Institutional Analysis and Development (IAD) Framework to explore the institutional arrangements that shape the design and implementation of such policies.

Materials and methods:  The study adopted a qualitative approach, combining documentary analysis of municipal regulatory instruments with semi-structured interviews conducted with public managers, technical staff, and oversight body representatives involved in LGPD implementation across all 27 state capitals. Data analysis followed a thematic content approach, using the IAD framework as the guiding lens.

Results:  The implementation of the LGPD has incorporated new actors into local data governance, most notably internal and external oversight bodies. The strategies adopted across state capitals show significant heterogeneity, reflected in: (i) the lack of effective mechanisms for horizontal coordination; (ii) substantial differences in organizational arrangements; and (iii) limited standardization of tools and procedures. This fragmentation undermines policy effectiveness and constrains the development of integrated digital platforms for public service delivery.

Discussion:  Fragmented data governance and the absence of effective intergovernmental coordination represent structural barriers to the digital transformation of local governments in Brazil. These findings point to the need for more robust coordination mechanisms across levels of government, as well as the development of national guidelines to foster greater alignment in data governance practices.

Keywords
data governance; General Data Protection Law; digital transformation of local governments; intergovernmental coordination; institutional analysis

I. Introdução

Sumário executivo

Contexto da pesquisa

A LGPD representou uma mudança no contexto jurídico brasileiro ao estabelecer novos parâmetros de proteção à privacidade e gestão de informações pessoais. Embora o debate inicial tenha se concentrado no âmbito federal e no setor privado, os entes subnacionais foram impelidos a regulamentar a LGPD, o que impôs mudanças na estrutura organizacional de estados e municípios para a construção de políticas locais de governança de dados. Este estudo preenche lacuna crítica ao analisar a implementação da LGPD nas 27 capitais brasileiras, considerando arranjos institucionais, atores envolvidos e estratégias adotadas. O foco recai sobre a governança de dados, insumo essencial para transformação digital e gestão pública baseada em evidências.

Evidências anteriores ao estudos

O Brasil possui tradição de coordenação federal de políticas públicas, com marcos importantes de integração entre União e municípios, como a criação da Rede Gov.br. Contudo, a coordenação promovida pela Secretaria de Governo Digital permanece incipiente no que tange à governança de dados municipais, fragilizando estratégias nacionais de transformação digital. Investigações prévias evidenciaram conflitos normativos entre a LGPD, a Lei de Acesso à Informação (LAI) e o Código Tributário Nacional (CTN), criando incertezas para gestores públicos quanto ao uso e compartilhamento de informações. Não havia, até então, análise sistemática sobre a implementação da LGPD nas capitais, o que reforça a originalidade desta pesquisa.

Valor agregado do estudo

Os resultados revelam que a LGPD introduziu novos atores na governança de dados, especialmente órgãos de controle interno como controladorias e procuradorias. Essas instâncias assumiram protagonismo na regulamentação e fiscalização da política, impondo viés restritivo e burocrático voltado à conformidade, em detrimento do uso estratégico de dados para inovação e melhoria de serviços. Constatou-se forte heterogeneidade entre capitais: enquanto Sul e Sudeste avançaram com apoio de investimentos prévios em tecnologia e estruturas de TI, regiões como Norte e Centro-Oeste sofrem com deficiências de infraestrutura, pessoal qualificado e capacidade institucional. Esse quadro gerou multiplicidade de interpretações da LGPD, com estratégias locais fragmentadas, ausência de interoperabilidade entre sistemas, predominância de silos organizacionais e diminuta participação da sociedade civil. O resultado compromete tanto a proteção homogênea da privacidade dos cidadãos quanto a consolidação de plataformas digitais de serviços públicos.

Implicações das evidências disponíveis

A governança de dados nas capitais brasileiras evidencia cenário complexo e heterogêneo, marcado por ambiguidades institucionais. Cada município adota interpretações próprias da LGPD, resultando em modelos regulatórios locais que comprometem a uniformidade da proteção de dados. Apesar de avanços pontuais, são raros os exemplos de uso estratégico de informações para aprimorar políticas públicas. O desenho institucional protagonizado pelos órgãos de controle foca excessivamente em segurança, em detrimento da inovação digital baseada em dados, restringindo projetos de cidades inteligentes e transformação digital. Algumas capitais avançaram devido a investimentos prévios em tecnologia e apoio da alta gestão, enquanto outras enfrentam carência crônica de recursos humanos e infraestrutura. A coordenação federal será fundamental para transpor esses obstáculos, seja por fomento, seja por capacitação dos entes subnacionais. A pesquisa demonstrou que a governança de dados municipais ainda não alcançou o equilíbrio necessário entre segurança, acesso, privacidade e inovação. Essa lacuna compromete tanto a efetividade da proteção de dados quanto o aproveitamento de seu potencial estratégico.

O avanço de tecnologias disruptivas tem impactado significativamente a sociedade contemporânea. Este fenômeno tem resultado no surgimento de novas dinâmicas políticas e de poder. Tais dinâmicas emergem da utilização de dados como insumos (inputs) para sistemas computacionais que operam de forma autônoma na tomada de decisões e execução de tarefas. Esses processos ocorrem mediante a interação humana com as tecnologias ou por meio delas. Consequentemente, são produzidos resultados (outputs) que reconfiguram as estruturas sociais existentes. Dessa forma, os dados passaram a ser um ativo valioso e a construção de plataformas digitais para oferecimento de serviços (públicos e privados) e projetos sob o rótulo de cidades inteligentes (smart cities) entraram em voga nos últimos anos (Mergel et al., 2019). Sendo assim, a inovação que avança com as tecnologias digitais é dependente da extração de dados como requisito para o funcionamento das aplicações desenhadas para atingir um ou mais objetivos (Filgueiras et al., 2025).

No setor público, os dados podem ser utilizados para aprimorar a qualidade dos serviços oferecidos à população, servindo como fonte de informação para a tomada de decisões e a formulação de políticas públicas. Isso possibilita a construção de soluções baseadas em informações específicas de cada indivíduo, tornando as políticas mais céleres, eficientes e personalizadas. Essas vantagens destacam o potencial transformador do governo digital e como a governança de dados é essencial nesse processo. Esse processo denota que a transformação digital muda a cultura organizacional e as práticas burocráticas no relacionamento com as partes interessadas (Mergel et al., 2019). A mesma percepção é compartilhada por Filgueiras & Silva (2022), dado que os autores afirmam que governos em todo o mundo estão formulando políticas e governança de dados para estabelecer as regras do jogo, criar os mecanismos regulatórios necessários para lidar com a crescente dataficação da sociedade a fim de resolver os dilemas de ação coletiva embutidos no uso de metodologias de big data. Para Abraham et al. (2019), a governança de dados é a definição sobre a autoridade competente ao processo de coleta, tratamento e armazenamento de dados. Nessa linha, a governança de dados é o processo de tomada de decisão e a construção de autoridade para especificar os direitos de decisão e responsabilidade que incentivam o comportamento desejado em relação ao uso, à segurança, à integridade e à disponibilidade de dados.

Em seus estudos sobre a temática, Filgueiras & Lui (2023) identificaram um conjunto de conflitos organizacionais na esfera federal quando, em 2020-2021, a União buscou construir seu Comitê Geral de Governança de Dados (CCGD). Os conflitos identificados eram majoritariamente relacionados à falta de clareza institucional sobre a governança de dados, o que gerava problemas de ação coletiva. Em outra oportunidade, os autores também demonstraram que os decretos estaduais voltados à regulamentação da Lei Geral de Proteção de Dados (LGPD) passaram a privilegiar um controle burocrático da aplicação da política, sem se preocupar com critérios como preservação da privacidade do cidadão, uso dos dados para a construção de políticas públicas ou suporte para projetos voltados às cidades inteligentes (Filgueiras et al., 2025).

Argumentamos que existem duas lacunas importantes na literatura sobre governança de dados no âmbito subnacional: uma teórica e outra empírica. Embora a LGPD represente uma mudança significativa na forma como dados são tratados no setor público, há escassez de estudos que investigam como os municípios brasileiros estruturam institucionalmente essa governança, especialmente nas capitais. A literatura sobre transformação digital e proteção de dados no setor público tende a focar em aspectos tecnológicos ou normativos (Mergel et al., 2019; Filgueiras & Silva, 2022), negligenciando os arranjos institucionais e os atores envolvidos na implementação local das políticas de dados. O uso do IAD Framework (Institutional Analysis and Development Framework), formulado por Ostrom (1999), permite revelar como regras formais e informais, redes de atores e arenas de ação influenciam a efetividade da política de governança de dados, algo pouco explorado na literatura brasileira sobre LGPD. O objetivo de nossa análise é mostrar que a ausência de coordenação horizontal e a heterogeneidade entre os municípios não são apenas meros problemas administrativos, mas refletem lacunas institucionais que dificultam a consolidação de uma política pública nacional de governança de dados. Desse modo, o estudo pretende realizar uma contribuição teórica, expandindo o uso da abordagem proposta por Ostrom (1999) para novos objetos de análise. Portanto, com esse enfoque, procuramos compreender como está sendo feito o desenho da política pública nas capitais e de que modo esses entes estão desenvolvendo suas estratégias de ação.

II. Teoria

O Framework de Análise e Desenvolvimento Institucional (IAD), elaborado por Elinor Ostrom e sua equipe de colaboradores (Polski & Ostrom, 1999; Ostrom, 1999), germinou dentro do programa de investigação desenvolvido por Elinor Ostrom sobre a organização da governança metropolitana nas décadas de 1950 e 1960. A teoria sempre foi voltada para a compreensão das instituições e do processo de interação estratégica entre atores e organizações na tomada de decisões. Trata-se de uma teoria reconhecida como um instrumento de análise de diversos arranjos de governança e de políticas públicas (Cole, 2014). Nessa abordagem, o ator pode ser pensado como um único indivíduo, em determinada situação, ou como um grupo que funciona como um ator corporativo. O termo “ação”, nesse contexto, refere-se a comportamentos aos quais o indivíduo ou grupo atuante atribuem um significado subjetivo e instrumental (Ostrom, 2011).

