DECRETO Nº 061/2022

DATA: 30 DE JUNHO DE 2022

DISPÕE SOBRE A IMPLEMENTAÇÃO DA LEI N.º 13.709, DE 14 DE AGOSTO DE 2.018 (LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS – LGPD), NO ÂMBITO DO MUNICÍPIO DE NOVA UBIRATÃ, ESTADO DE MATO GROSSO E DÁ UTRAS PROVIDÊNCIAS.

O PREFEITO DO MUNICÍPIO DE NOVA UBIRATÃ, ESTADO DE MATO GROSSO, no uso de suas atribuições, que lhe são conferidas pela Lei Orgânica do Município e,

CONSIDERANDO a Lei n.º 13.709, de 14 de agosto de 2018, Lri Geral de Proteção de Dados Pessoais (LGPD);

CONSIDERANDO a complexidade da matéria que envolve o presente diploma legal, bem como, a necessidade de regulamentar sua aplicação no âmbito do município.

DECRETA:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º Este Decreto dispõe sobre as atribuições, diretrizes, ações e procedimentos para adequação do Poder Executivo do Município de Nova Ubiratã à Lei n.º 13.709, de 14 de agosto de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), a fim de tutelar o direito fundamental a proteção de dados pessoais e à autodeterminação informativa.

Art. 2° Para fins deste Decreto, considera-se:

1 - dado pessoal: informação relacionada a pessoa natural identificada identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

IX - agentes de tratamento: o controlador e o operador;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XIII - plano de adequação: documento reunindo um conjunto de normas, procedimentos, diretrizes e modelos de documentações específicas para guiar a adequação de órgãos e entidades municipais à Lei Geral de Proteção de Dados Pessoais;

XIV - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

XV - Autoridade Nacional de Proteção de Dados {ANPD): órgão da Administração Pública Federal responsável por zelar, implementar e fiscalizar o cumprimento desta lei em todo o território nacional.

Art. 3°- As atividades de tratamento de dados pessoais pelos órgãos e entidades municipais deverão observar a boa-fé e os seguintes princípios:

I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV- livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

CAPÍTULO II

DAS DIRETRIZES DA POLÍTICA MUNICIPAL DE PROTEÇÃO DE DADOS PESSOAIS

Art. 4º São diretrizes da Política Municipal de Proteção de Dados Pessoais:

I – a definição de objetivos e metas para as estratégias de adequação à LGPD e para os programas de governança em privacidade e o monitoramento dos resultados;

II – o desenvolvimento contínuo do nível de maturidade dos tratamentos dos dados;

III – o alinhamento com as políticas de segurança da informação do Município de Nova Ubiratã;

IV – o alinhamento com as boas práticas de transparência e as regras definidas na Lei Federal n.º 12.527, de 18 de novembro de 2011 (Lei de Acesso a Informação – LAI), e seus substitutos normativos;

V – a implementação de processos de gestão de risco pelos órgãos e entidades abrangidos por este Decreto para balizar a adoção de boas práticas e regras de governança associadas ao Programa de Governança em Privacidade;

VI – a manutenção da segurança jurídica dos instrumentos firmados;

VII – a proporcionalidade das medidas acerca de proteção de dados, privacidade e segurança da informação;

VIII – o atendimento tempestivo, simplificado e, preferencialmente, eletrônico às demandas do titular de dados pessoais;

IX – divulgação permanente e sensibilização dos gestores e servidores sobre a relevância da conformidade do tratamento de dados pessoais; e

X – outras diretrizes estabelecidas pelo Comitê Gestor de Proteção de Dados Pessoais – CGPDP de que trata o art. 3.º deste Decreto.

CAPÍTULO III

DO COMITÊ GESTOR DE PROTEÇÃO DE DADOS PESSOAIS

Art. 5º Fica criado o Comitê Gestor de Proteção de Dados Pessoais – CGPDP, vinculado ao Gabinete do Prefeito (GP), órgão destinado a atuar como responsável pela avaliação dos mecanismos de tratamento e proteção de dados existentes na Administração Pública Municipal e pela proposição de ações voltadas à obtenção da conformidade ao previsto na Lei Federal nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD).

Parágrafo único. O CGPD exercerá suas atribuições observando os princípios e normas que devem nortear o tratamento de dados pessoais, físicos e digitais no âmbito da Administração Pública Municipal, a fim de garantir a proteção da privacidade de seus titulares.

Art. 6º Compete ao Comitê Gestor de Proteção de Dados Pessoais – CGPDP, com base nos princípios e disposição contidos na LGPD e em regulamentos complementares da Autoridade Nacional de Proteção de Dados – ANPD, estabelecer diretrizes, definir normas, atribuir competências e deliberar sobre a Política Municipal de Proteção de Dados Pessoais, estratégias de adequação, objetivos, metas, prazos e os programas de governança em privacidade.

