DISPÕE SOBRE A APLICAÇÃO DA LEI FEDERAL Nº 13.709, DE 14 DE AGOSTO DE 2018, LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS – LGPD, NO ÂMBITO DA ADMINISTRAÇÃO PÚBLICA DIRETA E INDIRETA DO PODER EXECUTIVO MUNICIPAL.
O PREFEITO MUNICIPAL DE PACAJUS, DAVANILSON JOSÉ PINHEIRO LEITE, no uso de suas atribuições legais e das prerrogativas que lhe são conferidas pela Lei Orgânica do Município:
CONSIDERANDO os princípios constitucionais administrativos da legalidade e moralidade, previstos no art. 37, caput, da Constituição da República;
CONSIDERANDO a necessidade de regulamentação da Lei Federal nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), no âmbito do Poder Executivo Municipal;
DECRETA:
TÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 1° - Este Decreto dispõe sobre a aplicação da Lei Federal n° 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD, no âmbito da Administração Pública Municipal Direta e Indireta do Poder Executivo Municipal, estabelecendo competências, procedimentos e providências a serem observados pelos órgãos e entidades, visando garantir a proteção de dados.
Art. 2º - A disciplina da proteção de dados pessoais tem como fundamentos:
I - o respeito à privacidade;
II - a autodeterminação informativa;
III - a liberdade de expressão, de informação, de comunicação e de opinião;
IV - a inviolabilidade da intimidade, da honra e da imagem;
V - o desenvolvimento econômico e tecnológico e a inovação;
VI - a livre iniciativa, a livre concorrência e a defesa do consumidor; e
VII- os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.
Art. 3° Para fins deste Decreto, considera-se:
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo ao titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;
V - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados- ANPD;
IX - agentes de tratamento: o controlador e o operador;
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XIII - bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados;
XIV - eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;
XV - transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;
XVI - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;
XVII - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;
XVIII - órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;
XIX - informação sigilosa: aquela submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade para a segurança da sociedade e do Estado;
XX - autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional, conforme descrito no Art. 55-A, da Lei Federal n°13.709, de 2018; e,
XXI - Comitê Estratégico de Proteção de Dados Pessoais: vinculado à Controladoria Geral do Município, cuja finalidade é avaliar os mecanismos de tratamento e proteção dos dados pessoais existentes e propor diretrizes, normas e ações voltadas ao desenvolvimento, ao aperfeiçoamento e à adequação do Poder Executivo ao cumprimento das disposições da Lei Federal n° 13.709, de 2018.
Art. 4° Para as atividades de tratamento de dados pessoais pelos órgãos e entidades que compõem a Administração Pública Direta e Indireta do Poder Executivo Municipal, deverão ser observados a boa-fé e os seguintes princípios:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV -livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
TÍTULO II
DAS RESPONSABILIDADES NA ADMINISTRAÇÃO PÚBLICA MUNICIPAL
Art. 5° Para a implantação e operacionalização da Lei Geral de Proteção de Dados no Município, devem ser indicados por Portaria do Gabinete do Prefeito – GAP:
I - 1 (um) Encarregado Geral de Proteção de Dados do Município, de preferência um servidor efetivo;
II - 1 (um) Controlador Setorial em cada Secretaria e Entidade do Executivo Municipal; de preferência servidor efetivo;
Art. 6° A Administração Pública Direta e Indireta do Poder Executivo Municipal, por meio de suas entidades e órgãos, nos termos da Lei Federal n° 13.709, de 2018, deve realizar e manter atualizados:
I - o mapeamento dos dados pessoais existentes e dos fluxos de dados pessoais em suas unidades;
II - a análise de risco;
III - o plano de adequação;
IV - o relatório de impacto à proteção de dados pessoais, quando solicitado.
§ 1º Para fins do inciso III do caput deste artigo, as Secretarias devem observar as diretrizes editadas pela Controladoria Geral do Município.
