Decreto nº 36.077/2024
DISPÕE SOBRE A INTEROPERABILIDADE TECNOLÓGICA DOS SERVIÇOS DE COMPARTILHAMENTO DE DADOS NO ÂMBITO DA ADMINISTRAÇÃO PÚBLICA DO ESTADO DO CEARÁ.
DECRETO Nº 36.077, DE 19 DE JUNHO DE 2024.
DISPÕE SOBRE A INTEROPERABILIDADE TECNOLÓGICA DOS SERVIÇOS DE COMPARTILHAMENTO DE DADOS NO ÂMBITO DA ADMINISTRAÇÃO PÚBLICA DO ESTADO DO CEARÁ.
O GOVERNADOR DO ESTADO DO CEARÁ, no uso das atribuições que lhe confere o art. 88, incisos IV e VI da Constituição Estadual , CONSIDERANDO a importância do estabelecimento de normas que viabilizem e confiram governança no compartilhamento de dados entre os órgãos e entidades da Poder Executivo, otimizando a definição, o planejamento e a execução de políticas públicas essenciais para o cidadão; DECRETA:
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 1º Este Decreto estabelece as normas e as diretrizes para o compartilhamento de dados entre os órgãos e as entidades do Poder Executivo, inclusive empresas estatais, com a finalidade de:
I - simplificar a oferta de serviços públicos;
II - orientar e otimizar a formulação, a implementação, a avaliação e o monitoramento de políticas públicas;
III - possibilitar a análise das condições de acesso e manutenção de benefícios sociais e fiscais;
IV - promover a melhoria da qualidade e da fidedignidade dos dados custodiados pela Administração Pública estadual; e
V - aumentar a qualidade e a eficiência das operações internas da Administração Pública estadual.
§ 1º O disposto neste Decreto não se aplica ao compartilhamento de dados com o setor privado.
§ 2º Ficam excluídos do disposto no caput os dados protegidos por sigilo fiscal sob gestão da Secretaria da Fazenda - Sefaz.
Art. 2º Para fins deste Decreto, considera-se:
I - autenticidade: propriedade de que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa natural, ou por um determinado sistema, órgão ou entidade;
II - compartilhamento de dados: disponibilização de dados pelo seu gestor para determinado recebedor de dados;
III - confidencialidade: propriedade que impede que a informação fique disponível ou possa ser revelada à pessoa natural, sistema, órgão ou entidade não autorizado e não credenciado;
IV - custodiante de dados: órgão ou entidade que, total ou parcialmente, zela pelo armazenamento, pela operação, pela administração e pela preservação de dados, coletados pela administração pública estadual, que não lhe pertencem, mas que estão sob sua custódia;
V - disponibilidade: propriedade de que a informação esteja acessível e utilizável sob demanda por uma pessoa natural ou determinado sistema,órgão ou entidade;
VI - gestor de dados: órgão ou entidade responsável pela governança de determinado conjunto de dados;
VII - gestor de plataforma de interoperabilidade: órgão ou entidade responsável pela governança de determinada plataforma de interoperabilidade;
VIII - governança de dados - exercício de autoridade e controle que permite o gerenciamento de dados sob as perspectivas do compartilhamento, da arquitetura, da segurança, da qualidade, da operação e de outros aspectos tecnológicos;
IX - informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;
X - integridade: propriedade de que a informação não foi modificada ou destruída de maneira não autorizada ou acidental;
XI - interoperabilidade: capacidade de diversos sistemas e organizações trabalharem em conjunto, de modo a garantir que pessoas, organizações e sistemas computacionais troquem dados;
XII - item de informação: atributo referente a determinada informação que pode ser acessado em conjunto ou de forma isolada;
XIII - mecanismo de compartilhamento de dados: recurso tecnológico que permite a integração e a comunicação entre aplicações e serviços do recebedor de dados e dos órgãos gestores de dados, tais como serviços web, cópia de dados, lago de dados compartilhado e plataformas de interoperabilidade;
XIV - plataforma de interoperabilidade: conjunto de ambientes e ferramentas tecnológicas, com acesso controlado, para o compartilhamento de dados da administração pública estadual entre órgãos e entidades especificados no art. 1º, deste Decreto;
XV - recebedor de dados: órgão ou entidade que utiliza dados após ser concedida permissão de acesso pelo gestor dos dados;