Art. 7º O Comitê Gestor de Proteção de Dados Pessoais - CGPDP, será composto pelos seguintes membros:

I – 01 (um) representante da Secretaria Municipal de Administração;

II – 01 (um) representante da Controladoria Interna do Município;

III – 01 (um) representante da Procuradoria Jurídica do Município;

IV – 01 (um) representante da Secretaria de Município da Finanças;

V - 01 (um) responsável pelo Departamento de Informática/Tecnologia da Informação;

VI - 01 (um) responsável pela Divisão de Transparência do Município.

§1º Os membros do Comitê Gestor de Proteção de Dados Pessoais, serão indicados pela autoridade máxima de cada órgão ou entidade descrita no caput deste artigo, em até 30 (trinta) dias da publicação deste Decreto, e, nomeados pelo Prefeito do Município através de Portaria.

§2º Os membros indicados para o Comitê Gestor de Proteção de Dados Pessoais, devem possuir notórios e comprovados conhecimentos em proteção de dados pessoais, gestão de projetos, gestão de risco e/ou segurança da informação.

§ 3º O representante da Procuradoria Jurídica do Município, orientará o Comitê Gestor de Proteção de Dados Pessoais acerca dos aspectos jurídicos que devem ser observados, propondo a formulação de consulta jurídica, quando necessário.

§4º A Controladoria Interna do Município prestará apoio administrativo e material para o desempenho das atividades do Comitê Gestor de Proteção de Dados Pessoais – CGPDP.

§5º O Departamento de Informática / Tecnologia da Informação, prestará apoio técnico e operacional ao Comitê Gestor de Proteção de Dados Pessoais – CGPDP.

Art. 8º O Comitê Gestor de Proteção de Dados Pessoais - CGPDP, com atuação permanente, terá as seguintes competências:

I - avaliar os mecanismos de tratamento e proteção de dados existentes e propor políticas, estratégias e metas visando estabelecer a conformidade do Poder Executivo Municipal com as disposições da Lei Federal nº 13.709, de 2018;

II - formular princípios e diretrizes para a gestão de dados pessoais e propor sua regulamentação;

III - supervisionar a execução dos planos, dos projetos e das ações aprovados para viabilizar a implantação das diretrizes previstas na Lei Federal nº 13.709, de 2018;

IV - prestar orientações sobre o tratamento e a proteção de dados pessoais de acordo com as diretrizes estabelecidas na Lei Federal nº 13.709, de 2018 e neste Decreto;

V - promover o intercâmbio de informações sobre a proteção de dados pessoais com outros órgãos;

VI – monitorar a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

VII – acompanhar permanentemente a evolução de maturidade, a gestão de riscos e os indicadores associados aos programas de governança em privacidade implementados no Poder Executivo Municipal;

VIII – coordenar e orientar a rede de Encarregados nos órgãos e entidades do Poder Executivo Municipal;

IX – deliberar e incentivar a adoção de padrões para procedimentos, serviços e produtos que facilitem aos titulares de dados pessoais o exercício de seus direitos;

X – a estimular a integração e articulação entre os diversos órgãos e entidades do Poder Executivo Municipal para o desenvolvimento e operacionalização das ações de adequação à LGPD;

XI – promover a governança em privacidade e a proteção dos dados pessoais através da coordenação e realização de ações de capacitação, da elaboração de manuais e cartilhas e da divulgação de boas práticas, ações relevantes e resultados entre os órgãos e entidades do Poder Executivo Municipal;

XII – realizar outras atribuições correlatas.

Parágrafo único. Os órgãos e entidades do Poder Executivo Municipal devem disponibilizar para o Comitê Gestor de Proteção de Dados Pessoais - CGPDP as informações necessárias para o exercício de suas competências relacionadas aos processos de tratamento e compartilhamento de dados pessoais e a implementação das ações de adequação à LGPD, resguardado, conforme cada caso, os sigilos fiscais e legais previstos nas respectivas legislações.

Art. 9º O Comitê Gestor de Proteção de Dados Pessoais - CGPDP poderá convidar representantes de órgãos e entidades públicas e privadas, além de pesquisadores e especialistas, para participarem de suas atividades, quando sua experiência ou expertise for relevante.

Parágrafo único. A participação dos convidados de que trata o caput deste artigo ficará restrita ao tempo necessário para prestar os esclarecimentos a eles solicitados.

Art. 10 No desempenho de suas atribuições, o CGPD poderá instituir Grupo de Trabalhos (GT-LGPD) específicos visando auxiliar e operacionalizar a implantação do disposto neste Decreto.

