Distrito Federal
Decreto Distrital do Distrito Federal nº 45771, de 8 de maio de 2024
Nº 45771/2024
Dispõe sobre a aplicação da Lei Federal nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD, quanto às figuras dos agentes de tratamento e dos encarregados, no âmbito da Administração Pública Direta e Indireta do Distrito Federal e dá outras providências.
O GOVERNADOR DO DISTRITO FEDERAL, no uso das atribuições que lhe confere o artigo 100, incisos VII e X, da Lei Orgânica do Distrito Federal, DECRETA:
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 1.
Este Decreto estabelece diretrizes para a aplicação da Lei Federal nº 13.709, de 14 de agosto de 2018, quanto às figuras dos agentes de tratamento e dos encarregados, no âmbito da Administração Pública Direta e Indireta do Distrito Federal do Distrito Federal.
Art. 2.
A aplicação deste Decreto deve observar os seguintes princípios:
Irespeito à privacidade;
IIautodeterminação informativa;
IIIliberdade de expressão, de informação, de comunicação e de opinião;
IVinviolabilidade da intimidade, da honra e da imagem;
Vdesenvolvimento econômico e tecnológico e a inovação;
VIlivre iniciativa, a livre concorrência e a defesa do consumidor;
VIIrespeito dos direitos humanos, do livre desenvolvimento da personalidade, da dignidade e do exercício da cidadania pelas pessoas naturais;
VIIIinteresse público; e
IXtransparência de atuação no âmbito de suas competências.
Art. 3.
Para fins deste Decreto, considera-se:
Idado pessoal: informação relacionada a pessoa natural identificada ou identificável;
IIdado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
IIIdado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IVbanco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;
Vtitular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
VIcontrolador: pessoa jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VIIoperador: pessoa jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIIIencarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD;
IXagentes de tratamento: o controlador e o operador interno e externo;
Xtratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XIAutoridade Nacional de Proteção de Dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Federal nº 13.709, de 2018, em todo o território nacional;
XIIunidade gestora: ambiente sob o qual cada controlador tem competência de atuação;
XIIIanonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XIVconsentimento: manifestação livre, informada e inequívoca pela qual o titular dos dados concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XVplano de adequação: conjunto das regras de boas práticas e de governança de dados pessoais que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos agentes envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos, o plano de respostas a incidentes de segurança e outros aspectos relacionados ao tratamento de dados pessoais; e
XVIrelatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.
CAPÍTULO II
DOS AGENTES DE TRATAMENTO
SEÇÃO I
Do Controlador
Art. 4.
Os agentes de tratamento ficam sujeitos às sanções previstas na Lei Federal nº 13.709, de 2018, aplicáveis pela Autoridade Nacional de Proteção de Dados.
Art. 5.
O controlador é o órgão ou entidade, pessoa jurídica de direito público ou privado, que compõe a Administração Pública Direta e Indireta do Distrito Federal.
§ 1ºAs autoridades máximas titulares de cada órgão ou entidade do Distrito Federal atuam como representantes do seu respectivo controlador perante os órgãos de controle.
§ 2ºOs representantes dos controladores serão substituídos pelo seu sucessor hierárquico, conforme estrutura do órgão ou entidade em questão, no caso de ausências ou impedimentos legais.
Art. 6.
Compete ao controlador:
Icontrolar e gerir a atividade de tratamento de dados;
IIinstruir os operadores sobre a realização do tratamento de dados;
IIIfiscalizar a observância pelos operadores das instruções e das normas sobre a matéria;
IVnomear o encarregado no âmbito da sua unidade gestora;
Velaborar e manter atualizado o relatório de impacto à proteção de dados pessoais – RIPD;
VIinformar ao encarregado governamental os nomes do encarregado setorial e dos operadores internos e externos da sua unidade gestora;
VIIobter o consentimento específico do titular, quando necessário;
VIIIinstrumentalizar a portabilidade dos dados;
IXgarantir a transparência no tratamento de dados;
Xmanter o registro das operações de tratamento de dados pessoais;
XIcomunicar ao encarregado setorial, à Autoridade Nacional de Proteção de Dados e ao titular, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da Lei nº 13.709, de 2018.
SEÇÃO II
Dos Operadores
Art. 7.
O operador é a pessoa física ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em banco de dados, tecnologia da informação e sistemas que atuam fora da estrutura organizacional da unidade gestora, seguindo as diretrizes estabelecidas pelo controlador.
Parágrafo únicoEm caso de pessoa jurídica, de direito privado, o operador será sempre uma pessoa distinta do controlador, isto é, que não atua como profissional subordinado a este ou como membro de seus órgãos.
Art. 8.
Os operadores de cada unidade gestora deverão ser indicados pelos respectivos controladores.
Art. 9.
O sub-operador é qualquer pessoa física contratado pelo operador para auxiliá-lo a realizar o tratamento de dados pessoais em nome do controlador.
Parágrafo únicoA relação direta do sub-operador é com o operador e não com controlador.
