REGULAMENTA A LEI FEDERAL N.º 13.709, DE 14 DE AGOSTO DE 2018 - LEI DE PROTEÇÃO DE DADOS PESSOAIS (LGPD) NO ÂMBITO DESTA ADMINISTRAÇÃO MUNICIPAL DIRETA E INDIRETA, E DÁ OUTRAS PROVIDÊNCIAS.

O PREFEITO MUNICIPAL, no uso da atribuição que lhe confere art. 7º, caput, inciso XLV c/c o art. 80, caput, inciso IV da Lei Orgânica do Município.

CONSIDERANDO que a Lei Federal n.º 13.709 de 14 de agosto de 2018, dispõe sobre a Proteção de Dados Pessoais;

CONSIDERANDO a Lei Federal n.º 12.527, de 18 de novembro de 2011 que “Regula o acesso a informações previsto no inciso XXXIII do art. 5º, no inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição Federal”;

CONSIDERANDO a Lei Municipal n.º 4.084. de 11 de setembro de 2013, dispõe sobre o acesso à informação previsto no inciso XXXIII, do caput, do art. 5º; no inciso II, do § 3º, do art. 37; e no § 2º, do art. 216, da Constituição Federal;

D E C R E T A:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º Este Decreto dispõe sobre as atribuições, diretrizes, ações e procedimentos para adequação do Poder Executivo do Município de Tangará da Serra-MT, a Lei Geral de Proteção de Dados (LGPD), com o fito de tutelar o direito fundamental a proteção de dados pessoais e a autodeterminação informativa.

Parágrafo único. Fica instituído o Sistema de Privacidade e Proteção de Dados Pessoais do Município de Tangará da Serra, que representa o conjunto de princípios, diretrizes, estratégias, responsabilidades e demais elementos continuamente definidos para a garantia da proteção de dados no âmbito da Administração Pública Municipal e do desenvolvimento de uma cultura de privacidade e segurança da informação.

CAPÍTULO II

DAS DIRETRIZES DA POLÍTICA MUNICIPAL DE PROTEÇÃO DE DADOS PESSOAIS

Art. 2º São diretrizes da Política Municipal de Proteção de Dados Pessoais:

I - a definição de objetivos e metas para as estratégias de adequação à LGPD e para os programas de governança em privacidade e o monitoramento dos resultados;

II - o desenvolvimento contínuo do nível de maturidade dos tratamentos dos dados;

III - o alinhamento com as políticas de segurança da informação do Município de Tangará da Serra-MT;

IV - o alinhamento com as boas práticas de transparência e as regras definidas na Lei Federal n.º 12.527, de 18 de novembro de 2011 (Lei de Acesso a Informação - LAI), e seus substitutos normativos;

V - a implementação de processos de gestão de risco pelos órgãos e entidades abrangidos por este Decreto para balizar a adoção de boas práticas e regras de governança associadas ao Programa de Governança em Privacidade;

VI - a manutenção da segurança jurídica dos instrumentos firmados;

VII - a proporcionalidade das medidas acerca de proteção de dados, privacidade e segurança da informação;

VIII - o atendimento tempestivo, simplificado e, preferencialmente, eletrônico às demandas do titular de dados pessoais;

IX - divulgação permanente e sensibilização dos gestores e servidores sobre a relevância da conformidade do tratamento de dados pessoais.

Art. 3º Considera-se, para os fins deste decreto:

I – Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II – Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou a vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III – Tratamento: toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

IV – Titular: pessoa natural a quem se referem os dados pessoais que são objetos de tratamento;

V – Privacidade: garantia individual de controle e sigilo sobre os dados de titularidade de uma pessoa;

VI – Proteção de dados: garantia de implementação de medidas técnicas e organizacionais para atendimento aos direitos dos titulares e manutenção da integridade, disponibilidade e, quando aplicável, confidencialidade dos dados pessoais;

VII – Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VIII – Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

IX – Autoridade Nacional de Proteção de Dados (ANPD): órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Leio em todo território nacional;

X – Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

XI – Relatório de Impacto à Proteção de Dados: Documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardadas e mecanismos de mitigação de risco;

XII – Lei Geral de Proteção de Dados Pessoais (LGPD): Lei Federal n.º 13.709, de 14 de agosto de 2018.