XVI - requisitos de segurança da informação e comunicação - ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações; e
XVII - solicitante de dados: órgão ou entidade que solicita ao gestor de dados a permissão de acesso aos dados;
Art. 3º O compartilhamento de dados pelos órgãos e entidades de que trata o art. 1º, deste Decreto, observará as seguintes diretrizes:
I - a informação do Estado será compartilhada da forma mais ampla possível, observadas as restrições legais, os requisitos de segurança da informação e comunicações e o disposto na Lei nº 13.709 , de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais;
II - o compartilhamento de dados sujeitos a sigilo implica a assunção, pelo recebedor de dados, dos deveres de sigilo e auditabilidade impostos ao custodiante dos dados;
III - os mecanismos de compartilhamento, interoperabilidade e auditabilidade devem ser desenvolvidos de forma a atender às necessidades de negócio dos órgãos e entidades de que trata o art. 1º, deste Decreto, para facilitar a execução de políticas públicas orientadas por dados;
IV - os órgãos e entidades de que trata o art. 1º, deste Decreto, colaborarão para a redução dos custos de acesso a dados no âmbito da administração pública, inclusive, mediante o reaproveitamento de recursos de infraestrutura por múltiplos órgãos e entidades;
V - nas hipóteses em que se configure tratamento de dados pessoais, serão observados o direito à preservação da intimidade e da privacidade da pessoa natural, a proteção dos dados e as normas e os procedimentos previstos na legislação;
VI - a coleta, o tratamento e o compartilhamento de dados por cada órgão serão realizados nos termos do disposto no art. 23 da Lei nº 13.709 , de 2018 - Lei Geral de Proteção de Dados Pessoais;
VII - a eleição de propósitos legítimos, específicos e explícitos para o tratamento de dados pessoais, nos termos do disposto no inciso I do caput do
Art. 6º da Lei nº 13.709 , de 2018 - Lei Geral de Proteção de Dados Pessoais;
VIII - a compatibilidade do tratamento de dados pessoais com as finalidades informadas, nos termos do disposto no inciso II do caput do art. 6º da Lei nº 13.709 , de 2018 - Lei Geral de Proteção de Dados Pessoais; e
IX - a limitação do compartilhamento de dados pessoais ao mínimo necessário para o atendimento da finalidade informada, nos termos do disposto no inciso III do caput do art. 6º da Lei nº 13.709 , de 2018 - Lei Geral de Proteção de Dados Pessoais, e o cumprimento integral dos requisitos, das garantias e dos procedimentos estabelecidos na referida Lei, no que for compatível com o setor público.
CAPÍTULO II
DOS NÍVEIS DE COMPARTILHAMENTO DE DADOS
Art. 4º O compartilhamento de dados entre os órgãos e as entidades de que trata o art. 1º, deste Decreto, é categorizado em 3 (três) níveis, de acordo com sua confidencialidade:
I - compartilhamento amplo, quando se tratar de dados públicos que não estão sujeitos a nenhuma restrição de acesso, cuja divulgação deve ser pública e garantida a qualquer interessado, na forma da legislação;
II - compartilhamento restrito, quando se tratar de dados protegidos por sigilo, nos termos da legislação, com concessão de acesso a todos os órgãos e entidades de que trata o art. 1º, deste Decreto, para a execução de políticas públicas, cujo mecanismo de compartilhamento e regras sejam simplificados e estabelecidos pelo Comitê Estadual de Proteção de Dados Pessoais; e
III - compartilhamento específico, quando se tratar de dados protegidos por sigilo, nos termos da legislação, com concessão de acesso a órgãos e entidades específicos, nas hipóteses e para os fins previstos em lei, cujo compartilhamento e regras sejam definidos pelo Comitê Estadual de Proteção de Dados Pessoais.
§ 1º A categorização do nível de compartilhamento será feita com base em critérios e condições definidas pelo Comitê Estadual de Proteção de Dados Pessoais, com base na legislação.
§ 2º A categorização do nível de compartilhamento será detalhada de forma a tornar clara a situação de cada item de informação.
§ 3º A categorização do nível de compartilhamento como restrito e específico especificará o conjunto de bases de dados com restrições de acesso e as respectivas motivações.
§ 4º A categorização do nível de compartilhamento será revista sempre que identificadas alterações nos parâmetros que ensejaram a sua definição.