Na abordagem do IAD Framework, a rede política e a arena de ação são elementos fundamentais por se tratar de uma análise essencialmente institucional, concentrando-se nas regras coletivamente instituídas (Silva Filho et al. 2014; Filgueiras & Silva, 2022; Cole, 2014). Segundo Capelari et al. (2017), três pontos representam o eixo central do quadro de análise institucional e são fundamentais para compreender o IAD Framework: (1) a situação de ação e seus elementos internos; (2) os fatores exógenos que influenciam diretamente à situação de ação; e (3) elementos adicionais como as interações, resultados e critérios de avaliação dos resultados e a realimentação. A Figura 1 sintetiza o framework desenvolvido pela autora.

Figura 1
Representação Gráfica do IAD Framework

Segundo Capelari et al. (2017), o IAD Framework é amplamente reconhecido como um dos modelos de análise de políticas públicas mais relevantes e utilizados no mundo. Segundo os autores, desde a primeira edição, o modelo está presente nos principais manuais internacionais da área, como Theories of the Policy Process, consolidando-se como uma referência central no campo. Apesar de ele não estar ligado às fases clássicas do ciclo das políticas públicas (agenda, formulação, implementação, monitoramento e avaliação), oferece instrumentais analíticos interessantes para analisarmos como indivíduos e organizações superam dilemas de ação coletiva e realizam a gestão de bens de uso comum. A grande questão a ser respondida é de como um grupo que partilha uma situação de interdependência pode organizar a si próprio, construindo uma estrutura institucional que mantenha a produção compartilhada de benefícios contínuos e sustentáveis (ótimo social), sem que seus integrantes se sintam atraídos pelas externalidades negativas de processos de cooperação gerando, assim, resultados subótimos (Hess & Ostrom, 2006).

A estrutura IAD Framework “representa os processos institucionais por uma série de caixas dentro das quais estão localizadas diferentes determinantes ou processos causais” (McGinnis, 2019, p. 5), então, com o objetivo de melhor compreensão do IAD Framework, vamos decompor a nomenclatura do modelo, de acordo com uma revisão de literatura sobre cada conceito apresentado por Elinor Ostrom.

II.1. Arena de ação ou situação de ação

é um ponto fundamental para compreender como as instituições funcionam e como elas impactam o comportamento dos indivíduos ou grupos envolvidos. Os atores envolvidos adotam determinadas escolhas e explicitam padrões de interação dos quais decorrem resultados. Para Silva Filho et al. (2014, p. 8), “A arena de ação não é apenas um local físico, inclui aqueles indivíduos e organizações que tomam decisões gerenciais baseadas em informações sobre como as ações estão ligadas a possíveis respostas, custos e benefícios”. Para Mcginnis (2019), a situação de ação é o core da estrutura IAD Framework na qual os indivíduos, agindo por conta própria ou em nome da instituição formal que integram, analisam informações, escolhem determinadas ações, estabelecem interações e avaliam resultados. Cole (2014) chama a arena de ação de peça central, onde os indivíduos se encontram em fóruns sociais, estabelecendo padrões de interação que geram resultados para esses indivíduos.

II.2. Variáveis exógenas, trajetória institucional ou fatores externos

Regras em uso; condições biofísicas; e atributos da comunidade. Esses fatores exógenos são influências externas não controladas pelos agentes envolvidos dentro da arena de ação ou situação de ação, mas que têm o potencial de afetar as interações institucionais. A compreensão desses elementos representa um fator explicativo da escolha dos atores na medida em que estão inseridas em um contexto que molda as instituições. Portanto, esses três grupos de variáveis externas influenciam o desenho institucional, o qual, por sua vez, influencia a interação no contexto da arena de ação (Hess & Ostrom, 2006).

II.3. Interações, resultados e critérios avaliativos

Interações são relações e comportamentos empreendidos dentro da arena de ação ou do campo de ação pelos diversos atores. Essas interações geram reações multilaterais entre os participantes, refletindo em um processo de retroalimentação e contribuindo para uma dinâmica de constantes variações entre posições dos atores e efeitos dessas opções, dinâmica que se materializa nos resultados (Capelari et al., 2017). Segundo Ostrom (2011, p. 9), “Os critérios avaliativos são aplicados tanto aos resultados como aos processos de obtenção dos resultados”. Logo, as interações dos usuários dos recursos dos bens comuns podem implicar em diferentes resultados, de acordo com as regras formais e informais que moldam o comportamento.

Mcginnis (2019) ressalta a natureza cíclica entre interação e avaliação e a participação de múltiplos atores individuais e coletivos, na medida em que esse processo retroalimenta todo o conjunto dos elementos do IAD Framework. Conforme o autor, indivíduos e atores coletivos geram padrões de interação a partir dos quais resultados específicos emergem, os quais eles (ou outros atores) comparam com critérios avaliativos que parecem pertinentes para os atores que fazem as avaliações.

Esse modelo é usado com maior frequência em políticas públicas ambientais, contudo, Hess & Ostrom (2006) ampliaram suas pesquisas para explorar governança de bens comuns voltados a recursos como conhecimento. As autoras percebem que o advento das novas tecnologias da informação ensejou uma ampliação do conceito de bens comuns para além de recursos físicos, trazendo para seara de proteção os recursos digitais, os dados e as informações. Essa percepção é corroborada por Wong (2023, p. 60): “utilizando os princípios de concepção de Ostrom e a policentricidade como forma de governança, o quadro dos bens comuns foi adaptado para informação, dados e ambientes urbanos”.

Com isso, denota-se que o modelo de análise institucional também pode ser aplicado noutros campos, diante do seu carácter interdisciplinar (Capelari et al., 2017). Para Hess (2000), os “novos bens comuns” referem-se a uma categoria ampla de estudos mais recentes sobre diferentes tipos de bens comuns, que, geralmente, são aqueles feitos pelo homem e impulsionados pela tecnologia. Dessa forma, a proteção dos dados pessoais é uma preocupação compartilhada de maneira conjunta por diversos atores estatais, sociedade civil, entes privados e instituições. O avanço da tecnologia e a proliferação de serviços digitais permitem uma comparação com a metáfora de Garrett Hardin (1968), em que a hiper exploração de recursos comuns naturais poderia ensejar a ocorrência de externalidades negativas, ou seja, nos dias atuais, a falta de uma gestão sustentável de dados pessoais implicará em danos aos titulares considerados individualmente, mas, sobretudo, à toda sociedade, como vieses algorítmicos e exclusão digital, tornando-se, dessa maneira, um problema público (Filgueiras & Silva, 2022). Logo, a governança para o mundo digital requer a participação de diversas partes interessadas (Almeida et al. 2020). Além disso, a instrumentalização da política (Direito & Koga, 2020), no caso, a implementação dos dispositivos previstos pela LGPD para garantir a privacidade e o uso de dados pelos governos locais, se torna uma peça central no processo de governança de dados. Sendo assim, podemos afirmar que o IAD Framework expande as fronteiras estabelecidas pelas teorias e abordagens predecessoras, uma vez que essas buscam compreender o modo pelo qual as instituições funcionam, quais são suas práticas e como interferem no comportamento individual e coletivo.

A LGPD regula o uso, a coleta e o armazenamento de dados pessoais, sendo um instrumento estratégico fundamental para o avanço da transformação digital no setor público. Um dos principais desafios nesse processo é combater a lógica dos silos de dados, historicamente enraizada na administração pública, onde cada secretaria gerência os seus próprios dados de forma isolada, com tecnologias distintas e sem coordenação ou padronização (Mergel et al., 2019). Esse problema torna-se uma barreira crítica à transformação digital, agravada pela ausência de coordenação política, pela falta de clareza nas metas das políticas de proteção e uso de dados, e pela instrumentalização desigual dos direitos de privacidade (Filgueiras et al., 2025).

Conforme argumentam Filgueiras & Lui (2023), existe uma tensão entre a LGPD e o Código Tributário Nacional (CTN), na medida em que a promoção do compartilhamento de dados pela LGPD colide com as interpretações restritivas do sigilo fiscal previstas no CTN. Essa ambiguidade faz com que gestores de dados se baseiem em decisões passadas que inibem iniciativas de governança de dados e práticas de interoperabilidade. Como resultado, os instrumentos de política pública tornam-se incoerentes e os incentivos desalinhados, dificultando os avanços da transformação digital no setor público brasileiro no nível federal. Mais recentemente, conforme Direito & Reis (2024), a CGU precisou esclarecer que a Lei de Acesso à Informação (LAI) e a LGPD não são incompatíveis. Esse esclarecimento, segundo as autoras, foi necessário visto que dentro da administração pública federal brasileira surgiram controvérsias principalmente no que tange ao uso de dados dos cidadãos para formular e avaliar políticas públicas. Assim, o quadro atual de governança de dados também é afetado por ambiguidades relacionadas à forma como distintos ordenamentos jurídicos tratam o tema.

Por ser a LGPD uma lei geral da República, os municípios têm plena autonomia para regular o funcionamento e a operacionalização em sua jurisdição no que tange à áreas como: (i) o estabelecimento de uma estrutura legal para proteger os direitos dos cidadãos sobre seus dados pessoais, introduzindo novos direitos civis no ambiente digital; (ii) definição de princípios para o tratamento e proteção de dados, orientando a coleta, uso e compartilhamento de informações; (iii) estabelecimento de regras operacionais detalhadas sobre segurança, comunicação e transferência de dados entre as secretarias e demais órgãos. Sendo assim, cabe aos municípios a criação de estratégias que os permitam operacionalizar tanto as garantias de proteção de dados quanto o uso desses dados para a gestão pública. No contexto de necessidade de proteção à privacidade do cidadão, transformação digital e construção de plataformas de governo, práticas de segurança cibernética, uso e o compartilhamento de dados assumem vital importância.