CAPÍTULO III

DO COMITÊ EXECUTIVO DE PROTEÇÃO DE DADOS PESSOAIS

Art. 4º O Comitê Executivo de Proteção de Dados Pessoais - CEPDP, coordenado pelo Assessor de Proteção de Dados, será composto por servidores efetivos dos seguintes órgãos:

I – um representante e um suplente do Gabinete do Prefeito - GAB;

II – um representante e um suplente da Secretaria de Administração - SAD;

III – dois representantes e um suplente da Secretaria Municipal de Fazenda – SEFAZ;

IV – dois representantes e um suplente da Secretaria Municipal de Saúde - SMS;

V - dois representantes e um suplente da Secretaria Municipal de Educação - SEMEC;

VI – um representante e um suplente da Câmara Municipal;

VII – um representante e um suplente do Instituto Municipal de Previdência Social dos Servidores de Tangará da Serra – SERRAPREV;

VIII – um representante e um suplente do Serviço Autônomo Municipal de Água e Esgoto – SAMAE.

§ 1º Os membros do Comitê Executivo de Proteção de Dados Pessoais – CEPDP serão indicados pela autoridade máxima de cada órgão,

§ 2º Ao Assessor de Proteção de Dados, fica responsável pela coordenação e implantação da Política de Proteção e Privacidade de Dados Pessoais no Município de Tangará da Serra – MT.

§ 3º O representante da Procuradoria-Geral do Município (PGM) prestará apoio ao Comitê Executivo de Proteção de Dados Pessoais – CEPDP acerca dos aspectos jurídicos que devem ser observados, propondo a formulação de consulta jurídica, quando necessário.

§ 4º A Controladoria Geral do Município (CGM) prestará apoio administrativo e material para o desempenho das atividades do Comitê Executivo de Proteção de Dados Pessoais (CEPDP).

§ 5º Para cada órgão representado da Administração Pública Municipal, deverá ser indicado um suplente apto a exercer suas atividades em caso de ausência do titular.

§ 6º A escolha dos membros do CEPDP e respectivos suplentes deverá levar em consideração a disponibilidade e aptidão técnica para o desempenho das atividades deliberativas do Comitê, incluindo noções relacionadas à privacidade e proteção de dados, análise jurídica, gestão de riscos, governança de dados, acesso à informação no setor público e segurança da informação.

§7º O Comitê terá a sua funcionalidade regulamentada por meio de Regimento Interno, que será submetido à homologação por meio de Decreto do Executivo.

Art. 5º O Comitê Executivo de Proteção de Dados Pessoais (CEPDP), com atuação permanente, terá as seguintes competências:

I – elaborar diretrizes, estratégias, ações e metas para gradual adequação do Município de Tangará da Serra à LGPD e implementação da Política Municipal de Proteção de Dados Pessoais;

II – elaborar normas relacionadas à proteção de dados pessoais no âmbito do município de Tangará da Serra com base na LGPD e regulamentos da Autoridade Nacional de Proteção de Dados – ANPD submetendo à aprovação do Controlador;

III – monitorar a execução e desempenho das estratégias e ações implementadas, o cumprimento de prazos, objetivos e metas para adequação e implementação da Política Municipal de Proteção de Dados Pessoais;

IV – monitorar a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

V – acompanhar permanentemente a evolução de maturidade, a gestão de riscos e os indicadores associados aos programas de governança em privacidades implementadas;

VI – deliberar e incentivar a adoção de padrões para procedimentos, serviços e produtos que facilitem aos titulares de dados pessoais o exercício de seus direitos;

VII – deliberar e esclarecer questões de repercussão geral nas atividades das unidades administrativas e operacionais que envolvam o tratamento de dados pessoais;

VIII – apurar situações reais ou suspeitas de incidentes ou irregularidades envolvendo dados pessoais;

§ 1º Os órgãos e entidades do Poder Executivo e Legislativo Municipal, devem disponibilizar para o Comitê Executivo de Proteção de Dados Pessoais – CEPDP as informações necessárias para o exercício de suas competências relacionadas aos processos de tratamento e compartilhamento de dados pessoais e a implementação das ações de adequação à LGPD, resguardado, conforme cada caso, os sigilos fiscais e legais previstos nas respectivas legislações.

