Decreto nº 41.006/2021

DECRETO Nº 40.006, DE 05 DE OUTUBRO DE 2021

Institui a Política Estadual de Proteção de Dados Pessoais do Poder Executivo Estadual, cria o Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDP, nos termos da Lei (Federal) nº 13.709 , de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD; altera o inciso I do art. 2º, o "caput" do art. 7º e o "caput" do art. 9º, do Decreto nº 40.370 , de 30 de abril de 2019, que regulamenta o funcionamento da Ouvidoria Geral do Estado - OGE, e dá providências correlatas.

O GOVERNADOR DO ESTADO DE SERGIPE, no uso das atribuições que lhe são conferidas nos termos do art. 84, incisos V, VII e XXI, da Constituição Estadual ; de acordo com o disposto na Lei nº 8.496 , de 28 de dezembro de 2018, e de conformidade com a Lei (Federal) nº 13.709 , de 14 de agosto de 2018; e tendo em vista o disposto no Processo nº 2132/2021-PROJETO-SEGG, DECRETA:

CAPÍTULO I

DAS DISPOSIÇÕES PRELIMINARES

Art. 1º Fica instituída a Política Estadual de Proteção de Dados Pessoais, que dispõe sobre o conjunto de diretrizes, projetos, ações e metas estratégicas, para a adequação dos atos de tratamento de dados pessoais realizados no âmbito da administração pública estadual direta e indireta do Poder Executivo Estadual, ressalvadas as entidades de direito privado que atuam em regime concorrencial, em conformidade com a Lei (Federal) nº 13.709 , de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD.

Parágrafo único. A Política Estadual de Proteção de Dados Pessoais observará a boa-fé e os seguintes princípios:

I - finalidade: realização do tratamento para os propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e

X - responsabilização e prestação de contas: demonstração, pelo agente de tratamento, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Art. 2º São diretrizes estratégicas da Política Estadual de Proteção de Dados Pessoais:

Estado;

I - a observância das políticas de segurança da informação do

II - a publicação e a atualização periódica das regras de boas práticas e governança estabelecidas pelo controlador e operador;

III - a implementação de processos de gestão de riscos pelos órgãos e entidades abrangidos por este Decreto para balizar a adoção de boas práticas e regras de governança associadas ao Programa de Governança em Privacidade;

IV - o atendimento simplificado e eletrônico das demandas do titular, aplicando-se, no que couber, o Decreto nº 40.370 , de 30 de abril de 2019, que dispõe sobre a Ouvidoria Geral do Estado;

V - a promoção da transparência pública, nos termos da Lei (Federal) nº 12.527 , de 18 de novembro de 2011, Lei de Acesso à Informação - LAI, e do Decreto nº 30.947 , de 28 de dezembro de 2017;

VI - a proporcionalidade das medidas acerca de proteção de dados, privacidade e segurança da informação;

VII - a segurança jurídica dos instrumentos firmados, consoante orientação da Procuradoria-Geral do Estado;

VIII - o alinhamento com a Política de Governança e Gestão da administração pública estadual de que trata o Decreto nº 40.359 , de 22 de abril de 2019; e

IX - a observância das normas do Sistema Estadual de Arquivos, instituído pela Lei nº 2.202 , de 20 de dezembro de 1978, no que diz respeito às suas instruções normativas e aos prazos de guarda vigentes.

Art. 3º Para fins deste Decreto, nos termos da Lei (Federal) nº 13.709 , de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD, considera-se:

I - dado pessoal: informação relacionada à pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III - dado anonimizado: dado relativo a titular que não possa ser identificado,

considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V - titular: pessoa natural a quem se referem os dados pessoais que são objetos de tratamento;

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, sendo o Estado o único controlador de dados na administração pública estadual direta;

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII - encarregado: pessoa indicada pelo controlador e operador corporativo para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD;

IX - agentes de tratamento: o controlador e o operador;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII - pseudonimização: tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro;

XIII - eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

XIV - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades de que trata o art. 1º no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

XV - programa de governança em privacidade: documentação do controlador que estabelece uma metodologia abrangente que influenciará permanentemente os processos de tomada de decisão referentes a tra tamento de dados pessoais, incluindo as estratégias, habilidades, pessoas, processos e ferramentas que os órgãos e as entidades precisam prover para conquistar a confiança dos servidores e dos cidadãos e, ao mesmo tempo, cumprir com exigências apresentadas na legislação sobre proteção de dados pessoais;

XVI - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco; e

XVII - tabela de temporalidade de documentos: instrumento, aprovado por autoridade competente, que determina os prazos de guarda e destinação final dos conjuntos documentais produzidos a partir das atividades desempenhadas pelo Estado.

