LEI N.º 907 /2024, DE 14 DE MAIO DE 2024.

Dispõe sobre a aplicação e implementação da Lei Federal n.º 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD), no âmbito do Poder Executivo Municipal de Pereiro/CE.

O PREFEITO DE PEREIRO, Estado do Ceará, RAIMUNDO ESTEVAM NETO, no uso das atribuições legais que lhe são conferidas pela Magna Carta e a Lei Orgânica do Município e demais legislações em vigor, submete à apreciação da Câmara Municipal de Pereiro-CE, o seguinte Projeto de Lei.Faço saber que a CÂMARA MUNICIPAL DE PEREIRO aprovou e eu sanciono e promulgo a seguinte Lei:CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º Esta Lei regulamenta a Lei Federal n.º 13.709, de 14 de agosto de 2018 - Lei de Proteção de Dados Pessoais (LGPD), no âmbito do Poder Executivo Municipal estabelecendo competências, procedimentos e providências correlatas a serem observados por seus órgãos e entidades, visando a garantir a proteção de dados pessoais.Art. 2º A implementação da LGPD, no âmbito da Administração Pública do Município de Pereiro, têm os seguintes objetivos:

I - o tratamento de dados pessoais de acordo com a LGPD, primando pela segurança e proteção de dados;

II - a proteção aos direitos fundamentais de liberdade e de privacidade;

III - o livre desenvolvimento da personalidade da pessoa natural; e

IV - a garantia do tratamento adequado dos dados pessoais.

Art. 3º As atividades de tratamento de dados pessoais pelos órgãos e entidades municipais deverão observar a boa-fé e os seguintes princípios:

I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.

Art. 4º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada à pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V - titular: pessoa natural a quem se referem os dados pessoais que são objetos de tratamento;

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem às decisões referentes ao tratamento de dados pessoais;

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

IX - agentes de tratamento: o controlador e o operador;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular dos dados concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XIII - plano de adequação: conjunto de regras de boas práticas e de governança de dados pessoais que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos agentes envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos, o plano de repostas aos incidentes de segurança e outros aspectos relacionados ao tratamento de dados pessoais.

CAPÍTULO II

DAS DIRETRIZES

Art. 5º As práticas de proteção de dados pessoais devem abranger todos os processos e pessoas que de alguma forma tratem esses dados, em todas as unidades organizacionais da Prefeitura de Pereiro, assim como quaisquer pessoas físicas ou jurídicas com quem a Prefeitura se relacione, tais como, usuários dos serviços, fornecedores, prestadores de serviços, instituições e quaisquer outros entes públicos ou privados e deve se pautar nas seguintes diretrizes:

I - O tratamento deve limitar-se ao mínimo de dados pessoais necessários para a realização das atividades da Prefeitura de Pereiro, devendo a identificação de seus titulares ocorrer apenas durante o período necessário;

II - O tratamento deve ser apenas para finalidades determinadas, explícitas e legítimas, não podendo ser tratados posteriormente de forma incompatível com as finalidades previamente definidas ou em descompasso com as hipóteses previstas na LGPD;

III - A proteção dos dados pessoais deve ser eficaz nos meios físicos e digitais, devendo ser tratados de forma segura, resguardados de tratamento não autorizado ou ilícito, perda ou destruição acidental, mediante adoção de medidas técnicas ou organizacionais adequadas;

IV - Deve ser provida transparência e consulta gratuita aos titulares sobre o tratamento, finalidade, forma, conteúdo, integridade, duração, compartilhamento e exatidão de seus dados pessoais, bem como possibilitada a atualização e a correção dos dados pessoais e a revogação do consentimento por seus titulares, quando aplicável;

V - O compartilhamento de dados pessoais deve ocorrer somente em situações de justificada necessidade, com finalidade e tratamento claramente especificados e rigorosamente aplicadas as medidas necessárias para registro, controle, proteção, sincronização, eliminação, anonimização e bloqueio dos dados pessoais compartilhados;

VI - Todos os serviços, produtos, projetos, processos e procedimentos da Prefeitura de Pereiro em funcionamento ou ainda não implantados, devem ser estruturados de forma a atender plenamente aos requisitos de segurança, aos padrões de boas práticas e de governança, aos princípios gerais previstos na LGPD e às demais leis e regulamentos;

