Sergipe
Decreto Estadual de Sergipe nº 41006, de 6 de outubro de 2021
Nº 41006/2021
Ver fonte oficial
25 artigos
Nesta página
CAPÍTULO I – DAS DISPOSIÇÕES PRELIMINARES CAPÍTULO II – DA GESTÃO E DA GOVERNANÇA DA POLÍTICA ESTADUAL DE PROTEÇÃO DE DADOS PESSOAIS Seção I Da Gestão da Política Estadual de Proteção de Dados Pessoais CAPÍTULO III – DOS PROGRAMAS DE GOVERNANÇA EM PRIVACIDADE CAPÍTULO IV – DAS PLATAFORMAS TECNOLÓGICAS E DOS SÍTIOS ELETRÔNICOS CAPÍTULO IV – DO ATENDIMENTO AO TITULAR CAPÍTULO V – DO REGISTRO DAS OPERAÇÕES DE TRATAMENTO E DA ANONIMIZAÇÃO DE DADOS PESSOAIS CAPÍTULO VI – DO COMPARTILHAMENTO DE DADOS PESSOAIS CAPÍTULO VII – DISPOSIÇÕES FINAIS E TRANSITÓRIASInstitui a Política Estadual de Proteção de Dados Pessoais do Poder Executivo Estadual, cria o Conselho de Governança da Política Estadual de Proteção de Dados Pessoais – CGPEPDP, nos termos da Lei (Federal) nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD; altera o inciso I do art. 2º, o “caput” do art. 7º e o “caput” do art. 9º, do Decreto nº 40.370, de 30 de abril de 2019, que regulamenta o funcionamento da Ouvidoria Geral do Estado - OGE, e dá providências correlatas. (Publicado no Diário Oficial do Estado de 06 de outubro de 2021) No cabeçalho, onde se lê: “DECRETO N° 40.006 DE 05 DE OUTUBRO DE 2021” Leia-se: “DECRETO N° 41.006 DE 05 DE OUTUBRO DE 2021” REPUBLICADO NO DIÁRIO OFICIAL DO DIA 07 DE OUTUBRO DE 2021 GOVERNO DO ESTADO DECRETO Nº 40.006 DE 05 DE OUTUBRO DE 2021 Institui a Política Estadual de Proteção de Dados Pessoais do Poder Executivo Estadual, cria o Conselho de Governança da Política Estadual de Proteção de Dados Pessoais – CGPEPDP, nos termos da Lei (Federal) nº 13.709, de 14 de agosto de Pessoais - LGPD; altera o inciso I do art. 2º, o “caput” do art. 7º e o “caput” do art. 9º, do Decreto nº 40.370, de 30 de abril de 2019, que regulamenta o funcionamento da Ouvidoria Geral do Estado - OGE, e dá providências correlatas. O GOVERNADOR DO ESTADO DE SERGIPE, no uso das atribuições que lhe são conferidas nos termos do art. 84, incisos V, VII e XXI, da Constituição Estadual; de acordo com o disposto na Lei nº 8.496, de de 14 de agosto de 2018; e tendo em vista o disposto no Processo n° 2132/2021-PROJETO-SEGG, D E C R E T A:
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 1.
Fica instituída a Política Estadual de Proteção de Dados Pessoais, que dispõe sobre o conjunto de diretrizes, projetos, ações e metas estratégicas, para a adequação dos atos de tratamento de dados pessoais realizados no âmbito da administração pública estadual direta e indireta do Poder Executivo Estadual, ressalvadas as entidades de direito privado que atuam em regime concorrencial, em conformidade com a Lei (Federal) nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais – LGPD.
Parágrafo únicoA Política Estadual de Proteção de Dados Pessoais observará a boa-fé e os seguintes princípios:
Ifinalidade: realização do tratamento para os propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
IIadequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
IIInecessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IVlivre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
Vqualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VItransparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VIIsegurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIIIprevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IXnão discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e
Xresponsabilização e prestação de contas: demonstração, pelo agente de tratamento, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Art. 2.
