Distrito Federal
Decreto Distrital do Distrito Federal nº 42036, de 27 de abril de 2021
Nº 42036/2021
Dispõe sobre a aplicação da Lei Federal nº 13.709, de 14 de agosto de 2018- Lei Geral de Proteção de Dados Pessoais - LGPD, no âmbito da Administração Pública Direta e Indireta do Distrito Federal e dá outras providências.
O GOVERNADOR DO DISTRITO FEDERAL, no uso das atribuições que lhe confere os incisos VII e X do art. 100 da Lei Orgânica do Distrito Federal, DECRETA:
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1.
Este Decreto estabelece diretrizes para a aplicação da Lei Federal nº 13.709, de 14 de agosto de 2018 quanto às figuras dos agentes de tratamento e dos Encarregados, no âmbito da Administração Pública Direta e Indireta do Distrito Federal do Distrito Federal.
Art. 2.
A aplicação deste Decreto deve observar os seguintes princípios:
Irespeito à privacidade;
IIautodeterminação informativa;
IIIliberdade de expressão, de informação, de comunicação e de opinião;
IVinviolabilidade da intimidade, da honra e da imagem;
Vdesenvolvimento econômico e tecnológico e a inovação;
VIlivre iniciativa, a livre concorrência e a defesa do consumidor;
VIIrespeito dos direitos humanos, do livre desenvolvimento da personalidade, da dignidade e do exercício da cidadania pelas pessoas naturais; e,
VIIIinteresse público;
IXtransparência de atuação no âmbito de suas competências
Art. 3.
Para fins deste Decreto, considera-se:
Idado pessoal: informação relacionada a pessoa natural identificada ou identificável;
IIdado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
IIIdado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento; I
Vbanco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico; titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
VIcontrolador: pessoa jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VIIoperador: pessoa jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIIIencarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
IXagentes de tratamento: o controlador e o operador interno e externo;
Xtratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XIautoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei nº 13.709, de 2018 em todo o território nacional;
XIIunidade gestora: ambiente sob o qual cada controlador tem competência de atuação.
CAPÍTULO II
DOS AGENTES DE TRATAMENTO
SEÇÃO I
Do Controlador
Art. 4.
O Controlador é o órgão ou entidade, pessoa jurídica de direito público ou privado, que compõe a Administração Pública Direta e Indireta do Distrito Federal.
§ 1ºAs autoridades máximas titulares de cada órgão ou entidade do Distrito Federal atuam como representantes do seu respectivo Controlador perante os órgãos de controle.
§ 2ºOs representantes dos Controladores serão substituídos pelo seu sucessor hierárquico, conforme estrutura do órgão ou entidade em questão, no caso de ausências ou impedimentos legais.
Art. 5.
Compete ao Controlador:
Icontrolar e gerir a atividade de tratamento de dados;
IIinstruir os operadores sobre a realização do tratamento de dados;
IIIfiscalizar a observância pelos operadores das instruções e das normas sobre a matéria;
IVnomear o Encarregado no âmbito da sua unidade gestora;
Velaborar e manter atualizado o relatório de impacto à proteção de dados pessoais - RIPD
VIinformar ao Encarregado Governamental os nomes do Encarregado Setorial e dos Operadores Internos e Externos da sua unidade gestora;
VIIobter o consentimento específico do titular, quando necessário;
VIIIinformar e prestar contas ao Encarregado Governamental,
IXinstrumentalizar a portabilidade dos dados;
Xgarantir a transparência no tratamento de dados;
XImanter o registro das operações de tratamento de dados pessoais;
XIIcomunicar ao Encarregado Setorial, à Autoridade Nacional e ao titular, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da Lei nº 13.709, de 2018;
XIIImanter atualizado o Portal Distrital da LGPD.
SEÇÃO II
Dos Operadores
Art. 6.
O Operador é a pessoa física ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais seguindo as diretrizes estabelecidas pelo Controlador, sendo:
Ioperadores internos: chefes das unidades de tecnologia da informação e comunicação ou unidades equivalentes responsáveis por bancos de dados, tecnologia da informação e sistemas de cada unidade gestora;
IIoperadores externos: pessoas físicas ou jurídicas prestadores de serviço de banco de dados, tecnologia da informação e sistemas que atuam fora da estrutura organizacional da unidade gestora.
Art. 7.