VII - O término do tratamento de dados pessoais deverá ocorrer com a verificação de que a finalidade foi alcançada, se deixaram de ser pertinentes ou necessários ou ocorreu o fim do período de tratamento;

VIII - Os dados pessoais serão eliminados após o término de seu tratamento, exceto para o cumprimento de obrigação legal ou anonimizados para estudo por órgão de pesquisa ou uso exclusivo do controlador.CAPÍTULO III

DA OPERACIONALIZAÇÃO DA LGPD MUNICIPAL

Seção I

Dos encarregados

Art. 6º A estrutura necessária para a implantação e operacionalização da LGPD no Município obrigatoriamente conterá indicação de:

I - 01 (um) Encarregado Geral de Proteção de Dados do Município a ser designado por ato do Chefe do Poder Executivo, para os fins do art. 41 da Lei Federal n.º 13.709/2018, sendo preferencialmente servidor público da Controladoria Geral do Município;

II - Encarregados Setoriais de Proteção de Dados que serão indicados formalmente pelas Secretarias Municipais e designados por ato do Chefe do Poder Executivo;

III – 01 (um) Controlador, a ser designado por ato do Chefe do Poder Executivo;

IV – 01 (um) operador, a ser designado por ato do Chefe do Poder Executivo.

Art. 7º Compete ao Encarregado-Geral:

I - Realizar a gestão da implementação da LGPD na Prefeitura de Pereiro;

II - Aceitar solicitações, reclamações e comunicações/denúncias dos titulares e da Autoridade Nacional, interagindo com as demais unidades organizacionais, para prestar esclarecimentos e adotar providências;

III - Orientar os Agentes de Tratamento a respeito das práticas a serem adotadas em relação à proteção de dados pessoais e promover ações de sensibilização e capacitação em assuntos relacionados à LGPD;

IV - Gerenciar os incidentes de segurança relacionados à proteção de dados pessoais, interagindo com os responsáveis pelo diagnóstico e resolução, reportando-se à Procuradoria-Geral do Município, Secretaria de Controladoria, Ouvidoria e Transparência Municipal e demais secretarias responsáveis;

V - Providenciar comunicação à Autoridade Nacional e aos titulares quando verifique a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;

VI - Revisar, submeter para aprovação e divulgar apropriadamente esta Política;

VII - Manter as informações de divulgação exigida pela LGPD sempre atualizadas;

VIII - Liderar a elaboração do Relatório de Impacto à Proteção de Dados Pessoais - RIPD, quando requerido e em conjunto com a Procuradoria-Geral do Município, Secretaria de Controladoria, Ouvidoria e Transparência Municipal, Secretaria Municipal de Administração e as demais unidades organizacionais necessárias, prestando informações e encaminhado relatórios a ANDP de acordo com a legislação.

Art. 8º Compete aos Encarregados Setoriais:

I - elaborar o Plano de Adequação com o descritivo dos procedimentos, processos e modelos de documentação específicas e medidas que serão realizadas para adequar o órgão ou entidade por ele representado à Lei Geral de Proteção de Dados, com base no Protocolo de Adequação elaborado pelo Encarregado-Geral de Proteção de Dados do Município, observado o constante em Norma Técnica específica;

II - implementar a adequação de seus órgãos e/ou entidades à LGPD, com base no Plano de Adequação elaborado na forma do inciso I do “caput” deste artigo.

Art. 9º Compete ao Controlador:

I - Supervisionar o cumprimento desta política, estabelecendo medidas para alterações nas normas internas, de modo a garantir a proteção de dados e a efetividade da privacidade;

II - Comunicar à Autoridade Nacional e aos titulares quando verifique a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;

III - Garantir a divulgação da identidade e das informações de contato do Operador, no site da Prefeitura Municipal de Pereiro;

IV - Assegurar o cumprimento da política de proteção de dados pessoais à luz da legislação vigente;

V - Garantir infraestrutura física e de pessoal, além de recursos para o cumprimento das exigências estabelecidas na LGPD;

VI - Apoiar a realização e a avaliação na exposição aos riscos de violações de privacidade e mitigados com ações de melhoramento;

VII - Manter atualizado os registros das atividades de tratamento de dados;

VIII - Acompanhar o cumprimento das cláusulas de proteção de dados junto aos contratados e fornecedores;

IX - Promover formações de boas práticas para a proteção de dados;

X - Adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Art. 10. Compete ao Operador:

I - Executar as atribuições determinadas pelo Controlador;

II - Realizar o tratamento de dados em nome do Controlador;

III - Manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

Parágrafo único. Ressalte-se que todos os colaboradores e unidades organizacionais que tratam dados pessoais são considerados cooperadores.

