Decreto nº 48.891/2024
INSTITUI A POLÍTICA DE GOVERNANÇA EM PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS DO ESTADO DO RIO DE JANEIRO, EM CONFORMIDADE COM A LEI FEDERAL Nº 13.709, DE 14 DE AGOSTO DE 2018 (LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS - LGPD).
DECRETO Nº 48.891 DE 10 DE JANEIRO DE 2024
INSTITUI A POLÍTICA DE GOVERNANÇA EM PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS DO ESTADO DO RIO DE JANEIRO, EM CONFORMIDADE COM A LEI FEDERAL Nº 13.709 , DE 14 DE AGOSTO DE 2018 (LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS - LGPD).
O GOVERNADOR DO ESTADO DO RIO DE JANEIRO, no uso de suas atribuições constitucionais e legais, tendo em vista o que consta no Processo nº sEI-120211/000238/2021, e;
CONSIDERANDO:
- que os dados pessoais integram o âmbito de proteção dos direitos fundamentais de liberdade, de privacidade, de intimidade e do livre desenvolvimento da personalidade da pessoa natural;
- que compete privativamente ao chefe do Poder Executivo a expedição de decretos e regulamentos destinados à fiel execução de leis e à organização administrativa, conforme disposto no artigo 84, inciso IV, da Constituição da República e no artigo 145, inciso IV, da Constituição do Estado do Rio de Janeiro;
- que, nos termos do Parágrafo Único do artigo 1º da Lei Federal nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), as normas de proteção relativas ao tratamento dedados pessoais são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios;
- que, nos termos do Decreto Estadual nº 48.151 , de 08 de julho de 2022, a Secretaria de Estado de Justiça (SEJUS) foi transformada, sem aumento de despesa, em Secretaria de Estado de Transformação Digital (SETD);
- que, nos termos do Decreto Estadual nº 48.378 , de 01 de março de 2023, foi instituída a estrutura organizacional da Secretaria de Estado de Transformação Digital (SETD);
- a Lei Estadual nº 10.181 , de 16 de novembro de 2023, que dispõe sobre criação da Secretaria de Estado de Transformação Digital (SETD), e
- a necessidade de adequação dos órgãos públicos e entidades da Administração Pública Estadual ao disposto na Lei Geral de Proteção de Dados Pessoais (LGPD),
DECRETA:
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 1º Fica instituída a Política de Governança em Privacidade e Proteção de Dados Pessoais do Estado do Rio de Janeiro, em conformidade com a Lei Federal nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD).
Art. 2º A presente Política de Governança em Privacidade e Proteção de Dados Pessoais dispõe sobre os objetivos e as diretrizes para o tratamento de dados pessoais no âmbito do Poder Executivo do Estado do Rio de Janeiro, seja por meio digital ou analógico, bem como sobre:
I - os padrões técnicos e as boas práticas a serem observados pelos órgãos e entidades estaduais;
II - as medidas de mitigação e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à governança da privacidade de dados pessoais, definindo grau de maturidade e ex-posição de riscos;
III - as rotinas de segurança e de resposta a incidentes a serem implementadas, e
IV - a alocação de atribuições aos diversos agentes públicos estaduais envolvidos nas atividades de tratamento de dados pessoais.
Art. 3º As entidades da Administração Indireta e os órgãos constitucionais autônomos poderão:
I - elaborar suas próprias políticas de governança em privacidade e proteção de dados pessoais; ou
II - aderir a esta Política de Governança em Privacidade e Proteção de Dados Pessoais.
§ 1º No caso do inciso I, a Política de Governança em Privacidade e Proteção de Dados Pessoais instituída por este Decreto será aplicada apenas em caráter supletivo e no que for compatível com o regime jurídico dos mencionados órgãos e entidades.
§ 2º No caso do inciso II, a adesão dos órgãos e entidades estaduais mencionados pelo caput a esta Política de Governança em Privacidade e Proteção de Dados Pessoais será integral.
§ 3º Caso ainda não tenham as suas próprias políticas de governança em privacidade e proteção de dados pessoais, os órgãos e entidades mencionados no caput terão o prazo de 60 (sessenta) dias para fazer a opção mencionada no inciso I, a contar da publicação do presente Decreto.
§ 4º A opção mencionada no inciso I deverá ser formalizada por ato normativo próprio do órgão ou entidade.
§ 5º Caso a opção mencionada no inciso I não seja feita no prazo mencionado no
§ 3º, haverá a adesão tácita dos órgãos e entidades mencionados pelo caput a esta Política de Governança em Privacidade e Proteção de Dados Pessoais.
Art. 4º São objetivos da Política Estadual de Governança em Privacidade e Proteção de Dados Pessoais:
I - declarar o compromisso do Estado do Rio de Janeiro na proteção do direito à privacidade e na proteção de dados pessoais no desempenho das atividades estatais;
II - divulgar as diretrizes estabelecidas pelo Poder Executivo do Estado do Rio de Janeiro para operações de tratamento de dados pessoais; e
III - orientar os agentes públicos estaduais nas operações de tratamentos de dados pessoais.
Art. 5º São diretrizes estratégicas da Política Estadual de Governança em Privacidade e Proteção de Dados Pessoais:
I - a observância das normas jurídicas e das boas práticas em matéria de governança em privacidade e proteção de dados pessoais, de modo que todo tratamento realizado pelos órgãos e entidades estaduais:
a) respeite os fundamentos e os princípios do sistema nacional de proteção de dados pessoais, notadamente a finalidade, a necessidade e a adequação;
b) leve em conta os riscos aos direitos dos titulares, devendo ser aplicadas, sempre que necessárias, as medidas adequadas de mitigação; e
c) observe as diretrizes previstas em legislação complementar ou superveniente que verse sobre o tratamento de dados realizado por terceiros, externos à Administração Pública, que com ela se relacionem ou possuam vínculo de qualquer natureza.