III. Métodos

O presente trabalho teve natureza exploratória e descritiva, com método de estudo de caso mediante utilização de técnicas de coletas de dados em sítios oficiais de órgãos de governo, da análise documental e pela realização de entrevistas semiestruturadas com gestores locais, através das quais os fenômenos foram observados de forma holística (Sátyro & D'albuquerque, 2020). Os documentos analisados incluíram os decretos municipais de regulamentação da LGPD, bem como a análise dos sítios oficiais das prefeituras, com o objetivo de identificar a existência e o funcionamento de estruturas como comitês de governança de dados. Em função disso, adotamos uma abordagem qualitativa, utilizando entrevistas semiestruturadas como principal método de coleta de dados. No primeiro semestre de 2024, entramos em contato com todas as capitais brasileiras com o objetivo de localizar e entrevistar os responsáveis pela implementação da LGPD e, quando existente, pelo Comitê de Governança de Dados ou estrutura equivalente. Algumas capitais responderam prontamente, enquanto outras não retornaram. Reiteramos a tentativa de contato nas localidades que haviam recusado ou não respondido, mas nem sempre as abordagens por telefone e e-mail resultaram em disponibilidade para entrevista. Os entrevistados foram selecionados com base na disponibilidade para participar da pesquisa. Ao todo, analisamos 10 capitais brasileiras. As entrevistas foram conduzidas de forma a garantir a confidencialidade dos entrevistados mediante processo de anonimização de informações pessoais, preservando o sigilo de suas identidades, uma vez que as transcrições de trechos de entrevistas são identificadas por números escolhidos em ordem aleatória, de 1 a 10. A escolha das capitais se deu pela importância que exercem na rede de cidades brasileiras, em suas respectivas regiões metropolitanas, e por abrigarem uma grande parcela do contingente populacional brasileiro. Cada entrevista teve uma duração média de 50 minutos e, durante esse tempo, os participantes foram convidados a responder um roteiro semiestruturado de perguntas, abordando uma ampla gama de tópicos relacionados à implementação da LGPD nas capitais. As entrevistas foram instrumentalizadas pelo software Microsoft Teams e realizadas no primeiro semestre de 2024. A pesquisa obteve a aprovação do Comitê de ética da IES em que os autores estão vinculados.

Na Tabela S1¹, estão disponíveis o roteiro de entrevista e o quadro de análise dos componentes formais dos decretos municipais. A análise realizada teve como foco verificar se os documentos editados pelas capitais brasileiras contemplavam os aspectos formais da LGPD, tais como a definição dos direitos dos cidadãos, as regras para o compartilhamento de dados, entre outros elementos essenciais. No que diz respeito às pessoas entrevistadas, o leque de interlocutores escolhidos ficou restrito aos servidores municipais com participação ativa na elaboração do desenho da política pública, gestores e demais envolvidos na implementação da LGPD nas prefeituras, principalmente as figuras do Controlador, Operador e Encarregados, previstas no artigo 5º da Lei Federal nº 13.709, de 14 de agosto de 2018 (Brasil, 2018). Entrevistou-se representantes de todas as regiões do país: Sul - Porto Alegre (1) - Encarregado de proteção de dados; Sudeste - São Paulo (1) - Coordenador do Comitê Central de Governança de Dados; Rio de Janeiro (2) - Subsecretário de Transformação Digital na Secretaria Municipal da Casa Civil e Encarregado de proteção de dados; Belo Horizonte (2) - Superintendente da Proteção de Dados e Encarregado de Proteção de Dados; Nordeste - Recife (1) - Secretária Executiva de Planejamento e Gestão; João Pessoa (1) - Encarregado de Proteção de Dados; Centro-Oeste - Distrito Federal (1) - Encarregado de Proteção de Dados; Cuiabá (1) - Controladoria do Município; Norte - Porto Velho (1) - Controladoria do Município; Manaus (2) - Encarregado de Proteção de Dados. Dado que se contemplou ampla variedade regional, acredita-se que os resultados conseguem prover importantes pistas acerca dos principais aspectos relativos à implementação da LGPD nos entes subnacionais no Brasil.

Após transcritas as entrevistas, os dados foram codificados de acordo com categorias analíticas previstas em cada elemento do IAD Framework, o que foi realizado por meio de agrupamento sistemático das respostas “e da criação de inferências sobre determinado conteúdo” (Sampaio & Lycariao, 2021, p. 46). Fazendo uso da análise categorial, é possível identificar temas recorrentes nas respostas apresentadas, confrontar eventuais convergências e discrepâncias, revelar diferenças e semelhanças encontradas em cada situação de ação, entender as medidas adotadas no contexto das cidades entrevistadas e auxiliar a “compreensão dos processos institucionais” (Sampaio & Lycariao, 2021, p. 24).

Entendemos que o universo pesquisado, composto por 10 capitais, não constitui uma amostra no sentido estrito, não representa as demais capitais estaduais, e muito menos os municípios brasileiros. No entanto, essas cidades são os principais centros urbanos e econômicos do país e, em tese, seriam os locais onde o processo de implementação da política poderia estar mais desenvolvido em virtude da disponibilidade tecnológica e de recursos de TIC. Embora os resultados não sejam generalizáveis, as análises derivadas da pesquisa contribuem para a construção do panorama sobre a governança de dados no nível subnacional brasileiro. Em relação às categorias de análise, a próxima sessão organizará os resultados e a discussão em: variáveis exógenas e trajetória institucional; arenas de ação e atores relevantes e; interações, resultados e critérios avaliativos.

IV. Resultados e discussão

Assim que a LGPD entrou em vigor no Brasil, os governos municipais tiveram de adequar as suas práticas de coleta, armazenamento, compartilhamento, proteção e uso de dados. Identificou-se que cada município pesquisado, ou melhor, cada secretaria e órgão municipal, veio, ao longo do tempo, instrumentalizando práticas de coleta e uso de dados distintas - algumas em formulários físicos, outras em sistemas informáticos privados, contratados pela prefeitura, e outras, ainda, fazendo uso de sua empresa pública de dados. Conforme reiterado por quase todos os entrevistados nesta pesquisa, áreas responsáveis pela cobrança de IPTU e pelas contas públicas adotaram, ainda nos anos 2000, práticas de armazenamento e uso de dados apoiadas por tecnologia, enquanto outros setores das prefeituras municipais permaneceram mais tempo em formato analógico.

A lei não é restritiva no que tange ao uso de dados, contudo, estipula um novo conjunto de regras e práticas que devem orientar a ação de todos os atores estatais (Filgueiras et al., 2025). Cada município brasileiro, especialmente as capitais, possuem um histórico institucional distinto, com diferentes níveis de capacidade técnica e administrativa na área de tecnologia de informação e comunicação (TIC). Os dados, entendidos ao longo do tempo como meros insumos para a construção de soluções tecnológicas, tais quais ferramentas de Business Intelligence (BI) e projetos voltados às cidades inteligentes e para a tomada de decisão, passaram a ser objeto de intervenção da política pública a fim de garantir sua integralidade, segurança, uso e proteção (Filgueiras & Lui, 2023). Nesse sentido, o texto que segue procurará compreender, através das lentes do IAD, os principais pontos relativos à implementação da LGPD nas capitais estudadas.

IV.1 Variáveis exógenas e trajetória institucional

No contexto do IAD Framework, as variáveis exógenas são entendidas como regras, normas, mecanismos de participação comunitária e condições estruturais que moldam o ambiente institucional, pois refletem escolhas passadas em investimentos tecnológicos ou, quando da sua falta, uma dificuldade de ação, ensejando disparidades regionais e comprometendo a capacidade atual de governança de dados e transformação digital das prefeituras.

No que tange às regras, a análise dos decretos municipais das 27 (vinte e sete) capitais brasileiras mostrou que 17 (dezessete) mencionam ou se alinham aos princípios da LGPD, 18 (dezoito) garantem os direitos dos titulares e 17 (dezessete) preveem mecanismos de transparência para o compartilhamento de dados. Medidas de segurança para proteger dados pessoais aparecem em apenas 13 (treze) decretos. Mecanismos de fiscalização e sanções, enquanto responsabilidades para controladores são definidas em 13 (treze), para operadores em 11 (onze), e para encarregados em 19 (dezenove). Quanto ao uso e governança dos dados, 19 (dezenove) capitais definem bases legais para o tratamento de dados, 16 preveem compartilhamento interno entre órgãos públicos, mas nenhuma capital trata do uso dos dados para a tomada de decisão. Esse dado demonstra uma dificuldade de instrumentalização da política em termos práticos. Dos 27 decretos de capitais analisados, 18 preveem a existência de algum comitê, comissão, conselho ou grupo de trabalho voltado à governança de dados pessoais, sendo que, em 8 deles, a coordenação é atribuída explicitamente à controladoria municipal. Nos casos em que essa não figura como coordenadora formal, como no Recife e em Salvador, ainda desempenha funções estratégicas. Em Recife, cabe à Controladoria-Geral do Município coordenar e orientar a rede de encarregados responsáveis pela implementação da Política Municipal de Proteção de Dados Pessoais, além de consolidar resultados e apoiar o monitoramento dessa política. Já em Salvador, compete à Controladoria-Geral do Município atuar como interlocutora junto à Autoridade Nacional de Proteção de Dados (ANPD) e prestar apoio ao Comitê Municipal de Tecnologia da Informação e Comunicação (CMTIC) na execução das atividades previstas no decreto. Além disso, apenas 5 (cinco) mencionam empresas públicas de processamento de dados, embora 12 (doze) capitais possuam tais empresas. Não há previsão para parcerias com startups ou multinacionais, transferência internacional de dados, integração de dados em políticas metropolitanas, ou uso em tecnologias como inteligência artificial e cidades inteligentes. Esses resultados mostram que, embora haja alinhamento formal à LGPD em diversos aspectos, os decretos municipais não preveem instrumentos para a efetiva proteção da privacidade ou do uso desses dados para as políticas públicas. As entrevistas revelam uma aparente contrariedade de interpretações da LGPD e de múltiplos modelos normativos, dado que inexiste uniformidade entre os diversos padrões regulatórios, o que resulta numa grande variedade de estratégias de implementação da política de governança de dados e de percepções sobre a referida Lei. A consequência prática reside na adoção de instrumento regulatório local, no qual cada prefeitura é responsável pela elaboração de sua estratégia de governança, de acordo com a interpretação da norma. A ambiguidade da norma é refletida nas diferentes formas com que os DPOs (DPO - Data Protection Officer é o cargo de Encarregado de Dados na LGPD) compreendem o conteúdo da Lei Geral de Proteção de Dados e a influência que ela exerce sobre o processo de governança de dados.

