Decreto nº 11.844/2026

DECRETO Nº 11.844, DE 18 DE MARÇO DE 2026

Dispõe sobre a regulamentação do tratamento de dados pessoais no âmbito do Estado do Acre e dá outras providências.

O GOVERNADOR DO ESTADO DO ACRE, no uso das atribuições que lhe confere o art. 78, incisos IV e VI, da Constituição do Estado do Acre, e tendo em vista o disposto na Lei Federal nº 13.709 , de 14 de agosto de 2018, DECRETA:

Art. 1º Ficam estabelecidas as disposições regulamentares relacionadas às diretrizes e procedimentos para o tratamento de dados pessoais no âmbito do Poder Executivo do Estado do Acre.

Parágrafo único. Aplica-se o disposto neste Decreto aos órgãos da administração direta, às autarquias e fundações, assim como às empresas públicas e às sociedades de economia mista classificadas como dependentes de acordo com o disposto no inciso III do caput do art. 2º. da Lei Complementar Federal nº 101 , de 4 de maio de 2000, e ainda, no que couber, às demais sociedades em que o Estado detenha, direta ou indiretamente, a maioria do capital social com direito a voto.

Art. 2º O tratamento de dados pessoais no âmbito da administração pública estadual será realizado para o atendimento das finalidades públicas de seus órgãos e entidades, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.

§ 1º A realização de tratamento de dados pessoais por agentes públicos será informada em veículos de fácil acesso, preferencialmente no sítio eletrônico do órgão ou entidade responsável, com a indicação:

I - da previsão legal;

II - da finalidade;

III - dos procedimentos e práticas utilizadas.

§ 2º As operações realizadas com dados pessoais serão devidamente registradas pelos agentes de tratamento, garantindo rastreabilidade e conformidade com a legislação vigente.

Art. 3º No cumprimento de suas atribuições funcionais, os agentes de tratamento poderão tratar dados pessoais, inclusive sensíveis, ficando dispensado o consentimento dos respectivos titulares.

§ 1º A execução de atividades que ultrapassem as funções públicas será condicionada à obtenção de consentimento dos titulares dos dados, na forma do art. 8º. da Lei Federal nº 13.709 , de 14 de agosto de 2018.

§ 2º O tratamento de dados sensíveis observará medidas específicas de segurança e será acompanhado de relatório de impacto à proteção de dados, quando necessário.

Art. 4º Os agentes responsáveis pelo tratamento de dados da administração pública estadual poderão fazer o uso compartilhado de dados pessoais com outros órgãos e entidades públicas, visando ao atendimento de finalidades específicas de execução de políticas públicas, dentro de suas competências legais, observando-se os fundamentos e os princípios de que tratam os arts. 2º e 6º da Lei Federal nº 13.709 , de 2018.

Art. 5º Será vedada a transferência de dados pessoais constantes de bases de dados da administração pública estadual para entidades privadas, exceto quando:

I - houver execução descentralizada de atividades públicas que exijam a transferência de recursos exclusivamente para fins específicos e determinados, observando-se as disposições da Lei Federal nº 12.527 , de 18 de novembro de 2011;

II - quando os dados forem acessíveis publicamente, observando-se as disposições da Lei Federal nº 13.709 , de 2018;

III - quando houver previsão legal ou a transferência for respaldada em cláusula específica de contratos, convênios ou instrumentos congêneres;

IV - quando a transferência dos dados tiver como única finalidade a prevenção de fraudes e irregularidades ou a proteção e resguardo da segurança e da integridade dos titulares dos dados, vedado o tratamento para outras finalidades.

Parágrafo único. Na hipótese de compartilhamento de dados pessoais com entidades privadas, será:

I - firmado instrumento jurídico apropriado, com o estabelecimento de responsabilidades e os deveres de segurança entre as partes;

II - realizada a comunicação à Autoridade Nacional de Proteção de Dados - ANPD, nos termos do art. 27 da Lei Federal nº 13.709 , de 2018.

Art. 6º Os agentes de tratamento deverão adotar medidas de anonimização de dados pessoais nos casos previstos na legislação vigente, de acordo com critérios técnicos que garantam a impossibilidade de reversão à identidade do titular, bem como adotar medidas que impeçam o acesso a dados por terceiros não autorizados.