II - o desenvolvimento do nível de maturidade dos tratamentos dos dados pessoais por todos os órgãos e entidades estaduais, que será monitorado com o acompanhamento periódico de indicadores de conformidade e de desempenho;
III - a promoção da transparência pública, nos termos da Lei Federal nº 12.527 , de 18 de novembro de 2011 (Lei de Acesso à Informação-LAI), e do Decreto Estadual nº 46.475 , de 25 de outubro de 2018, bem como da legislação complementar ou superveniente;
IV - o alinhamento com o Decreto Estadual nº 47.053 , de 29 de abril de 2020 (Política de Governança do Governo do Estado do Rio de Janeiro) e com a legislação complementar ou superveniente;
V - a observância da Instrução Normativa PRODERJ/PRE nº 2, de 28 de abril de 2022, que regulamenta os procedimentos de segurança da informação em soluções de Tecnologia da Informação e Comunicação (TIC), bem como da legislação complementar ou superveniente;
VI - o alinhamento às normas do Sistema de Arquivos do Estado do Rio de Janeiro - SIARQ-RJ de que trata o Decreto Estadual nº 43.871 , de 08 de outubro de 2012, ou legislação complementar ou superveniente, no que diz respeito às suas instruções normativas e aos prazos de guarda definidos pela tabela de temporalidade de documentos vigente; e
VII - o atendimento simplificado e eletrônico das demandas do titular, nos termos da Lei Estadual nº 9.128 , de 11 de dezembro de 2020, que dispõe sobre a Transformação Digital dos Serviços Públicos, e legislação complementar ou superveniente.
Art. 6º As disposições desta Política de Governança em Privacidade e Proteção de Dados Pessoais aplicam-se a toda operação de tratamento de dados pessoais realizada no âmbito do Poder Executivo do Estado do Rio de Janeiro, sem limitações, devendo ser respeitadas por todos os agentes públicos estaduais, bem como por aqueles que:
I - realizem operações de tratamento de dados pessoais em nome do Estado do Rio de Janeiro;
II - compartilhem dados pessoais com o Estado do Rio de Janeiro, no âmbito do respectivo compartilhamento;
III - compartilhem dados pessoais com terceiros em nome do Estado do Rio de Janeiro, e
IV - utilizem a infraestrutura fornecida pelo Estado do Rio de Janeiro para tratamento de dados pessoais.
Parágrafo único. A política instituída por este Decreto não se aplica às operações de tratamento de dados pessoais para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais, que deverão, no entanto, respeitar os fundamentos e os princípios gerais de proteção de dados pessoais, bem como os direitos dos titulares, no que tais garantias forem compatíveis com a natureza dessas atividades.
CAPÍTULO II
DO TRATAMENTO DE DADOS PESSOAIS
Seção I
Das Bases Legais
Art. 7º O tratamento de dados pessoais pelos órgãos e entidades submetidos a este Decreto está condicionado à persecução do interesse público definido em lei e será restrito às hipóteses previstas na LGPD.
§ 1º O tratamento de dados pessoais sensíveis deverá observar o disposto nos artigos 11 a 13 da LGPD.
§ 2º O tratamento de dados pessoais de crianças e adolescentes deve ocorrer em seu melhor interesse e as respectivas informações devem ser fornecidas de forma simples, clara e acessível, consideradas as características do titular, de modo a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança e adolescente, observado, em todos os casos, o disposto no artigo 14 da LGPD.
§ 3º O tratamento de dados pessoais realizado por terceiros que, de alguma forma, se relacionem com a Administração Pública, deverá observar e evidenciar a adequação institucional às exigências previstas na LGPD, sem prejuízo de requisitos adicionais contemplados em regulamentação superveniente.
Art. 8º A base legal adotada para o tratamento de dados pessoais pela Administração Pública Estadual deve ser definida de acordo comas finalidades do tratamento à luz do caso concreto, respeitados, em todos os casos, os direitos do titular de dados, os fundamentos e os princípios que informam a LGPD.
§ 1º O consentimento somente poderá ser utilizado como base legal de forma excepcional, nos casos em que for possível a livre, informada e inequívoca manifestação de vontade do titular, devendo a justificativa pela sua adoção ser devidamente documentada.
§ 2º No caso de utilização da base do legítimo interesse, deverá o controlador:
I - identificar e articular o legítimo interesse estatal específico que ampara o tratamento dos dados pessoais no caso concreto;
II - comprovar que os dados coletados são apenas os necessários para o atingimento da finalidade pública pretendida;
III - demonstrar que o uso atribuído ao dado pessoal é compatível com a legítima expectativa do seu titular, à luz da boa-fé objetiva e da análise contextual do tratamento;
IV - esclarecer de que forma os titulares dos dados poderão ser impactados negativamente e quais medidas foram tomadas para mitigar os riscos associados ao tratamento; e
V - assegurar a transparência e o acesso à avaliação realizada pelo órgão ou entidade, bem como o direito de oposição do titular ao tratamento dos seus dados pessoais com base no legítimo interesse, caso demonstre o descumprimento dos termos da LGPD ou que o interesse estatal é incompatível com sua legítima expectativa, vedado o abuso de direito, a ser aferido no caso concreto.
§ 3º É vedado o uso do consentimento ou do legítimo interesse quando o tratamento de dados pessoais for realizado de forma compulsória ou quando for necessário para o cumprimento de obrigações e atribuições legais do Estado.
Seção II
Da Coleta
Art. 9º A coleta de dado pessoal poderá se dar por meio de sistemas de informação ligados a sites e aplicativos, pelo recebimento de arquivos, bem como em meio físico, mediante preenchimento de formulários, listas ou registro de interação presencial.
