Rio Grande do Sul
Decreto Estadual do Rio Grande do Sul nº 55647, de 14 de dezembro de 2020
Nº 55.647/2020
Ver fonte oficial
18 artigos
Nesta página
CAPÍTULO I – DA FINALIDADE CAPÍTULO II – DO ENCARREGADO PELO TRATAMENTO DOS DADOS PESSOAIS CAPÍTULO III – DO CONSELHO DE IMPLEMENTAÇÃO DA LGPD NO PODER EXECUTIVO ESTADUAL CAPÍTULO IV – DO GRUPO DE TRABALHO SOBRE A IMPLEMENTAÇÃO DA LGPD NO PODER EXECUTIVO ESTADUAL CAPÍTULO V – DAS AÇÕES DE CAPACITAÇÃO CAPÍTULO VI – DA POLÍTICA DE PROTEÇÃO DE DADOS DOS ÓRGÃOS E ENTIDADES ESTADUAIS CAPÍTULO VII – DAS COMPETÊNCIAS PERMANENTESCAPÍTULO I
DA FINALIDADE
Art. 1.
Os procedimentos gerais, os prazos e as fases para implementação da Lei Federal nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD, no âmbito do Poder Executivo do Estado do Rio Grande do Sul, a fim de tutelar o direito fundamental à autodeterminação informativa no âmbito da administração pública estadual, observarão o disposto neste Decreto.
ESTADO DO RIO GRANDE DO SUL
ASSEMBLEIA LEGISLATIVA Gabinete de Consultoria Legislativa
Regulamenta os procedimentos gerais, os prazos e as fases para implementação da Lei Federal nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD) no âmbito do Poder Executivo do Estado do Rio Grande do Sul.
O GOVERNADOR DO ESTADO DO RIO GRANDE DO SUL, no uso das atribui-
ções que lhe confere o art. 82, incisos V e VII, da Constituição do Estado,
DECRETA:
CAPÍTULO II
DO ENCARREGADO PELO TRATAMENTO DOS DADOS PESSOAIS
Art. 2.
Até 31 de dezembro de 2020, a autoridade máxima dos órgãos ou entidades da administração pública estadual direta e indireta deverá indicar Encarregado pelo Tratamento dos Dados Pessoais, nos termos do disposto no inciso III do art. 23 e no art. 41 da Lei Federal nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD, mediante publicação no Diário Oficial Eletrônico do Estado.
§ 1ºO Encarregado pelo Tratamento dos Dados Pessoais indicado deverá:
Iser reconhecido como uma liderança em seu órgão ou entidade estadual;
IIpossuir conhecimentos multidisciplinares essenciais à sua atribuição, preferencialmente os relativos aos temas de: privacidade e proteção de dados pessoais, análise jurídica, gestão de riscos, governança de dados e acesso à informação no setor público; e
IIInão estar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação de órgão ou entidade do Poder Executivo Estadual.
§ 2ºPara fins de atendimento do requisito de que trata o § 1º deste artigo, o Encarregado pelo Tratamento dos Dados Pessoais deverá participar de ações de capacitação disponibilizadas pela Rede Escola de Governo do Estado e pela Escola Superior de Advocacia de Estado Professor Almiro do Couto e Silva - ESAE-PGERS, conforme indicações do Grupo de Trabalho de que trata o Capítulo IV deste Decreto.
Art. 3.
A identidade e as informações de contato do Encarregado pelo Tratamento dos
Dados Pessoais deverão ser divulgadas publicamente, de forma clara e objetiva, no sítio eletrônico institucional do órgão ou da entidade estadual, nos termos do § 1º do art. 41 da LGPD.
Art. 4.
São atribuições do Encarregado pelo Tratamento dos Dados Pessoais:
Iaceitar reclamações e comunicações dos titulares dos dados pessoais, prestar esclarecimentos e adotar providências;
IIreceber comunicações da Autoridade Nacional de Proteção de Dados e adotar providências;
IIIorientar os servidores, terceirizados, contratados, conveniados e parceiros do órgão ou da entidade estadual a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
IVrealizar, com apoio do Grupo de Trabalho de que trata o Capítulo IV deste Decreto, o mapeamento dos processos de tratamento de dados pessoais realizados no âmbito do órgão ou da entidade estadual, inclusive dos compartilhamentos com entidades públicas ou privadas, propondo adequações à luz da LGPD; e
Vexecutar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
Art. 5.