§ 2º Para o adequado desempenho de suas competências, o CEPDP:

I – Deve ser prontamente atendido pelas unidades ou fornecedores responsáveis pelo gerenciamento dos sistemas de informação sob uso da Administração Pública Municipal;

II – Estabelecer e acompanhar ações corretivas decorrentes da apuração de incidentes ou irregularidades, podendo ainda recomendar às autoridades respectivas a apuração de eventuais infrações administrativo-disciplinares;

Art. 6º O Comitê Executivo de Proteção de Dados Pessoais – CEPDP poderá convidar representantes de órgãos e entidades públicas e privadas, além de pesquisadores e especialistas, para participarem de suas atividades, quando sua experiência ou expertise for relevante.

Parágrafo único. A participação dos convidados de que trata o caput deste artigo ficará restrita ao tempo necessário para prestar os esclarecimentos a eles solicitados.

CAPÍTULO IV

DO ENCARREGADO PELO TRATAMENTO DOS DADOS PESSOAIS, E EQUIPE DE APOIO SETORIAL

Art. 7º O Chefe do Poder Executivo Municipal nomeará, preferencialmente, um servidor efetivo para ser o Encarregado pelo tratamento de dados pessoais, conforme o inciso III do art. 23 e o art. 41 da LGPD.

§ 1º A nomeação do encarregado deve ser publicada no Diário Oficial e o servidor deve ocupará o cargo comissionado de Assessor de Proteção de Dados, na forma da estrutura administrativa do Município de Tangará da Serra/MT.

§ 2º O servidor designado na forma do caput deste artigo deverá:

I – ter conhecimentos multidisciplinares, preferencialmente em proteção de dados pessoais, gestão de projetos e processos, tecnologia e segurança da informação, gestão de riscos, dentre outras matérias correlatas;

II – estar subordinado diretamente ao Chefe do Poder Executivo Municipal;

III – possuir conhecimentos suficientes sobre a estrutura organizacional da Administração Municipal, permitindo-lhe realizar a articulação necessária à gestão do Sistema de Privacidade e Proteção de Dados Pessoais;

IV – não ocupar originalmente algum cargo de chefia, especialmente em unidade relacionada a Tecnologia de informação;

V – não se encontrar em situação real ou aparente de conflito de interesse em relação ao Sistema de Privacidade e Proteção de Dados Pessoais.

§ 3º Para fins de atendimento ao inciso I do § 2º, o Encarregado deverá participar das capacitações, seminários e treinamentos disponibilizados pelo órgão ou entidade ao qual está vinculado, bem como das atividades de capacitação disponibilizadas por outros órgãos.

§ 4º A identidade e as informações de contato do Encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, no site oficial de cada órgão ou entidade do Município.

§ 5º Cada entidade pertencente a Administração Pública Indireta terá o seu próprio Encarregado, que será designado pela Autoridade máxima da Entidade.

Art. 8º Compete ao Encarregado pelo Tratamento de Dados Pessoais:

I – aceitar reclamações e comunicações dos titulares de dados pessoais, prestar esclarecimentos e adotar providências;

II – receber comunicações da Autoridade Nacional de Proteção de Dados – ANPD e adotar providências;

III – orientar os servidores, funcionários e os contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

IV – realizar, com apoio do Comitê Executivo de Proteção de Dados Pessoais – CEPDP, o mapeamento dos processos de tratamento de dados pessoais realizados no âmbito do órgão ou da entidade Municipal, inclusive dos compartilhamentos com entidades públicas ou privadas, propondo adequações a luz da LGPD;

V – seguir as orientações do Comitê Executivo de Proteção de Dados Pessoais – CEPDP, bem como apoiá-lo, repassando todas as informações necessárias para o cumprimento de suas atribuições;

VI – atender às normas complementares da Autoridade Nacional de Proteção de Dados – ANPD;

VII – elaborar o Relatório de Impacto a Proteção de Dados Pessoais, na forma e condições previstas na LGPD com apoio do setor jurídico e do setor de TI do órgão ou entidade.