Art. 10. O titular deve ser informado a respeito da finalidade do tratamento no momento da coleta dos dados pessoais e, nos casos de impossibilidade imediata, tão logo seja possível.
Art. 11. Nos casos de coleta eletrônica de dados pessoais, a transparência será assegurada mediante disponibilização de Aviso de Privacidade" e de Aviso de Cookies" nas plataformas digitais mantidas pelos órgãos ou entidades estaduais submetidas a este Decreto, e deverão ser de fácil visualização e compreensão pelos titulares de dados.
§ 1º A plataforma digital deverá solicitar o consentimento do usuário para a utilização de cookies que importem tratamento de dados pessoais, informando de forma clara e acessível a finalidade específica que legitima tratá-los.
§ 2º A manifestação do consentimento deverá permitir ao usuário ativar a utilização de cookies, parcial ou integralmente, sendo vedada a autorização automática ou opção previamente direcionada à autorização.
§ 3º O site deverá disponibilizar de modo acessível ao usuário a opção de desativação da autorização do uso de cookies a qualquer tempo, parcial ou integralmente.
Seção III
Do Armazenamento
Art. 12. O armazenamento físico ou digital dos dados pessoais deverá ser realizado:
I - de forma a garantir a sua confidencialidade, integridade e disponibilidade, preservando a sua segurança e qualidade, bem como sua autenticidade e atualidade, em conformidade com a finalidade do tratamento, e
II - em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos e à descentralização da atividade pública.
Seção IV
Das Finalidades do Tratamento
Art. 13. O tratamento dos dados pessoais somente poderá ser realizado para o atingimento das finalidades informadas ao titular por ocasião da respectiva coleta.
Parágrafo único. O tratamento de dados de acesso público ou tornados manifestamente públicos pelo titular, bem como o tratamento dedados pessoais para finalidade diversa daquela informada para o titular no momento da sua coleta, seja pela Administração Pública, seja por terceiros, somente será permitido se:
I - houver um interesse público que o justifique;
II - houver uma nova base legal que o autorize;
III - a finalidade do tratamento secundário for compatível com a finalidade que justificou a publicização ou a coleta do dado pessoal;
IV - o ato que determina a realização do tratamento secundário for devidamente motivado, e
V - forem respeitados os direitos do titular e os princípios gerais da proteção de dados pessoais.
Seção V
Da Transferência, do Uso Compartilhado e do Compartilhamento
Art. 14. A transferência, o uso compartilhado e o compartilhamento de dados pessoais pelos órgãos e entidades sujeitos a este Decreto com outros entes públicos atenderão às finalidades específicas de execução de políticas públicas e de exercício das suas atribuições legais e deverão respeitar os direitos dos titulares e os princípios de proteção de dados pessoais previstos na LGPD.
Art. 15. É vedado aos órgãos e entidades estaduais sujeitos a este Decreto a transferência, o uso compartilhado ou o compartilhamento de dados pessoais constantes de bases de dados a que tenha acesso para entidades privadas, exceto:
I - nos casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei Federal nº 12.527 , de 18 de novembro de 2011 (LAI);
II - nos casos em que os dados pessoais forem acessíveis publicamente, observadas as disposições da LGPD;
III - quando houver previsão legal ou a transferência for respaldada, por meio de cláusula específica, em contratos, convênios ou instrumentos congêneres, cuja celebração deverá ser informada pelo responsável à Autoridade Nacional de Proteção de Dados; e
IV - na hipótese de a transferência dos dados pessoais objetivar exclusivamente a prevenção de fraudes e irregularidades ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.
§ 1º A comunicação ou o uso compartilhado de dados pessoais por pessoa jurídica de direito público a pessoa jurídica de direito privado será informada à Autoridade Nacional de Proteção de Dados (ANPD)e dependerá de consentimento do titular, exceto:
I - nas hipóteses de dispensa de consentimento previstas na LGPD;
II - nos casos de uso compartilhado de dados pessoais, em que será dada publicidade, nos termos do inciso I do caput do art. 23 da LGPD, e
III - nas exceções constantes dos incisos I a IV do caput.
§ 2º Em quaisquer das hipóteses previstas neste artigo:
I - a transferência de dados pessoais dependerá de autorização específica conferida pelo órgão ou entidade estadual à entidade privada;
II - as entidades privadas deverão assegurar que não haverá comprometimento do nível de proteção dos dados pessoais garantido pelo órgão ou pela entidade estadual; e
III - a comunicação dos dados pessoais a entidades privadas e o uso compartilhado entre estas e os órgãos e as entidades estaduais, quando necessário consentimento do titular, poderão ocorrer somente nos termos e para as finalidades indicadas no ato do consentimento.
§ 3º Compete ao Estado (Chefe do Poder Executivo Estadual / Governador do Estado) a adoção de providências que assegurem a efetiva proteção dos dados pessoais sujeitos a operações que envolvam terceiros, externos à Administração Pública, visando atenuar vulnerabilidades técnicas, administrativas e jurídicas, bem como inibir impactos que gerem a responsabilização do Poder Público.
Art. 16. A transferência, o uso compartilhado e o compartilhamento de dados pessoais somente poderão ser realizados por servidor previamente autorizado pelo responsável do órgão ou entidade e deverão ser previamente documentados por meio de instrumento firmado por ambas as partes que discipline o uso dos dados pessoais cedidos e de que conste, pelo menos:
I - um relatório dos dados pessoais cedidos, com a indicação da sua natureza;
II - a finalidade da cessão;
III - a base legal da cessão;
IV - a identificação do servidor que autorizou a cessão, bem como do terceiro responsável pelo seu recebimento;
V - as medidas de segurança e de mitigação de risco a serem adotadas na gestão desses dados pessoais;
VI - as regras para a eliminação dos dados pessoais cedidos, e
VII - o compromisso do recipiente de informar imediatamente ao cedente sobre qualquer incidente envolvendo os dados pessoais cedidos.