A autoridade máxima do órgão ou da entidade deverá assegurar ao Encarregado pelo Tratamento dos Dados Pessoais:
Iacesso direto à alta administração;
IIpronto apoio das unidades administrativas no atendimento das solicitações de informações; e
IIIcontínuo aperfeiçoamento relacionado aos temas de privacidade e proteção de dados pessoais, de acordo com os conhecimentos elencados no inciso I do § 1º do art. 1º deste Decreto e observada a disponibilidade orçamentária e financeira do órgão ou entidade.
Parágrafo únicoPara fins do inciso I do "caput" deste artigo, considera-se como alta administração os Secretários de Estado, seus chefes de gabinete e diretores de departamento, os presidentes e diretores de autarquias, inclusive as especiais, e de fundações ou as autoridades de hierarquia equivalente.
CAPÍTULO III
DO CONSELHO DE IMPLEMENTAÇÃO DA LGPD NO PODER EXECUTIVO ESTADUAL
Art. 6.
O Conselho de Implementação da LGPD no Poder Executivo Estadual será integrado pelo Procurador-Geral do Estado, que o presidirá, pelo Secretário de Governança e Gestão Estratégica, pelo Secretário da Fazenda e pelo Secretário de Inovação, Ciência e Tecnologia.
Parágrafo únicoCompete ao Conselho de Implementação da LGPD no Poder Executivo Estadual definir as diretrizes, projetos, ações e metas estratégicas transversais para a adequação do tratamento de dados pessoais realizado no âmbito da administração pública estadual direta, autárquica e fundacional ao previsto na LGPD.
Art. 7.
O Conselho de Implementação da LGPD no Poder Executivo Estadual observará a legislação nacional sobre tratamento de dados pessoais, norteando suas decisões com as definições, princípios, hipóteses de tratamento e normas da LGPD e dos regulamentos da Autoridade Nacional de Proteção de Dados - ANPD, observado, ainda, o disposto no art. 4º da LGPD.
2
CAPÍTULO IV
DO GRUPO DE TRABALHO SOBRE A IMPLEMENTAÇÃO DA LGPD NO PODER EXECUTIVO ESTADUAL
Art. 8.
Até 31 de dezembro de 2020, será instituído o Grupo de Trabalho sobre a Implementação da LGPD no Poder Executivo Estadual, com o objetivo de propor ao Conselho de Implementação da LGPD no Poder Executivo Estadual as diretrizes, projetos, ações e metas estratégicas para a adequação do tratamento de dados pessoais realizado no âmbito da administração pública estadual direta, autárquica e fundacional ao previsto na LGPD, observados os regulamentos da Autoridade Nacional de Proteção de Dados - ANPD.
Art. 9.
O Grupo de Trabalho sobre a Implementação da LGPD no Poder Executivo Estadual será coordenador pelo Procurador-Geral Adjunto para Assuntos Institucionais e terá a seguinte composição:
Ium representante da Procuradoria-Geral do Estado;
IIum representante da Secretaria de Governança e Gestão Estratégica;
IIIum representante da Secretaria da Fazenda;
IVum representante da Secretaria de Inovação, Ciência e Tecnologia.
Vum representante da Subchefia Jurídica da Secretaria da Casa Civil;
VIum representante do Escritorio de Desenvolvimento de Projetos;
VIIum representante da PROCERGS - Centro de Tecnologia da Informação e Comunicação do Estado do Rio Grande do Sul S.A;
§ 1ºOs membros do Grupo de Trabalho serão indicados pela autoridade máxima de cada órgão ou entidade estadual e designados pelo Governador do Estado.
§ 2ºA participação nos grupos de trabalho será considerada prestação de serviço público relevante, não remunerada.
§ 3ºOs membros representantes da Procuradoria-Geral do Estado orientarão o Grupo de Trabalho acerca dos aspectos jurídicos que devem ser observados, propondo a formulação de consulta jurídica, quando necessário.
§ 4ºA Secretaria de Governança e Gestão Estratégica prestará apoio administrativo e material para o desempenho das atividades do Grupo de Trabalho.
