Resumo Este artigo investiga a gramática institucional da proteção de dados e da privacidade no Brasil. Adotando a lente analítica do Intitutional Grammar Tool (IGT), desconstruímos os enunciados institucionais dos decretos regulamentadores da Lei Geral de Proteção de Dados dos estados brasileiros, de forma a classificar os diferentes elementos gramaticais que informam as estratégias estaduais de proteção e governança de dados. Examinamos nesse artigo a construção dos conceitos de proteção de dados, governança de dados e privacidade, assim como a construção institucional da proteção de dados no Brasil. O estudo tem um viés empírico, de maneira a responder às seguintes questões: qual o desenho institucional das estratégias adotadas pelos estados, no contexto da federação, para a proteção de dados pessoais e da privacidade dos cidadãos? Quais as implicações desse desenho para a efetividade da proteção de dados no Brasil? O artigo conclui que as estratégias de proteção de dados formuladas nos estados têm mais o viés de controle burocrático do tratamento de dados do que propriamente a efetivação de direitos emergentes de cidadania.