Seção VI
Das Transferências Internacionais
Art. 17. A transferência internacional de dados pessoais independe de volumetria, frequência ou meio, sendo realizada em conformidade com o disposto nos artigos 33 a 36 da LGPD.
Seção VII
Da Eliminação
Art. 18. Após cumprida a finalidade do tratamento e findo o prazo de armazenamento autorizado em norma legal ou regulatória, os dados pessoais serão eliminados de modo seguro, independentemente se armazenados em meios físicos ou digitais.
§ 1º A solicitação do titular de eliminação poderá ser indeferida, motivadamente, quando houver fundamento legal para o tratamento do dado pessoal, independentemente de consentimento.
§ 2º Decorrido o período estabelecido no caput, os dados pessoais somente poderão ser mantidos na base de dados do órgão ou entidade estadual quando submetidos ao processo de anonimização.
§ 3º O processo de pseudonimização não afasta a necessidade de eliminação dos dados pessoais após o decurso do prazo estabelecido no caput.
§ 4º A eliminação de documentos ou de dados pessoais deverá seguir as regras de temporalidade e gestão documental específicas, observado o disposto no art. 16 da LGPD.
§ 5º Cabe ao órgão ou entidade estadual promover a criação de Comissão Permanente de Avaliação de Dados ou a atualização das atribuições da Comissão de Gestão de Documentos, de que tratam o Decreto Estadual nº 42.002 , de 21 de agosto de 2009, Decreto Estadual nº 43.871 , de 08 de outubro de 2012 e a Lei Estadual nº 5.562 , de 20 de outubro de 2009, para avaliar os procedimentos de seleção e destinação de dados pessoais, a partir da adaptação dos instrumentos de gestão de documentos das atividades-meio e das atividades-fim, visando a sua eliminação ou recolhimento para guarda permanente, observados o transcurso dos prazos estabelecidos na Tabela de Temporalidade e as disposições da LGPD.
CAPÍTULO III
DA GESTÃO DOS DADOS PESSOAIS
Seção I
Da Governança
Art. 19. Cada órgão ou entidade sujeito a este Decreto deverá elaborar e implementar seu Programa Interno de Governança em Privacidade e Proteção de Dados Pessoais, que deverá, no mínimo:
I - demonstrar o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
II - ser aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo de como se realizou a sua coleta;
III - ser adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados pessoais tratados;
IV - estabelecer políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;
V - ter o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;
VI - estar integrado a sua estrutura geral de governança, com o estabelecimento e aplicação de mecanismos de supervisão internos e externos;
VII - contar com planos de resposta a incidentes e remediação; e
VIII - estar atualizado, pelo menos anualmente, com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas.
Parágrafo único. O programa mencionado pelo caput deverá observar os objetivos, as diretrizes e as demais normas estabelecidas por esta Política de Governança em Privacidade e Proteção de Dados Pessoais.
Art. 20. O Programa Interno de Governança em Privacidade e Proteção de Dados Pessoais deverá prever a elaboração dos seguintes documentos, sempre que a estrutura, a escala e o volume das operações de tratamento de dados pessoais na repartição recomendarem:
I - política de privacidade e proteção de dados pessoais, de uso interno;
II - aviso de privacidade e de cookies, para usuários externos;
III - relatório de impacto de proteção de dados pessoais para as atividades de tratamento que ofereçam altos riscos para os direitos e as liberdades individuais dos titulares de dados pessoais;
IV - plano de resposta a incidentes; e
V - plano de treinamento e de conscientização dos colaboradores.
Parágrafo único. O Núcleo Normativo do Comitê de Governança em Privacidade e Proteção de Dados Pessoais poderá, a qualquer momento, solicitar o envio do Programa Interno de Governança em Privacidade e Proteção de Dados Pessoais dos órgãos ou entidades sujeitos a este Decreto para análise de adequação com a presente Política de Governança em Privacidade e Proteção de Dados Pessoais, conformidade com a legislação de proteção de dados pessoais e emissão de eventuais recomendações, respeitada a autonomia prevista no artigo 3º
Art. 21. O PRODERJ, em atendimento ao Decreto Estadual nº 47.278 , de 17 de setembro de 2020, definirá a plataforma tecnológica transversal e sistemas padronizados para oferecer apoio à governança dos dados pessoais no âmbito do Poder Executivo Estadual, de modo que se possa monitorar, de forma permanente e integrada, a conformidade de todos os órgãos ou entidades estaduais à LGPD.
§ 1º Os órgãos e entidades estaduais não poderão contratar plataformas tecnológicas próprias para governança dos dados pessoais, salvo se autorizados pelo PRODERJ, que analisará os riscos de incompatibilidade entre a solução tecnológica proposta e a plataforma transversal definida pelo Estado.
§ 2º A plataforma tecnológica e os sistemas operados deverão incluir, no mínimo:
I - Treinamento e conscientização;
II - Mapeamento de dados pessoais;
III - Categorização dos dados pessoais sujeitos a tratamento;
IV - Diagnóstico e gestão de riscos;
V - Gestão de incidentes de segurança da informação, e
VI - Gestão da utilização de cookies.
Seção II
Da Documentação Das Operações de Tratamento
Art. 22. As operações de tratamento de dados pessoais deverão ser documentadas, devendo os órgãos e entidades estaduais sujeitos a este Decreto manter um Inventário das Operações de Tratamento de Dados Pessoais, que deverá discriminar, no mínimo:
I - o fundamento legal para o tratamento;
II - a finalidade do tratamento;
III - a existência de compartilhamento e o respectivo instrumento; e
IV - o local de custódia ou armazenamento.