Seção II

Da Comissão Municipal de Proteção de Dados Pessoais e da Privacidade (CMPDPP)

Art. 11. A Comissão Municipal de Proteção de Dados e da Privacidade (CMPDPP) serão designados por meio de Portaria do Poder Executivo Municipal, será composta por representantes indicados pelo Prefeito e secretários municipais das seguintes pastas:

a) 1 (um) representante da Secretaria Municipal de Administração;

b) 1 (um) representante da Secretaria Municipal de Gabinete;

c) 1 (um) representante da Secretaria Municipal de Saúde;

d) 1 (um) representante da Secretaria Municipal de Meio Ambiente;

e) 1 (um) representante da Secretaria Municipal de Finanças;

f) 1 (um) representante da Controladoria Geral do Município;

g) 1 (um) representante da Procuradoria-Geral do Município;

h) 1 (um) representante do Departamento de Tecnologia da Informática – TI;

i) 1 (um) representante do Departamento de Pessoal ou Recursos Humanos;

j) 1 (um) representante da Câmara Municipal;

l) 3 (três) representantes da sociedade civil.

Art. 11. Compete ao Conselho Municipal de Proteção de Dados Pessoais e da Privacidade - CMPDPP:

I - auxiliar a Administração Pública municipal na aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD);

II - identificar os pontos a serem esclarecidos na aplicação da LGPD e suas implicações na Administração Pública municipal;

III – propor diretrizes estratégicas e fornecer subsídios e orientações para a elaboração da Política Municipal de Proteção de Dados Pessoais e da Privacidade;

IV – acompanhar o cumprimento das determinações da Autoridade Nacional de Proteção de Dados – ANPD para a Administração Pública municipal;

V - elaborar relatórios semestrais de avaliação da execução das ações da Política Municipal de Proteção de Dados Pessoais e da Privacidade;

VI - sugerir ações e medidas a serem implementadas na Administração Pública municipal naquilo que se refere ao escopo de aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD);

VII - elaborar estudos, realizar debates, eventos, seminários e audiências públicas sobre boas práticas, sempre com foco na conscientização sobre a necessidade da tutela da proteção de dados pessoais e da privacidade prevista na Lei Geral de Proteção de Dados Pessoais (LGPD); e

VIII - disseminar o conhecimento das boas práticas sobre a proteção de dados pessoais e da privacidade à população de Pereiro.

Art. 12. As deliberações do CGPD serão tomadas por maioria simples, sendo efetivadas mediante decisões, instruções ou resoluções, com a assinatura de seus membros.

Parágrafo único. As manifestações a que se refere o caput visam disciplinar a implantação organizada e planejada da LGPD no âmbito do Poder Executivo Municipal.

CAPÍTULO IV

DO TRATAMENTO DE DADOS

Art. 13. Na administração pública, a principal finalidade do tratamento de dados está relacionada à execução de políticas públicas previstas em lei, regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, bem como o cumprimento de obrigação legal ou regulatória pelo controlador e nessas duas situações, o consentimento do titular de dados é dispensado.

Art. 14. Dados pessoais são informações relacionadas à pessoa física identificada ou identificável e estão inclusos neste conceito, sem limitar:

I - Nome, dados do título de eleitor, Cadastro de Pessoa Física (CPF), Carteira de Identidade ou Registro Geral (RG);

II - Endereço, idade, gênero, data e local de nascimento;

III - Dados bancários, informações constantes na declaração de imposto de renda, vínculos empregatícios;

IV - Localização via Sistema de Posicionamento Global (GPS), fotografia, renda, hábitos de consumo, endereço de Protocolo da Internet (IP).

Seção I

Da garantia da prevenção a fraude e a segurança do titular e tipos de tratamento

Art. 15. Deve ser garantida a proteção de dados nos sistemas informatizados, incluindo autenticação, cadastro e informações correlacionadas ao titular.

Art. 16. São considerados tipos de tratamento toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Art. 17. Ações de mapeamento e análise dos processos organizacionais, com intuito de identificar os ativos organizacionais e as medidas técnicas de segurança que serão implementadas nestes ativos com vistas a prover a adequada proteção dos dados pessoais, devem ser estabelecidas por meio de normativo.