Os operadores internos e externos de cada unidade gestora deverão ser indicados pelos respectivos Controladores.
Art. 8.
O Sub-operador é qualquer pessoa física que, no âmbito da unidade gestora, operacionaliza o tratamento de dados conforme disciplinado pelo Operador, nos limites de sua competência.
Art. 9.
Compete ao Operador:
Irealizar o tratamento de dados pessoais segundo as instruções fornecidas pelo Controlador;
IImanter os dados pessoais protegidos de acesso não autorizado, divulgação, destruição, perda acidental ou qualquer tipo de violação de dados pessoais;
IIImanter registros das operações de tratamentos de dados pessoais que realizar;
IVobservar as boas práticas e padrões de governança previstos na Lei nº 13.709, de 2018;
Vcomunicar ao Encarregado Setorial a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da Lei nº 13.709, de 2018;
VIquando autorizado pelo Controlador e no pleno exercício de sua capacidade técnica, decidir sobre:
a)sistema, método ou ferramentas utilizadas para coletar os dados pessoais;
b)meios utilizados para transferir os dados pessoais de uma organização para outra;
c)métodos utilizados para recuperar dados pessoais de determinados indivíduos;
d)maneira de garantir que o método por trás do cronograma de retenção seja respeitado;
e)meio de garantir a segurança dos dados;
f)método de armazenamento de dados pessoais;
g)diretrizes de tratamento de dados realizado pelo sub-operador.
CAPÍTULO III
DOS ENCARREGADOS
SEÇÃO I
Do Encarregado Governamental
Art. 10.
Encarregado Governamental é a pessoa física, lotada na Casa Civil do Distrito Federal, que atua como canal de comunicação entre os Encarregados Setoriais, os Controladores e a Autoridade Nacional de Proteção de Dados - ANPD.
Art. 11.
Compete ao Encarregado Governamental:
Ideterminar as diretrizes de tratamento de dados a serem adotados pela Administração Pública Direta e Indireta do Distrito Federal.
IIorientar Controladores e Encarregados Setoriais a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais, conforme disposto na Lei nº 13.709, de 2018;
IIIelaborar e disponibilizar material de divulgação e capacitação a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais no Distrito Federal, conforme disposto na Lei nº 13.709, de 2018;
IVreceber comunicações da Autoridade Nacional e adotar providências;
Vdisponibilizar e manter atualizado o Portal Distrital da LGPD;
VIinstrumentalizar e garantir a transparência dos dados, nos termos da Lei nº 13.709, de 2018;
VIIconsolidar os relatórios recebidos pelos Encarregados Setoriais;
VIIIprestar informações a respeito da aplicação da LGPD na Administração Pública ao Governador do Distrito Federal.
SEÇÃO II
Do Encarregado Setorial
Art. 12.
Encarregado Setorial é a pessoa física que atua como canal de comunicação entre o Controlador, os titulares dos dados e o Encarregado Governamental dentro da unidade gestora.
Parágrafo únicoCaso a Autoridade Nacional de Proteção de Dados – ANPD se comunique com o Encarregado Setorial, este deverá se reportar ao Encarregado Governamental, que o orientará e supervisionará sua comunicação com a ANPD.
Art. 13.
Encarregado Setorial e seu suplente devem, preferencialmente, possuir capacidade de articulação institucional dentro da unidade gestora, detendo, entre outros, os seguintes conhecimentos multidisciplinares essenciais a sua atribuição:
Ià privacidade e proteção de dados pessoais;
IIà gestão de riscos;
IIIà governança de dados;
IVao acesso à informação no setor público;
Và legislação pertinente ao tema.
Parágrafo únicoO Encarregado Setorial e seu suplente não deverão se encontrar lotados nos operadores internos, nas unidades de Tecnologia da Informação e Comunicação, serem gestores de contratos relacionados à Tecnologia da Informação e Comunicação ou serem gestores responsáveis por sistemas de informação em geral.
Art. 14.
As informações de contato do Encarregado Setorial e seu suplente deverão ser disponibilizadas de forma clara e objetiva pelos Controladores em seu sítio eletrônico e portais de comunicação.
Art. 15.
Compete ao Encarregado Setorial:
Iorientar operadores internos e externos e sub-operadores a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais, conforme disposto na Lei nº 13.709, de 2018;
IIaceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
IIIexecutar as demais atribuições determinadas pelo Controlador ou estabelecidas em normas complementares.