CAPÍTULO II

DA GESTÃO E DA GOVERNANÇA DA POLÍTICA ESTADUAL DE PROTEÇÃO DE DADOS PESSOAIS

Seção I

Da Gestão da Política Estadual de Proteção de Dados Pessoais

Art. 4º A gestão da Política Estadual de Proteção de Dados Pessoais ocorrerá de maneira descentralizada, por meio dos encarregados setoriais e dos Comitês Executivos de Proteção de Dados Pessoais, todos sob a coordenação técnica do encarregado central.

Parágrafo único. À Secretaria de Estado da Transparência e Controle - SETC, cabe o papel de encarregado central, devendo o Secretário da referida pasta designar um servidor responsável por esta função.

Art. 5º O dirigente máximo de cada órgão ou entidade da administração pública estadual, direta e indireta, deverá designar, preferencialmente, servidor efetivo para ser o encarregado setorial pelo tratamento dos dados pessoais, nos termos do inciso III do art. 23 e do art.

41 da LGPD, num prazo de 30 (trinta) dias, contados da publicação deste Decreto.

§ 1º O servidor encarregado setorial designado na forma do "caput" deste artigo deverá:

I - ter experiência e conhecimentos multidisciplinares, preferencialmente em proteção de dados pessoais, gestão de projetos e processos, tecnologia e segurança da informação, gestão de riscos, dentre outras matérias correlatas;

II - estar subordinado diretamente ao dirigente máximo do órgão ou entidade;

III - não estar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação de órgão ou entidade do Poder Executivo Estadual.

§ 2º para fins de atendimento ao inciso I do

§1º deste artigo, os Encarregados deverão participar das capacitações, seminários e treinamentos disponibilizados pelo órgão ou entidade ao qual está vinculado, bem como das atividades de capacitação disponibilizadas por outros órgãos, pelo Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDP e pela Secretaria de Estado da Transparência e Controle - SETC.

§ 3º A identificação e as informações de contato dos Encarregados Setoriais e Central deverão ser divulgadas publicamente, de forma clara e objetiva, no site de cada órgão ou entidade do Poder Executivo Estadual.

Art. 6º Compete ao encarregado setorial:

I - aceitar reclamações e comunicações dos titulares de dados pessoais, prestar esclarecimentos e adotar providências;

II - orientar os servidores, funcionários e os contratados a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

III - coordenar o Comitê Executivo da Política de Proteção de Dados Pessoais - CEPDP;

IV - realizar, com apoio do Comitê Executivo da Política de Proteção de Dados Pessoais - CEPDP, o mapeamento dos processos de tratamento de dados pessoais realizados no âmbito do órgão ou da entidade estadual, inclusive dos compartilhamentos com entidades públicas ou privadas, propondo adequações à luz da LGPD;

V - seguir as orientações do Comitê de Governança em Proteção de Dados Pessoais - CEPDP, bem como apoiá-lo, repassando todas as informações necessárias para o cumprimento de suas atribuições; e

VI - atender às normas complementares da Autoridade Nacional de Proteção de Dados - ANPD.

Art. 7º Compete ao Encarregado Central:

I - receber comunicações da Autoridade Nacional de Proteção de Dados - ANPD e adotar providências;

II - distribuir para os Encarregados Setoriais as reclamações e comunicações dos titulares de dados pessoais para que adotem as providências cabíveis;

III - receber comunicações da autoridade nacional e adotar providências;

IV - coordenar e orientar tecnicamente os Encarregados Setoriais a respeito de práticas a serem tomadas em relação à proteção de dados pessoais; e

V - coordenar a implementação da Política Estadual de Proteção de Dados Pessoais;

VI - auxiliar tecnicamente os Encarregados Setoriais e os Comitês Executivos da Política Estadual de Proteção de Dados Pessoais;

VII - dirigir-se diretamente aos Secretários de Estado e dirigentes máximos de órgãos ou entidades do Poder Executivo Estadual, por iniciativa própria ou provocada, para correção de procedimentos, apuração de fatos ou adoção de providências administrativas relacionadas à aplicação da LGPD;

VIII - sugerir modificações de regulamentos e atos normativos, a fim de facilitar a implementação da Política Estadual de Proteção de Dados Pessoais.