VIII – reportar incidentes de segurança envolvendo dados pessoais aos respectivos titulares e à Autoridade Nacional de Proteção de Dados – ANPD;

IX – propor e acompanhar ações corretivas endereçadas ao Controlador e aos Operadores, bem como validar as ações corretivas propostas pelas Equipes de Apoio Setoriais em seus órgãos de competência;

X – capacitar a Equipe de Apoio Setorial e estabelecer periodicamente um planejamento estratégico contendo as atividades a ser desenvolvida no âmbito de atuação;

XI – reunir e avaliar os registros de operação envolvendo o tratamento de dados pessoais, elaborados e mantidos pela Equipe de Apoio Setorial, a fim de identificar, com apoio do Comitê Executivo de Proteção de Dados Pessoais – CEPDP, os riscos à proteção de dados pessoais contidos nessas atividades;

XII – obter esclarecimentos junto à Equipe de Apoio Setorial a respeito de assuntos que impactem seus respectivos âmbitos de atuação;

XIII – executar outras atribuições definidas pelo Controlador ou em normas complementares;

Art. 9º A Equipe de Apoio Setorial exercerá função de auxiliar e deverão ser designados pelo gestor de cada órgão:

§ 1º A escolha dos membros da Equipe de Apoio Setorial e respectivos suplentes deverá levar em consideração os seguintes atributos:

I – Os indicados devem, preferencialmente, fazer parte do quadro efetivo de servidores;

II – Os indicados não podem ser membros, titulares ou suplentes da CEPDP;

III – Os indicados devem possuir conhecimentos suficientes acerca das diretrizes relativas ao tratamento de dados no setor Público;

IV – Os indicados devem possuir conhecimentos suficientes sobre a estrutura organizacional de seus respectivos órgãos, que lhe permitam articular para levantar informações setoriais atinentes à gestão do Sistema de Privacidade e Proteção de Dados Pessoais, em especial para a manutenção dos registros de operações envolvendo dados pessoais.

§ 2º Compete à Equipe de Apoio Setorial:

I – auxiliar nas funções do encarregado de dados pessoais;

II – dirimir dúvidas de servidores ou terceiros sobre temas relacionados à privacidade e proteção de dados pessoais;

III – estabelecer e acompanhar ações corretivas em seu âmbito de atuação, visando a adequação de processo à LGPD, mediante validação do Encarregado;

IV – promover e atualizar periodicamente, conforme definido pelo CEPDP, o mapeamento de dados pessoais desenvolvido em seu âmbito de atuação;

V – adotar providências determinadas pelo Encarregado nas demandas envolvendo seus âmbitos de atuação;

Art. 10. O Encarregado deve ter garantidos pela autoridade máxima do órgão ou entidade ao qual está vinculado:

I – acesso direto aos dirigentes do órgão ou entidade a que está vinculado;

II – apoio dos setores jurídico, tecnológico, de controle interno do órgão ou entidade e da ouvidoria para o desempenho de suas funções;

III – acesso motivado a todas as operações de tratamento de dados pessoais no âmbito do órgão ou entidade;

IV – capacitação permanente em temas relevantes para o desempenho de suas competências.

V – atendimento com prontidão pelas unidades administrativas e operacionais, quando por ele acionadas;

VI – recursos temporais, técnicos, materiais e financeiros necessários ao desempenho de suas atividades, observada a disponibilidades financeira da Administração Pública Municipal.

CAPÍTULO V

DAS DEMAIS COMPETÊNCIAS

Art. 11. Compete aos dirigentes máximos dos órgãos e entidades do Poder Executivo Municipal:

I – prover condições e promover ações para adequação dos processos e tratamentos de dados pessoais do órgão ou entidade à LGPD, às normas definidas pela Autoridade Nacional de Proteção de Dados – ANPD e as determinações do Comitê Executivo de Proteção de Dados Pessoais – CEPDP;

II – adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

III – comunicar, através do Encarregado, a Autoridade Nacional de Proteção de Dados – ANPD e aos titulares dos dados pessoais, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;

IV – implementar o Programa de Governança em Privacidade, com base nos requisitos mínimos do art. 50, § 2º da LGPD;

V – fornecer aos servidores, terceirizados, estagiários e todos aqueles que atuem em nome dos órgão e Entidades Municipais, através do Encarregado, termo de uso, políticas de privacidade, manuais orientativos e capacitação relacionados aos tratamentos de dados pessoais do Controlador no desenvolvimento de usas atividades e na prestação de serviços públicos; e

VI – Colaborar com o pleno desenvolvimento das atividades da Equipe de Apoio Setorial e do CEPDP;

VII – tomar conhecimento das políticas, diretrizes e estratégias do Sistema de Privacidade e Proteção de Dados Pessoais.

