Portaria Normativa nº 275/2025

PORTARIA TC Nº 275, DE 10 DE ABRIL DE 2025.

Estabelece a Política de Proteção de Dados Pessoais no âmbito do Tribunal de Contas do Estado de Pernambuco e revoga a Portaria Normativa TC nº 155 , de 20 de setembro de 2021.

CONSIDERANDO o direito constitucional da proteção de dados pessoais, previsto no inciso LXXIX do artigo 5º da Constituição Federal de 1988;

CONSIDERANDO as competências e as atribuições dos Tribunais de Contas, descritas em linhas gerais nos artigos 70 e 71 da Constituição Federal de 1988;

CONSIDERANDO a Lei Federal nº 13.709 , de 14 de agosto de 2018, (Lei Geral de Proteção de Dados - LGPD), que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural;

CONSIDERANDO o disposto no inciso III do artigo 6º e no

§5º do artigo 31 da Lei nº 12.527 , de 18 de novembro de 2011 - Lei de Acesso à Informação;

CONSIDERANDO a Política Corporativa de Segurança da Informação do Tribunal de Contas do Estado de Pernambuco (TCE-PE), estabelecida pela Resolução TC nº 16 , de 22 de outubro de 2014, encarregada de viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;

CONSIDERANDO a necessidade de prover o Tribunal de Contas do Estado de Pernambuco (TCE-PE) de mecanismos de tratamento e proteção de dados pessoais para manter essas informações íntegras, autênticas, disponíveis e, quando for o caso, sigilosas ou com acesso restrito, nos termos da Lei Federal nº 13.709 , de 14 de agosto de 2018 (LGPD);

RESOLVE expedir a seguinte Portaria Normativa:

CAPÍTULO I

DISPOSIÇÕES PRELIMINARES

Art. 1º Fica instituída a Política de Proteção de Dados Pessoais do TCE-PE, com a finalidade de estabelecer diretrizes para a implementação de ações que garantam a proteção de dados pessoais.

Parágrafo único. Esta portaria integra a Política Corporativa de Segurança da Informação do TCE-PE (PCSI/TCE).

Art. 2º Para os fins desta Portaria Normativa, são adotados os seguintes conceitos e significados:

I - Autoridade Nacional de Proteção de Dados (ANPD): órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados em todo o território nacional;

II - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

III - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

IV - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

V - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

VI - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VII - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

VIII - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

IX - transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Art. 3º Esta Política de Proteção de Dados Pessoais aplica-se a todas as unidades organizacionais do TCE-PE, e deverá ser observada por todos os seus integrantes, ou seja: membros, servidores, estagiários, conveniados ou contratados.

CAPÍTULO II

TRATAMENTO DE DADOS PESSOAIS NO TCE-PE

Art. 4º O tratamento de dados pessoais a ser realizado pelo TCE-PE será pautado pelo dever de boa-fé e pela observância dos princípios previstos no artigo 6º da Lei Federal nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados):

I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII - segurança: utilização de medidas técnicas e administrativas aptas a fortalecer a proteção dos dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Art. 5º O tratamento de dados pessoais a ser realizado pelo TCE-PE deve ter como base legal as hipóteses previstas no artigo 7º da Lei Federal nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados).

§ 1º No tratamento a que se refere o caput deste artigo, o TCE-PE utilizará como base legal, preferencialmente, as seguintes hipóteses, independentemente do consentimento dos titulares de dados:

I - cumprimento de obrigação legal ou regulatória, com indicação específica do dispositivo que necessita do tratamento de dados pessoais para ser cumprido; e

II - tratamento e uso compartilhado, pela administração pública, de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições da Lei Geral de Proteção de Dados acerca do tratamento de dados pessoais pelo poder público.

§ 2º Excetuadas as hipóteses de que trata o

§ 1º, a utilização como base legal das demais hipóteses a que se refere o caput deste artigo dependerá de demonstração motivada com as razões para a sua adoção.

Art. 6º O tratamento de dados pessoais sensíveis deve ocorrer somente nos termos da seção II do capítulo II da Lei Geral de Proteção de Dados, quando serão estabelecidos procedimentos especiais de segurança no tratamento destes dados.

Art. 7º O tratamento de dados pessoais de crianças e de adolescentes deve ser realizado nos termos do artigo 14 da Lei Geral de Proteção de Dados, podendo ser realizado com base nas hipóteses legais previstas no artigo 7º ou no artigo 11 da mesma lei, no que for compatível.

CAPÍTULO III

EXERCÍCIO DOS DIREITOS DO TITULAR

Art. 8º Os direitos do titular de dados pessoais tratados no âmbito do TCE-PE poderão ser exercidos mediante manifestação enviada para o endereço eletrônico do encarregado de dados, disponível no site do TCE-PE, ou para a Ouvidoria do TCE-PE.

Art. 9º Os direitos do titular de dados pessoais previstos na Lei Geral de Proteção de Dados, em qualquer caso, serão ponderados com o interesse público de conservação de dados históricos, o fomento ao controle social, a preservação da transparência da instituição e das condutas de agentes públicos no exercício de suas atribuições, e com a divulgação de informações relevantes à sociedade.