Art. 7º Os agentes de tratamento deverão adotar medidas de segurança técnicas e administrativas estabelecidas pela ANPD, a fim de proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Art. 8º Os agentes de tratamento e quaisquer pessoas que intervenham em fases de processos de tratamento serão obrigados a garantir a segurança dos dados pessoais, inclusive após o término de seu tratamento.

Art. 9º Será considerado incidente de segurança que possa acarretar risco ou dano relevante quando apto a afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver, pelo menos, um dos seguintes critérios:

I - dados pessoais sensíveis;

II - dados de crianças, de adolescentes ou de idosos;

III - dados financeiros;

IV - dados de autenticação em sistemas;

V - dados protegidos por sigilo legal, judicial ou profissional; ou

VI - dados em larga escala.

§ 1º O incidente de segurança que possa afetar significativamente interesses e direitos fundamentais será caracterizado, dentre outras situações, naquelas em que a atividade de tratamento puder impedir o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade.

§ 2º Será considerado incidente de segurança com dados em larga escala aquele que abranger número significativo de titulares, considerando, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica de localização dos titulares.

Art. 10. Competirá ao operador de dados pessoais:

I - executar as operações práticas relacionadas ao tratamento de dados pessoais, conforme as orientações do controlador de dados pessoais;

II - receber e responder reclamações e comunicações dos titulares, prestando esclarecimentos necessários e adotando providências cabíveis;

III - receber comunicações da Controladoria-Geral do Estado - CGE e da ANPD, adotando as medidas necessárias para atender suas determinações;

IV - orientar os servidores e colaboradores do órgão ou entidade sobre as boas práticas a serem tomadas em relação à proteção de dados;

V - cumprir as demais atribuições determinadas pelo controlador ou previstas em normas complementares;

VI - adotar medidas de segurança para garantir a proteção dos dados sob sua gestão;

VII - auxiliar o controlador no cumprimento de suas obrigações perante os titulares de dados, sempre que necessário;

VIII - quando um incidente de segurança ocorrer, o operador deverá informar o fato ao controlador em até 24 (vinte e quatro) horas, fornecendo todas as informações necessárias para que o controlador, por sua vez, as remeta à ANPD.

Art. 11. Competirá ao controlador de dados pessoais:

I - garantir que o tratamento de dados esteja em conformidade com a legislação vigente, em especial com a Lei Federal nº 13.709 , de 2018;

II - informar de maneira clara e acessível as finalidades e bases legais do tratamento de dados, bem como o tempo de retenção e as medidas de proteção adotadas;

III - estabelecer políticas internas e implementar práticas que assegurem a proteção de dados, com ênfase na minimização, necessidade e transparência;

IV - designar o encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da Lei Federal nº 13.709 , de 2018, garantindo-lhe os meios necessários para o exercício de suas funções;

V - atender às solicitações dos titulares de dados no prazo estabelecido pela legislação, garantindo seus direitos previstos no art. 18 da Lei Federal nº 13.709 , de 2018; e

VI - publicar e manter atualizado o registro das atividades de tratamento de dados pessoais realizadas pelo órgão ou entidade, conforme o art. 37 da Lei Federal nº 13.709 , de 2018.

Parágrafo único. A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do órgão ou entidade.

Art. 12. Os controladores de dados pessoais devem, obrigatoriamente, comunicar aos titulares, à Controladoria-Geral do Estado - CGE e à ANPD sobre a ocorrência de incidentes de segurança que possam causar riscos ou danos relevantes aos titulares.

§ 1º A comunicação de que trata o caput deverá ser realizada em tempo razoável, conforme definido pela autoridade nacional, contemplando no mínimo, as informações estipuladas no

§ 1º do art. 48 da Lei Federal nº 13.709 , de 2018.

§ 2º Aos titulares, a comunicação de incidentes de segurança fará o uso de linguagem simples e de fácil entendimento, de forma direta e individualizada, preferencialmente e sempre que possível, por meio do canal já habitualmente utilizado pelo agente para se comunicar com o titular, por e-mail, serviços de mensagens curtas, carta ou mensagem eletrônica.

§ 3º A comunicação será enviada conjuntamente à Controladoria-Geral do Estado - CGE e à ANPD contendo as mesmas informações.