Conforme relato do Entrevistado 2: “sendo bem direto, ela [a LGPD] dificulta, porque ainda não existe uma cultura organizacional de melhor uso da lei; eis que ela passa a exigir um conjunto de ritos do ponto de vista tecnológico, procedimental e comportamental que não existia antes”; perspectiva corroborada pelo Entrevistado 5: “Ela dificulta pela má compreensão que as pessoas ainda têm da legislação”.

Em perspectiva contrária, alguns entrevistados entendem como positiva a existência de uma lei sobre o tema da governança de dados, tal qual se percebe nos relatos do Entrevistado 6: “Na realidade, segundo eu acho que tem que ser, tende a facilitar mesmo”; e Entrevistado 7: “Facilita demais, facilita muito. Ajudou muito a gente a aplicar algumas melhores práticas aqui”. Enquanto outros demonstraram percepções neutras ou ambivalente, como revelam o Entrevistado 8: “Ele dá disciplina, nem facilita nem dificulta, ele traz outras preocupações na hora de você disponibilizar o dado, que não tinha antes”; e o Entrevistado 3: “Eu acho que não dificulta, é como eu disse, eu acho que ele moraliza”. Assim, entende-se que não há homogeneidade em relação ao entendimento sobre a LGPD e sua influência sobre o processo de governança de dados.

A pesquisa identificou que não há uma compreensão homogênea do conceito “governança de dados” e de como ele pode ser usado na prática, o que se verifica nos seguintes relatos: “Eles falam muito sobre isso, de governo de dados, mas, assim, eu não vou saber te falar” (Entrevistado 9); “Eu sei, por exemplo, sobre governança, as questões necessárias, mas de dados, assim, eu não saberia te falar, não. Não compreendo. Não compreendo nem o que seria essa pergunta” (Entrevistado 9); “As pessoas, elas não têm, ainda não atentaram para a importância do dado. As pessoas não sabem, por exemplo, a importância de a coleta de um dado pessoal e sensível ser feita com determinado cuidado” (Entrevistado 5). A falta de compreensão sobre determinados aspectos de governança de dados pode resultar em uma implementação deficiente da política pública. A ausência de clareza, expressa por parte dos entrevistados, revela que algumas capitais estão longe de compreender os padrões mínimos necessários para proteção de dados e seu uso estratégico. Com isso, se a burocracia implementadora não entende os conceitos e o que deve ser feito, dificilmente conseguirá desempenhar bem a atividade, porque o sucesso da implementação de uma política pública é dependente do grau de conhecimento do burocrata sobre seu conteúdo (Lima & D'Ascenzi, 2017).

Quanto aos atributos da comunidade, verificou-se que as capitais estudadas construíram comitês, conselhos e arranjos de governança a fim de estabelecer as diretrizes da implementação da LGPD no âmbito local. Contudo, como regra, trata-se de uma participação centrada no Estado e endógena, composta exclusivamente por servidores públicos municipais, sendo muito raros os arranjos que inserem sociedade civil, empresas, startups, universidades ou qualquer tipo de ator não estatal. Infere-se, pois, tratar-se de estruturas fechadas, com baixa capacidade de ouvir a sociedade, que não buscam dialogar com atores da sociedade civil a fim de construir um arranjo institucional mais democrático, transparente e participativo. Nesse sentido, relatam o Entrevistado 5: “A gente pensou em abrir realmente para a sociedade civil, mas a gente pensou que, talvez, nesse primeiro momento, a gente vai deixá-lo ainda mais fechado para dentro de casa”; Entrevistado 6: “Ele está restrito aqui ao corpo de secretarias”; e Entrevistado 10: “São quatro pessoas, todos da prefeitura e todos os funcionários”. Contudo, excepcionalmente, em 1 (um) caso, foi relatada a existência de conselho com a participação da sociedade civil nas decisões sobre a proteção de dados da prefeitura: “é um conselho que tem uma composição maior de representantes da sociedade civil” (Entrevistada 7).

Portanto, a policentricidade, como conceito fundamental na governança de bens comuns, é relegada na maioria das prefeituras estudadas. Nesse contexto, o postulado básico do IAD Framework reside no fato de que indivíduos em ação conjunta e coordenada são capazes de resolver problemas coletivos através da auto governança (Heikkila & Andersson, 2018). Assim, a gestão consorciada com a participação da sociedade civil é indispensável para adoção de múltiplos centros de tomada de decisões, de modo que a exclusão desses atores torna a política inadequada, ilegítima e superficial, pois não correspondem às reais necessidades da sociedade (Ostrom, 1999).

Além disso, foi observado em três relatos que esses conselhos e comitês de governança não se reúnem ativamente para discutir e deliberar sobre questões de proteção de dados, apenas formalmente: “A gente só foi designado, eu acredito que para cumprir mesmo a formalidade, acabou fazendo assim” (Entrevistado 9); “é mais uma obrigação legal, então, eu preciso ter uma pessoa lá representando, o pensamento é um pouco esse” (Entrevistado 5); “Nos dois últimos anos, ele ficou literalmente parado” (Entrevistado 7). Em 1 (um) caso, conforme apontado pelo Entrevistado 7, não existe comitê gestor de dados.

A postura evidenciada nessas entrevistas dialoga com o conceito de decoupling na teoria das organizações, o que significa que as prefeituras, ao criarem os conselhos, buscam cumprir exigências formais, atender normas ou criar uma imagem de conformidade com o ambiente externo, porém, nesses casos pesquisados, existe uma dissociação entre práticas formais e adoção de uma política pública efetiva (Teixeira & Alves, 2011). Esse comportamento é comum quando as ações são tomadas “para inglês ver”, ou seja, realizadas apenas por formalidade, sem um compromisso genuíno com a transformação organizacional ou com os resultados esperados, tratando-se, de uma política de governança de dados meramente protocolar, cerimonial, onde ações são empreendidas não pela importância em si, mas pela busca de legitimidade (Teixera & Alves, 2011).

A pesquisa identificou que a trajetória institucional das capitais brasileiras é marcada por realidades distintas. Enquanto capitais do Sul e Sudeste investiram ao longo de décadas em tecnologia, com alocação de recursos financeiros para desenvolvimento das suas próprias empresas públicas de TI (Prodam, Emprel, Procempa, Iplanrio, Prodabel, entre outras), em outras regiões, como no Centro-Oeste e Norte, o cenário é diferente, porquanto subsiste uma situação de carência de infraestrutura instalada e uma dependência de empresas prestadoras de serviços de tecnologia da informação e comunicação e, em alguns casos, de empresas estrangeiras de processamento de dados. Nas Regiões Sul e Sudeste ouviram-se os seguintes relatos: “hoje a gente desenvolveu alguns modelos variados de relacionamento, por exemplo. é até nessa linha de transição, do papel das empresas públicas de tecnologia. Buscando mecanismos mais ágeis de incorporar tecnologias dentro do setor público” (Entrevistado 2); “A força de trabalho do TI, ela me parece, pelo menos, satisfatória” (Entrevistado 1); “Recursos Humanos e tecnológicos tem, no momento nós temos” (Entrevistado 6). Nas regiões Centro-Oeste e Norte foram relatados os seguintes fatos sobre a capacidade tecnológica instalada: “eu ainda acho bastante inexpressiva. Eu acho que há muito mais a se investir e desenvolver em termos de tecnologia. Nós precisamos desenhar a estratégia de TI de forma alinhada com as demais metas das políticas públicas, porém isso, hoje, não é uma realidade” (Entrevistado 7); “há uma carência muito grande de recursos tecnológicos” (Entrevistado 10); “Estou longe de ter os recursos que eu preciso, muito longe. Eu preciso de muito mais pessoas, eu preciso de muito mais recursos e investimento” (Entrevistado 8).

Depreende-se, com isso, sobre a importância de ação conjunta e integrada na resolução de problemas comuns, que cidades com histórico de investimento em empresas públicas de Tecnologia da Informação e Comunicações (TIC) são mais autônomas e prefeituras que contaram com esse modelo de apoio obtiveram melhores soluções na implementação da LGPD, ao contrário de cidades carentes de tecnologia instalada, as quais encontraram maiores dificuldades na implementação dos processos de coleta, processamento e armazenamento de dados, sua proteção e uso prescritos pela LGPD. Assim, os municípios com histórico institucional de investimentos em recursos humanos e tecnológicos conseguiram cumprir melhor as diretrizes da LGPD. Isso indica que é necessário encontrar alternativas para preencher essa lacuna e aprimorar suas estratégias de governança de dados. Portanto, a gestão de dados está intimamente relacionada às condições materiais ou biofísicas (Ostrom, 2011) e ao histórico institucional existente.

IV.2. Arenas de ação e atores relevantes

A situação de ação é o aspecto central do modelo desenhado por Ostrom (McGinnis, 2019). A pesquisa identificou que os os órgãos de controle interno (Controladoria Geral do Município e estruturas correlatas) tornaram-se o órgão central na tomada de decisões e assumiram a coordenação da implementação da LGPD. Esses atores passaram a ser protagonistas do processo de desenho das regras e instrumentação da LGPD nos contextos locais. Eles impõem para as demais estruturas administrativas uma gramática institucional voltada ao controle e à conformidade das ações, sem, contudo, desenvolver estratégias próprias de coleta, armazenamento, processamento, proteção e uso de dados, conforme podemos perceber no relato do Entrevistado 9: “o nosso papel [da Controladoria] é fazer acontecer, é fazer a lei ser implementada”, referindo-se ao trabalho da Controladoria Geral do Município. Outra entrevistada afirma que “a Controladoria, ela tem um papel chave” (Entrevistada 2); o Entrevistado 6 qualifica esse papel: “Acho que o papel é absolutamente correto. é essa figura mesmo que tem que fazer”; e o Entrevistado 4 explica: “A CGM ficou com o papel de controlador dos dados da cidade”. No entanto, em 2 (duas) das 10 (dez) cidades estudadas, de maneira excepcional, a Casa Civil assumiu inicialmente o protagonismo do Comitê de dados, conforme apontado nos seguintes relatos: “Inicialmente, nós achávamos que a Casa Civil seria o local adequado” (Entrevistado 6); “Na verdade, o comitê originalmente tinha a Casa Civil, o coordenador” (Entrevistado 7). Nesses casos, a justificativa apresentada para escolha da Casa Civil na coordenação da política pública foi a capacidade de articulação política com as demais secretarias, uma vez que isso supostamente facilitaria a implementação da LGPD.

