Resolução nº 438/2024

RESOLUÇÃO Nº 438, 3 DE ABRIL DE 2024

Institui no âmbito do Tribunal de Contas do Estado do Rio de Janeiro a Política de Privacidade e Proteção de Dados Pessoais e dá outras providências.

O TRIBUNAL DE CONTAS DO ESTADO DO RIO DE JANEIRO, no uso de suas atribuições e na forma prevista no artigo 4º, inciso I, artigo 81 e artigo 82, da Lei Complementar nº 63 , de 1º de agosto de 1990, bem como no artigo art. 188, inciso V, do Regimento Interno aprovado pela Deliberação TCE-RJ nº 338 , de 8 de fevereiro de 2023, e;

CONSIDERANDO a Emenda Constitucional nº 115 , de 10 de fevereiro de 2022, que altera a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais;

CONSIDERANDO o teor da Lei Federal nº 13.709 , de 14 de agosto de 2018 (LGPD), que consubstancia norma geral e de interesse nacional sobre a proteção de dados pessoais;

CONSIDERANDO as regras de acesso e segurança relativas à informação, previstas na Lei Federal nº 12.527 /2011 - Lei de Acesso à Informação (LAI), com procedimentos a serem observados pela União, Estados, Distrito Federal e Municípios, bem como por todos os Poderes e pelas Cortes de Contas;

CONSIDERANDO a Lei Federal nº 12.965 /2014 - Lei do Marco Civil da Internet, que estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil;

CONSIDERANDO a necessidade de implementação, manutenção e monitoramento dos sistemas do TCE-RJ, com vistas a assegurar sua conformidade às leis e às regulamentações aplicáveis a Segurança da Informação e à Privacidade e Proteção de dados pessoais;

CONSIDERANDO as orientações emitidas na Nota Técnica nº 1/2019, do Instituto Rui Barbosa (IRB), acerca da aplicação da LGPD no âmbito dos Tribunais de Contas;

CONSIDERANDO o "Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado", expedido pela Autoridade Nacional de Proteção de Dados (ANPD) em abril de 2022;

CONSIDERANDO o disposto na Diretriz nº 22 da Gestão 2023-2024, que preconiza a elaboração de atos normativos e a implementação de procedimentos e orientações internos, em observância à LAI e à LGPD;

CONSIDERANDO a Resolução TCE-RJ nº 395 , de 16 de fevereiro de 2022, que institui a Política de Segurança da Informação deste Tribunal de Contas, RESOLVE:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Art. 1º Fica instituída a Política de Privacidade e Proteção de Dados Pessoais (PPPD) no âmbito do Tribunal de Contas do Estado do Rio de Janeiro (TCE-RJ, em observância à Lei nº 13.709 /18 - Lei Geral de Proteção de Dados Pessoais (LGPD) e às orientações da Autoridade Nacional de Proteção de Dados (ANPD).

Art. 2º A PPPD tem por objetivo disciplinar e conferir efetividade ao tratamento e à proteção de dados pessoais no TCE-RJ, aplicando-se a todos os seus servidores e colaboradores (estagiários e prestadores de serviços - pessoas físicas e jurídicas).

Art. 3º Para aplicação das definições e tratamento de dados pessoais, serão adotados os conceitos do artigo 5º da LGPD, assim estabelecidos:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III - dado anonimizado: dado relativo à titular que não possa ser identificado,

considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados;

IX - agentes de tratamento: o controlador e o operador;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada; e

XIII - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

Art. 4º O tratamento de dados pessoais observará o primado da boa-fé, os princípios aplicáveis à Administração Pública, bem como os constantes no art. 6º da LGPD, notadamente, finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.