São diretrizes estratégicas da Política Estadual de Proteção de Dados Pessoais:
Ia observância das políticas de segurança da informação do Estado;
IIa publicação e a atualização periódica das regras de boas práticas e governança estabelecidas pelo controlador e operador;
IIIa implementação de processos de gestão de riscos pelos órgãos e entidades abrangidos por este Decreto para balizar a adoção de boas práticas e regras de governança associadas ao Programa de Governança em Privacidade;
IVo atendimento simplificado e eletrônico das demandas do titular, aplicando-se, no que couber, o Decreto n° 40.370, de 30 de abril de 2019, que dispõe sobre a Ouvidoria Geral do Estado;
Va promoção da transparência pública, nos termos da Lei (Federal) n° 12.527, de 18 de novembro de 2011, Lei de Acesso à Informação – LAI, e do Decreto n° 30.947, de 28 de dezembro de 2017;
VIa proporcionalidade das medidas acerca de proteção de dados, privacidade e segurança da informação;
VIIa segurança jurídica dos instrumentos firmados, consoante orientação da Procuradoria-Geral do Estado;
VIIIo alinhamento com a Política de Governança e Gestão da administração pública estadual de que trata o Decreto n° 40.359, de 22 de abril de 2019; e
IXa observância das normas do Sistema Estadual de Arquivos, instituído pela Lei nº 2.202, de 20 de dezembro de 1978, no que diz respeito às suas instruções normativas e aos prazos de guarda vigentes.
Art. 3.
Para fins deste Decreto, nos termos da Lei (Federal) nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais – LGPD, considera-se:
Idado pessoal: informação relacionada à pessoa natural identificada ou identificável;
IIdado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
IIIdado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IVbanco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;
Vtitular: pessoa natural a quem se referem os dados pessoais que são objetos de tratamento;
VIcontrolador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, sendo o Estado o único controlador de dados na administração pública estadual direta;
VIIoperador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIIIencarregado: pessoa indicada pelo controlador e operador corporativo para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD;
IXagentes de tratamento: o controlador e o operador;
Xtratamento: toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XIanonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XIIpseudonimização: tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro;
XIIIeliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;
XIVuso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades de que trata o art. 1º no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;
XVprograma de governança em privacidade: documentação do controlador que estabelece uma metodologia abrangente que influenciará permanentemente os processos de tomada de decisão referentes a tratamento de dados pessoais, incluindo as estratégias, habilidades, pessoas, processos e ferramentas que os órgãos e as entidades precisam prover para conquistar a confiança dos servidores e dos cidadãos e, ao mesmo tempo, cumprir com exigências apresentadas na legislação sobre proteção de dados pessoais;
XVIrelatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco; e
XVIItabela de temporalidade de documentos: instrumento, aprovado por autoridade competente, que determina os prazos de guarda e destinação final dos conjuntos documentais produzidos a partir das atividades desempenhadas pelo Estado.
CAPÍTULO II
DA GESTÃO E DA GOVERNANÇA DA POLÍTICA ESTADUAL DE PROTEÇÃO DE DADOS PESSOAIS Seção I Da Gestão da Política Estadual de Proteção de Dados Pessoais
Art. 4.
A gestão da Política Estadual de Proteção de Dados Pessoais ocorrerá de maneira descentralizada, por meio dos encarregados setoriais e dos Comitês Executivos de Proteção de Dados Pessoais, todos sob a coordenação técnica do encarregado central.
Parágrafo únicoÀ Secretaria de Estado da Transparência e Controle – SETC, cabe o papel de encarregado central, devendo o Secretário da referida pasta designar um servidor responsável por esta função.
Art. 5.
O dirigente máximo de cada órgão ou entidade da administração pública estadual, direta e indireta, deverá designar, preferencialmente, servidor efetivo para ser o encarregado setorial pelo tratamento dos dados pessoais, nos termos do inciso III do art. 23 e do art. Decreto.
§ 1ºO servidor encarregado setorial designado na forma do “caput” deste artigo deverá:
Iter experiência e conhecimentos multidisciplinares, preferencialmente em proteção de dados pessoais, gestão de projetos e processos, tecnologia e segurança da informação, gestão de riscos, dentre outras matérias correlatas;
IIestar subordinado diretamente ao dirigente máximo do órgão ou entidade;
IIInão estar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação de órgão ou entidade do Poder Executivo Estadual.