Parágrafo único. O tempo de guarda dos registros das operações será igual ao prazo de armazenamento dos dados pessoais, conforme as obrigações legais ou judiciais de mantê-los protegidos, observada a Tabela de Temporalidade de Documentos em vigor, quando aplicável, ou a regulamentação expedida pela Autoridade Nacional de Proteção de Dados.
Seção III
Do Relatório de Impacto à Proteção de Dados Pessoais
Art. 23. Para as operações de tratamento que envolvam risco à garantia dos princípios gerais de proteção de dados pessoais ou às liberdades civis e direitos fundamentais dos titulares de dados, deverá ser elaborado o Relatório de Impacto à Proteção de Dados Pessoais.
Parágrafo único. O Relatório de Impacto à Proteção de Dados Pessoais deverá observar as regras e boas práticas estabelecidas pela Autoridade Nacional de Proteção de Dados e conter, no mínimo:
I - a descrição dos dados pessoais coletados;
II - a metodologia utilizada para a coleta e para a garantia da segurança das informações, bem como a análise do controlador com relação às medidas adotadas, e
III - as salvaguardas e mecanismos de mitigação de risco adotados.
Seção IV
Da Segurança da Informação
Art. 24. O controlador deve implementar medidas técnicas e organizacionais de segurança que garantam a confidencialidade, integridade e disponibilidade dos dados pessoais sob a sua guarda, levando em conta o estado da arte, os custos, a natureza, o escopo, o contexto e as finalidades do tratamento.
Parágrafo único. As medidas de anonimização e de pseudononimização dos dados pessoais devem ser implementadas, sempre que possível, observadas as definições trazidas na legislação de proteção de dados pessoais.
Seção V
Dos Incidentes de Segurança
Art. 25. Cada órgão ou entidade estadual sujeito a este Decreto deverá ter um Plano de Resposta a Incidentes que defina os procedimentos a serem adotados no caso de suspeita ou confirmação de incidente de segurança envolvendo dados pessoais, bem como os papéis e responsabilidades de cada um dos membros da equipe multidisciplinar.
Parágrafo único. Deverão integrar a equipe multidisciplinar, pelo menos:
I - a autoridade superior do órgão ou entidade estadual;
II - o Encarregado responsável pelo órgão ou entidade estadual;
III - o servidor responsável pela unidade de TI do órgão ou entidade estadual;
IV - o Subsecretário Executivo ou ocupante de cargo equivalente na estrutura do órgão, ou, na falta deste, o Diretor Geral de Administração e Finanças;
V - o Procurador do Estado lotado na Chefia da Assessoria Jurídica do órgão ou entidade estadual, e
VI - o servidor responsável pela comunicação institucional do órgão ou entidade estadual.
Art. 26. Todo incidente de segurança com dados pessoais, confirmado ou sob suspeita, deve ser imediatamente comunicado pelos servidores do órgão ou entidade estadual submetido a este Decreto ao respectivo Encarregado Setorial, que, por sua vez, dará seguimento ao Plano de Resposta a Incidentes.
Art. 27. Ao receber a comunicação sobre o possível incidente de segurança, o Encarregado responsável deverá comunicá-lo ao Encarregado Central para que este acompanhe as providências adotadas.
Parágrafo único. Caso seja constatado risco ou dano relevante aos titulares de dados, deverá o Encarregado responsável notificar, dentro dos prazos definidos em lei ou nos regulamentos da Autoridade Nacional de Proteção de Dados, os indivíduos afetados, os agentes públicos e as autoridades interessadas, de acordo com a gravidade e o impacto do incidente.
CAPÍTULO IV
DOS DIREITOS DOS TITULARES
Art. 28. Ao titular de dados pessoais são garantidos os direitos previstos na Lei Federal nº 12.527 , de 18 de novembro de 2011 (LAI), na LGPD e na Lei Estadual nº 5.427 , de 01 de abril de 2009, além do direito de o b t e r, a qualquer momento, mediante requisição e de forma gratuita, em relação aos seus dados pessoais:
I - confirmação da existência de tratamento;
II - acesso aos dados;
III - correção de dados incompletos, inexatos ou desatualizados;
IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na legislação de proteção de dados;
V - portabilidade dos dados, mediante requisição expressa, de acordo com a regulamentação da Autoridade Nacional de Proteção de Dados;
VI - eliminação dos dados tratados com o consentimento do titular dedados, exceto nas hipóteses em que a conservação dos dados for legalmente autorizada;
VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
VIII - informação sobre a possibilidade, quando existente, de não fornecer consentimento e sobre as consequências da negativa, quando cabível;
IX - revogação do consentimento, quando cabível;
X - oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto na LGPD; e
XI - solicitação de revisão de decisões tomadas unicamente com base em tratamento automatizado de dados que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.
§ 1º Os requerimentos do titular de dados devem ser encaminhados ao Encarregado Central, que irá encaminhá-la ao Encarregado Local ou Setorial responsável para análise e adoção de providências.
§ 2º O exercício dos direitos mencionados nos incisos I a XI do caput poderá ser restringido diante da existência de sigilo legal ou de classificação das informações segundo os critérios do
Capítulo IV da Lei Federal nº 12.527 , de 18 de novembro de 2011 (LAI) e do
Capítulo V do Decreto Estadual nº 46.475 , de 25 de outubro de 2018.
CAPÍTULO V
DO SISTEMA DE GOVERNANÇA EM PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS
Seção I
Do Controlador
Art. 29. As decisões referentes ao tratamento de dados pessoais no âmbito da Administração Pública Direta cabem ao Estado do Rio de Janeiro, na qualidade de controlador.
Parágrafo único. As funções do controlador serão exercidas pela autoridade superior dos órgãos submetidos a este Decreto, nos limites das suas respectivas competências e atribuições funcionais.
Art. 30. As entidades da Administração Indireta, tenham ou não exercido a opção mencionada pelo artigo 3º, serão consideradas controladoras dos seus próprios dados para todos os fins legais.