CAPÍTULO III
DAS REGRAS GERAIS DE COMPARTILHAMENTO DE DADOS
Seção I
Das Disposições Gerais Para o Compartilhamento
Art. 5º Fica dispensada a celebração de convênio, acordo de cooperação técnica ou instrumentos congêneres para a efetivação do compartilhamento de dados entre os órgãos e as entidades de que trata o art. 1º, observadas as diretrizes do art. 3º, deste Decreto, e o disposto na Lei nº 13.709 , de 2018.
§ 1º Os órgãos e entidades de que trata o art. 1º, para os compartilhamentos de dados pessoais, darão publicidade às hipóteses em que compartilhem ou tenham acesso a banco de dados pessoais, nos termos do disposto no inciso I do caput do art. 23 da Lei nº 13.709 , de 2018 - Lei Geral de Proteção de Dados Pessoais.
§ 2º As informações sobre compartilhamento de dados pessoais estarão disponíveis em veículos de fácil acesso nos sítios eletrônicos, deverão ser claras e atualizadas, e conterão a previsão legal do compartilhamento, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.
§ 3º O compartilhamento de dados nos níveis de categorização específicos será autorizado pelo gestor da plataforma de interoperabilidade, após não objeção do órgão ou entidade custodiante de dados, mediante provocação do gestor do órgão ou entidade interessado no tratamento dos dados, observados os documentos e os critérios estabelecidos pelo Comitê Estadual de Proteção de Dados Pessoais, em observância:
I - aos dispositivos:
a) da Lei nº 13.709 , de 2018 - Lei Geral de Proteção de Dados Pessoais;
b) da Lei Estadual nº 18.699 , de 2024, que dispõe sobre o modelo de governança da proteção de dados pessoais no âmbito do Poder Executivo Estadual,
c) da Lei Estadual nº 15.175 de 2012;
II - às orientações da Autoridade Nacional de Proteção de Dados; e
III - às normas correlatas.
§ 4º Nas solicitações de interoperabilidade que envolvam dados pessoais, serão explicitados, além do disposto no
§ 3º, deste artigo:
I - o propósito legítimo, específico e explícito;
II - a compatibilidade com a finalidade; e
III - o compartilhamento do mínimo necessário para atendimento da finalidade.
Art. 6º Na hipótese de o mecanismo de compartilhamento de dados fornecido pelo custodiante de dados ser inadequado ao solicitante de dados, independentemente da categorização do nível de compartilhamento, o recebedor de dados arcará com os eventuais custos de operacionalização, quando houver, exceto disposição contrária prevista em lei, regulamento ou acordo entre as entidades ou os órgãos envolvidos, sem prejuízo do disposto no art. 4º
Parágrafo único. O disposto no caput se limitará aos custos de operacionalização do compartilhamento dos dados e não acarretará ganhos ou benefícios de ordem financeira ou econômica para o órgão gestor de dados.
Art. 7º A gestão da plataforma de Interoperabilidade, estabelecida por este Decreto, e conforme art. 2º, VII, será exercida pela Casa Civil e a plataforma de interoperabilidade contemplará os requisitos de sigilo, confidencialidade, gestão, auditabilidade e segurança da informação necessários ao compartilhamento de dados, conforme regras postas pelo Comitê Estadual de Proteção de Dados Pessoais e devem ser hospedadas em nuvem computacional e infraestrutura tecnológica providos pela Empresa de Tecnologia da Informação do Ceará - Etice.
Parágrafo único. As ferramentas de gestão da plataforma de interoperabilidade incluirão meios para que o gestor de dados tenha conhecimento sobre o controle de acesso e o consumo dos dados.
Art. 8º Os custodiantes de dados disponibilizarão aos órgãos e às entidades de que trata o art. 1º, deste artigo, os dados de compartilhamento amplo e restrito hospedados em suas infraestruturas tecnológicas, por meio da plataforma de interoperabilidade, condicionado à existência de solicitação de interoperabilidade e à ciência ao gestor dos dados.
Parágrafo único. O compartilhamento de dados de que trata o caput só ocorrerá após a categorização do dado pelo seu gestor, segundo critérios definidos pelo Comitê Estadual de Proteção de Dados Pessoais, com posterior validação pelo gestor da plataforma de interoperabilidade.
Art. 9º Atendidos os critérios necessários ao compartilhamento, o acesso aos dados ocorrerá em até 30 (trinta) dias, contado da data da solicitação, salvo impossibilidade técnica devidamente motivada.
