Análise de Regulação

Regulação de Dados Abertos no Brasil: o que a LGPD e o Marco Civil estabelecem

Publicar dados abertos no Brasil não é ausência de regulação — é operação dentro de um conjunto de estatutos que determinam o que pode ser publicado, em que formato e com quais obrigações. Organizações que trabalham com indicadores públicos precisam conhecer esses limites antes de divulgar.

Publicado em 25 de agosto de 2026 · Leitura: ~8 min

O que são dados abertos no contexto brasileiro

No Brasil, o conceito de dados abertos governamentais é regulado principalmente pela Lei de Acesso à Informação (Lei 12.527/2011) e complementado pela Política de Dados Abertos do Poder Executivo Federal (Decreto 8.777/2016). Dados abertos, nesse contexto, são dados produzidos por órgãos públicos que devem ser disponibilizados em formato legível por máquina, sem licença restritiva e com metadados que permitam sua reutilização. O portal dados.gov.br é o ponto de acesso central para esses conjuntos de dados.

A abertura de dados não significa ausência de restrições. Dados que possam identificar pessoas físicas estão sujeitos às disposições da LGPD (Lei 13.709/2018), mesmo quando fazem parte de bases governamentais. A distinção relevante para quem trabalha com inclusão financeira é entre dados agregados — que não identificam indivíduos — e microdados, que podem conter identificadores indiretos dependendo do nível de desagregação.

A LGPD e os dados públicos: quando ela se aplica

A LGPD (Lei 13.709/2018) se aplica a qualquer operação de tratamento de dados pessoais, incluindo quando esses dados provêm de fontes públicas. O Art. 7º, II, da LGPD prevê que o tratamento pode ser realizado para cumprimento de obrigação legal ou regulatória pelo controlador. O Art. 11, § 4º, determina que é vedada a comunicação ou uso compartilhado de dados pessoais sensíveis para obter vantagem econômica.

Para quem trabalha com séries do Banco Central sobre inclusão financeira, o ponto prático é que dados publicados em formato agregado — como "percentual de adultos com conta corrente por região" — não se enquadram como dados pessoais para fins da LGPD, porque não identificam nem tornam identificável nenhum indivíduo. Já microdados de crédito por CPF ou por número de conta, mesmo anonimizados de forma insuficiente, podem ainda constituir dados pessoais dependendo do nível de agregação.

O Marco Civil e a responsabilidade de quem publica

O Marco Civil da Internet (Lei 12.965/2014) estabelece responsabilidades para quem gera e distribui conteúdo em ambiente digital. Para organizações que publicam análises baseadas em dados abertos, o ponto mais relevante é o Art. 19, que trata da responsabilidade dos provedores de aplicações por danos causados por conteúdo gerado por terceiros — mas que, por analogia, orienta o entendimento sobre a responsabilidade de quem republica dados com transformações.

Quando uma organização transforma dados brutos em uma comparação e publica essa comparação, ela se torna responsável pela formulação — não apenas pela fonte. Isso significa que um erro de alinhamento de período ou uma definição incorreta não é um problema da fonte original; é um problema da organização que publicou a comparação. Declarar a fonte e a data de extração não transfere essa responsabilidade, mas torna o erro verificável e corrigível.

Limiares de agregação e privacidade em dados de inclusão financeira

O Banco Central e o IBGE adotam limiares de agregação para evitar que dados desagregados por município, faixa de renda e produto financeiro possam ser usados para inferir informações sobre indivíduos. Esses limiares não são sempre explicitados nas notas metodológicas — mas são observáveis quando uma célula de dados aparece suprimida ou substituída por um símbolo de confidencialidade nos arquivos publicados.

Para organizações que trabalham com acordos de publicação conjunta de dados — como redes que consolidam informações de múltiplos parceiros — definir o limiar de agregação antes da coleta é parte do acordo de processo, não uma decisão técnica posterior. O limiar protege os titulares dos dados e evita que a combinação de múltiplas variáveis produza um conjunto identificável, mesmo que cada variável isolada não seja sensível. Análises responsáveis apresentam hipóteses documentadas, não conclusões sem rastro.

O que a regulação exige na prática

Para uma organização que publica comparações baseadas em dados abertos do Banco Central, IBGE ou FEBRABAN, a regulação brasileira exige, no mínimo: a citação da fonte com URL e data de acesso (requisito de atribuição e rastreabilidade); a declaração de qualquer transformação aplicada aos dados originais (agregação, cálculo de variação, conversão de unidade); e a identificação de qualquer limitação que impeça a comparação direta entre dois períodos.

Esses requisitos não são apenas boas práticas editoriais — eles reduzem o risco de que a publicação seja contestada por imprecisão ou por uso indevido de dados. O Portal Brasileiro de Dados Abertos (dados.gov.br) publica licenças abertas que permitem a reutilização comercial e não comercial dos dados, mas a licença aberta não cobre transformações incorretas. A Andorinha dedica um módulo do seu programa ao checklist de revisão pré-publicação para exatamente esse tipo de verificação.