Art. 10.
Compete ao operador:
Irealizar o tratamento de dados pessoais segundo as instruções fornecidas pelo controlador;
IImanter os dados pessoais protegidos de acesso não autorizado, divulgação, destruição, perda acidental ou qualquer tipo de violação de dados pessoais;
IIImanter registros das operações de tratamentos de dados pessoais que realizar;
IVobservar as boas práticas e padrões de governança previstos na Lei Federal nº 13.709, de 2018;
Vcomunicar ao encarregado Setorial a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da Lei Federal nº 13.709, de 2018;
VIquando autorizado pelo controlador e no pleno exercício de sua capacidade técnica, decidir sobre:
a)sistema, método ou ferramentas utilizadas para coletar os dados pessoais;
b)meios utilizados para transferir os dados pessoais de uma organização para outra;
c)métodos utilizados para recuperar dados pessoais de determinados indivíduos;
d)maneira de garantir que o método por trás do cronograma de retenção seja respeitado;
e)meio de garantir a segurança dos dados;
f)método de armazenamento de dados pessoais; e
g)diretrizes de tratamento de dados realizado pelo sub-operador.
CAPÍTULO III
DOS ENCARREGADOS
SEÇÃO I
Do Encarregado Governamental
Art. 11.
encarregado Governamental é a pessoa física, lotada na Casa Civil do Distrito Federal, que atua como canal de comunicação entre o Governo do Distrito Federal e a Autoridade Nacional de Proteção de Dados - ANPD.
Parágrafo únicoA identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, no Portal da Transparência e no sítio oficial da LGPD no Distrito Federal.
Art. 12.
Compete ao encarregado Governamental:
Isugerir diretrizes de tratamento de dados a serem adotados pela Administração Pública Direta e Indireta do Distrito Federal.
IIorientar controladores e encarregados Setoriais a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais, conforme disposto na Lei Federal nº 13.709, de 2018;
IIIelaborar e disponibilizar material de divulgação e capacitação a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais no Distrito Federal, conforme disposto na Lei Federal nº 13.709, de 2018;
IVacompanhar as comunicações da Autoridade Nacional de Proteção de Dados e orientar os controladores e encarregados setoriais;
Vdisponibilizar e manter atualizado o Portal Distrital da LGPD;
VIinstrumentalizar e garantir a transparência dos dados, nos termos da Lei Federal nº 13.709, de 2018;
VIIconsolidar os relatórios recebidos pelos encarregados Setoriais;
VIIIprestar informações a respeito da aplicação da LGPD na Administração Pública ao Governador do Distrito Federal;
IXelaborar o Guia Orientativo e as Instruções Normativas para a aplicação da LGPD.
SEÇÃO II
Do Encarregado Setorial
Art. 13.
encarregado setorial é a pessoa física que atua como canal de comunicação entre o controlador, os titulares dos dados e o encarregado Governamental dentro da unidade gestora.
Parágrafo únicoA comunicação da Autoridade Nacional de Proteção de Dados com o encarregado setorial deverá ser reportada ao encarregado governamental, que o orientará e supervisionará a comunicação.
Art. 14.
encarregado setorial e seu suplente devem, preferencialmente, possuir capacidade de articulação institucional dentro da unidade gestora, detendo, entre outros, os seguintes conhecimentos multidisciplinares essenciais a sua atribuição:
Ià privacidade e proteção de dados pessoais;
IIà gestão de riscos;
IIIà governança de dados;
IVao acesso à informação no setor público;
Và legislação pertinente ao tema; e
VIà segurança da informação.
Parágrafo únicoO encarregado setorial e seu suplente não deverão se encontrar lotados nos operadores internos, nas Unidades de Tecnologia da Informação e Comunicação, serem gestores de contratos relacionados à Tecnologia da Informação e Comunicação ou serem gestores responsáveis por sistemas de informação em geral.
Art. 15.
As informações de contato do encarregado setorial e seu suplente deverão ser disponibilizadas de forma clara e objetiva pelos controladores em seu sítio eletrônico, nos portais de comunicação e no sítio oficial da LGPD no Distrito Federal.
Art. 16.