CAPÍTULO II

DOS AGENTES DE TRATAMENTO E DAS SUAS RESPONSABILIDADES

Seção I

Do Controlador e Suas Responsabilidades

Art. 5º O Tribunal de Contas do Estado do Rio de Janeiro é o Controlador dos dados pessoais por ele tratados, cabendo-lhe, entre outras atribuições:

I - decidir sobre o tratamento de dados pessoais no âmbito do TCE-RJ e manter o registro das operações de tratamento que realizar;

II - assinar contrato ou termo de compromisso com cláusulas específicas sobre proteção de dados pessoais;

III - fornecer aos titulares as informações sobre os seus dados pessoais, sempre que requisitado, e corrigir dados incompletos, inexatos ou desatualizados;

IV - informar as hipóteses em que realiza o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em seu sítio eletrônico;

V - comunicar ao titular dos dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, bem como notificar a ANPD e adotar as providências por ela determinadas;

VI - aprovar o relatório de impacto à proteção de dados pessoais;

VII - aprovar a política de privacidade e proteção de dados pessoais; e

VIII - designar o Encarregado pelo tratamento de dados pessoais.

Seção II

Do Operador e Suas Responsabilidades

Art. 6º O operador é a pessoa natural ou jurídica, de direito público ou privado, não integrante do quadro funcional do TCE-RJ, que realiza o tratamento de dados pessoais em nome do controlador.

Art. 7º É de responsabilidade do operador manter o devido registro das ações realizadas no tratamento de dados pessoais.

Parágrafo único. Os dados pessoais sensíveis, quando tratados por meio de sistemas informatizados corporativos, devem ser rastreáveis com trilhas de auditoria.

Seção III

Do Encarregado e Suas Responsabilidades

Art. 8º Ato específico do Presidente do Tribunal de Contas do Estado do Rio de Janeiro designará o encarregado pelo tratamento de dados pessoais, e fixará suas responsabilidades, em conformidade com o art. 41 da LGPD.

Art. 9º Compete ao encarregado pelo tratamento de dados pessoais zelar pela conformidade do TCE-RJ à LGPD, sem prejuízo das atribuições previstas no art. 3º, inciso VIII, e art. 18,

§ 2º desta Resolução.

Art. 10. Para o adequado desempenho de suas funções, o encarregado pelo tratamento de dados pessoais contará com o auxílio do Comitê Gestor de Privacidade e Proteção de Dados Pessoais.

CAPÍTULO III

DO TRATAMENTO DOS DADOS PESSOAIS

Art. 11. O tratamento de dados pessoais pelo TCE-RJ será realizado na persecução do interesse público e para o atendimento de sua finalidade pública, no exercício do controle externo e de suas competências constitucionais, legais e regulamentares.

§ 1º Serão divulgadas, no sítio eletrônico do TCE-RJ, as regras de tratamento de dados, sob a denominação "Aviso de Privacidade e Proteção de Dados Pessoais", cujo conteúdo está estabelecido no Anexo Único a esta PPPD.

§ 2º O TCE-RJ poderá, em conformidade à LGPD e no estrito cumprimento de suas funções institucionais, tratar dados pessoais com dispensa de obtenção de consentimento dos titulares.

§ 3º Ainda que dispensado o consentimento, as informações sobre o tratamento de dados pessoais sensíveis ou referentes a crianças ou adolescentes estarão disponíveis em linguagem clara e objetiva, observando os ideais de transparência e acessibilidade.

§ 4º O consentimento, quando necessário, deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular, e poderá ser revogado a qualquer momento, mediante solicitação expressa do titular, ratificados os tratamentos realizados sob amparo do consentimento anteriormente concedido.

§ 5º Deverão ser transmitidas informações sobre o tratamento de dados a seus titulares, a qualquer tempo e mediante requisição, por meio da Ouvidoria, do protocolo eletrônico, ou por outros meios de atendimento disponibilizados pela instituição.

§ 6º Como regra, os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada sua conservação para as finalidades previstas na LGPD.

Art. 12. A Diretoria-Geral de Segurança Institucional (DSI), em parceria com a Subsecretaria de Tecnologia da Informação (STI), expedirá orientações de armazenamento seguro e de rastreabilidade, a serem seguidas pelas Unidades Organizacionais (UO) responsáveis pelo tratamento de dados pessoais.

CAPÍTULO IV

DO COMPARTILHAMENTO DE DADOS PESSOAIS

Art. 13. O compartilhamento de dados pessoais custodiados pelo TCE-RJ será realizado para atender às finalidades específicas de execução de políticas públicas e às atribuições legais da instituição, condicionado à formalização de contrato, convênio ou acordo de cooperação.