Conforme indicam Abraham et al. (2019), a governança de dados corresponde ao exercício da autoridade e ao controle sobre a gestão dos dados, definindo quem pode coletar, acessar, armazenar, compartilhar e usar os dados, de que forma e para qual uso. Além disso, a previsão de uso de dados pelos municípios para desenvolver plataformas de serviços e aventar conhecimentos nos quais o gestor possa se apoiar no processo de tomada de decisão encontra respaldo no Art. 25, Capítulo IV, Seção I, da LGPD, o qual postula que os dados pessoais tratados pelo poder público devem ser mantidos em formato interoperável e estruturado, visando à execução de políticas públicas, prestação de serviços, descentralização das atividades e disseminação das informações para acesso público. Ainda, o Art. 26 da LGPD permite o compartilhamento de dados pessoais entre órgãos e entidades públicas, desde que para finalidades específicas, relacionadas à execução de políticas públicas, e respeitando os princípios de proteção de dados. Dessa forma, por mais que haja uma previsão legal para o uso dos dados, identifica-se que ações desse tipo encontram resistências frente à ascensão dos órgãos de controle, que possuem um viés restritivo ao uso dos dados pelo setor público e fomentam uma visão de que os dados precisam ser mantidos em sigilo.

De maneira geral, os comitês de proteção de dados são liderados pelas controladorias municipais, onde o assunto principal das discussões é a proteção de dados. Isso mostra que a implementação da LGPD pelas prefeituras é limitada à conformidade e não aproveita o potencial dos dados para melhorias administrativas e voltadas as políticas públicas. Os dados coletados nas entrevistas apontam para um fenômeno previsto na literatura (Filgueiras et al., 2025) que trata sobre a ascensão dos órgãos de controle interno na implementação da Lei Geral de Proteção de Dados. Nesse sentido, os referidos órgãos atuam como coadministradores da política pública (Schabbach & Garcia, 2021), uma vez que constroem as regras e interferem na implementação da política setorial. A prevalência dos órgãos de controle dentro do comitê gestor também foi evidenciada no âmbito na União, porquanto a CGU era protagonista na criação de diretrizes e interpretações da LGPD na órbita federal (Filgueiras & Lui, 2023). Segundo Aranha & Filgueiras (2016), esse fenômeno é fruto das transformações das instituições de accountability horizontal no Brasil após a Constituição Federal de 1988, quando, com maior autonomia, os agentes passaram a exercer controle sobre atos e interpretação de normas, com reforço após a promulgação da LRF e, principalmente, da Lei de Acesso à Informação. Essa mudança institucional decorreu do processo incremental em que os agentes passaram a participar ativamente da criação de regras e procedimentos relativos aos dados em posse do Estado (Aranha & Filgueiras, 2016).

Observa-se, ainda, que existe uma grande diversidade nos estágios de categorização de dados nas capitais brasileiras. A categorização é essencial para governança dos dados e conformidade com a LGPD, pois é a partir dela que se estabelece níveis adequados de proteção e tratamento, uma vez que os dados pessoais sensíveis exigem maior controle e segurança em comparação com dados comuns. Ademais, a categorização facilita o exercício de direitos pelos titulares, implementação de medidas de segurança para minoração de riscos e mitigação de sanções legais. Nesse sentido, a categorização das bases de dados pode ser compreendida como uma forma de instrumentalização da política. Como indicam Direito & Koga (2020), os instrumentos de implementação representam diferentes formas de intervenção estatal, como normas, regulamentos, incentivos e ferramentas. Em essência, os instrumentos de implementação refletem a ação governamental e indicam como o Estado intervém na sociedade e com quais objetivos. Como sabemos, existe uma infinidade de dados pessoais sensíveis (informações de saúde, dados biométricos, origem racial, convicção religiosa, opinião política, orientação sexual, entre outros), cuja falta de categorização adequada enseja riscos à segurança e à integridade da informação. Logo, um ponto crítico é a falta de padronização categórica, sendo que determinados municípios não realizaram, até o momento, nenhuma forma de categorização de suas bases de dados, existindo tão somente no papel, como explicitado nos seguintes relatos: “Existe na teoria. A gente está tentando botar na prática agora” (Entrevistado 3); “Não teve uma classificação taxativa assim” (Entrevistado 9); “O município ainda não tem um inventário dos dados pessoais e sensíveis” (Entrevistado 5); “Não existe categorização ainda” (Entrevistado 7). Em perspectiva contrária, sobretudo em prefeituras do Sul e Sudeste, esse processo de categorização está avançado, como revelam os relatos a seguir: “Então, todas as áreas foram trabalhadas e classificadas. A gente tem um mapeamento disso” (Entrevistado 6); “A gente cria, mesmo que de forma descentralizada, um catálogo de dados pessoais” (Entrevistado 2). Nesse sentido, a instrumentalização inconsistente e incoerente do processo de categorização das bases de dados municipais em algumas capitais brasileiras fragiliza o processo de implementação do direito à proteção de dados e à garantia da privacidade - tão caro, pelo menos discursivamente, às controladorias. Portanto, identifica-se que há uma ampla heterogeneidade nas capitais estudadas no que tange ao processo de categorização das bases de dados, ponto essencial para estabelecer efetivamente as práticas de proteção e uso de dados.

Outro aspecto pesquisado refere-se à desconcentração administrativa da governança de dados pelas prefeituras, dado que existe uma já mencionada prevalência de governança pautada em silos, onde cada secretaria, departamento ou órgão dita seus diferentes padrões de segurança, implementa seus próprios protolocos de forma autônoma e independente, como apontam os seguintes relatos: “E a gente ainda não tem um nível central que organize isso” (Entrevistado 8); “Cada secretaria tem feito a sua implementação de forma mais ou menos autônoma” (Entrevistado 7). A pesquisa aponta que, ao longo do tempo, prevaleceu a cultura da propriedade dos dados pelas secretarias, “Porque às vezes uma Secretaria, por exemplo, ela se sente mais proprietária de um dado em detrimento de outra” (Entrevistado 2), e a razão disso “é muito pela questão de achar que o dado é da Secretaria” (Entrevistado 5). Essa trajetória institucional culminou com uma falta de coordenação horizontal da política pública e limitação cooperativa. Mergel et al. (2019) destacam que a existência de silos de dados é uma barreira significativa para o avanço da transformação digital. A falta de coordenação e capacidade política, somada à falta de clareza nos objetivos da política de proteção e uso de dados, perpetua esses silos nas prefeituras. Como cada secretaria impõe diferentes níveis de proteção sobre seus dados (o que acarreta numa instrumentalização inconsistente dos direitos de proteção e privacidade), cria-se uma dificuldade de compartilhamento entre setores que inviabiliza a criação de plataformas de governo digital.

Diante dessas circunstâncias, existe um claro obstáculo ao compartilhamento de dados, isto é, barreiras ao desenvolvimento de políticas públicas orientadas por informação. Dessa forma, os dados não são percebidos como data commons, e a consequência disso é a falsa percepção de propriedade e custódia desses ativos nas subestruturas administrativas (secretarias municipais e órgãos correlatos). A prevalência dessa cultura de gestão de dados está ancorada no fato de que cada órgão se sente guardião exclusivo das informações, resultando na formação de “silos”, nos quais cada entidade se sente no direito de tomar suas próprias decisões quanto à forma de utilização dos dados, sob o pretexto de evitar riscos de vazamentos e danos a terceiros.

A fragmentação da governança dos dados dificulta a interoperabilidade e a criação de bases unificadas, impondo barreiras a uma abordagem mais colaborativa e integrada da gestão, fruto de uma infinidade de sistemas e plataformas que se mantém dispersas, muitas vezes incompatíveis entre si, o que impede que os dados sejam integrados e usados de forma inteligente, como apontado pelo Entrevistado 7: “Tem secretarias que trabalham com sistemas que têm dificuldade de conversar com outros sistemas de outras secretarias”. Apenas em casos onde houve apoio político significativo para a integração desses sistemas, especialmente do gabinete do prefeito, é que essa política de unificação foi efetivamente implementada, a exemplo do que relatou o Entrevistado 6: “A gente tem um principal trunfo que é a anuência da alta administração”; e o Entrevistado 4: “eu acho que, primeiro, você tem apoio, da alta cúpula, da alta administração”. Essa realidade dialoga com a percepção de Filgueiras & Lui (2023) de que a política de governança envolve a interação de múltiplos atores com posturas cooperativa ou conflituosa. Portanto, o alinhamento institucional pode facilitar a distribuição de recursos técnicos e financeiros, promovendo o estímulo à capacitação dos servidores públicos e a cooperação entre vários setores da administração. A partir dessa concepção, é possível a criação de normas que mantenham a segurança das informações e proteção de dados pessoais, superando dilemas de fragmentação e de conflitos de propriedade e trazendo efeitos positivos na formulação de políticas públicas como planejamento urbano, saúde e educação.

Ademais, existe um ambiente institucional de conflito entre atores governamentais, onde, de um lado estão os defensores da LAI, com uma postura mais permissiva no compartilhamento de dados, primando pelo direito ao acesso à informação, enquanto, do outro lado, estão os mantenedores no sigilo fiscal, previsto no Código Tributário Nacional (CTN), e, por último, os partidários da LGPD. Assim, o arcabouço normativo gera um ambiente de incertezas, uma vez que o CTN prima pelo sigilo fiscal de informações do contribuinte, a LAI fomenta o acesso a informação e a LGPD privilegia a proteção de dados pessoais. Entrevistados entendem que a LGPD “veio para colocar um freio na LAI, há uma grande batida de frente com a LAI e a LGPD”, relata o Entrevistado 3, enquanto o Entrevistado 8 discorre sobre a dificuldade de compatibilizar as normas: “complexidade em fazer a compatibilização entre LAI e LGPD” e segue apontando que “a questão da privacidade passou a existir agora. Antes só existia a discussão sobre sigilo fiscal”; ao que conclui o Entrevistado 7: “Esse código tributário da década de 60, ele meio que fomentou essa cultura do ‘meu, esses dados são meus, não posso compartilhar’”.