§1º Os grupos de trabalho serão constituídos segundo suas afinidades com os temas e as disposições abrangidas pela LGPD, a serem avaliadas, consideradas, atendidas ou empreendidas no âmbito do Município.

§ 2º A participação de representantes no Grupo de Trabalho (GT-LGPD) será considerada prestação de serviço público relevante, não remunerada.

CAPÍTULO V

DO ENCARREGADO PELO TRATAMENTO DOS DADOS PESSOAIS

Art. 11 O dirigente máximo de cada órgão, unidade ou entidade do Poder Executivo Municipal deve indicar, preferencialmente, servidor efetivo para ser o Encarregado pelo tratamento dos dados pessoais, nos termos do inciso III do art. 23 e do art. 41 da LGPD, mediante publicação junto a imprensa oficial do município, nos termos e prazos estipulados pelo Comitê Gestor de Proteção de Dados Pessoais – CGPDP.

§1º O Comitê Gestor de Proteção de Dados Pessoais – CGPDP poderá dispor sobre as hipóteses em que o dirigente máximo do órgão ou entidade será dispensado da indicação de Encarregado próprio.

§ 2º O servidor Encarregado designado na forma do caput deste artigo deverá:

I – Ter experiência e conhecimentos multidisciplinares, preferencialmente em proteção de dados pessoais, gestão de projetos e processos, tecnologia e segurança da informação, gestão de riscos, dentre outras matérias correlatas;

II – Estar subordinado diretamente ao dirigente máximo do órgão ou entidade;

III – Não estar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação de órgão ou entidade do Poder Executivo Municipal.

§ 3º Para fins de atendimento ao inciso I do §2º, o Encarregado deverá participar das capacitações, seminários e treinamentos disponibilizados pelo órgão ou entidade ao qual está vinculado, bem como das atividades de capacitação disponibilizadas por outros órgãos, pelo Comitê Gestor de Proteção de Dados Pessoais – CGPDP, Controladoria Geral do Município, Secretaria Municipal de Administração.

§ 4º A identidade e as informações de contato do Encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, no site de cada órgão ou entidade do Poder Executivo Municipal.

Art. 12 Compete ao Encarregado e sua equipe de apoio:

I – aceitar reclamações e comunicações dos titulares de dados pessoais, prestar esclarecimentos e adotar providências;

II – receber comunicações da Autoridade Nacional de Proteção de Dados – ANPD e adotar providências;

III – orientar os servidores, funcionários e os contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

IV – realizar, com apoio do Comitê Gestor de Proteção de Dados Pessoais – CGPDP, o mapeamento dos processos de tratamento de dados pessoais realizados no âmbito do órgão ou da entidade Municipal, inclusive dos compartilhamentos com entidades públicas ou privadas, propondo adequações a luz da LGPD;

V – executar outras atribuições normatizadas pelo Comitê Gestor de Proteção de Dados Pessoais – CGPDP;

VI - seguir as orientações do Comitê Gestor de Proteção de Dados Pessoais – CGPDP, bem como apoiá-lo, repassando todas as informações necessárias para o cumprimento de suas atribuições; e

VII – atender às normas complementares da Autoridade Nacional de Proteção de Dados – ANPD.

Art. 13 O Encarregado deve ter garantidos pela autoridade máxima do órgão ou entidade ao qual está vinculado:

I – acesso direto aos dirigentes do órgão ou entidade a que está vinculado;

II – apoio dos setores jurídico, tecnológico, de controle interno do órgão ou entidade e da ouvidoria para o desempenho de suas funções;

III – acesso motivado a todas as operações de tratamento de dados pessoais no âmbito do órgão ou entidade;

IV – capacitação permanente em temas relevantes para o desempenho de suas competências, como as definidas no art. 10 deste Decreto.

CAPÍTULO VI

DAS DEMAIS COMPETENCIAS

Art. 14 Compete aos dirigentes máximos dos órgãos e entidades do Poder Executivo Municipal:

I – Prover condições e promover ações para adequação dos processes e tratamentos de dados pessoais do órgão ou entidade à LGPD, às normas definidas pela Autoridade Nacional de Proteção de Dados – ANPD e as determinações do Comitê Gestor de Proteção de Dados Pessoais - CGPDP;

II – Adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

III – Comunicar, através do Encarregado, a Autoridade Nacional de Proteção de Dados - ANPD e aos titulares dos dados pessoais, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;

IV – Implementar o Programa de Governança em Privacidade, com base nos requisitos mínimos do art. 50, § 2º da LGPD;

V - Fornecer aos operadores, através do Encarregado, termos de uso, políticas de privacidade, manuais orientativos e capacitação relacionados aos tratamentos sob sua responsabilidade; e

VI – Elaborar o Relatório de Impacto a Proteção de Dados Pessoais, na forma e condições previstas na LGPD, com apoio do Encarregado, da procuradoria jurídica e do Departamento de Informática / TI do órgão ou entidade.