§ 2ºpara fins de atendimento ao inciso I do §1° deste artigo, os Encarregados deverão participar das capacitações, seminários e treinamentos disponibilizados pelo órgão ou entidade ao qual está vinculado, bem como das atividades de capacitação disponibilizadas por outros órgãos, pelo Conselho de Governança da Política Estadual de Proteção de Dados Pessoais – CGPEPDP e pela Secretaria de Estado da Transparência e Controle – SETC.
§ 3ºA identificação e as informações de contato dos Encarregados Setoriais e Central deverão ser divulgadas publicamente, de forma clara e objetiva, no site de cada órgão ou entidade do Poder Executivo Estadual.
Art. 6.
Compete ao encarregado setorial:
Iaceitar reclamações e comunicações dos titulares de dados pessoais, prestar esclarecimentos e adotar providências;
IIorientar os servidores, funcionários e os contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
IIIcoordenar o Comitê Executivo da Política de Proteção de Dados Pessoais – CEPDP;
IVrealizar, com apoio do Comitê Executivo da Política de Proteção de Dados Pessoais – CEPDP, o mapeamento dos processos de tratamento de dados pessoais realizados no âmbito do órgão ou da entidade estadual, inclusive dos compartilhamentos com entidades públicas ou privadas, propondo adequações à luz da LGPD;
Vseguir as orientações do Comitê de Governança em Proteção de Dados Pessoais – CEPDP, bem como apoiá-lo, repassando todas as informações necessárias para o cumprimento de suas atribuições; e
VIatender às normas complementares da Autoridade Nacional de Proteção de Dados - ANPD.
Art. 7.
Compete ao Encarregado Central:
Ireceber comunicações da Autoridade Nacional de Proteção de Dados - ANPD e adotar providências;
IIdistribuir para os Encarregados Setoriais as reclamações e comunicações dos titulares de dados pessoais para que adotem as providências cabíveis;
IIIreceber comunicações da autoridade nacional e adotar providências;
IVcoordenar e orientar tecnicamente os Encarregados Setoriais a respeito de práticas a serem tomadas em relação à proteção de dados pessoais; e
Vcoordenar a implementação da Política Estadual de Proteção de Dados Pessoais;
VIauxiliar tecnicamente os Encarregados Setoriais e os Comitês Executivos da Política Estadual de Proteção de Dados Pessoais;
VIIdirigir-se diretamente aos Secretários de Estado e dirigentes máximos de órgãos ou entidades do Poder Executivo Estadual, por iniciativa própria ou provocada, para correção de procedimentos, apuração de fatos ou adoção de providências administrativas relacionadas à aplicação da LGPD;
VIIIsugerir modificações de regulamentos e atos normativos, a fim de facilitar a implementação da Política Estadual de Proteção de Dados Pessoais.
Art. 8.
Os encarregados setoriais e central devem ter garantidos pela autoridade máxima do órgão ou entidade ao qual está vinculado:
Iacesso direto aos dirigentes do órgão ou entidade a que está vinculado;
IIapoio dos setores jurídico, tecnológico, de controle interno do órgão ou entidade e da ouvidoria para o desempenho de suas funções;
IIIacesso motivado a todas as operações de tratamento de dados pessoais no âmbito do órgão ou entidade;
IVcapacitação permanente em temas relevantes para o desempenho de suas competências, como os definidos no § 1º do art. 9° deste Decreto.
Parágrafo únicoOs encarregados setoriais e central poderão solicitar aos órgãos e entidades do Poder Executivo informações sobre os sistemas operados pela Administração Pública Estadual, seja diretamente ou por força de contrato, convênio, de acordo ou instrumentos congêneres, a exemplo de:
Itipos de dados armazenados;
IIexistência de políticas de autorização, de autenticação e de controle de acesso aos dados;
IIImatriz de atribuições e de responsabilidades pelas operações de tratamento de dados;
IVexistência de registros (“logs”) das operações de tratamento de dados e retenção desses registros;
Vexistência de estratégias de “backup” e de recuperação de desastres;
VIferramentas de prevenção contra ameaças à disponibilidade, integridade e confiabilidade dos dados ;
VIIintegrações totais ou parciais com outros sistemas;
VIIIarmazenamento dos dados em outros repositórios para o uso em plataformas de BI e “big data”;
IXcontratação de empresas terceirizadas, na qualidade de suboperadoras;
Xdados armazenados fora do local físico das dependências de cada órgão ou entidade; e
XIsegurança e acesso ao ambiente físico de Tecnologia da Informação - TI.