A Controladoria-Geral da União (CGU) esclareceu a confusão entre restrição e acesso à informação em um estudo realizado em 2023 (CGU, 2023). A CGU destacou que a LAI impõe restrições apenas a dados pessoais sensíveis, que podem prejudicar a intimidade, honra ou imagem do titular. No entanto, isso não justifica a negativa de acesso a todo o conteúdo de documentos que contenham essas informações. Assim, conforme Direito & Reis (2024), o entendimento buscado é de que a LAI e a LGPD não são incompatíveis. Contudo, a burocracia responsável pela implementação, conforme destacado anteriormente, possui dificuldades em compreender o arranjo institucional. A ambiguidade das regras em uso sobre governança de dados no Governo Federal brasileiro molda uma situação de ação com tendências conflitantes, seguidas de instrumentação inconsistente. Diferentes entrevistados declararam o comportamento dos administradores de dados como não aderente ao compartilhamento de dados, criando barreiras e dificuldades com a justificativa das regras proibitivas de compartilhamento.

Segundo Limberger (2022), essa percepção distorcida por parte de diferentes atores é decorrência de uma aparente contradição entre proteger dados e permitir acesso à informação pública. Entretanto, essa visão distorcida de segmentos das administrações municipais não encontra respaldo na literatura, porque a LGPD não se confunde com LAI e CTN, visto que possuem fundamentos, objetivos e escopos distintos. Essa aparente ambiguidade é um fator-chave que contribui para a falta de clareza e coesão nas políticas de dados, gerando desafios significativos para a implementação eficaz da governança de dados (Filgueiras & Lui, 2022). A LGPD tem sido frequentemente tratada apenas sob uma perspectiva de conformidade e controle burocrático, ou seja, havendo dúvidas, existe uma relutância em compartilhar dados, e essas divergências entre as normas mostram um conflito entre duas concepções regulatórias: restritiva e permissiva.

IV.3. Interações, resultados e critérios avaliativos

A pesquisa identificou que, via de regra, a Controladoria Geral do Município (CGM), como órgão central de controle, assume um protagonismo na governança de dados das capitais brasileiras. Os entrevistados relacionam a própria emergência da LAI como o passo inicial em que as CGMs passaram a se preocupar fortemente com tecnologia da informação, dados e transparência, e precisaram criar protocolos para decidir quais dados seriam abertos ao público e de que forma. Com a emergência da LGPD, esses órgãos assumiram o protagonismo em relação à sua implementação, a partir de um viés altamente voltado ao compliance, à restrição do acesso aos dados e à privacidade dos cidadãos. Essa posição, alinhada à sua natureza fiscalizadora, tende a impor uma abordagem mais cautelosa e restritiva quanto ao uso e compartilhamento de dados. Tal postura, embora fundamental para garantir postulados de conformidade e segurança das informações, pode, paradoxalmente, dificultar o uso estratégico dos dados na consecução de políticas públicas, desenvolvimento de inteligência artificial (IA) ou mesmo construção de conhecimento para apoiar a tomada de decisão do gestor, percepção corroborada no relato a seguir:

A tendência do órgão de controle é ser extremamente conservador, e eu tenho uma agenda que tem que ser desbravadora. Então, eu não vou conseguir avançar na velocidade que eu preciso se eu trouxer tais órgãos para dentro de uma agenda de transformação digital, porque eu entendo que, novamente, a governança dos dados é um meio para um fim, é um meio para a transformação (Entrevistado 8).

Assim, o excesso de restrições pode ensejar graves limitações à administração pública municipal, dificultando desnecessariamente a inovação da gestão pública e utilização dos dados para resolução de problemas públicos. Isso, combinado com a ausência de agentes da sociedade civil, mercado, startups e terceiro setor nos comitês municipais de governança e proteção de dados, engessa ainda mais o avanço para um sistema em que os municípios consigam se valer de seus dados de forma ética e legal, mas que também possibilite construir politicas públicas, ofertar serviços digitais e tomar decisões baseadas em evidências, perspectiva observada pelo Entrevistado 8: “os serviços têm que ser feitos para o cidadão ser o centro da decisão. Isso vale tanto para o serviço, quanto para o dado. Esse dado não é do órgão, esse dado é da prefeitura e, em última instância, esse dado é do próprio cidadão, porque tem que ser usado para poder gerar valor para ele, não o inverso”.

Outro ponto de destaque é o grau de avanço na categorização de dados de acordo com sua sensibilidade e importância. Nesse particular também existe diversidade institucional, visto que, em alguns casos, o processo está bem delimitado, com adoção de mecanismos de compliance, monitoramento contínuo e auditorias, reflexo de uma ampla gama de práticas, percepções e capacidades instaladas, noutros casos, ainda não foi estabelecido qualquer forma de classificação de dados, encontrando-se numa fase embrionária do processo, como percebe o Entrevistado 3: “Existe na teoria. A gente está tentando botar na prática agora”. Portanto, existe uma instrumentalização inconsistente e desigual da política de governança de dados nos diferentes municípios pesquisados, sendo que as prefeituras do Centro-Oeste, Norte e Nordeste estão um passo atrás em relação aos municípios do Sul e Sudeste.

é importante ressaltar que não foram encontrados instrumentos normativos voltados à construção de plataformas digitais ou integração à plataforma federal (Gov.br). Essa lacuna normativa dificulta a criação de uma base para gerenciamento de plataformas digitais de serviços. Não foi observado nos municípios, a exemplo do ocorrido no âmbito do Governo Federal, a criação de instrumentos de planejamento para transformação digital de serviços, unificação de canais, interoperabilidade de sistemas, segurança e privacidade de informações e plano diretor de Tecnologia da Informação (TI). A falta de um plano de gerenciamento ou instrumento correlato dificulta a adoção de critérios avaliativos e da própria verificação dos resultados da política pública.

Conforme Bonduki (2024), até 2022, a estratégia de coordenação federativa para a agenda digital baseou-se em estimular a coesão digital dos entes subnacionais de maneira bastante sutil. Foram adotadas iniciativas voluntárias, como a adesão à Rede Gov.Br, a disponibilização gratuita de soluções escaláveis - com destaque para o Login Gov.Br -, além da oferta de cursos online e materiais orientadores. O objetivo era impulsionar a transformação digital por meio da construção de uma visão de futuro compartilhada, oferecendo incentivos limitados, respaldo político pontual, pouco suporte técnico e nenhum recurso financeiro, o que dificultava a imposição de obrigações formais aos entes. Essa abordagem resultou em avanços desiguais. Conforme o autor, estados e municípios com maior capacidade estatal e que optaram por seguir a liderança federal conseguiram se integrar ao Gov.br com êxito, como ocorreu no Rio Grande do Sul; outros, com capacidade técnica, mas preferindo desenvolver suas próprias soluções, avançaram independentemente, como o Estado de São Paulo. Entretanto, para aqueles com recursos limitados, a falta de apoio técnico e financeiro fez com que a coordenação meramente indicativa não fosse suficiente, levando a um cenário de maior desigualdade federativa na transformação digital em 2023.

A LGPD permite o compartilhamento de dados a partir de determinadas regras e condições. O uso integrado e seguro de dados pode mudar a forma como os serviços públicos são administrados e fornecidos à população, haja vista que a transformação digital é um esforço para além da digitalização de serviços públicos. Trata-se de um esforço para remodelar processos, com foco na satisfação dos usuários e na melhoria da prestação de serviços. O objetivo central dessa estratégia é atender melhor a população e expandir o acesso a bens e serviços, com inovação e agregação de valor para organizações (Mergel et al., 2019). Contudo, em várias situações, encontramos cidades que ainda não implementaram medidas nesse sentido, como expresso no relato do Entrevistado 9: “Conversando com o coordenador, ele falou que a gente ainda não estava numa maturidade para adotar essa questão do governo digital”. Noutros casos, existe uma tentativa isolada e sem coordenação de determinados órgãos ou secretarias em implantar medidas voltadas ao governo digital, em sua maioria restritas a serviços como Detran & Sefaz:

Cada um faz a sua iniciativa e isso é um prejuízo que nós temos aí em relação a ter melhores resultados em relação à aplicação da tecnologia da informação no governo. Como eu falei com você, como não tem essa unidade central de governança, a gente tem iniciativas isoladas, que enfraquecem muito o poder de alcance da tecnologia, da transformação institucional (Entrevistado 7).

Ademais, a pesquisa constatou que em nenhum dos casos examinados foram encontradas estratégias consistentes na utilização de dados para informar os gestores no processo de tomada de decisão, conforme se evidencia do seguinte trecho: “Eu não vejo essa conexão entre LGPD e uso de dados para tomada de decisão” (Entrevistado 2). Em alguns casos, inclusive, não foi feita qualquer sinalização para essa utilização, como sugere o Entrevistado 6: “no momento, a gente ainda não tratou dessa matéria aqui”. Dessa forma, existe uma clara limitação na implementação de políticas mais inovadoras e integradas ou para a criação de projetos de cidades inteligentes, políticas públicas informadas por dados ou decisões baseadas em evidências. O discurso sobre a proteção dos dados está concentrado nos órgãos de controle, o que limita as possibilidades de usar os dados para a criação de políticas públicas baseadas em dados, informação e conhecimento, porque o enfoque das controladorias é eminentemente voltado à proteção e à privacidade.

V. Conclusão

A análise da estratégia de governança de dados nas capitais brasileiras revela um cenário complexo, permeado por ambiguidades e conflitos. A pesquisa vislumbrou uma desigualdade nos níveis e estágios de implementação da Lei Geral de Proteção de Dados. Cada unidade federativa estudada compreende a LGPD de uma forma, essa variedade de interpretações resulta numa multiplicidade de estratégias de implementação, com adoção de modelos regulatórios locais, nos quais cada prefeitura é responsável pela elaboração de sua política de governança de dados. A consequência fundamental reside no fato de que a proteção à privacidade do cidadão tende a ser desigual e heterogênea, e essa disparidade compromete a efetividade do direito fundamental à proteção de dados e cria obstáculos ao uso estratégico dessas informações para melhorar os serviços públicos. Precisa-se sublinhar que as cidades estudadas são importantes centros econômicos, populacionais e tecnológicos do país. Assim, é preciso que novas pesquisas analisem outros tipos de recortes amostrais de cidades a fim de verificar se as fragilidades identificadas nessa pesquisa permanecem em outros cenários.