Art. 15 Compete a Procuradoria Jurídica do Município prestar consultoria jurídica ao Comitê Gestor de Proteção de Dados Pessoais – CGPDP e aos órgãos e entidades da Administração Pública Municipal Direta e Indireta, mediante a emissão de pareceres ou outras manifestações oficiais para dirimir dúvidas e ficar a interpretação da LGPD, bem como, para a elaboração dos atos normativos, modelos de contratos, de convênios e de acordos de cooperação aderentes à LGPD.

Parágrafo único. As consultas dos órgãos e entidades da Administração Pública Municipal Direta e Indireta deverão ser direcionadas ao Comitê Gestor de Proteção de Dados Pessoais – CGPDP, que encaminhará a Procuradoria Jurídica do Município, caso entenda necessário.

Art. 16 A Unidade de Controle Interno do Município irá auxiliar os órgãos e entidades na implementação de processos de gestão de riscos e avaliação de maturidade dos programas de governança em privacidade, bem como, estabelecer e implementar a sistemática de auditoria interna baseada em riscos para avaliar a adequação à LGPD, a implementação da Política Municipal de Proteção de Dados Pessoais e a operacionalização dos programas de governança em privacidade.

Art. 17 Compete ao Departamento de Informática / Tecnologia da Informação da Prefeitura Municipal de Nova Ubiratã:

I – orientar a aplicação de soluções de Tecnologia da Informação relacionadas à proteção de dados pessoais;

II – adequar as arquiteturas e as operações compartilhadas, hospedadas no data center e na rede corporativas exigências da Lei n.º 13.709/2018; e

III – propor padrões de desenvolvimento de novas soluções de tecnologia da informação, considerando a proteção de dados pessoais, desde a fase de concepção do produto e serviço até sua execução.

Parágrafo único. As arquiteturas e as operações de que trata o inciso II poderão ter seu escopo alterado por meio de acordo entre as partes responsáveis pelo compartilhamento.

CAPÍTULO VII

DA CAPACITAÇÃO E DIVULGAÇÃO

Art. 18 O Comitê Gestor de Proteção de Dados Pessoais – CGPDP, deve capacitar e sensibilizar os Encarregados, os agentes de tratamento, os dirigentes dos órgãos e entidades do Poder Executivo Municipal e demais envolvidos nas normas, políticas e procedimentos associados à proteção de dados pessoais e nas ações necessárias para adequação à LGPD.

§1º O Comitê Gestor de Proteção de Dados Pessoais – CGPDP definirá prazos para a conclusão das capacitações e demais ações previstas no caput deste artigo.

§2º O Comitê Gestor de Proteção de Dados Pessoais – CGPDP, conforme diretrizes e prazos estabelecidos, em articulação com outros órgãos, elaborará e dará publicidade a manuais, cartilhas e material eletrônico de divulgação relacionados à LGPD, medidas de segurança e ações de proteção a dados pessoais.

CAPÍTULO VIII

DAS DISPOSIÇÕES FINAIS

Art. 19 Os prazos estabelecidos neste Decreto podem ser alterados pelo Comitê Gestor de Proteção de Dados Pessoais – CGPDP mediante decisão fundamentada.

Art. 20 Os órgãos e as entidades do Poder Executivo Municipal deverão informar, nos seus sítios eletrônicos, as hipóteses em que, no exercício de sua competência, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.

Art. 21 As empresas públicas e as sociedades de economia mista municipais deverão estabelecer, monitorar e revisar suas políticas de proteção de dados pessoais por ato próprio aprovado pelos seus respectivos conselhos de administração.

§ 1º As empresas públicas e as sociedades de economia mista municipais que atuam em regime de concorrência, sujeitas ao disposto no art. 173 da Constituição Federal, observarão o mesmo regime de tratamento de dados dispensado pela LGPD às pessoas jurídicas de direito privado.

§ 2º Quando estiverem executando políticas públicas, as empresas públicas e as sociedades de economia mista municipais observarão as regras da LGPD destinadas aos órgãos e as entidades do Poder Público, observados, no que couber, os termos deste Decreto.

Art. 22 Este Decreto entra em vigor na data da sua publicação.

Nova Ubiratã, Estado de Mato Grosso, 30 de junho de 2022.

EDEGAR JOSÉ BERNARDI

Prefeito Municipal

REGISTRE-SE, PUBLIQUE-SE E AFIXE-SE.

FRANCINE OLIVEIRA

Secretária Municipal de Administração

Decreto. Nº 001/2021