Compete ao encarregado setorial:
Iorientar os funcionários e os contratados da Administração Pública Direta e Indireta a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
IIaceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
IIIeditar diretrizes para a elaboração dos planos de adequação, conforme art. 22, inciso III deste Decreto;
IVreceber comunicações da Autoridade Nacional de Proteção de Dados e adotar providências;
Vdecidir sobre as sugestões formuladas pela Autoridade Nacional de Proteção de Dados a respeito da adoção de padrões e de boas práticas para o tratamento de dados pessoais, nos termos do art. 32 da Lei Federal nº 13.709, de 2018;
VIprovidenciar a elaboração dos relatórios de impacto à proteção de dados pessoais previstos pelo art. 32 da Lei Federal nº 13.709, de 2018;
VIIprovidenciar, em caso de recebimento de informe da Autoridade Nacional de Proteção de Dados com medidas cabíveis para fazer cessar uma afirmada violação à Lei Federal nº 13.709, de 2018, nos termos do art. 31 daquela lei, o encaminhamento ao setor responsável pelo tratamento de dados pessoais, fixando prazo para atendimento à solicitação ou apresentação das justificativas pertinentes;
VIIIavaliar as justificativas apresentadas nos termos do inciso VI deste artigo, para o fim de:
a)caso avalie ter havido a violação, determinar a adoção das medidas solicitadas pela Autoridade Nacional de Proteção de Dados;
b)caso avalie não ter havido a violação, apresentar as justificativas pertinentes à Autoridade Nacional de Proteção de Dados, segundo o procedimento cabível;
IXrequisitar aos setores responsáveis as informações pertinentes, para sua compilação em um único relatório, nos termos do artigo 32, da Lei Federal nº 13.709, de 2018.
CAPÍTULO IV
DAS BOAS PRÁTICAS DE TRATAMENTO DE DADOS
Art. 17.
As atividades de tratamento de dados pessoais deverão observar as boas práticas e padrões de governança de dados e segurança da informação, além do disposto no art. 50 da Lei Federal nº 13.709, de 2018.
Art. 18.
As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
Ifinalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
IIadequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
IIInecessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IVlivre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
Vqualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VItransparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VIIsegurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIIIprevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IXnão discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e
Xresponsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Art. 19.
s agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Art. 20.
s controladores deverão implementar programas de governança em atenção às disposições da LGPD, estabelecendo:
Icondições, regimes e procedimentos internos para o tratamento de dados pessoais;
IInormas de segurança da informação;
IIIpadrões técnicos;
IValocação de responsabilidades e obrigações aos diversos colaboradores envolvidos nas atividades de tratamento;
Vações educativas;
VImecanismos internos de supervisão e mitigação de riscos; e
VIIprocedimentos de resposta a incidentes de segurança.
Art. 21.
s programas de governança deverão, entre outros:
Idemonstrar o comprometimento da organização em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
IIser aplicável a todo conjunto de dados pessoais que estejam sob o controle da organização, independentemente do modo como se realizou a coleta;
IIIcontar com planos de resposta a incidentes e remediação;
IVser adaptado à estrutura, à escala e ao volume das operações da organização, bem como à sensibilidade dos dados tratados;
Vestabelecer políticas de salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;
VIser atualizado constantemente com base em informações obtidas a partir do monitoramento contínuo e avaliações periódicas;
VIIter o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular; e
VIIIestar integrado a sua estrutura geral de governança, que estabeleça e aplique mecanismos de supervisão internos e externos.
Art. 22.
s agentes de tratamento deverão aplicar as normas de boas práticas de tratamento de dados editadas pela Autoridade Nacional de Proteção de Dados.
Parágrafo únicoOs órgãos da administração direta e indireta do Distrito Federal poderão solicitar à Escola de Governo (EGOV), ou outras instituições de ensino qualificadas, a capacitação de seus servidores no que diz respeito ao treinamento e certificação para o curso básico de LGPD.
CAPÍTULO V
DA RESPONSABILIDADE
Art. 23.
poder executivo distrital, por meio da administração direta e indireta, nos termos da Lei Federal nº 13.709, de 2018, deve realizar e manter atualizados:
Io mapeamento dos dados pessoais existentes e dos fluxos de dados pessoais em suas unidades;
IIa análise de risco e medidas de mitigação;
IIIo plano de adequação baseado no modelo implementado pela casa civil;
IVo relatório de impacto à proteção de dados pessoais, quando solicitado.
Parágrafo únicoPara fins do inciso III, do caput deste artigo, a administração direta e indireta deve observar as diretrizes editadas pelo Secretário de Estado-Chefe da Casa Civil do Distrito Federal.
CAPÍTULO VI
DAS DISPOSIÇÕES FINAIS
Art. 24.
Compete ao Secretário de Estado-Chefe da Casa Civil do Distrito Federal, designar o encarregado governamental e seu suplente, em ato próprio publicado no Diário Oficial do Distrito Federal.
Art. 25.
Compete ao controlador designar o encarregado setorial da sua unidade gestora e seu suplente, em ato próprio publicado no Diário Oficial do Distrito Federal.
Art. 26.
s controladores deverão encaminhar à Casa Civil do Distrito Federal lista de operadores existentes na sua unidade gestora.
Art. 27.
encarregado governamental elaborará material de divulgação e capacitação da Lei Geral de Proteção de Dados.
Art. 28.
Compete ao encarregado governamental dirimir dúvidas acerca da aplicação deste Decreto e elaborar regulamentação complementar, no âmbito de suas competências.
Art. 29.
Revoga-se o Decreto nº 42.036, de 27 de abril de 2021.
Art. 30.
Este Decreto entra em vigor na data de sua publicação.
Brasília, 08 de maio de 2024
135º da República e 65º de Brasília
IBANEIS ROCHA