§ 1º Deverá ser estabelecido termo de confidencialidade entre as partes pactuantes, contendo cláusulas destacadas sobre proteção de dados pessoais, em observância aos requisitos previstos na LGPD.

§ 2º Em contratos com fornecedores e prestadores de serviços, havendo necessidade de disponibilização de dados de servidores para tratamento por terceiros, o termo de confidencialidade poderá ser substituído por cláusulas padronizadas, que garantam a devida segurança e confidencialidade.

§ 3º No caso de haver tratamento ou custódia de dados pessoais de servidores do TCE-RJ por empresas contratadas, além do termo de confidencialidade, deverão ser obtidas garantias de armazenamento e descarte seguro, este quando do final do tratamento, com retorno da custódia das informações ao TCE-RJ.

§ 4º O compartilhamento de dados pessoais custodiados pelo Tribunal com pessoa de direito privado será informado à ANPD e dependerá de consentimento do titular, exceto nas hipóteses previstas na LGPD.

§ 5º O controlador deverá manter o registro do compartilhamento dos dados pessoais para o atendimento previsto no inciso VII do art. 18 da LGPD.

CAPÍTULO V

DO TRATAMENTO DE DADOS PESSOAIS SENSÍVEIS

Art. 14. Os tratamentos de dados pessoais sensíveis no âmbito do TCE - RJ deverão ser realizados de acordo com as hipóteses legais estabelecidas no art. 11 da LGPD.

Parágrafo único. A informação sobre o tratamento de dados pessoais sensíveis, ainda que dispensado o consentimento, estará disponível em linguagem clara e simples, com concisão, transparência, inteligibilidade e acessibilidade.

CAPÍTULO VI

DO TRATAMENTO DE DADOS PESSOAIS DE CRIANÇAS E ADOLESCENTES

Art. 15. O tratamento de dados pessoais de crianças e adolescentes deverá ser realizado em seu melhor interesse, nos termos do art.14 da LGPD e da legislação pertinente.

Parágrafo único. Na forma do art. 11,

§3º desta Resolução, bem como do art. 14,

§6º, da LGPD, as informações sobre o tratamento de dados pessoais de crianças e adolescentes deverão estar disponíveis em linguagem clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança.

CAPÍTULO VII

DO TÉRMINO DO TRATAMENTO DE DADOS PESSOAIS

Art. 16. O término do tratamento de dados pessoais pelo Tribunal de Contas do Estado do Rio de Janeiro ocorrerá nas hipóteses previstas no art. 15 da LGPD.

Art. 17. Os dados pessoais serão eliminados após o término de seu tratamento, autorizada sua conservação nas situações previstas no art. 16 da LGPD.

CAPÍTULO VII

DO RELATÓRIO DE IMPACTO À PROTEÇÃO DE DADOS PESSOAIS

Art. 18. O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) deverá ser elaborado, na forma do art. 3º, inciso XIII desta Resolução, sempre que o Controlador julgar necessário, ou quando houver solicitação da ANPD.

§ 1º O RIPD conterá, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações, e a análise das medidas, salvaguardas e mecanismos de mitigação de riscos.

§ 2º Incumbe ao encarregado pelo tratamento de dados pessoais a elaboração do RIPD, com a aprovação do Controlador, nos termos do art. 5º, inciso VI, desta Resolução.

CAPÍTULO IX

DA GESTÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS

Art. 19. Para efeitos desta Resolução, considera-se incidente de segurança com dados pessoais qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais.

Art. 20. O objetivo primordial do processo de gestão de incidente de segurança com dados pessoais é fazer a contenção da falha de segurança o mais rapidamente possível, a fim de minimizar eventuais impactos adversos às pessoas ou aos processos de trabalho envolvidos e, dessa forma, assegurar que os serviços afetados sejam restaurados ao melhor nível possível de confidencialidade, integridade e disponibilidade.