§ 2º As Normas ou Diretrizes editadas, nos termos do § 1º deste artigo, devem constar as regras específicas para a realização do tratamento e proteção de dados, e seus procedimentos operacionais no Município de Pacajus.
TÍTULO III
DO COMITÊ ESTRATÉGICO DE PROTEÇÃO DE DADOS
Art. 7° Fica criado o Comitê Estratégico de Proteção de Dados Pessoais – CEPDP, no âmbito da Administração Pública Direta e Indireta do Poder Executivo Municipal, vinculado ao Gabinete do Prefeito.
Art. 8° O CEPDP terá a finalidade de avaliar os mecanismos de tratamento e proteção dos dados pessoais existentes, propor diretrizes, normas e ações voltadas ao desenvolvimento, aperfeiçoamento e adequação do Poder Executivo às disposições da Lei Geral de Proteção de Dados
'a7 1° - O CEPDP, será composto por 2 (dois) representantes da Secretaria de Administração e Finanças, 2 (dois) representantes do Gabinete do Prefeito, 1 (um) representante do Instituto de Previdência de Pacajus - PACAJUSPREV e 1 (um) representante da Autarquia Municipal de Trânsito e Transportes.
'a7 2° - Cada órgão e entidade da Administração Pública Direta e Indireta do Poder Executivo Municipal deverá indicar um ponto focal que ficará responsável pela determinação dos procedimentos referentes aos tratamentos de dados pessoais e adequação no âmbito de cada unidade, em cumprimento ao dispositivo legal.
'a7 3º - O ponto focal será o responsável pelas decisões referentes ao tratamento dos dados pessoais, nos limites de suas competências legais e institucionais.
'a7 4° - Ficam designados como responsáveis por executar as competências atribuídas ao ponto focal indicado pelos órgãos e entidades, nos termos do § 2° deste artigo, os interlocutores das Secretarias, autarquias, cadastrados junto a Controladoria Geral do Município.
Art. 9º Compete ao CEPDP:
I - realizar estudos e análises sobre as obrigações da Lei Geral de Proteção de Dados e sua aplicação aos processos e sistemas do Município;
II - propor diretrizes, normas e procedimentos para o tratamento e proteção de dados pessoais;
realizar avaliações de impacto à proteção de dados pessoais;
III - promover a conscientização e capacitação dos servidores municipais quanto às boas práticas de proteção de dados pessoais;
IV - monitorar o cumprimento das diretrizes e normas estabelecidas;
V - coordenar a resposta a incidentes de segurança e violações de dados pessoais, em conformidade com as disposições da Lei Geral de Proteção de Dados;
VI – interagir com o Encarregado de Dados Pessoais e demais órgãos competentes no âmbito da proteção de dados pessoais;
VII - elaborar relatórios periódicos sobre as atividades realizadas e os resultados alcançados.
Art. 10. O Comitê Estratégico de Proteção de Dados Pessoais - CEPDP, terá reuniões periódicas e poderá constituir Grupos de trabalho específicos para tratar de temas relacionados à proteção de dados pessoais.
Art. 11. As atribuições do CEPDP serão definidas em Regimento Interno, aprovado pelo Gabinete do Prefeito.
Art. 12. Os membros do CEPDP deverão manter sigilo sobre as informações e documentos tratados no exercício de suas funções.
Art. 13. O CEPDP contará com o apoio técnico do Coordenador de Tecnologia da Informação para o desenvolvimento de suas atividades.
Art. 14. O CEPDP poderá convidar representantes de outros órgãos ou entidades do Município, bem como especialistas externos, para participar de suas reuniões ou grupos de trabalho, com o objetivo de subsidiar suas discussões e decisões.
TÍTULO IV
DO CONTROLADOR DE DADOS
Art. 15. Fica instituído o Município de Pacajus como o Controlador de Dados.
'a7 1º - As atribuições do Controlador de Dados presentes nesse decreto, serão exercidas por intermédio dos Secretários Municipais, respeitadas suas respectivas competências e campos funcionais.