Art. 18. Caso não existam medidas técnicas de segurança implementadas, deverão ser analisadas e executadas ações necessárias para proteger os dados, sempre mitigando os eventuais riscos.

Art. 19. O titular dos dados pessoais tem direito a obter da Prefeitura de Pereiro, a qualquer momento e mediante requisição ao Serviço de Informação ao Cidadão (SIC):

I - Confirmação da existência de tratamento;

II - Acesso aos dados;

III - Correção de dados incompletos, inexatos ou desatualizados;

IV - Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;

V - Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;

VI - Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 da Lei Federal n.º 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais;

VII - Informação das entidades públicas e privadas com as quais o Controlador realizou uso compartilhado de dados;

VIII - Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; e

IX - Revogação do consentimento.

Seção II

Do tratamento de dados pessoais na execução de políticas públicas e desenvolvimento de pesquisas

Art. 20. O tratamento de dados pessoais e pessoais sensíveis, quando em execução de políticas públicas, deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.

Art. 21. No caso de estudos por órgãos de pesquisa, deve ser garantida, sempre que possível, a anonimização dos dados pessoais, hipótese que dispensa o consentimento do titular do dado, sendo esta utilização estrita para a realização de estudos por órgão de pesquisa público ou privado.

Seção III

Da execução de contratos administrativos e exercício de direito e a tutela de saúde

Art. 22. No caso de haver necessidade de processamento de dado pessoal para a consecução dos termos ajustados em contrato, o consentimento do titular estará abrangido pela autonomia da vontade expressa no momento da formalização do contrato, não sendo necessária nova previsão expressa para o tratamento, do titular, decorrente do negócio.

Art. 23. Para o caso de dados pessoais e/ou sensíveis de terceirizados, por meio de contrato, será necessária uma cláusula em que constem a obrigação da contratada em informar aos titulares sobre o compartilhamento dos dados, com a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução das atividades contratadas.

Art. 24. Para a tutela da saúde, exclusivamente, o tratamento de dados pessoais somente poderá ser realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Seção IV

Do compartilhamento de dados pessoais entre entidades públicas

Art. 25. É possível o compartilhamento de dados com órgãos públicos ou transferência de dados a terceiro fora do setor público. Para tanto, os agentes de tratamento devem comunicar as operações executadas, de forma clara, aos titulares dos dados.

Art. 26. Para o compartilhamento dentro da administração pública no âmbito da execução de políticas públicas, o órgão que coleta deverá informar claramente que o dado será compartilhado, com qual órgão e a finalidade.

Art. 27. Se algum órgão solicitar o acesso a dado colhido pela Prefeitura Municipal de Alto Santo, isto é, pedir para receber o compartilhamento, precisará justificar esse acesso com base na execução de uma política pública específica e claramente determinada e ainda possuir atribuição, descrevendo o motivo da solicitação de acesso e o uso que será feito com os dados.

CAPÍTULO V

DA TRANSPARÊNCIA E PUBLICIDADE

Art. 28. É obrigação da Prefeitura Municipal de Pereiro realizar a transparência ativa e publicar informações sobre os tratamentos de dados pessoais realizados no sítio eletrônico, de forma clara e atualizada, detalhando a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução desses tratamentos.

Art. 29. Também deverá ser dada publicidade aos tratamentos de dados pessoais sensíveis em que seja dispensado o consentimento do titular, seja para cumprimento de obrigação legal ou regulatória, seja para tratamento compartilhado de dados necessários para a execução de políticas públicas.

CAPÍTULO VI

DAS DISPOSIÇÕES FINAIS

Art. 30. O não cumprimento das diretrizes desta Política poderá ensejar na apuração de responsabilidade aos agentes de tratamento, com base nos normativos internos e legislação em vigor.

Art. 31. O Poder Executivo poderá regulamentar a presente Lei através de Decreto Municipal, quando cabível e necessário.

Art. 32. As despesas decorrentes da execução desta Lei correrão por conta das dotações orçamentárias próprias do Município de Pereiro, suplementadas se necessário.

Art. 33. Esta Lei entrará em vigor 180 (cento e oitenta) dias após a data da sua publicação.

Registre-se. Publique-se. Cumpra-se.

Paço da Prefeitura Municipal, Pereiro/CE, aos 14 de maio de 2024.

RAIMUNDO ESTEVAM NETO

Prefeito de Pereiro/CE