Art. 8º Os encarregados setoriais e central devem ter garantidos pela autoridade máxima do órgão ou entidade ao qual está vinculado:

vinculado;

I - acesso direto aos dirigentes do órgão ou entidade a que está

II - apoio dos setores jurídico, tecnológico, de controle interno do órgão ou entidade e da ouvidoria para o desempenho de suas funções;

III - acesso motivado a todas as operações de tratamento de dados pessoais no âmbito do órgão ou entidade;

IV - capacitação permanente em temas relevantes para o desempenho de suas competências, como os definidos no

§ 1º do art. 9º deste Decreto.

Parágrafo único. Os encarregados setoriais e central poderão solicitar aos órgãos e entidades do Poder Executivo informações sobre os sistemas operados pela Administração Pública Estadual, seja diretamente ou por força de contrato, convênio, de acordo ou instrumentos congêneres, a exemplo de:

I - tipos de dados armazenados;

II - existência de políticas de autorização, de autenticação e de controle de acesso aos dados;

III - matriz de atribuições e de responsabilidades pelas operações de tratamento de dados;

IV - existência de registros ("logs") das operações de tratamento de dados e retenção desses registros;

desastres;

V - existência de estratégias de "backup" e de recuperação de

VI - ferramentas de prevenção contra ameaças à disponibilidade, integridade e confiabilidade dos dados;

VII - integrações totais ou parciais com outros sistemas;

VIII - armazenamento dos dados em outros repositórios para o uso em plataformas de BI e "big data";

IX - contratação de empresas terceirizadas, na qualidade de suboperadoras;

X - dados armazenados fora do local físico das dependências de cada órgão ou entidade; e

XI - segurança e acesso ao ambiente físico de Tecnologia da Informação - TI.

Art. 9º O dirigente máximo de cada órgão ou entidade da administração pública estadual, direta e indireta, deverá designar Comitê Executivo da Política Estadual de Proteção de Dados Pessoais, ao qual compete:

I - auxiliar o Encarregado Setorial no exercício das atribuições de que trata o art. 6º deste Decreto;

II - elaborar o Programa de Governança em Privacidade - PGP, de que trata o art. 11 deste Decreto;

III - adequar à LGPD, sob a coordenação do Encarregado Setorial, os processos do respectivo órgão ou entidade que envolvem o tratamento de dados pessoais;

IV - identificar oportunidades de melhoria nos processos mapeados, promovendo as modificações que se façam necessárias.

§ 1º Os Comitês Executivos da Política Estadual de Proteção de Dados Pessoais serão formados por equipe multidisciplinar, com no máximo

09 (nove) membros, devendo participar, preferencialmente, servidores das áreas de: comunicação, controle interno, financeira, gestão de contratos, gestão de pessoal, jurídica, planejamento e tecnologia da informação.

§ 2º Caso a estrutura do órgão ou entidade não tenha servidores destas áreas, a situação deve ser comunicada pelo titular da pasta, para que a Secretaria de Estado da Administração possa subsidiar a elaboração do referido programa.

§ 3º Os Comitês Executivos da Política Estadual de Proteção de Dados Pessoais serão coordenados pelos respectivos Encarregados Setoriais.

Seção II

Da Governança da Política Estadual de Proteção de Dados Pessoais

Art. 10. Fica criado o Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDD, instância colegiada de natureza normativa e deliberativa, a quem cabe a governança da referida Política Estadual e especificamente:

I - monitorar, direcionar e avaliar a gestão da Política Estadual de Proteção de Dados Pessoais;

II - zelar pela implementação das Políticas Nacional e Estadual de Proteção de Dados Pessoais;

III - aprovar seu Regimento Interno, a ser homologado por Decreto do Poder Executivo;

IV - expedir os atos normativos necessários à regulamentação e implementação da Política Estadual de Proteção de Dados Pessoais;

V - exercer outras atividades ou atribuições inerentes ou correlatas e as que forem legalmente ou regularmente estabelecidas.

§ 1º O Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDD será formado pelos seguintes membros:

PGE;

I - 01 (um) representante da Procuradoria-Geral do Estado -

II - 01 (um) representante da Secretaria de Estado da Administração - SEAD;

III - 01 (um) representante da Secretaria de Estado da Transparência e Controle - SETC;

SEFAZ;

IV - 01 (um) representante da Secretaria de Estado da Fazenda -

V - 01 (um) representante da Secretaria de Estado Geral de Governo - SEGG.

§ 2º Os membros acima serão indicados pelos dirigentes das pastas respectivas e designados por Decreto do Poder Executivo, no prazo de 30 (trinta) dias da publicação deste Decreto.