Art. 10. Os gestores de dados divulgarão os mecanismos de compartilhamento de seus dados e os registros de referência sob sua responsabilidade.
Parágrafo único. O Comitê Estadual de Proteção de Dados Pessoais definirá os procedimentos para o atendimento ao disposto no caput, deste artigo.
Art. 11. Os órgãos e as entidades poderão criar bases de dados somente quando forem esgotadas as possibilidades de utilização dos cadastros base existentes.
Seção II
Do Compartilhamento Amplo de Dados
Art. 12. O compartilhamento amplo de dados dispensa autorização prévia pelo gestor de dados e será realizado pelos canais existentes para dados abertos e para transparência ativa, na forma da Lei de Acesso à Informação e legislação correlata.
Parágrafo único. Na hipótese de o dado de compartilhamento amplo de que trata o caput não estar disponível em formato aberto, o solicitante de dados poderá requerer sua abertura junto ao gestor de dados.
Seção III
Do Compartilhamento Restrito de Dados
Art. 13. O compartilhamento restrito de dados pelos gestores de dados ocorrerá com base nas regras estabelecidas pelo Comitê Estadual de Proteção de Dados Pessoais.
§ 1º Os solicitantes e recebedores de dados, para ter acesso a dados por compartilhamento restrito, se responsabilizarão por implementar e seguir as regras de sigilo e de segurança da informação estabelecidas pelo Comitê Estadual de Proteção de Dados Pessoais e, adicionalmente, na hipótese de dados disponíveis em uma das plataformas de interoperabilidade, pelo respectivo gestor.
§ 2º Os dados recebidos por compartilhamento restrito não serão retransmitidos ou compartilhados com outros órgãos ou entidades, exceto quando previsto expressamente na autorização concedida pelo gestor de dados ou se houver posterior permissão deste, observados os requisitos previstos no art. 5º
Art. 14. O órgão interessado solicitará o acesso aos dados compartilhados no nível restrito diretamente ao gestor de plataforma de interoperabilidade, nos termos do
§ 3º do art. 5º
Seção IV Do compartilhamento específico de dados
Art. 15. O compartilhamento específico de dados está condicionado:
I - não objeção de acesso pelo gestor de dados; e
II - ao atendimento dos requisitos definidos pelo Comitê Estadual de Proteção de Dados Pessoais, como condição para o compartilhamento;
III - autorização do gestor da plataforma de interoperabilidade de dados.
§ 1º Os requisitos exigidos pelo gestor de dados de que trata o inciso II do caput serão compatíveis com aqueles adotados internamente pelo próprio gestor de dados no tratamento da mesma informação.
§ 2º Os dados recebidos por compartilhamento específico não serão retransmitidos ou compartilhados com outros órgãos ou entidades, exceto quando previsto expressamente na autorização concedida pelo gestor de dados ou se houver posterior permissão desse.
Art. 16. O órgão interessado em acessar dados sujeitos a compartilhamento específico enviará os documentos de interoperabilidade para o gestor da plataforma de interoperabilidade de dados, observados as normas, as condições e os requisitos de acesso estabelecidos, nos termos do disposto no inciso III do caput do art. 3º, fundamentará o pedido e especificará os dados solicitados no maior nível de detalhamento possível.
§ 1º O gestor de dados se manifestará quanto à solicitação de que trata o caput no prazo definido pelo Comitê Estadual de Proteção de Dados Pessoais.
§ 2º O recebedor de dados por compartilhamento específico é responsável por implementar e seguir as regras de segurança da informação estabelecidas pelo gestor de dados de compartilhamento específico, conforme o disposto no inciso III do caput do art. 4º, deste Decreto.
Seção V
Da Responsabilidade
Art. 17. O tratamento de dados pessoais, em qualquer nível de categorização para compartilhamento, pelos órgãos e pelas entidades de que trata o
Art. 1º , deste Decreto, está sujeito ao atendimento dos parâmetros legais e constitucionais.
Art. 18. Este Decreto entra em vigor na data da sua publicação.
PALÁCIO DA ABOLIÇÃO, GOVERNO DO ESTADO DO CEARÁ, em Fortaleza/CE 19 de junho de 2024.
Elmano de Freitas Costa
GOVERNADOR DO ESTADO DO CEARÁ