Seção II
Do Comitê de Governança em Privacidade e Proteção de Dados Pessoais
Art. 31. Fica instituído o Comitê de Governança em Privacidade e Proteção de Dados Pessoais, órgão vinculado à Secretaria de Estado de Transformação Digital (SETD), que terá as funções de atualizar, implementar, fiscalizar, normatizar e difundir a presente Política de Governança em Privacidade e Proteção de Dados Pessoais no âmbito do Poder Executivo, nos termos da LGPD e legislação correlata.
Art. 32. O Comitê de Governança em Privacidade e Proteção de Dados Pessoais será composto por um Núcleo Normativo e por um Núcleo Executivo.
Parágrafo único. As funções desempenhadas pelos membros do Comitê de Governança em Privacidade e Proteção de Dados Pessoais não serão remuneradas, a qualquer título, considerando-se seu exercício de relevante interesse público.
Subseção I
Do Núcleo Normativo
Art. 33. Compete ao Núcleo Normativo do Comitê de Governança em Privacidade e Proteção de Dados Pessoais propor normas e padrões relacionados às boas práticas de governança de privacidade e de proteção de dados pessoais a serem adotados pelos órgãos subordinados ao Poder Executivo, bem como fiscalizar a sua observância, em especial:
I - elaborar propostas de alterações, modificações ou atualizações à presente Política de Governança em Privacidade e Proteção de Dados Pessoais;
II - supervisionar e fiscalizar, no âmbito estadual, o cumprimento das normas nacionais e estaduais de proteção da privacidade e dos dados pessoais, bem como desta Política de Governança em Privacidade e Proteção de Dados Pessoais;
III - emitir um relatório anual sobre o cumprimento desta Política de Governança em Privacidade e Proteção de Dados Pessoais, com a análise da maturidade institucional em governança de privacidade e proteção de dados pessoais dos órgãos a ela sujeitos;
IV - analisar, a pedido do Governador do Estado e sem prejuízo das funções da Procuradoria-Geral do Estado, as minutas de atos normativos e de outros documentos que possam ter repercussões sobre esta Política de Governança em Privacidade e Proteção de Dados Pessoais ou que possam ser por elas afetadas;
V - recomendar ao Governador do Estado a adoção de providências de sua competência exclusiva;
VI - fomentar as ações educativas e de capacitação de pessoal referentes aos servidores da Administração Pública Estadual responsáveis pelo tratamento de dados pessoais e resposta a incidentes;
VII - criar Grupos Técnicos de Trabalho para análise e manifestação sobre temas específicos no âmbito de suas competências;
VIII - estabelecer parcerias com entidades públicas e/ou privadas com objetivo de contribuir para o aprimoramento da Política de Governança em Privacidade e Proteção de Dados Pessoais;
IX - emitir pronunciamento final, ressalvada as competências privativas do Governador do Estado, da Procuradoria-Geral do Estado e do Poder Judiciário, sobre a interpretação desta Política de Governança em Privacidade e Proteção de Dados Pessoais;
X - emitir orientações para cumprimento das resoluções, orientações, recomendações, guias e demais atos emitidos pela Autoridade Nacional de Proteção de Dados;
XI - realizar consulta pública ou convocar audiência pública para formação de juízo de valor e tomada de decisão sobre matéria considerada relevante;
XII - elaborar estudos, realizar debates, eventos, seminários sobre a Lei Geral de Proteção de Dados e todos os assuntos relacionados e afetos ao tema proteção de dados pessoais e privacidade que possam auxiliar o Comitê na formulação, atualização e aplicação da presente Política de Governança em Privacidade e de Proteção de Dados Pessoais e aperfeiçoar a gestão de dados e informações pessoais no âmbito do Poder Executivo; e
XIII - elaborar o seu Regimento Interno.
§ 1º A propositura a que se refere o caput deverá ser submetida à Secretaria de Estado de Transformação Digital (SETD) e ao Centro de Tecnologia de Informação e Comunicação do Estado do Rio de Janeiro (PRODERJ) para realização da análise técnica e aprovação.
§ 2º As propostas de alteração, modificação ou atualização desta Política de Governança em Privacidade e Proteção de Dados Pessoais serão apresentadas ao Chefe do Poder Executivo Estadual para aprovação e edição do respectivo decreto vinculativo a todos os órgãos e entidades a ela subordinados.
§ 3º Compete ao Núcleo Normativo do Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais instituir, por ato normativo próprio, os mecanismos de supervisão e fiscalização da aplicação das normas mencionadas nos incisos II e III.
§ 4º As competências previstas nos incisos II e III não se sobrepõem às competências da Controladoria Geral do Estado, definidas pela Lei Estadual nº 7.989 , de 14 de junho de 2018.
Art. 34. O Núcleo Normativo do Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais será composto por 2 (dois) representantes, sendo 1 (um) titular e 1 (um) suplente, da Secretaria de Estado de Transformação Digital (SETD), da Controladoria-Geral do Estado (CGE), da Procuradoria-Geral do Estado (PGE) e do Centro de Tecnologia de Informação e Comunicação do Estado do Rio de Janeiro (PRODERJ).
§ 1º Os representantes de cada órgão ou entidade listados no caput serão designados pelo titular do respectivo órgão ou entidade e nomeados pelo Governador do Estado.
§ 2º Cada membro titular terá direito a 1 (um) voto nas sessões deliberativas.
§ 3º Os representantes suplentes poderão participar das reuniões deliberativas, mas somente terão direito a voto no caso de ausência ou impedimentos dos representantes titulares.
§ 4º As reuniões do Núcleo Normativo serão realizadas na sede da Procuradoria-Geral do Estado do Rio de Janeiro, preferencialmente, na modalidade virtual.