§ 4º Caso não seja possível fornecer todas as informações no prazo estabelecido no

§ 1º, o agente de tratamento deverá apresentar uma comunicação preliminar e, posteriormente, complementar as informações pendentes.

Art. 13. Os agentes de tratamento de dados pessoais armazenarão os registros internos de todos os incidentes de segurança, independentemente de sua comunicação à Controladoria-Geral do Estado - CGE e à ANPD, contendo todas as informações necessárias para auditoria e fiscalização.

Art. 14. As obrigações referentes à comunicação de incidentes de segurança entre controladores e operadores poderão ser estabelecidas em contrato, a fim de agilizar os procedimentos e minimizar riscos aos titulares de dados.

Art. 15. A Controladoria-Geral do Estado - CGE poderá fiscalizar os incidentes de segurança reportados, solicitar informações adicionais, recomendar a adoção de medidas corretivas e aplicar penalidades cabíveis nos termos da legislação vigente.

Art. 16. As empresas públicas, sociedades de economia mista, suas subsidiárias e empresas controladas direta ou indiretamente pelo Estado que atuem em regime de concorrência, nos termos do art. 173 da Constituição da República, deverão observar o regime aplicável às pessoas jurídicas de direito privado para fins de proteção de dados pessoais.

Parágrafo único. Caso as entidades de que trata o caput executem políticas públicas, deverão seguir as mesmas disposições de tratamento de dados aplicáveis ao poder público.

Art. 17. Fica criado o Comitê Estadual de Proteção de Dados Pessoais - CEPD, órgão colegiado com a finalidade de promover a aplicação e o cumprimento da Lei Federal nº 13.709 , de 2018, e deste Decreto, no âmbito da administração pública estadual, além de implementar estratégias relacionadas à proteção dos dados.

§ 1º O CEPD ficará subordinado à Controladoria-Geral do Estado - CGE, que prestará ao Comitê o apoio administrativo necessário.

§ 2º O CEPD aprovará seu regimento interno, dispondo sobre sua organização, funcionamento, atribuições de seus membros e outras regras necessárias para sua atuação.

Art. 18. O CEPD será composto por membros indicados pelos dirigentes máximos dos seguintes órgãos:

I - Controladoria-Geral do Estado - CGE;

II - Secretaria de Estado de Administração - SEAD;

III - Secretaria de Estado da Fazenda - SEFAZ;

IV - Procuradoria-Geral do Estado - PGE.

§ 1º Caberão à Controladoria-Geral do Estado - CGE a presidência e a vice-presidência do CEPD.

§ 2º Cada órgão deverá indicar à Presidência do CEPD, mediante expediente do respectivo dirigente máximo, 2 (dois) membros titulares e respectivos suplentes, escolhidos dentre servidores com qualificação compatível às matérias tratadas pelo Comitê.

§ 3º O mandato dos membros do CEPD terá vigência de 2 (dois) anos, permitida a recondução, inclusive para o exercício das funções de Presidente e Vice-Presidente.

§ 4º A participação no CEPD será considerada prestação de serviço público relevante, não remunerada.

§ 5º O CEPD se reunirá, em caráter ordinário, em conformidade com o calendário de reuniões aprovado por seus membros e, em caráter extraordinário, mediante solicitação da Presidência.

§ 6º O quórum de reunião do CEPD será de maioria absoluta e o quórum de aprovação, de maioria simples.

Art. 19. Competirá ao CEPD:

I - elaborar a política estadual de proteção de dados pessoais;

II - propor diretrizes estratégicas para implementação da política estadual de proteção de dados pessoais;

III - coordenar e implementar políticas públicas relacionadas à proteção de dados pessoais, no âmbito estadual;

IV - orientar sobre boas práticas e medidas de segurança para o tratamento de dados pessoais;

V - monitorar e supervisionar o cumprimento das normas relacionadas à proteção de dados pessoais;

VI - atuar como instância consultiva e deliberativa para análise preliminar de incidentes envolvendo tratamento indevido de dados pessoais, recomendando medidas de mitigação e providências administrativas, sem prejuízo da comunicação à ANPD;

VII - tratar denúncias e sugestões recebidas por meio dos canais de atendimento das ouvidorias relacionadas à proteção de dados pessoais;