Art. 9.
O dirigente máximo de cada órgão ou entidade da administração pública estadual, direta e indireta, deverá designar Comitê Executivo da Política Estadual de Proteção de Dados Pessoais, ao qual compete:
Iauxiliar o Encarregado Setorial no exercício das atribuições de que trata o art. 6° deste Decreto;
IIelaborar o Programa de Governança em Privacidade - PGP, de que trata o art. 11 deste Decreto;
IIIadequar à LGPD, sob a coordenação do Encarregado Setorial, os processos do respectivo órgão ou entidade que envolvem o tratamento de dados pessoais;
IVidentificar oportunidades de melhoria nos processos mapeados, promovendo as modificações que se façam necessárias.
§ 1ºOs Comitês Executivos da Política Estadual de Proteção de Dados Pessoais serão formados por equipe multidisciplinar, com no máximo áreas de: comunicação, controle interno, financeira, gestão de contratos, gestão de pessoal, jurídica, planejamento e tecnologia da informação.
§ 2ºCaso a estrutura do órgão ou entidade não tenha servidores destas áreas, a situação deve ser comunicada pelo titular da pasta, para que a Secretaria de Estado da Administração possa subsidiar a elaboração do referido programa.
§ 3ºOs Comitês Executivos da Política Estadual de Proteção de Dados Pessoais serão coordenados pelos respectivos Encarregados Setoriais. Seção II Da Governança da Política Estadual de Proteção de Dados Pessoais
Art. 10.
Fica criado o Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDD, instância colegiada de natureza normativa e deliberativa, a quem cabe a governança da referida Política Estadual e especificamente:
Imonitorar, direcionar e avaliar a gestão da Política Estadual de Proteção de Dados Pessoais;
IIzelar pela implementação das Políticas Nacional e Estadual de Proteção de Dados Pessoais;
IIIaprovar seu Regimento Interno, a ser homologado por Decreto do Poder Executivo;
IVexpedir os atos normativos necessários à regulamentação e implementação da Política Estadual de Proteção de Dados Pessoais;
Vexercer outras atividades ou atribuições inerentes ou correlatas e as que forem legalmente ou regularmente estabelecidas.
§ 1ºO Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDD será formado pelos seguintes membros:
I01 (um) representante da Procuradoria-Geral do Estado - PGE;
II01 (um) representante da Secretaria de Estado da Administração - SEAD;
III01 (um) representante da Secretaria de Estado da Transparência e Controle - SETC;
IV01 (um) representante da Secretaria de Estado da Fazenda - SEFAZ;
V01 (um) representante da Secretaria de Estado Geral de Governo - SEGG.
§ 2ºOs membros acima serão indicados pelos dirigentes das pastas respectivas e designados por Decreto do Poder Executivo, no prazo de
§ 3ºCabe ao Regimento Interno a definição da Presidência do Conselho, do prazo do mandato e da alternância do representante na presidência.
CAPÍTULO III
DOS PROGRAMAS DE GOVERNANÇA EM PRIVACIDADE
Art. 11.
s órgãos e as entidades da Administração Pública Estadual, de que trata o art. 1º deste Decreto, devem elaborar os respectivos Programas de Governança em Privacidade - PGP, nos termos do art. 50, § 2°, inciso I, da Lei (Federal) nº 13.709, de 14 de agosto de 2018, observadas as diretrizes desta Política Estadual de Proteção de Dados Pessoais, e as demais disposições deste Decreto.
§ 1ºOs Programas de Governança em Privacidade – PGP, de cada órgão ou entidade deverão ser submetidos à aprovação da autoridade máxima de cada órgão ou entidade da administração pública estadual direta, autárquica e fundacional, que os encaminhará para a homologação pelo Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDP.