Art. 21. Quando da ocorrência de incidente de segurança, a Unidade Organizacional (UO) que tomar conhecimento do evento deverá adotar, de imediato, as seguintes providências:

I - Autuar Solicitação Interna Eletrônica (SIE) padrão, que terá classificação sigilosa e urgente, para comunicação de incidente de segurança, descrevendo o fato e anexando eventuais documentos que possam ser úteis à compreensão e elucidação do incidente; e

II - Tramitar a SIE para a UO responsável pelo tratamento de incidente de segurança com dados pessoais, a quem caberá a condução do processo de gestão do incidente.

Art. 22. A UO responsável pelo tratamento de incidente de segurança, a seu turno, adotará, de imediato, as seguintes providências:

I - Avaliar se o incidente de segurança afetou documento ou processo para o qual haja relatoria definida e, nesse caso, comunicar o fato, pela via hierárquica, ao Gabinete do respectivo Relator, para que este possa determinar as medidas saneadoras necessárias;

II - Identificar e acionar, pela via hierárquica, as UOs aptas a auxiliar na contenção e na investigação do incidente de segurança;

III - Acompanhar o andamento das providências adotadas, registrando, na SIE, o histórico dos acontecimentos até a conclusão das medidas saneadoras e orientando, paralelamente, ações que evitem a reincidência da falha; e

IV - Concluído o processo, arquivar a SIE para futuras consultas que se fizerem necessárias.

Art. 23. No caso de ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o encarregado pelo tratamento de dados pessoais deverá ser imediatamente informado pelo setor em que tenha havido o incidente, para fins de comunicação à ANPD e ao titular, em cumprimento do artigo 48 da LGPD.

Parágrafo único. As comunicações externas serão precedidas da apreciação dos riscos por parte do encarregado pelo tratamento de dados pessoais, bem como de decisão do Controlador.

Art. 24. O Controlador poderá, a qualquer tempo, conforme critérios de conveniência e oportunidade, determinar a realização de auditoria para verificação de conformidade e de cumprimento da LGPD.

Parágrafo único. A auditoria prevista no caput poderá ser proposta, de forma motivada, ao Controlador, pelo encarregado pelo tratamento de dados pessoais.

Art. 25. Ato específico do Presidente do Tribunal de Contas do Estado do Rio de Janeiro instituirá Plano de Resposta a incidentes de segurança à proteção de dados pessoais, em consonância ao art. 48 da LGPD e com esta Resolução.

CAPÍTULO X

DOS DIREITOS E DO RELACIONAMENTO COM OS TITULARES DOS DADOS PESSOAIS

Art. 26. As solicitações de informação sobre o tratamento de dados pessoais formuladas por seus titulares, na forma do art. 11,

§ 5º, e as respectivas respostas aos requerimentos, deverão ser mantidas em registro próprio, bem como encaminhadas ao encarregado pelo tratamento de dados pessoais.

Parágrafo único. Será disponibilizado ao titular, ou a seu representante legal, no sítio eletrônico do TCE-RJ, formulário específico para solicitação de informações sobre tratamento de dados pessoais, juntamente com as regras de tratamento.

CAPÍTULO XI

DO COMITÊ GESTOR DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

Art. 27. Fica instituído, no âmbito deste Tribunal de Contas do Estado do Rio de Janeiro, o Comitê Gestor de Privacidade e Proteção de Dados Pessoais (CGPD), órgão colegiado, de caráter permanente e natureza consultiva, ao qual compete, entre outras atribuições legais:

I - analisar e monitorar a aplicação da Política de Privacidade e Proteção de Dados (PPPD) no TCE-RJ;

II - supervisionar ações e projetos relacionados às atividades de Privacidade e Proteção de Dados no âmbito do TCE-RJ;

III - avaliar os mecanismos de tratamento e proteção de dados implementados no TCE-RJ, bem como propor diretrizes e definir estratégias para eventual adequação à LGPD;

IV - estimular a conscientização e a capacitação dos servidores do TCE - RJ acerca da política de tratamento de dados, com o auxílio da Escola de Contas e Gestão (ECG);

V - examinar a(s) proposta(s) de Plano de Resposta a Incidentes de Segurança à Proteção de Dados Pessoais;

VI - revisar periodicamente a PPPD e as demais normas a ela correlatas, propondo, quando entender conveniente e oportuno, as providências necessárias à sua atualização; e

VII - apoiar e auxiliar o encarregado pelo tratamento de dados pessoais no cumprimento das suas atividades, bem como cientificá-lo de qualquer tipo de inconformidade do TCE-RJ com as legislações vigentes, a PPPD ou as orientações da Autoridade Nacional de Proteção de Dados (ANPD).