'a7 2º - São competências do Controlador de Dados além de normalizar e deliberar sobre as regras de tratamento de dados pessoais, no âmbito do Poder Executivo:
I - expedir instruções de serviço, para atendimento das boas práticas estabelecidas na LGPD, em especial quanto às normas de segurança, os padrões técnicos e as obrigações específicas para os diversos envolvidos no tratamento dos dados pessoais;
II - orientar as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais;
III - elaborar o Relatório de Impacto à Proteção de Dados Pessoais - RIDP, conforme a Lei Geral de Proteção de Dados Pessoais - LGPD;
IV - decidir sobre o uso compartilhado de dados pessoais;
V - comunicar à autoridade nacional de proteção de dados e ao titular de dados pessoais a ocorrência de incidente de segurança que possa acarretar riscos ou dano relevante aos titulares;
VI - implementar programa de governança em privacidade, comunicando à autoridade nacional de proteção de dados as informações pertinentes;
VII - adotar outras providências necessárias ao cumprimento da legislação de proteção de dados pessoais.
§ 3º - A execução das competências mencionadas no § 1° deste artigo, dar-se-á por meio dos servidores do município ou através de colaboradores, quando da prestação de serviços técnicos-especializados, em conformidade com o disposto nos artigos 23, inciso III e 41 da Lei Federal n° 13.709, de 2018.
'a7 4º - O Controlador é a parte responsável por determinar os procedimentos de tratamento de dados pessoais, tanto para aqueles obtidos de forma espontânea ou em cumprimento de dispositivo legal.
'a7 5° - O Controlador determinará o propósito do tratamento do dado pessoal, podendo atuar conjuntamente com órgão ou entidade de direito público ou privado, ou mesmo com pessoa natural.
'a7 6º - A função de Controlador abrangerá a Administração Direta e Indireta do Poder Executivo Municipal.
TÍTULO V
DO ENCARREGADO
Art. 16. O Encarregado de Dados Pessoais será o Ouvidor Geral do Município, designado para os fins do art. 41 da Lei Federal nº 13.709, de 2018.
Parágrafo único. As informações e identidade de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, no Portal da Transparência, em seção específica sobre tratamento de dados pessoais.
Art. 17. O Encarregado de Dados Pessoais será designado pelo Controlador e atuará como canal de comunicação entre o Controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD, conforme estabelecido no artigo 41 da Lei Federal n° 13.709, de 2018.
Art. 18. São atividades do Encarregado de Dados Pessoais:
I - receber as reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências;
II - receber comunicações da autoridade nacional e adotar providências;
III - orientar os servidores e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
IV - delegar a outros servidores e supervisionar atribuições que não representem risco relevante ao titular de dados pessoais;
V - elaborar diretrizes e manter inventário de dados pessoais que documente como e por que o Poder Executivo Municipal coleta, compartilha e usa dados pessoais;
VI - recomendar e orientar a confecção dos Relatórios de Impacto à Proteção de Dados Pessoais - RIDP e monitorar a sua correta realização;
VII - informar e emitir recomendação ao Controlador de dados e ao operador;
VIII - cooperar, interagir e consultar a ANPD;
IX - orientar os operadores e agentes de tratamento de dados pessoais da Administração Pública Direta e Indireta do Poder Executivo a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
X - executar as demais atribuições determinadas pelo Controlador de dados ou estabelecidas em normas complementares emanadas pela Autoridade Nacional de Proteção de Dados;
XI - produzir e manter atualizados documentos e manuais de orientação para implementação da Política Municipal de Proteção de Dados Pessoais.