§ 2ºNos Programas de Governança em Privacidade - PGP, deverá ser prevista a elaboração dos seguintes documentos, sempre que a estrutura, a escala e o volume das operações de tratamento de dados pessoais na repartição recomendarem:
Ipolítica de privacidade e proteção de dados, de uso interno;
IIaviso de privacidade, para usuários externos;
IIIrelatório de impacto de proteção de dados - RIPD para a atividades de tratamento que ofereçam altos riscos para os direitos e as liberdades individuais dos cidadãos;
IVplano de resposta a incidentes;
Vplano de recuperação de desastres; e
VIplano de treinamento e de conscientização dos servidores e colaboradores.
§ 3ºOs Relatórios de Impacto à Proteção de Dados Pessoais, conduzidos pelos encarregados e submetidos ao rito de aprovação e de homologação previsto no § 1º do art. 4º deste Decreto, terão o seguinte conteúdo mínimo:
Ia descrição dos tipos de dados coletados;
IIa metodologia utilizada para a coleta e para a garantia da segurança das informações; e
IIIa análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.
CAPÍTULO IV
DAS PLATAFORMAS TECNOLÓGICAS E DOS SÍTIOS ELETRÔNICOS
Art. 12.
A Secretaria de Transparência e Controle – SETC providenciará plataforma tecnológica transversal para a governança dos dados pessoais no âmbito da administração pública direta, autárquica e fundacional, de modo que se possa monitorar, de forma permanente e integrada, a conformidade de todos os órgãos e as entidades estaduais à LGPD.
Art. 13.
s órgãos e entidades do Poder Executivo Estadual, de que trata o art. 1º deste Decreto, deverão providenciar a adequação de suas páginas e plataformas tecnológicas para atender ao disposto na LGPD, em prazo a ser definido pelo CGPEPDP.
Art. 14.
s sítios eletrônicos dos órgãos e das entidades deverão veicular sua política de privacidade e de “cookies” para prévia aceitação do usuário, no prazo máximo de 60 (sessenta) dias, contados a partir da publicação deste Decreto.
CAPÍTULO IV
DO ATENDIMENTO AO TITULAR
Art. 15.
atendimento ao titular do dado será prestado por meio de canal eletrônico, com acesso disponível pela internet, de maneira integrada à plataforma de que trata o art. 12 deste Decreto e ao Sistema de Ouvidoria do Estado de Sergipe, de que trata o Decreto n° 40.370, de 30 de abril de 2019.
§ 1ºA identificação do titular ou procurador deverá ser idônea, mediante assinatura eletrônica emitida por entidade credenciada pela Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil ou qualquer outro meio que permita sua comprovação de modo inequívoco.
§ 2ºO canal de atendimento deve prover funções de registro e gerenciamento da demanda que viabilizem ao titular o acompanhamento do seu atendimento.
Art. 16.
A SETC prestará o apoio técnico para o desenvolvimento e manutenção do sistema eletrônico do canal de atendimento eletrônico previsto neste Capítulo, para a capacitação dos Encarregados no uso da ferramenta e para a emissão de relatórios gerenciais e de informações quando solicitado pelo Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDD.
§ 1ºOs Encarregados adotarão providências para atendimento do titular, em conformidade com a LGPD, a LAI e a legislação sobre proteção de dados pessoais, e encaminhará os esclarecimentos para o requerente.
§ 2ºOs dados pessoais solicitados no atendimento deverão ser entregues ao titular ou seu representante legal por meio eletrônico protegido ou pessoalmente.
Art. 17.
s Encarregados não disponibilizarão dados pessoais tratados pelo órgão ou entidade quando estiverem protegidos por sigilo nos termos da legislação vigente.
Parágrafo únicoOs Encarregados informarão o fundamento legal que embasa o indeferimento da entrega da informação sigilosa solicitada.
CAPÍTULO V
DO REGISTRO DAS OPERAÇÕES DE TRATAMENTO E DA ANONIMIZAÇÃO DE DADOS PESSOAIS
Art. 18.
controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem.