O Brasil possui uma longa tradição de forte coordenação federal de implementação de politicas públicas (Bonduki, 2024) e desde 2019, com a criação da Rede Gov.br e da Infraestrutura Nacional de Dados (entendida como um conjunto de normas, políticas, arquiteturas, padrões, ferramentas tecnológicas e ativos de informação, com vistas a promover o uso estratégico dos dados em posse dos órgãos e das entidades do Estado) há iniciativas de diálogo entre a União e os entes subnacionais relativa aos temas relativos à transformação digital - o que inclui governança de dados. Contudo, Bonduki (2024) aponta que o estilo de coordenação da Secretaria de Governo Digital nesse caso seja suave, baseado na adesão voluntária dos entes subnacionais e com poucos recursos financeiros disponíveis. Nesse caso, para diminuir os descompassos identificados, argumenta-se que a União coordene de forma mais atuante o processo de governança de dados nos entes subnacionais.

A diversidade institucional também é refletida nas capacidades instaladas, sendo que algumas prefeituras demonstraram que estão um passo à frente no processo de adequação da LGPD, diante do histórico de investimentos em tecnologia da informação e de empresas públicas voltadas a essa finalidade; nos demais casos, subsiste uma carência de recursos tecnológicos e humanos, o que torna os mecanismos de governança de dados e adequação da Lei Geral de Proteção de Dados um processo desafiador. A falta de servidores qualificados, sistemas de proteção de dados robustos e de uma cultura organizacional voltada à segurança da informação agrava o cenário. Para mitigar essas dificuldades, alternativas incluem o estabelecimento de parcerias intermunicipais para compartilhamento de soluções tecnológicas, capacitação contínua dos servidores públicos e o desenvolvimento de plataformas digitais que simplifiquem o processo de conformidade com a LGPD.

órgãos como as controladorias municipais assumiram o protagonismo da implementação da política pública, de modo que a partir dela são editadas diretrizes gerais de observância obrigatória pelas demais estruturas administrativas. Os comitês municipais de proteção de dados são geralmente capitaneados pelo controlador geral, e essa posição, alinhada à sua natureza fiscalizadora, tende a impor uma abordagem mais cautelosa e restritiva quanto ao uso e compartilhamento de dados, o que embora seja fundamental para garantir postulados de conformidade e segurança das informações, pode, paradoxalmente, dificultar o uso estratégico dos dados na consecução de políticas públicas. O excesso de restrições pode ensejar graves limitações à administração pública municipal, dificultando desnecessariamente a inovação da gestão pública e a utilização dos dados para transformação digital.

O resultado da pesquisa aponta também que a aplicação da LGPD nas capitais resultou em uma abordagem predominantemente centralizada e uma instrumentalização inconsistente, haja vista que os atores têm dificuldades de diferenciar os dispositivos presentes na LAI e na LGPD, e isso compromete a tomada de ação. Os comitês de governança de dados, em sua maioria, excluem a participação de atores não governamentais, uma vez que são, em grande parte, atores formais, que só existem no papel e são limitados a funcionários das prefeituras.

Para além disso, a preocupação excessiva e unidirecional com a segurança de dados impede que as cidades implementem iniciativas criativas para o uso de dados e desenvolvimento de projetos para cidades inteligentes ou plataformas de transformação digital, sendo assim, essa abordagem restritiva negligencia a relevância de uma governança de dados mais ampla, não restrita apenas à proteção, mas também voltada à inovação. Como bem observam Filgueiras & Silva (2022), a política de dados deve primar pelo equilíbrio de valores igualmente importantes, qualificação, acesso, segurança e privacidade, sem descuidar do uso de dados para melhor informar políticas e serviços públicos. Os dados devem ser entendidos como recursos que permitem os governos desenharem soluções e intervenções na sociedade baseadas em tecnologias digitais, como algoritmos de aprendizado de máquina. Essas aplicações exigem vastos bancos de dados de treinamento para produzir os resultados esperados. Assim, o funcionamento dessas tecnologias digitais depende que se faça uma apropriada coleta, armazenamento, processamento e compartilhamento de dados para construir informações e aplicações pelas organizações (Filgueiras & Silva, 2022).

Ademais, não existe incentivo para uma abordagem mais colaborativa e integrada da governança de dados, haja vista a fragmentação das bases de dados predominante nas prefeituras pesquisadas. Entretanto, em determinadas situações, foi relatado que o apoio político foi essencial para a integração dos sistemas, principalmente quando incentivado pela alta gestão. Desse modo, esse contexto de isolamento não se coaduna com o desenho da política pública levada a efeito por múltiplos atores, de maneira cooperativa, na resolução de problemas comuns, o que impede a governança estruturada, como Data Commons (Filgueiras & Lui, 2023).

A falta de padronização na implementação da LGPD dificulta a integração e interoperabilidade dos sistemas, comprometendo a eficácia da governança municipal e a formulação de políticas públicas orientada por dados. Portanto, a governança de dados nas capitais brasileiras enfrenta múltiplos desafios derivados de ambiguidades normativas, dependência de trajetória, cultura institucional resistente ao compartilhamento de dados e fragmentação de sistemas. O quadro presente na Tabela S1 apresenta a heterogeneidade existente entre as capitais brasileiras no que tange a estruturação dos decretos municipais que visam regulamentar a LGPD. Superar esses obstáculos requer uma abordagem integrada que considere não apenas a proteção e o sigilo dos dados, mas também seu potencial para informar e melhorar a gestão pública. O apoio político da alta gestão é crucial para promover mudanças significativas e criar um ambiente propício para a transformação digital.

Do ponto de vista teórico, esta pesquisa contribui com a literatura sobre a governança de dados e proteção à privacidade por apresentar os desafios ainda persistentes no Brasil em relação à temática. A lente utilizada, o Framework proposto por Ostrom, possibilitou aos autores avançarem nas discussões sobre governança policêntrica entre atores governamentais e sociedade e na produção de evidências que poderão contribuir para a tomada de decisão.

Executive summary

Research context

The Brazilian General Data Protection Law (Lei Geral de Proteção de Dados - LGPD) marked a turning point in the country's legal framework by establishing new standards for privacy protection and the management of personal information. While the initial debate centered on the federal government and the private sector, subnational governments were also required to regulate the LGPD, prompting organizational changes in states and municipalities to develop local data governance policies. This study addresses a critical gap by analyzing the implementation of the LGPD in Brazil's 27 state capitals, with attention to institutional arrangements, key actors, and strategies adopted. The analysis underscores data governance as a cornerstone of digital transformation and evidence-based public management.

Existing evidence

Brazil has a longstanding tradition of federally coordinated public policies, marked by significant milestones in the integration of the Union and municipalities, such as the creation of the Gov.br Network. However, coordination led by the Secretariat of Digital Government remains limited in the area of municipal data governance, thereby weakening national digital transformation strategies. Previous studies have also identified legal conflicts among the LGPD, the Access to Information Law (Lei de Acesso à Informação - LAI), and the National Tax Code (Código Tributário Nacional - CTN), which have created uncertainty for public managers over the use and sharing of information. To date, no systematic analysis of LGPD implementation in state capitals has been conducted, underscoring the originality of this research.

Added value of the study

The findings indicate that the LGPD introduced new actors into the field of data governance, particularly internal control bodies such as comptrollers and attorneys general's offices. These institutions assumed a leading role in regulating and overseeing compliance, imposing a restrictive and bureaucratic approach that prioritized conformity over the strategic use of data for innovation and service improvement. The study also identified considerable heterogeneity among capitals: while those in the South and Southeast advanced on the basis of prior investments in technology and IT infrastructure, regions such as the North and Midwest continue to struggle with limited infrastructure, shortages of qualified personnel, and weaker institutional capacity. This scenario has produced diverse interpretations of the LGPD, resulting in fragmented local strategies, poor system interoperability, entrenched organizational silos, and minimal engagement from civil society. These dynamics undermine both consistent protection of citizens' privacy and the development of digital service platforms.

Implications of the existing evidence

Data governance in Brazilian capitals reveals a complex and heterogeneous landscape marked by institutional ambiguities. Each municipality has developed its own interpretation of the LGPD, resulting in local regulatory models that compromise the consistency of data protection. Although some progress has been made, few cases demonstrate the strategic use of information to improve public policy. The institutional framework led by oversight bodies places excessive emphasis on security at the expense of data-driven digital innovation, constraining smart city initiatives and broader digital transformation. Some capitals have advanced thanks to prior technology investments and support from top management, while others continue to face chronic shortages of human resources and infrastructure. Federal coordination will be critical to overcoming these challenges, whether through targeted funding or capacity-building for subnational entities. Overall, the study shows that municipal data governance has yet to achieve a balanced approach to security, access, privacy, and innovation. This shortfall weakens both the effectiveness of data protection and the capacity to harness its strategic potential.

Disponibilidade de dados

Os dados de pesquisa estão disponíveis no corpo do artigo do arquivo HTML.

Declaração de uso de IA

Todas as ideias e argumentos apresentados neste artigo foram elaborados pelo autor, sem o uso de ferramentas de IA.

• 1
  O link de acesso pode ser encontrado na seção Material suplementar.
• Financiamento
  Os autores agradecem à Fundação de Apoio à Pesquisa do Distrito Federal (FAP-DF) pelo financiamento, processo n. 00193-00002202/2023-34.
• Disponibilidade de dados
  Os dados de pesquisa estão disponíveis no corpo do artigo.