§ 5ºA PROCERGS - Centro de Tecnologia da Informação e Comunicação do Estado do Rio Grande do Sul S.A prestará apoio técnico e operacional ao Grupo de Trabalho.
Art. 10.
Grupo de Trabalho sobre a Implementação da LGPD no Poder Executivo Estadual poderá convidar representantes de órgãos e entidades públicas e privadas, além de pesquisadores e especialistas, para participarem de suas atividades, quando sua experiência ou expertise for relevante.
Parágrafo únicoA participação dos convidados de que trata o "caput" deste artigo ficará restrita ao tempo necessário para prestar os esclarecimentos a eles solicitados.
Art. 11.
Compete ao Grupo de Trabalho sobre a Implementação da LGPD no Poder Executivo Estadual:
Ipropor ao Conselho de Implementação da LGPD no Poder Executivo Estadual as diretrizes e estratégias da política estadual de proteção de dados pessoais a serem adotadas no âm-
3 bito da administração pública estadual direta, autárquica e fundacional;
IIpropor ao Conselho de Implementação da LGPD no Poder Executivo Estadual a edição de normas sobre tratamento e proteção de dados pessoais, a serem encaminhadas para deliberação final do Governador do Estado;
IIIidentificar e avaliar os processos de tratamento e proteção de dados pessoais existentes no âmbito da administração pública estadual direta, autárquica e fundacional, com apoio dos Encarregados de que trata o Capítulo II deste Decreto;
IVpropor políticas, ações e metas visando à gradual adequação do tratamento de dados pessoais realizado pela administração pública estadual ao previsto na LGPD e nos regulamentos da ANPD, bem como monitorar sua efetiva implementação, em atuação conjunta com os Encarregados de que trata o Capítulo II deste Decreto;
Vmonitorar a adoção de medidas de segurança técnicas e administrativas aptas a protegerem os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, com apoio dos Encarregados de que trata o Capítulo II deste Decreto;
VIcoordenar e orientar a rede de encarregados responsáveis pelo tratamento dos dados pessoais no âmbito do Poder Executivo Estadual;
VIIestimular a adoção de padrões para serviços e produtos, inclusive plataformas digitais, que facilitem o exercício de controle dos titulares sobre seus dados pessoais, objeto de tratamento pela administração pública estadual direta, autárquica e fundacional;
VIIIpromover a integração e a articulação entre os diversos órgãos e entidades da administração pública estadual com vistas ao desenvolvimento e à operacionalização de ações transversais para adequação à LGPD;
IXdifundir regras de boas práticas e de governança relacionadas ao tratamento de dados pessoais, inclusive mediante a divulgação de ações e resultados alcançados por órgãos e entidades da administração pública federal, estadual e municipal que sejam referência na governança em privacidade;
Xcompilar e disponibilizar relatórios de atividades anuais apresentados pelos Encarregados de que trata o Capítulo II deste Decreto; e
XIexercer outras atividades correlatas.
§ 1ºPara o desempenho das suas competências, o Grupo de Trabalho poderá solicitar, a qualquer momento, aos órgãos e às entidades da administração pública estadual, informações específicas sobre seus processos de tratamento de dados pessoais, a natureza dos dados, os compartilhamentos realizados e detalhes correlatos.
§ 2ºAo propor a edição de normas nos termos do inciso II do "caput" deste artigo, o Grupo de Trabalho, sempre que possível, realizará, previamente, consultas e audiências com os potenciais destinatários da regulamentação.
§ 3ºO Grupo de Trabalho sobre a Implementação da LGPD no Poder Executivo, em articulação com os Encarregados pelo Tratamento dos Dados Pessoais, apresentará estudos para subsidiar as decisões do Conselho sobre a Implementação da LGPD no Poder Executivo acerca das diretrizes e ações para a política estadual de proteção de dados pessoais, dos parâmetros para elaboração e atualização dos relatórios de impacto à proteção de dados pessoais, e das orientações para os programas de governança em privacidade dos órgãos e das entidades da administração pública estadual, nos termos do inciso I do art. 50 da LGPD.
CAPÍTULO V
DAS AÇÕES DE CAPACITAÇÃO
Art. 12.