§ 3º Cabe ao Regimento Interno a definição da Presidência do Conselho, do prazo do mandato e da alternância do representante na presidência.

CAPÍTULO III

DOS PROGRAMAS DE GOVERNANÇA EM PRIVACIDADE

Art. 11. Os órgãos e as entidades da Administração Pública Estadual, de que trata o art. 1º deste Decreto, devem elaborar os respectivos Programas de Governança em Privacidade - PGP, nos termos do art. 50, §

2º, inciso I, da Lei (Federal) nº 13.709 , de 14 de agosto de 2018, observadas as diretrizes desta Política Estadual de Proteção de Dados Pessoais, e as demais disposições deste Decreto.

§ 1º Os Programas de Governança em Privacidade - PGP, de cada órgão ou entidade deverão ser submetidos à aprovação da autoridade máxima de cada órgão ou entidade da administração pública estadual direta, autárquica e fundacional, que os encaminhará para a homologação pelo Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDP.

§ 2º Nos Programas de Governança em Privacidade - PGP, deverá ser prevista a elaboração dos seguintes documentos, sempre que a estrutura, a escala e o volume das operações de tratamento de dados pessoais na repartição recomendarem:

I - política de privacidade e proteção de dados, de uso interno;

II - aviso de privacidade, para usuários externos;

III - relatório de impacto de proteção de dados - RIPD para a atividades de tratamento que ofereçam altos riscos para os direitos e as liberdades individuais dos cidadãos;

IV - plano de resposta a incidentes;

V - plano de recuperação de desastres; e

VI - plano de treinamento e de conscientização dos servidores e colaboradores.

§ 3º Os Relatórios de Impacto à Proteção de Dados Pessoais, conduzidos pelos encarregados e submetidos ao rito de aprovação e de homologação previsto no

§ 1º do art. 4º deste Decreto, terão o seguinte conteúdo mínimo:

I - a descrição dos tipos de dados coletados;

II - a metodologia utilizada para a coleta e para a garantia da segurança das informações; e

III - a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

CAPÍTULO IV

DAS PLATAFORMAS TECNOLÓGICAS E DOS SÍTIOS ELETRÔNICOS

Art. 12. A Secretaria de Transparência e Controle - SETC providenciará plataforma tecnológica transversal para a governança dos dados pessoais no âmbito da administração pública direta, autárquica e fundacional, de modo que se possa monitorar, de forma permanente e integrada, a conformidade de todos os órgãos e as entidades estaduais à LGPD.

Art. 13. Os órgãos e entidades do Poder Executivo Estadual, de que trata o art. 1º deste Decreto, deverão providenciar a adequação de suas páginas e plataformas tecnológicas para atender ao disposto na LGPD, em prazo a ser definido pelo CGPEPDP.

Art. 14. Os sítios eletrônicos dos órgãos e das entidades deverão veicular sua política de privacidade e de "cookies" para prévia aceitação do usuário, no prazo máximo de 60 (sessenta) dias, contados a partir da publicação deste Decreto.

CAPÍTULO IV

DO ATENDIMENTO AO TITULAR

Art. 15. O atendimento ao titular do dado será prestado por meio de canal eletrônico, com acesso disponível pela internet, de maneira integrada à plataforma de que trata o art. 12 deste Decreto e ao Sistema de Ouvidoria do Estado de Sergipe, de que trata o Decreto nº 40.370 , de 30 de abril de 2019.

§ 1º A identificação do titular ou procurador deverá ser idônea, mediante assinatura eletrônica emitida por entidade credenciada pela Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil ou qualquer outro meio que permita sua comprovação de modo inequívoco.

§ 2º O canal de atendimento deve prover funções de registro e gerenciamento da demanda que viabilizem ao titular o acompanhamento do seu atendimento.

Art. 16. A SETC prestará o apoio técnico para o desenvolvimento e manutenção do sistema eletrônico do canal de atendimento eletrônico previsto neste Capítulo, para a capacitação dos Encarregados no uso da ferramenta e para a emissão de relatórios gerenciais e de informações quando solicitado pelo Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDD.

§ 1º Os Encarregados adotarão providências para atendimento do titular, em conformidade com a LGPD, a LAI e a legislação sobre proteção de dados pessoais, e encaminhará os esclarecimentos para o requerente.

§ 2º Os dados pessoais solicitados no atendimento deverão ser entregues ao titular ou seu representante legal por meio eletrônico protegido ou pessoalmente.

Art. 17. Os Encarregados não disponibilizarão dados pessoais tratados pelo órgão ou entidade quando estiverem protegidos por sigilo nos termos da legislação vigente.