VIII - prestar assessoria técnica ao Poder Executivo sobre a adoção de medidas e estratégias relacionadas à proteção de dados pessoais;

IX - colaborar na elaboração de normas e regulamentos estaduais para garantir a aplicação da Lei Federal nº 13.709 , de 2018, no âmbito estadual;

X - formular recomendações e diretrizes sobre como a administração pública estadual deve tratar dados pessoais para garantir a segurança e a privacidade dos cidadãos;

XI - fornecer orientações técnicas para padronização de cláusulas nos instrumentos contratuais administrativos, contemplando o tratamento de dados pessoais, resguardadas as competências da Procuradoria - Geral do Estado - PGE;

XII - realizar ações de cooperação com a ANPD, visando ao cumprimento das suas diretrizes no âmbito estadual;

XIII - recomendar a publicação dos relatórios de impacto à proteção de dados pessoais de que trata o art. 32 da Lei Federal nº 13.709 , de 2018.

Art. 20. O CEPD orientará os agentes públicos estaduais responsáveis pelo tratamento de dados pessoais quanto à elaboração de um plano operacional de adequação, que estabelecerá regras para a administração pública estadual, quanto a boas práticas e governança de dados pessoais, contendo:

I - o diagnóstico inicial, com:

a) mapeamento de dados: identificação dos dados coletados pelo órgão ou entidade, descrição das operações de tratamento realizadas, definição dos agentes de tratamento e especificação das finalidades associadas a cada tratamento de dados;

b) análise de riscos: identificação de possíveis vulnerabilidades nos processos de tratamento de dados que possam resultar em incidentes de segurança, com avaliação dos impactos potenciais aos direitos e liberdades dos titulares;

c) inventário de dados: sistematização das categorias de dados tratados, indicação das respectivas bases legais, delimitação do ciclo de vida dos dados e descrição das medidas técnicas e administrativas adotadas para assegurar sua proteção;

II - a estruturação de governança de dados com:

a) a nomeação do encarregado de dados;

b) a definição da política de proteção de dados;

c) a criação do Comitê de Privacidade, composto por equipe multidisciplinar responsável por supervisionar a implementação e o monitoramento contínuo da conformidade;

III - a adequação de processos, incluindo:

a) a revisão dos métodos de coleta em conformidade com a Lei Federal nº 13.709 , de 2018;

b) a minimização de dados, devendo ser tratados apenas o que for estritamente necessário para atingir as finalidades pretendidas;

c) a revisão dos contratos com a inclusão de cláusulas específicas de proteção de dados e responsabilidade;

IV - as condições de organização e o regime de funcionamento do tratamento de dados;

V - os procedimentos, as normas de segurança e os padrões técnicos a serem adotados no tratamento de dados;

VI - as obrigações específicas para os diversos agentes de tratamento envolvidos no tratamento de dados pelo poder público;

VII - as ações educativas e os mecanismos internos de supervisão e de mitigação de riscos;

VIII - o plano de respostas a incidentes de segurança;

IX - a formulação de orientações sobre a indicação de encarregados pelo tratamento de dados no âmbito da administração pública estadual;

X - a orientação e coordenação da rede de encarregados responsáveis pela implementação da política estadual de proteção de dados pessoais;

XI - outros aspectos relacionados ao tratamento de dados pelo poder público.

Art. 21. As regras de boas práticas e governança em proteção de dados pessoais deverão ser publicadas e atualizadas periodicamente pelos portais da Ouvidoria e Transparência Pública, garantindo amplo acesso à sociedade.

Art. 22. A Controladoria-Geral do Estado - CGE garantirá a atualização anual e a ampla divulgação das regras de boas práticas e governança.

Art. 23. Fica a Controladoria-Geral do Estado - CGE autorizada a editar normas complementares necessárias para o cumprimento deste Decreto e da política estadual de proteção de dados pessoais.

Art. 24. Este Decreto entra em vigor na data de sua publicação.

Rio Branco - Acre, 18 de março de 2026, 138º da República, 124º do Tratado de Petrópolis e 65º do Estado do Acre.

Gladson de Lima Camelí

Governador do Estado do Acre

Este texto não substitui o publicado no DOE de 18/03/2026 (Edição Extra). NOME DO ARQUIVO LINK PARA DOWNLOAD