Até 31 de julho de 2021, os Encarregados pelo Tratamento dos Dados Pessoais, as direções dos órgãos e das entidades da administração pública estadual e os agentes de tratamento de dados deverão ser treinados e sensibilizados sobre as normas e as políticas públicas sobre proteção de dados pessoais, bem como sobre as medidas de segurança que devem ser adotadas no âmbito da administração pública estadual, mediante ações de capacitação promovidas pela Rede Escola de Governo do Estado.
§ 1ºNas ações de capacitação de que trata o "caput" deste artigo, o treinamento e a sensibilização sobre as questões jurídicas ficarão a cargo da Escola Superior de Advocacia de Estado Professor Almiro do Couto e Silva - ESAE-PGERS.
§ 2ºA PROCERGS - Centro de Tecnologia da Informação e Comunicação do Estado do Rio Grande do Sul S.A prestará apoio nas questões técnicas e operacionais.
§ 3ºAlém de cursos, palestras e oficinas dirigidas, as ações de capacitação abrangerão a confecção de manuais de implementação da LGPD e de material de apoio.
CAPÍTULO VI
DA POLÍTICA DE PROTEÇÃO DE DADOS DOS ÓRGÃOS E ENTIDADES ESTADUAIS
Art. 13.
Até 30 de junho de 2021, o Conselho sobre a Implementação da LGPD no Poder Executivo deverá estabelecer diretrizes e ações para a política estadual de proteção de dados pessoais, fixar parâmetros para elaboração e atualização dos relatórios de impacto à proteção de dados pessoais e emitir orientações para os programas de governança em privacidade dos órgãos e das entidades da administração pública estadual, nos termos do inciso I do art. 50 da LGPD.
Art. 14.
Até 31 de julho de 2021, os órgãos e as entidades estaduais deverão implementar a integralidade da sua política de proteção de dados pessoais e do seu programa de governança em privacidade, bem como disponibilizar à ANPD relatório de impacto à proteção de dados pessoais.
Parágrafo únicoOs órgãos e as entidades estaduais deverão informar, nos seus sítios eletrônicos, as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.
CAPÍTULO VII
DAS COMPETÊNCIAS PERMANENTES
Art. 15.
Compete à autoridade máxima dos órgãos e entidades estaduais:
Iadotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;
IIcomunicar a ANPD e os titulares dos dados pessoais, por intermédio do Encarregado, sobre a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares; e
IIIimplementar programa de governança em privacidade, atendendo-se os requisitos mínimos do art. 50, § 2º, da LGPD, sempre que, na sua avaliação, a estrutura, a escala e o volume das operações de tratamento de dados pessoais na sua repartição recomendarem.
5
Parágrafo únicoNa avaliação de que trata o inciso II deste artigo, o controlador deverá levar em consideração a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados.
Art. 16.
A Procuradoria-Geral do Estado prestará consultoria jurídica ao Conselho e ao Grupo de Trabalho de que tratam os Capítulos III e IV deste Decreto e aos órgãos e entidades da administração pública estadual direta e indireta, mediante a emissão de pareceres ou outras manifestações oficiais para dirimir dúvidas e fixar a interpretação da LGPD, bem como para a elaboração dos atos normativos, modelos de contratos, de convênios e de acordos de cooperação internacional aderentes à LGPD.
Art. 17.
As empresas públicas e as sociedades de economia mistas estaduais deverão estabelecer, monitorar e revisar suas políticas de proteção de dados pessoais por ato próprio aprovado pelos seus respectivos conselhos de administração.
§ 1ºAs empresas públicas e as sociedades de economia mista estaduais que atuam em regime de concorrência, sujeitas ao disposto no art. 173 da Constituição Federal, observarão o mesmo regime de tratamento de dados dispensado pela LGPD às pessoas jurídicas de direito privado.
§ 2ºQuando estiverem executando políticas públicas, as empresas públicas e as sociedades de economia mista estaduais observarão as regras da LGPD destinadas aos órgãos e às entidades do Poder Público, observados, no que couber, os termos deste Decreto.
Art. 18.
Este Decreto entra em vigor na data da sua publicação.
PALÁCIO PIRATINI, em Porto Alegre, 14 de dezembro de 2020.
6