CAPÍTULO IV

TRANSFERÊNCIA E DO COMPARTILHAMENTO DE DADOS NO TCE-PE

Art. 10. O TCE-PE poderá transferir dados pessoais constantes de suas bases de dados a pessoas jurídicas de direito privado nos seguintes casos, sem prejuízo de outros previstos em legislação específica:

I - de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei de Acesso à Informação;

II - em que os dados forem acessíveis publicamente, observadas a finalidade, a boa-fé e os direitos do titular;

III - em que houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres comunicados à Autoridade Nacional de Proteção de Dados (ANPD); ou

IV - em que a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou a proteção e o resguardo da segurança e da integridade do titular dos dados, sendo vedado o tratamento para outras finalidades.

Art. 11. O compartilhamento de dados pessoais com outras instituições públicas observará o disposto na legislação vigente e em regulamentação específica do TCE-PE.

CAPÍTULO V

AGENTES DE TRATAMENTO DE DADOS PESSOAIS

Art. 12. O controlador de dados pessoais, nos termos do inciso VI do artigo 5º da Lei Geral de Proteção de Dados, é o Estado de Pernambuco, assumindo o TCE-PE atribuições de controlador mediante o processo de desconcentração administrativa e

considerando as competências constitucionais, legais e regulamentares do TCE-PE.

Art. 13. O encarregado será indicado pelo Presidente do TCE-PE e aprovado pelos integrantes do Tribunal Pleno.

Art. 14. O encarregado atuará como canal de comunicação entre o TCE-PE, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), bem como com outras organizações com atuação na proteção de dados pessoais com as quais o TCE-PE estabeleça acordo de serviço ou de cooperação técnica.

Art. 15. É operador, nos termos inciso VII do artigo 5º da Lei Geral de Proteção de Dados, no âmbito do TCE-PE, a pessoa natural ou jurídica, de direito público ou privado, que realizar tratamento de dados pessoais em nome do TCE-PE.

Parágrafo único. Não é considerado operador, para os fins desta Política, a pessoa física com vínculo funcional ou empregatício com a pessoa jurídica controladora do dado, tais como autoridades, servidores e colaboradores do TCE-PE.

CAPÍTULO VI

CONSCIENTIZAÇÃO E CAPACITAÇÃO

Art. 16. Todos os servidores, estagiários, conveniados e contratados do TCE-PE devem participar de programas de conscientização, capacitação e sensibilização em matérias de privacidade e proteção de dados pessoais, objetivando adequar o tema aos seus papéis e responsabilidades.

CAPÍTULO VII

SEGURANÇA E DAS BOAS PRÁTICAS

Art. 17. O TCE-PE deve implementar medidas de segurança, técnicas e administrativas, aptas a fortalecer a proteção dos dados pessoais por meio, no mínimo, de:

I - restrição de acesso aos dados pessoais para quem realiza o tratamento;

II - comunicação clara das funções e das responsabilidades de quem trata dados pessoais;

III - assinatura de termos de confidencialidade e de responsabilidade com quem trata grande volume de dados pessoais;

IV - armazenamento de todos os dados pessoais em ambiente seguro, de modo que terceiros não autorizados não possam acessá-los;

V - plano de resposta a incidentes relacionados à proteção de dados pessoais;

VI - adoção de mecanismos de segurança e proteção de dados desde a concepção ou contratação de novos sistemas ou serviços digitais;

VII - avaliação periódica e aprimoramento, quando necessário, do nível de proteção dos sistemas e dos bancos de dados em que houver tratamento de dados pessoais;

VIII - avaliação periódica e aprimoramento, quando necessário, dos processos e procedimentos relacionados com os tratamentos de dados pessoais;

IX - registro e manutenção dos tratamentos de dados pessoais com as informações sobre finalidade do tratamento, base legal, descrição dos titulares, eventual transferência internacional, prazo de conservação e medidas de segurança adotadas;

X - guarda e eliminação dos dados pessoais, fundamentada na tabela de temporalidade do TCE-PE;

XI - utilização do Relatório de Impacto à Proteção de Dados Pessoais (RIPD) como auxílio à tomada de decisão e proteção de dados pessoais;

XII - instituição de órgão colegiado como instância técnica para tratar de assuntos relativos à segurança da informação e proteção de dados pessoais;

XIII - elaboração e implantação de um programa de conscientização e capacitação direcionado a privacidade e proteção de dados pessoais;

XIV - registro e monitoramento de eventos (LOGS) relacionados às atividades de tratamento de dados pessoais;

XV - implementação e gerenciamento sistemas de autenticação robustos (senhas fortes, duplo fator de autenticação) e controle de acesso baseado em funções e privilégios mínimos;

XVI - proteção à infraestrutura de TI contra acessos não autorizados e ataques cibernéticos;

XVII - realização de varreduras regulares em busca de vulnerabilidades nos sistemas e aplicações, aplicando as devidas correções e atualizações de segurança;

XVIII - implementação de práticas para garantir que a segurança dos dados pessoais seja incorporada desde a concepção ou contratação dos sistemas e serviços digitais;

XIX - implementação, quando couber, de criptografia de dados em repouso (armazenamento) e em trânsito (redes), garantindo a confidencialidade das informações.