Parágrafo único. Os Encarregados informarão o fundamento legal que embasa o indeferimento da entrega da informação sigilosa solicitada.

CAPÍTULO V

DO REGISTRO DAS OPERAÇÕES DE TRATAMENTO E DA ANONIMIZAÇÃO DE DADOS PESSOAIS

Art. 18. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem.

Parágrafo único. Enquanto inexistir regulamentação da autoridade nacional, o tempo de guarda dos registros das operações será igual ao prazo de armazenamento dos dados pessoais, consoante as obrigações legais ou judiciais de mantê-los protegidos, observada a legislação pertinente.

Art. 19. O controlador deve adotar medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis no âmbito e nos limites técnicos de seus serviços para não serem acessados por terceiros não autorizados e, sempre que possível, proceder à sua anonimização.

CAPÍTULO VI

DO COMPARTILHAMENTO DE DADOS PESSOAIS

Art. 20. O uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios gerais de proteção de dados pessoais e as hipóteses previstas nos arts. 7º e 11 da Lei (Federal) nº 13.709 , de 14 de agosto de 2018.

§ 1º O controlador deve manter o registro do compartilhamento dos dados pessoais para fins de cumprimento do inciso VII do art. 18 da Lei (Federal) nº 13.709 , de 14 de agosto de 2018.

§ 2º Os dados deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação e ao acesso das informações pelo público em geral.

Art. 21. O uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa de direito privado observará as normas da Lei (Federal) nº 13.709 , de 14 de agosto de 2018, em especial o disposto nos arts. 26 ao 30.

CAPÍTULO VII DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 22. O Conselho de Governança da Política Estadual de Proteção de Dados Pessoais - CGPEPDP, com o auxílio do Comitê Central de Planejamento, Avaliação e Monitoramento das Políticas Públicas - CPAM/SE, previsto no Decreto nº 40.359 de 22 de abril de 2019, e da PGE, orientará os órgãos e entidades da Administração Pública Estadual, de que trata o art. 1º deste Decreto, a respeito da adequação à LGPD, inclusive quanto à elaboração dos atos normativos, modelos de contratos, de convênios, de acordos de cooperação internacional e de instrumentos congêneres, devendo dirimir as dúvidas eventualmente pertinentes.

Art. 23. Até que sejam designados os encarregados setoriais e central e os membros do CGPEPDP, os órgãos e entidades do Poder Executivo Estadual, de que trata o art. 1º deste Decreto, atenderão às recomendações da Comissão de Trabalho para a adequação do Poder Executivo Estadual à LGPD, de que trata o Decreto nº 41.000 , de 29 de setembro de 2021.

Art. 24. Ficam alterados o inciso I do art. 2º, o "caput" do art. 7º e o "caput" do art. 9º, todos do Decreto nº 40.370 , de 30 de abril de 2019, que passa a vigorar com a seguinte redação:

"Art. 2º-I receber, examinar e encaminhar manifestações, sugestões, reclamações e denúncias dos cidadãos relativas à prestação de serviços públicos em geral, referentes a procedimentos e ações de agentes, órgãos e entidades do Poder Executivo Estadual, inclusive no que se refere à aplicação da Lei (Federal) nº 13.709 , de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD;

"(NR)

"Art. 7º A Ouvidoria Geral do Estado disponibilizará os meios necessários ao recebimento de manifestações, sugestões, reclamações, denúncias, inclusive quanto à aplicação da LGPD, e pedidos de acesso à informação (LAI), tais como: atendimento online, call-center, presencial e meio postal".

"Art. 9º Os dados pessoais do usuário contidos nas manifestações são de acesso restrito, devendo ser aplicadas as regras da Lei (Federal) nº 13.709 , de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD"

Art. 25. Este Decreto entra em vigor na data de sua publicação, ficando revogadas as disposições em contrário.

Aracaju, 05 de outubro de 2021; 200º da Independência e

133º da República.

BELIVALDO CHAGAS SILVA GOVERNADOR DO ESTADO Manuel Dernival Santos Neto

Secretário de Estado da Administração

Marco Antônio Queiroz

Secretário de Estado da Fazenda

Alexandre Brito de Figueiredo

Secretário de Estado da Transparência e Controle

Vinicius Thiago Soares de Oliveira

Procurador-Geral do Estado

José Carlos Felizola Soares Filho

Secretário de Estado Geral de Governo

PUBLICADO NO DIÁRIO OFICIAL DO DIA 06 DE OUTUBRO DE 2021