Art. 28. O CGPD será composto pelo encarregado pelo tratamento de dados pessoais e por representantes das seguintes unidades organizacionais:

I - Gabinete da Presidência (GAP);

II - Procuradoria-Geral do TCE-RJ (PGT);

III - Secretaria-Geral da Presidência (SGPres);

IV - Secretaria-Geral de Controle Externo (SGE);

V - Secretaria-Geral de Administração (SGA);

VI - Subsecretaria de Tecnologia da Informação (STI);

VII - Subsecretaria das Sessões (SSE);

VIII - Diretoria-Geral de Segurança Institucional (DSI);

IX - Diretoria-Geral de Relações Institucionais e Comunicação (DRC); e

X - Ouvidoria (OUV).

§ 1º Ato do Presidente designará os membros do CGPD, bem como seus respectivos substitutos, que os representarão em casos de ausência e/ou impedimento.

§ 2º O Comitê Gestor de Privacidade e Proteção de Dados Pessoais será coordenado pelo encarregado pelo tratamento de dados pessoais.

Art. 29. O CGPD reunir-se-á, ordinariamente, uma vez por semestre e, extraordinariamente, quando, por critérios de conveniência e oportunidade, seja convocado por seu coordenador.

Parágrafo único. Poderão ser convidados a participar das reuniões servidores do TCE-RJ e de outros órgãos públicos.

Art. 30. As reuniões do CGPD serão registradas em ata, que será submetida à aprovação de seus membros.

Art. 31. Os trabalhos do CGPD serão desenvolvidos sem prejuízo das atribuições ordinárias de seus integrantes, não implicando, a qualquer título, remuneração extraordinária.

Art. 32. As deliberações do CGPD deverão ser motivadas e terão caráter orientativo.

Art. 33. O CGPD deverá apresentar um cronograma de trabalho em até 60 (sessenta) dias da publicação desta Resolução, para cada uma das seguintes etapas de adequação:

I - mapeamento de todos os processos de tratamento de dados pessoais da instituição;

II - análise da compatibilidade dos processos com a Lei Geral de Proteção de Dados Pessoais; e

III - elaboração de um programa de adequação dos processos incompatíveis com a Lei Geral de Proteção de Dados Pessoais, incluindo sistemas e documentos internos.

CAPÍTULO XII

DAS DISPOSIÇÕES FINAIS

Art. 34. A Diretoria-Geral de Segurança Institucional (DSI), em conjunto com a Subsecretaria de Tecnologia da Informação (STI) e a Escola de Contas e Gestão (ECG/TCE-RJ), elaborará programa de capacitação para os servidores e colaboradores do TCE-RJ acerca da LGPD.

Art. 35. Fica autorizado o Presidente do TCE-RJ a promover, por meio de Ato Normativo, as atualizações que se fizerem necessárias ao Anexo Único da presente Resolução.

Art. 36. Esta Resolução entra em vigor na data de sua publicação.

Art. 37. Fica revogada a Resolução TCE-RJ nº 365 , de 17 de março de 2021.

Plenário, 3 de abril de 2024.

RODRIGO MELO DO NASCIMENTO

Presidente

Nota

Publicado no DORJ de 10.04.24.

Download do documento

Atos que alteram, regulamentam ou revogam esta Resolução:

Nenhum Ato.

Atos que são alterados, regulamentados ou revogados por esta Resolução:

Resolução nº 365/2021 de 17/03/2021 - Norma revogada SELECT status_consolidacao FROM leismeta WHERE idlei = 465514 AND idambito = 4 LIMIT 1