Parágrafo único. A implementação de medidas de segurança referente a ativos de Tecnologia da Informação seguirá a priorização definida no Plano Tático do Departamento de Tecnologia da Informação do TCE-PE.

CAPÍTULO VIII

FUNÇÕES E RESPONSABILIDADES

Art. 18. Compete à Comissão de Governança, Gestão Estratégica e Segurança da Informação (CGGSI), além do disposto no artigo 2º da Portaria Normativa TC nº 245 , de 2024:

I - promover a proteção de dados pessoais e a adequação do TCE-PE à Lei Geral de Proteção de Dados;

II - incentivar a conscientização, capacitação e sensibilização das pessoas que desempenham qualquer atividade de tratamento de dados pessoais dentro do TCE-PE;

III - avaliar periodicamente, com base em verificações de conformidade, o cumprimento da Política de Proteção de Dados do TCE-PE e dos normativos que a complementam;

IV - promover a adoção de regras de boas práticas e governança em segurança da informação, com a finalidade de orientar comportamentos adequados e mitigar os riscos de comprometimento dos dados pessoais tratados pelo TCE-PE.

Art. 19. Compete ao encarregado:

I - receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar as providências;

II - receber comunicações da Autoridade Nacional de Proteção de Dados (ANPD) e adotar providências;

III - orientar membros, servidores e demais integrantes do TCE-PE a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

IV - comunicar à Autoridade Nacional de Proteção de Dados (ANPD), dentro do prazo previsto pela LGPD, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos dados pessoais;

V - executar as demais atribuições determinadas pelo TCE-PE ou estabelecidas em normas complementares.

Art. 20. Compete à Equipe Estratégica de Tratamento de Incidentes de SI (ETISI), além de outras atribuições correlatas:

I - tratar os incidentes relacionados com dados pessoais;

II - prestar apoio técnico ao encarregado no que se refere à privacidade e à proteção de dados, bem como ao cumprimento das determinações previstas na Lei Geral de Proteção de Dados;

III - comunicar, ao encarregado, a ocorrência de incidente de segurança que possa acarretar risco ou dano a dados pessoais dos titulares.

Art. 21. Compete à Gerência de Segurança da Informação e Privacidade de Dados, além do disposto no artigo 138-E da Resolução TC Nº 238 , de 2024:

I - propor as atualizações necessárias na Política de Proteção de Dados Pessoais;

II - facilitar a identificação, a avaliação, o tratamento e o monitoramento dos riscos relacionados com o tratamento de dados pessoais;

III - atualizar, implantar e monitorar o processo de inventário de dados pessoais;

IV - orientar a elaboração do Relatório de Impacto à Proteção dos Dados Pessoais (RIPD);

V - monitorar a implantação das medidas de segurança, técnicas e administrativas, necessárias para a proteção dos dados pessoais.

Art. 22. Compete ao Departamento de Tecnologia da Informação do TCE-PE, além do disposto no artigo 368 da Resolução TC nº 23 , de 2017, executar as medidas de segurança citadas nos incisos XIV a XIX do artigo 17.

Art. 23. Compete aos gestores e suplentes de sistemas informatizados do TCE-PE, além do disposto no artigo 4º da Portaria Normativa TC nº 209 , de 2023:

I - manter atualizado o inventário de dados pessoais;

II - identificar, avaliar, tratar e monitorar os riscos relacionados aos dados pessoais;

III - elaborar, quando couber, o Relatório de Impacto de Proteção de Dados Pessoais (RIPD) relacionados às operações de tratamento, e atualizá-lo quando necessário;

IV - comunicar à Equipe Estratégica de Tratamento de Incidentes de Segurança da Informação (ETISI) a ocorrência de incidente de segurança que possa acarretar risco ou dano aos dados pessoais dos titulares;

V - adotar mecanismos para que os titulares de dados pessoais usufruam dos direitos assegurados pela Lei Geral de Proteção de Dados e pelos normativos correlatos.

CAPÍTULO IX

DISPOSIÇÕES FINAIS

Art. 24. As dúvidas sobre a Política de Proteção de Dados Pessoais serão submetidas à Comissão de Governança, Gestão Estratégica e Segurança da Informação (CGGSI).

Art. 25. Esta política será revisada no período de dois anos, a partir do início de sua vigência.

Art. 26. Os casos omissos serão resolvidos pelo Presidente do TCE-PE.

Art. 27. Fica revogada a Portaria Normativa TC nº 155 , de 20 de setembro de 2021.

Art. 28. Esta Portaria Normativa entra em vigor na data de sua publicação.

Tribunal de Contas do Estado de Pernambuco, 10 de abril de 2025.

VALDECIR PASCOAL

Presidente

Publicada em 11/04/2025

Atos que alteram, regulamentam ou revogam esta Portaria Normativa:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por esta Portaria Normativa:

Portaria Normativa nº 155/2021 de 20/09/2021 - Norma revogada SELECT status_consolidacao FROM leismeta WHERE idlei = 139104 AND idambito = 4 LIMIT 1