Parágrafo únicoEnquanto inexistir regulamentação da autoridade nacional, o tempo de guarda dos registros das operações será igual ao prazo de armazenamento dos dados pessoais, consoante as obrigações legais ou judiciais de mantê-los protegidos, observada a legislação pertinente.
Art. 19.
controlador deve adotar medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis no âmbito e nos limites técnicos de seus serviços para não serem acessados por terceiros não autorizados e, sempre que possível, proceder à sua anonimização.
CAPÍTULO VI
DO COMPARTILHAMENTO DE DADOS PESSOAIS
Art. 20.
uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios gerais de proteção de dados pessoais e as hipóteses previstas nos arts. 7° e 11 da Lei (Federal) nº 13.709, de 14 de agosto de 2018.
§ 1ºO controlador deve manter o registro do compartilhamento dos dados pessoais para fins de cumprimento do inciso VII do art. 18 da Lei (Federal) nº 13.709, de 14 de agosto de 2018.
§ 2ºOs dados deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação e ao acesso das informações pelo público em geral.
Art. 21.
uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa de direito privado observará as normas da Lei (Federal) nº 13.709, de 14 de agosto de 2018, em especial o disposto nos arts. 26 ao 30.
CAPÍTULO VII
DISPOSIÇÕES FINAIS E TRANSITÓRIAS
Art. 22.
Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDP, com o auxílio do Comitê Central de Planejamento, Avaliação e Monitoramento das Políticas Públicas – CPAM/SE, previsto no Decreto nº 40.359 de 22 de abril de 2019, e da PGE, orientará os órgãos e entidades da Administração Pública Estadual, de que trata o art. 1º deste Decreto, a respeito da adequação à LGPD, inclusive quanto à elaboração dos atos normativos, modelos de contratos, de convênios, de acordos de cooperação internacional e de instrumentos congêneres, devendo dirimir as dúvidas eventualmente pertinentes.
Art. 23.
Até que sejam designados os encarregados setoriais e central e os membros do CGPEPDP, os órgãos e entidades do Poder Executivo Estadual, de que trata o art. 1º deste Decreto, atenderão às recomendações da Comissão de Trabalho para a adequação do Poder Executivo Estadual à LGPD, de que trata o Decreto n° 41.000, de 29 de setembro de 2021.
Art. 24.
Ficam alterados o inciso I do art. 2º, o “caput” do art. 7º e o “caput” do art. 9º, todos do Decreto nº 40.370, de 30 de abril de 2019, que passa a vigorar com a seguinte redação: “Art. 2º …
Ireceber, examinar e encaminhar manifestações, sugestões, reclamações e denúncias dos cidadãos relativas à prestação de serviços públicos em geral, referentes a procedimentos e ações de agentes, órgãos e entidades do Poder Executivo Estadual, inclusive no que se refere à aplicação da Lei (Federal) nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD; …………………………………………………………..” (NR) “Art. 7º A Ouvidoria Geral do Estado disponibilizará os meios necessários ao recebimento de manifestações, sugestões, reclamações, denúncias, inclusive quanto à aplicação da LGPD, e pedidos de acesso à informação (LAI), tais como: atendimento online, call-center, presencial e meio postal”. “Art. 9º Os dados pessoais do usuário contidos nas manifestações são de acesso restrito, devendo ser aplicadas as regras da Lei (Federal) nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD”
Art. 25.
Este Decreto entra em vigor na data de sua publicação, ficando revogadas as disposições em contrário. Aracaju, 05 de outubro de 2021; 200º da Independência e 133º da República. BELIVALDO CHAGAS SILVA GOVERNADOR DO ESTADO Manuel Dernival Santos Neto Secretário de Estado da Administração Marco Antônio Queiroz Secretário de Estado da Fazenda Alexandre Brito de Figueiredo Secretário de Estado da Transparência e Controle Vinicius Thiago Soares de Oliveira Procurador-Geral do Estado José Carlos Felizola Soares Filho Secretário de Estado Geral de Governo PUBLICADO NO DIÁRIO OFICIAL DO DIA 06 DE OUTUBRO DE 2021