§ 5º O Núcleo Normativo poderá solicitar a designação de servidores públicos estaduais para que, sem prejuízo das suas atribuições ordinárias, prestem auxílio ao desempenho das suas funções, auxílio esse que não será remunerado, a qualquer título, e cujo exercício será considerado de relevante interesse público.
Subseção II
Do Núcleo Executivo
Art. 35. Compete ao Núcleo Executivo do Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais:
I - elaborar os projetos de adequação à LGPD dos respectivos órgãos ou entidades;
II - acompanhar a execução do projeto de adequação à LGPD de cada órgão ou entidade;
III - submeter à análise e decisão do Núcleo Normativo as matérias de sua competência;
IV - levar ao conhecimento do Núcleo Normativo os problemas enfrentados pelos respectivos órgãos no processo de adequação à LGPD; e
V - propor ao Núcleo Normativo alterações às normas por ele editadas e atualizações a esta Política de Governança em Privacidade e Proteção de Dados Pessoais.
§ 1º A coordenação do Núcleo Executivo ficará sob a responsabilidade do PRODERJ, a quem compete convocar as respectivas reuniões e acompanhar a execução dos projetos de adequação à LGPD.
§ 2º As reuniões do Núcleo Executivo poderão ser realizadas com todos os seus membros, ou apenas com aqueles vinculados aos órgãos interessados ou afetados nas questões a serem debatidas.
§ 3º O Coordenador do Núcleo Executivo poderá, sempre que entender necessário, convidar os integrantes do Núcleo Normativo para as suas reuniões.
§ 4º As reuniões do Núcleo Executivo serão realizadas na sede do PRODERJ, preferencialmente, na modalidade virtual.
Art. 36. O Núcleo Executivo do Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais será composto por membros de todos os órgãos estaduais com status de Secretaria de Estado, com exceção dos órgãos constitucionais autônomos, bem como por membros dos órgãos e entidades que tenham aderido a esta Política de Governança em Privacidade e Proteção de Dados na formado artigo 3º, sendo eles obrigatoriamente:
I - o Responsável pelo Projeto de Adequação do órgão ou entidade, e
II - o Encarregado pelo Tratamento de Dados Pessoais do órgão ou entidade.
Parágrafo único. Nas questões que envolvam deliberação do Núcleo Executivo, apenas os membros patrocinadores dos projetos terão direito a voto, cabendo ao representante do PRODERJ o voto de desempate.
Subseção III
Das Disposições Comuns
Art. 37. O Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais possuirá uma Secretaria Executiva, exercida pelo PRODERJ, à qual compete:
I - elaborar e divulgar a pauta das reuniões;
II - secretariar as reuniões;
III - elaborar as atas das reuniões;
IV - promover o apoio administrativo e técnico necessário às atividades do Comitê;
V - providenciar a elaboração e publicação dos atos;
VI - preparar correspondências;
VII - organizar a documentação pertinente ao Comitê, e
VIII - convocar os membros do Comitê para as reuniões.
Art. 38. Ambos os Núcleos que compõem o Comitê Estadual de Governança em Privacidade e Proteção de Dados Pessoais poderão convidar para participar de suas reuniões, sem direito a voto, representantes de outros órgãos ou entidades, públicas ou privadas, bem como especialistas que, por seus conhecimentos e experiências profissionais, possam contribuir para a discussão e aperfeiçoamento da pauta a ser debatida, restando sua participação limitada ao período necessário para responder os questionamentos e pedidos de esclarecimentos a eles solicitados.
Seção III
Dos Encarregados Pelo Tratamento de Dados Pessoais
Art. 39. O Estado do Rio de Janeiro terá um Encarregado Central, vinculado à Secretaria de Estado de Transformação Digital (SETD), a quem competirá:
I - no âmbito da Secretaria de Estado de Transformação Digital (SETD):
a) exercer as funções de Encarregado pelo Tratamento de Dados Pessoais previstas no art. 41,
§2º da LGPD;
b) ser ouvido, de forma adequada e em tempo útil, em todas as questões relacionadas com a proteção de dados pessoais;
c) acompanhar a implementação do projeto de adequação à LGPD e ser ouvido em todas as suas fases;
d) prestar consultoria ao Governador do Estado em todas as questões referentes à privacidade e ao tratamento de dados pessoais;
e) orientar os servidores, agentes públicos e contratados da entidade a respeito das práticas a serem tomadas em relação à proteção dedados pessoais; e
f) outras atribuições definidas pela Autoridade Nacional de Proteção de Dados, na forma do art. 41,
§ 3º da LGPD.
II - no âmbito dos demais órgãos e entidades sujeitos a este Decreto:
a) coordenar a atuação dos Encarregados Setoriais, respeitadas as respectivas autonomias;
b) dirimir eventuais conflitos de atribuições entre os Encarregados Setoriais;
c) aceitar reclamações e comunicações dos titulares de dados, encaminhando-as ao Encarregado Setorial competente para que preste os esclarecimentos necessários e adote as providências devidas;
d) receber comunicações da Autoridade Nacional de Proteção de Dados, encaminhando-as ao Encarregado Setorial do órgão ou entidade competente para que preste os esclarecimentos necessários e adote as providências devidas; e
e) produzir estatísticas periódicas e relatórios anuais com as informações prestadas pelos Encarregados Setorial sobre as solicitações dos titulares de dados e das autoridades públicas competentes, bem como sobre as providências adotadas.
§ 1º O exercício da função descrita pelas alíneas "b" e "d" do inciso I não prevalecerá sobre eventuais pareceres emitidos pela Procuradoria-Geral do Estado, na forma do artigo 2º, inciso I V, da Lei Complementar Estadual nº 15 , de 25 de novembro de 1980.
§ 2º A função de Encarregado Central poderá ser desempenhada por um servidor em cumulação com outras funções, desde que possua aptidão técnica para o desempenho das atribuições enumeradas nos incisos I e II deste artigo.