Referências

• Abraham, R., Schneider, J. & Vom Brocke, J. (2019) Data governance: a conceptual framework, structured review, and research agenda. International Journal of Information Management, 49, pp. 424-438. DOI
  » DOI
• Almeida, V., Filgueiras, F. & Gaetani, F. (2020) Principles and elements of governance of digital public services. IEEE Internet Computing, 23(6), p. 48-53. DOI
  » DOI
• Aranha, A.L. & Filgueiras, F. (2016) Instituições de accountability no Brasil: mudança institucional, incrementalismo e ecologia processual Brasília: ENAP. Disponível em: <https://repositorio.enap.gov.br/jspui/handle/1/2561>. Acesso em: 1 out. 2024.
  » https://repositorio.enap.gov.br/jspui/handle/1/2561
• CGU, Controladoria-Geral da União. (2023) Parecer sobre acesso à informação para atender ao Despacho Presidencial de 1o de janeiro de 2023. Disponível em: <https://www.gov.br/conarq/pt-br/assuntos/noticias/cgu-concluiu-o-parecer-sobre-acesso-a-informacao-para-atender-ao-despacho-presidencial-de-1o-de-janeiro-de-2023/copy_of_PARECERFINALSOBREACESSOINFORMAO_CGU_FEV2023.pdf Acesso em: 1 mar. 2024.
  » https://www.gov.br/conarq/pt-br/assuntos/noticias/cgu-concluiu-o-parecer-sobre-acesso-a-informacao-para-atender-ao-despacho-presidencial-de-1o-de-janeiro-de-2023/copy_of_PARECERFINALSOBREACESSOINFORMAO_CGU_FEV2023.pdf
• Brasil. (2018) Lei n. 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União. Disponível em: <http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm>. Acesso em: 4 set. 2025.
  » http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• Bonduki, M. (2024) Um governo digital do tamanho do Brasil: contribuições à Estratégia Nacional de Governo Digital Blog Gestão, Política & Sociedade. Disponível em: <https://periodicos.fgv.br/cgpc/announcement/view/224>. Acesso en: 1 out. 2024.
  » https://periodicos.fgv.br/cgpc/announcement/view/224
• Capelari, M.G., Calmon, P.C.D.P., Araújo, S. & Mara, V.G.D. (2017) Vincent e Elinor Ostrom: duas confluentes trajetórias para a governança de recursos de propriedade comum. Ambiente & Sociedade, 20, pp. 203-222. DOI
  » DOI
• Cole, D.H. (2014) Formal institutions and the IAD framework: bringing the law back in. SSRN 2471040 Disponível em: <https://ssrn.com/abstract=2471040>. Acesso em: 1 out. de 2024. DOI
  » https://ssrn.com/abstract=2471040» DOI
• Controladoria Geral da União. (2022) Enunciado n. 4, de 10 de março de 2022 Diário Oficial da União. Disponível em: <https://repositorio.cgu.gov.br/bitstream/1/67735/3/Enunciado_4_2022.pdf>. Acesso em: 4 set. 2025.
  » https://repositorio.cgu.gov.br/bitstream/1/67735/3/Enunciado_4_2022.pdf
• Direito, D.C. & Koga, N.M. (2020) Instrumentos e integração de políticas públicas: a rede do Cadastro único. Revista de Administração Pública, 54, pp. 1286-1306. DOI
  » DOI
• Direito, D.C. & Reis, F.T. (2024) Evidências e dados nas políticas públicas: o falso embate entre transparência e privacidade. Boletim de Análise Político-Institucional - IPEA, 37. Disponível em: <https://repositorio.ipea.gov.br/entities/publication/b1942df0-ea79-4cc0-b63f-21a3979b49ba>. Acesso em: 1 de out. 2024.
  » https://repositorio.ipea.gov.br/entities/publication/b1942df0-ea79-4cc0-b63f-21a3979b49ba
• Filgueiras, F. & Lui, L. (2023) Designing data governance in Brazil: an institutional analysis. Policy Design and Practice, 6(1), pp. 41-56. DOI
  » DOI
• Filgueiras, F., Lui, L. & Veloso, M.T.T. (2025) A gramática institucional da proteção de dados e da privacidade no Brasil. Dados, 68(1), e20220169. DOI
  » DOI
• Filgueiras, F. & Silva, B. (2022) Desenhando políticas e governança de dados para cidades inteligentes: ensaio teórico com o uso da IAD framework para analisar políticas orientadas por dados. Revista de Administração Pública, 56, pp. 508-528. DOI
  » DOI
• Hardin, G. (1968) The tragedy of the commons: the population problem has no technical solution; it requires a fundamental extension in morality. Science, 162(3859), p. 1243-1248. DOI
  » DOI
• Heikkila, T. & Andersson, K. (2018) Policy design and the added-value of the institutional analysis development framework. Policy & Politics, 46(2), pp. 309-324. DOI
  » DOI
• Hess, C. & Ostrom, E. (2006) Introduction: an overview of the knowledge commons. In: E. Ostrom & C. Hess. Understanding knowledge as a commons: from theory to practice. Cambridge: The MIT Press. DOI
  » DOI
• Hess, C. (2000) Is there anything new under the sun? A discussion and survey of studies on new commons and the internet. In: Constituting the commons. The Eighth Biennial Conference of the International Association for the Study of Common Property Bloomington: Indiana. Disponível em: <https://hdl.handle.net/10535/384>. Acesso em: 8 set. 2025.
  » https://hdl.handle.net/10535/384
• Lima, L.L. & D'Ascenzi, L. (2017) O papel da burocracia de nível de rua na implementação e (re)formulação da Política Nacional de Humanização dos serviços de saúde de Porto Alegre (RS). Revista de Administração Pública, 51, pp. 46-63. DOI
  » DOI
• Limberger, T. (2022) Lei Geral de Proteção de Dados (LGPD) e a Lei de Acesso à Informação Pública (LAI): um diálogo (im) possível? As influências do direito europeu. Revista de Direito Administrativo, 281(1), pp. 113-144. DOI
  » DOI
• McGinnis, M.D. (2019) Connecting commons and the IAD framework. In: B. Hudson, J. Rosenbloom & D. Cole (orgs) Routledge handbook of the study of the commons London: Routledge, pp. 50-62.
• Mergel, I., Edelmann, N. & Haug, N. (2019) Defining digital transformation: results from expert interviews. Government Information Quarterly, 36(4), 101385. DOI
  » DOI
• Ostrom, E. (1999) Institutional rational choice: an assessment of the IAD framework. In: P. Sabatier (ed.) Theories of the Policy Process Boulder: Westview Press, pp. 35-71.
• Ostrom, E. (2011) Background on the institutional analysis and development framework. Policy Studies Journal, 39(1), pp. 7-27. DOI
  » DOI
• Polski, M.M. & Ostrom, E. (1999) An institutional framework for policy analysis and design. In: D.H. Cole & M.D. McGinnis (orgs) Elinor Ostrom and the Bloomington School of political economy Lanham: Lexington Books, p. 13-47. DOI
  » DOI
• Sampaio, R.C. & Lycarião, D. (2021) Análise de conteúdo categorial: manual de aplicação Brasília: ENAP. Disponível em: <https://repositorio.enap.gov.br/bitstream/1/6542/1/Analise_de_conteudo_categorial_final.pdf>. Acesso em: 5 set. 2025.
  » https://repositorio.enap.gov.br/bitstream/1/6542/1/Analise_de_conteudo_categorial_final.pdf
• Sátyro, N.G.D. & D'Albuquerque, R.W. (2020) O que é um estudo de caso e quais as suas potencialidades. Sociedade e Cultura, 23, e55631. Disponível em: <https://revistas.ufg.br/fcs/article/view/55631>. Acesso em: 4 set. 2025. DOI
  » https://revistas.ufg.br/fcs/article/view/55631» DOI
• Schabbach, L.M. & Garcia, K.C. (2021) Novos atores nas políticas educacionais: o Ministério Público e o Tribunal de Contas. Civitas-Revista de Ciências Sociais, 21, pp. 130-143. DOI
  » DOI
• Silva Filho, J.C.L.D., Küchler, J., Nascimento, L.F. & Abreu, M.C.S.D. (2009) Gestão ambiental regional: usando o IAD Framework de Elinor Ostrom na “análise política” da gestão ambiental da região metropolitana de Porto Alegre. Organizações & Sociedade, 16, pp. 609-627. DOI
  » DOI
• Teixeira, M.A.C. & Alves, M.A. (2011) Ethos organizacional e controle da corrupção: o TCU sob uma ótica organizacional. Cadernos Adenauer, 12(3), pp. 75-97. Disponível em: <https://pesquisa-eaesp.fgv.br/sites/gvpesquisa.fgv.br/files/arquivos/aquino_-_ethos_organizacional_e_controle_da_corrupcao_75.pdf>. Acesso em: 5 set. 2025.
  » https://pesquisa-eaesp.fgv.br/sites/gvpesquisa.fgv.br/files/arquivos/aquino_-_ethos_organizacional_e_controle_da_corrupcao_75.pdf
• Wong, J. (2023) Data practices and data stewardship. Interactions, 30(3), pp. 60-63. DOI
  » DOI
• Abrucio, F.L. (2021) Bolsonarismo e educação: quando a meta é desconstruir uma política pública. In: L. Avritzer, F. Kerche & M. Marona (orgs) Governo Bolsonaro: retrocesso democrático e degradação poítica Belo Horizonte: Editora Autêntica, pp. 255-270.
• Abrucio, F.L. & Marques, F.C. (2025) Os desafios do MEC no governo Lula 3: quando reconstruir não é voltar ao mesmo ponto. In: F. Kerche & M. Marona (orgs) Governo Lula 3: reconstrução democrática e impasses políticos Belo Horizonte: Editora Autêntica, pp. 265-278.
• Abrucio, F.L., Grin, E.J. & Segatto, C.I. (2021) Brazilian federalism in the pandemic. In: G. Peters, E.J. Grin & F.L. Abrucio (orgs) American federal systems and Covid-19: responses to a complex intergovernmental problem Leeds: Emerald Publishing, pp. 63-88.

Material suplementar

Supplementary material

Tabela S1 - Elementos de governança e proteção de dados nos decretos de transformação digital das capitais brasileiras.

• Editor Responsável:
  Adriano Codato http://orcid.org/0000-0002-5015-4273

• Editora Associada:
  Natália Sátyro http://orcid.org/0000-0002-5015-4273

Disponibilidade de dados

Os dados de pesquisa estão disponíveis no corpo do artigo.

Datas de Publicação

• Publicação nesta coleção
  09 Jan 2026
• Data do Fascículo
  2025

Histórico

• Recebido
  29 Out 2024
• Revisado
  18 Jul 2025
• Aceito
  14 Ago 2025