Art. 12. Compete aos servidores terceirizados, estagiários e todos aqueles que atuem em nome dos Órgãos e Entidades Municipais observar as diretrizes sobre tratamento de dados pessoais do Controlador no desenvolvimento de suas atividades e na prestação de serviços públicos.

Art. 13. Compete ao Controlador de Dados Pessoais:

I – dar publicidade em seu sítio eletrônico sobre as informações a respeito do Encarregado pelo Tratamento de Dados Pessoais e do Comitê Executivo de Proteção de Dados Pessoais;

II – encaminhar ao Encarregado as informações que venham a ser solicitadas pela ANPD;

III – orientar operadores de dados através de normas, instruções e capacitações quanto ao tratamento de dados sob sua responsabilidade;

IV – disponibilizar canal de comunicação entre Encarregado e titulares de dados pessoais;

V – elaborar o inventário dos dados pessoais tratados, bem como os riscos relacionado a essas atividades;

VI – elaborar o Relatório de Impacto à Proteção de Dados Pessoais referentes às operações de tratamento de dados, conforme determinação da ANPD.

Art. 14. Compete a Procuradoria-Geral do Município – PGM prestar consultoria jurídica ao Comitê Executivo de Proteção de Dados Pessoais – CEPDP e aos órgãos e entidades da Administração Pública Municipal Direta e Indireta, mediante a emissão de pareceres ou outras manifestações oficiais para dirimir dúvidas e fixar a interpretação da LGPD, bem como para a elaboração dos atos normativos, modelos de contratos, de convênios e de acordos de cooperação aderentes à LGPD.

Parágrafo único. As consultas relativas a proteção de dados pessoais, oriunda dos órgãos e entidades da Administração Pública Municipal Direta e Indireta devem ser encaminhadas ao Comitê Executivo de Proteção de Dados Pessoais – CEPDP.

Art. 15. Compete a Controladoria Geral do Município – CGM:

I – auxiliar os órgãos e entidades na implementação de processos de gestão de riscos e avaliação de maturidade dos programas de governança em privacidade;

II – estabelecer e implementar a sistemática de auditoria interna baseada em riscos para avaliar a adequação à LGPD, a implementação da Política Municipal de Proteção de Dados Pessoais e a operacionalização dos programas de governança em privacidade.

Art. 16. Compete ao Departamento de Tecnologia da Informação:

I – orientar a aplicação de soluções de Tecnologia das Informações relacionadas à proteção de dados pessoais;

II – adequar as arquiteturas e as operações compartilhadas, hospedadas no data-center e na rede corporativa as exigências da Lei nº 13.709/2018;

III – propor padrões de desenvolvimento de novas soluções de tecnologia da informação, considerando a proteção de dados pessoais, desde a fase de concepção do produto e serviço até a sua execução.

Parágrafo único. As arquiteturas e as operações de que trata o inciso II poderão ter seu escopo alterado por meio de acordo entre as partes responsáveis pelo compartilhamento.

CAPÍTULO VI

DAS DISPOSIÇÕES FINAIS

Art. 17. Os órgãos e as entidades do Poder Executivo e Legislativo Municipal deverão informar, nos seus sítios eletrônicos, as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.

Art. 18. A equipe de apoio setoriais tratados no artigo 7°-A será descentralizada e composta pela designação de servidores efetivos lotados nos respectivos órgãos e entidades que auxiliarão o encarregado na implantação da LGPD.

Art. 19. Este Decreto entra em vigor na data de sua publicação, revogando-se as disposições contrárias, em especial o Decreto n.º 572, de 07 de dezembro de 2021; Decreto n.º 291 de 04 de julho de 2023 e o Decreto n.º 350 de 14 de outubro de 2022.

Prefeitura Municipal de Tangará da Serra, Estado de Mato Grosso, 12 de agosto de 2024, 48º aniversário de Emancipação Político – Administrativa.

VANDER ALBERTO MASSON

Prefeito Municipal

ARIELZO DA GUIA E CRUZ

Secretário Municipal de Administração

Registrado na Secretaria Municipal de Administração e publicado por afixação em lugar de costume na data supra e disponibilizado no site: www.tangaradaserra.mt.gov.br.