Art. 40. A autoridade superior do órgão ou entidade deverá nomear, por ato próprio e no prazo de até 60 (sessenta) dias contados da entrada em vigor do presente Decreto, um servidor para desempenharas funções de Encarregado Setorial do âmbito do respectivo órgão ou entidade estadual, que terá as seguintes atribuições:
I - prestar esclarecimentos aos titulares de dados quanto às reclamações e comunicações recebidas pelo Encarregado Central e adotar as providências correlatas;
II - responder às comunicações da Autoridade Nacional de Proteção de Dados recebidas pelo Encarregado Central e adotar as providências correlatas;
III - orientar os servidores, agentes públicos e contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
IV - ser ouvido, de forma adequada e em tempo útil, em todas as questões relacionadas com a proteção de dados pessoais, como, por exemplo, na formulação das políticas internas, nas contratações e nas subcontratações, na elaboração dos relatórios de impacto à proteção de dados, no registro das operações de tratamento, na implementação das medidas de segurança, na elaboração de todos relatórios relativos ao tratamento de dados pessoais, no desenvolvimento das políticas públicas do órgão e na análise dos riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento;
V - acompanhar a implementação do projeto de adequação à LGPD e ser ouvido em todas as suas fases;
VI - prestar consultoria ao Secretário de Estado em todas as questões referentes à privacidade e ao tratamento de dados pessoais no respectivo órgão;
VII - dar ciência ao Encarregado Central sobre o desfecho das solicitações dos titulares de dados e das autoridades públicas competentes, quando do seu encerramento, bem como das providências adotadas; e
VIII - outras atribuições definidas pela Autoridade Nacional de Proteção de Dados, na forma do art. 41,
§ 3º da LGPD.
Parágrafo único. O exercício da função descrita pelos incisos IV e VI não prevalecerá sobre eventuais pareceres emitidos pela Procuradoria-Geral do Estado, na forma do artigo 2º, inciso I V, da Lei Complementar Estadual nº 15 , de 25 de novembro de 1980.
Art. 41. Todas as comunicações iniciais dos titulares de dados e das autoridades públicas, inclusive da Autoridade Nacional de Proteção de Dados, serão recebidas pelo Encarregado Central, que terá a sua identidade divulgada publicamente, de forma clara e objetiva, em todos os endereços eletrônicos mantidos pelo controlador.
§ 1º Caso a análise e resolução da questão não seja da atribuição do Encarregado Central, deverá a comunicação ser encaminhada para o Encarregado Local ou Setorial do órgão ou entidade, a quem cumpre analisar a questão e adotar as providências necessárias.
§ 2º Todas as comunicações subsequentes ao recebimento da comunicação inicial serão realizadas diretamente entre o Encarregado Setorial e o titular de dados ou a autoridade pública autora da demanda.
§ 3º Ao encerrar a comunicação com o titular de dados ou com a autoridade pública, o Encarregado Setorial deverá dar ciência ao Encarregado Central sobre o desfecho da solicitação e das providências adotadas.
Art. 42. O Encarregado tem garantida a autonomia necessária para o exercício das suas funções e responderá diretamente e apenas à autoridade superior de cada órgão ou entidade estadual sujeita a este Decreto.
§ 1º A função de Encarregado Setorial poderá ser desempenhada por um servidor em cumulação com outras funções, desde que possua aptidão técnica para o desempenho das atribuições enumeradas no
Art. 40.
§ 2º Aos Encarregados serão garantidos todos os recursos necessários para o desempenho das suas funções, respeitados os limites orçamentários.
§ 3º Os Encarregados estão vinculados à obrigação de sigilo e de confidencialidade no exercício das suas funções.
Art. 43. Os Encarregados Central e Setorial integrarão a Rede de Encarregados, que terá a finalidade de compartilhar as experiências, as minutas, os documentos e as práticas adotadas em cada unidade.
Parágrafo único. A coordenação da Rede de Encarregados será feita pelo Encarregado Central, que poderá padronizar os procedimentos, as minutas e as documentações a serem adotados pelos Encarregados Setoriais, respeitada a autonomia prevista no artigo 3º deste Decreto.
Seção IV
Dos Responsáveis Pela Adequação Das Secretarias de Estado à Lgpd
Art. 44. A autoridade superior do órgão ou entidade estadual deverá designar, por ato próprio e no prazo de até 60 (sessenta) dias contados da entrada desta Política de Governança em Privacidade e Proteção de Dados Pessoais, um servidor que será o responsável pela elaboração e implementação do projeto de adequação à LGPD do respectivo órgão ou entidade, que poderá coincidir com a figura do Encarregado Setorial.
Art. 45. O responsável pelo projeto terá o prazo de até 120 (cento e vinte) dias, contados a partir da data da sua designação, para elaborar o projeto de adequação à LGPD, bem como o respectivo cronograma de implementação.
Parágrafo único. O projeto mencionado no caput deve ser submetido para a análise do Núcleo Normativo do Comitê de Governança em Privacidade e Proteção de Dados Pessoais, que poderá recomendar alterações.
CAPÍTULO VI
DAS DISPOSIÇÕES FINAIS
Art. 46. A Corregedoria-Geral do Estado acompanhará o cumprimento do disposto neste Decreto, observadas as suas atribuições e a autonomia das entidades da Administração Indireta e dos órgãos constitucionais autônomos.
Art. 47. Fica revogado o Decreto Estadual nº 47.826 , de 11 de novembro de 2021, restando preservados os efeitos do Decreto Estadual nº 47.981 , de 10 de março de 2022.
Art. 48. Este Decreto entrará em vigor na data de sua publicação.
Rio de Janeiro, 10 de janeiro de 2024
CLÁUDIO CASTRO
Governador