informar e aconselhar o Controlador e os colaboradores que realizam o tratamento de dados sobre as obrigações decorrentes da LGPD;
XII - monitorar o cumprimento das disposições da LGPD e das políticas internas de proteção de dados pessoais;
XIII - orientar os colaboradores envolvidos no tratamento de dados sobre as práticas a serem adotadas para assegurar a conformidade com a LGPD;
XIV - receber e encaminhar as comunicações da Autoridade Nacional de Proteção de Dados ANPD, bem como cooperar com a autoridade na realização de auditorias e diligências;
XVI - receber as solicitações dos titulares de dados e garantir o exercício de seus direitos, como acesso, correção, exclusão e portabilidade de dados;
XVII - realizar a análise de risco e implementar medidas de segurança e proteção de dados pessoais;
XVIII - manter registro das atividades de tratamento de dados realizadas pelo Controlador;
§ 1º O Encarregado de Dados Pessoais terá os recursos operacionais necessários ao desempenho dessas funções e à manutenção dos seus conhecimentos, bem como acesso motivado a todas as operações de tratamento.
'a7 2º A pessoa responsável na qualidade de Encarregado de Dados Pessoais, está vinculado à obrigação de sigilo ou de confidencialidade no exercício das suas funções, em conformidade com a Lei Geral de Proteção e Dados, Lei Federal nº 13.709, de 2018, e com a Lei de Acesso à Informação, Lei Federal nº 12.527, de 18 de novembro de 2011.
Art. 19. O Encarregado de Dados Pessoais será nomeado por meio de Portaria do Controlador, devendo ser divulgado publicamente o seu contato para o exercício dos direitos dos titulares de dados pessoais.
TÍTULO VI
DO TRATAMENTO DE DADOS PESSOAIS PELA ADMINISTRAÇÃO PÚBLICA MUNICIPAL
Art. 20. Fica vedado aos órgãos e entidades da Administração Pública Municipal transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto:
I - em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, sendo observado o disposto na Lei Federal de Acesso à Informação, Lei Federal n° 12.527, de 2018.
II - nos casos em que os dados forem acessíveis publicamente, verificar as disposições da Lei Federal nº 13.709, de 2018.
III - quando houver previsão legal ou a transferência for respaldada, por meio de cláusula específica, em contratos, convênios ou instrumentos congêneres, cuja elaboração deverá ser informada pelo responsável ao Encarregado de Dados Pessoais do Município para comunicação à Autoridade Nacional de Proteção de Dados.
IV - quando a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular de dados, desde que vedado o tratamento para outras finalidades.
Parágrafo único. Em quaisquer hipóteses previstas neste artigo, a transferência de dados dependerá de autorização específica conferida pelo órgão municipal à entidade privada, bem como as entidades privadas deverão assegurar que não haverá comprometimento do nível de proteção de dados, garantindo pelo órgão Municipal.
Art. 21. Os órgãos e entidades da Administração Pública Municipal Direta e Indireta do Poder Executivo Municipal podem efetuar a comunicação ou uso compartilhado de dados pessoais a pessoa de direito privado, desde que:
I - o encarregado informe a Autoridade Nacional de Proteção de Dados, na forma do regulamento federal correspondente;
II - seja obtido o consentimento do titular, salvo:
III - nas hipóteses de dispensa de consentimentos previstos na Lei Federal n° 13.709, de 2018;
IV - nos casos de uso compartilhado de dados.
Parágrafo único. Sempre que necessário o compartilhamento de dados pessoais entre órgãos e entidades municipais com entidades privadas, poderão ocorrer somente nos termos e para as finalidades indicadas no ato do consentimento.
TÍTULO VII
DAS DISPOSIÇÕES FINAIS
Art. 22. Fica definida a Ouvidoria Geral do Município como o órgão responsável por receber todas as solicitações relativas à Lei Geral de Proteção de Dados Pessoais no âmbito da Administração Pública Direta e Indireta do Poder Executivo Municipal.
Art. 23. Os casos omissos a este Decreto serão avaliados pelo CEPDP.
Art. 24. Este Decreto entra em vigor na data de sua publicação.
PAÇO DA PREFEITURA MUNICIPAL DE PACAJUS/CE, DE 01 DE DEZEMBRO DE 2023.
DAVANILSON JOSÉ PINHEIRO LEITE
PREFEITO DO MUNICÍPIO DE PACAJUS