IVreceber as comunicações do Encarregado Governamental e adotar providências;
Vreportar-se ao Encarregado Governamental.
CAPÍTULO IV
DAS BOAS PRÁTICAS DE TRATAMENTO DE DADOS
Art. 16.
As atividades de tratamento de dados pessoais deverão observar as boas práticas e padrões de governança de dados e segurança da informação, além do disposto no art. 50 da Lei nº 13.709, de 2018.
Art. 17.
As atividades de tratamento de dados pessoais deverão observar boa-fé e os seguintes princípios:
Ifinalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
IIadequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
IIInecessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IVlivre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
Vqualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VItransparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VIIsegurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIIIprevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IXnão discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
Xresponsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Art. 18.
s agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Art. 19.
s Controladores deverão implementar programas de governança em atenção às disposições da LGPD, estabelecendo:
Icondições, regimes e procedimentos internos para o tratamento de dados pessoais;
IInormas de segurança da informação;
IIIpadrões técnicos;
IValocação de responsabilidades e obrigações aos diversos colaboradores envolvidos nas atividades de tratamento;
Vações educativas;
VImecanismos internos de supervisão e mitigação de riscos;
VIIprocedimentos de resposta a incidentes de segurança.
Art. 20.
s programas de governança deverão, entre outros:
Idemonstrar o comprometimento da organização em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
IIser aplicável a todo conjunto de dados pessoais que estejam sob o controle da organização, independentemente do modo como se realizou a coleta;
IIIcontar com planos de resposta a incidentes e remediação;
IVser adaptado à estrutura, à escala e ao volume das operações da organização, bem como à sensibilidade dos dados tratados;
Vestabelecer políticas de salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;
VIser atualizado constantemente com base em informações obtidas a partir do monitoramento contínuo e avaliações periódicas;
VIIter o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;
VIIIestar integrado a sua estrutura geral de governança, que estabeleça e aplique mecanismos de supervisão internos e externos.
Art. 21.
s agentes de tratamento deverão aplicar as normas de boas práticas de tratamento de dados editadas pela autoridade nacional.
CAPÍTULO V
DA RESPONSABILIDADE
Art. 22.
s agentes de tratamento ficam sujeitos às sanções previstas na Lei nº 13.709, de 2018, aplicáveis pela autoridade nacional.
Parágrafo únicoOs agentes que não se enquadrem como agentes de tratamento de dados poderão ser responsabilizados cível, penal e administrativamente.
CAPÍTULO VI
DIPOSIÇÕES FINAIS
Art. 23.
Compete ao Secretário de Estado-Chefe da Casa Civil, designar, no prazo de até 30 dias, a contar da publicação deste Decreto, o Encarregado Governamental e seu suplente, em ato próprio publicado no Diário Oficial do Distrito Federal.
Art. 24.
Compete ao Controlador designar, no prazo de até 30 dias, a contar da publicação deste Decreto, o Encarregado Setorial da sua unidade gestora e seu suplente, em ato próprio publicado no Diário Oficial do Distrito Federal.
Art. 25.
s Controladores deverão encaminhar à Casa Civil do Distrito Federal lista de operadores internos e externos existentes na sua unidade gestora, no prazo de 30 dias a contar da publicação deste Decreto.
Art. 26.
Encarregado Governamental elaborará material de divulgação e capacitação da Lei Geral de Proteção de Dados, em 60 dias a contar da publicação deste Decreto.
Art. 27.
Compete ao Encarregado Governamental dirimir dúvidas acerca da aplicação deste Decreto, bem como elaborar regulamentação complementar, no âmbito de suas competências.
Art. 28.
s Controladores, o Encarregado Governamental e os Encarregados Setoriais devem apresentar proposta de regulamentação dos demais dispositivos da Lei nº 13.709, de 2018 no prazo de 60 dias a contar da publicação deste Decreto.
Art. 29.
Este Decreto entra em vigor na data de sua publicação.
Brasília, 27 de abril de 2021
132° da República e 62° de Brasília
IBANEIS ROCHA
Este texto não substitui o publicado no DODF nº 78 de 28/04/2021
Este texto não substitui o publicado no DODF nº 78, seção 1, 2 e 3 de 28/04/2021 p. 3, col. 1
Citada por 1 norma
Normas do acervo que mencionam esta.