Portaria nº 196/2024

PORTARIA N. TC-0196/2024

Dispõe sobre a responsabilidade de elaboração e de manutenção do Inventário de Dados Pessoais (IDP) e do Relatório de Impacto à Proteção de Dados Pessoais (RIPD), referentes às operações de tratamento de dados no âmbito do Tribunal de Contas do Estado de Santa Catarina (TCE/SC).

O PRESIDENTE DO TRIBUNAL DE CONTAS DO ESTADO DE SANTA CATARINA (TCE/SC), no uso de suas atribuições, que lhe são conferidas pelo art. 90, inciso I, da Lei Complementar (estadual) nº 202 , de 15 de dezembro de 2000, pelo art. 271, inciso XXXV, do Regimento Interno do Tribunal de Contas (Resolução n. TC- 06 /2001, de 3 de dezembro de 2001); e

considerando a Emenda Constitucional nº 115 , que alterou o art. 5º. da Constituição Federal de 1988 para incluir a proteção de dados pessoais na categoria de direitos e garantias fundamentais (art. 5º., inciso LXXIX);

considerando a Lei nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), e a necessidade de prover a instituição de mecanismos de tratamento e proteção de dados pessoais;

considerando que os dados pessoais representam toda informação relacionada à pessoa natural ou identificável (art. 5º., inciso I, LGPD);

considerando que, conforme previsto no art. 5º., inciso X, da LGPD, o tratamento de dados pessoais consiste nas atividades de coleta, de produção, de recepção, de classificação, de utilização, de acesso, de reprodução, de transmissão, de distribuição, de processamento, de arquivamento, de armazenamento, de eliminação, de modificação, de comunicação, de transferência, de difusão ou de extração, bem como na avaliação ou no controle da informação pessoal disponibilizada pela pessoa natural a quem se referem os dados pessoais que são objeto do tratamento - o titular dos dados (art. 5º., inciso V);

considerando que as atividades de tratamento de dados pessoais deverão observar a boa-fé e os princípios da transparência, da segurança, da prevenção e da prestação de contas (art. 6º., incisos VI, VII, VIII e X, da LGPD);

considerando que o art. 37 da LGPD estabelece que o "controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse";

considerando que o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) consiste na descrição dos processos de tratamento de dados pessoais que podem gerar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos na LGPD e às liberdades civis e aos direitos fundamentais do titular de dados, bem como na descrição das medidas, salvaguardas e mecanismos de mitigação de risco;

considerando que o Inventário de Dados Pessoais (IDP) consiste no registro das operações de tratamento dos dados pessoais realizados pela instituição e proporciona uma espécie de "fotografia" do atual cenário do tratamento de dados pessoais do serviço/processo de negócio;

considerando que as informações contidas no IDP fornecem subsídios para a elaboração do RIPD, o qual é um instrumento fundamental para avaliação da conformidade do tratamento de dados pessoais em relação à LGPD, bem como de análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de riscos adotados;

considerando que o IDP representa um documento importante de governança de dados pessoais e de subsídio para avaliação de impacto à proteção de dados pessoais com vistas a verificar a conformidade da instituição no que se refere ao preconizado pela LGPD;

considerando a Nota Técnica Nº 01 /2019 do Instituto Rui Barbosa (IRB) (https://atricon.org.br/nota-tecnica-no-012019-instituto-rui-barbosa/), elaborada com a finalidade de apoiar o IRB e os Tribunais de Contas sobre o conteúdo da Lei nº 13.709 , de 14 de agosto de 2018, e seus desdobramentos;

considerando que foi instituído o Comitê Gestor de Segurança da Informação, Privacidade e Proteção de Dados (CGSIPD), no âmbito do TCE/SC, pela Portaria N. TC- 149 /2020;

considerando que foi publicada a Resolução N. TC- 179 /2021, na qual estabeleceu a Política de Segurança da Informação, Comunicação, Privacidade e Proteção de Dados (POSICPD), no âmbito do TCE/SC;

considerando que em 2019, o TCE/SC realizou o seminário internacional sobre LGPD, visando sensibilizar os seus servidores e jurisdicionados;

considerando que o TCE/SC realizou palestras sobre a LGPD nos ciclos de estudos nos anos de 2019 e de 2020;

considerando que todos os diretores e membros do Comitê Gestor de Segurança da Informação, Privacidade e Proteção de Dados (CGSIPD), instituído por meio da Portaria TC-149/2020, de 24 de julho de 2020, receberam capacitação sobre a LGPD;

considerando que o registro de tratamento de dados mantido pelo IDP envolve descrever informações em relação ao tratamento de dados pessoais realizado pelo TCE/SC;

considerando que a informação, em todo o seu ciclo de vida, constitui-se em bem estratégico e em ativo fundamental para o desempenho das atribuições constitucionais e das atividades do TCE/SC;

considerando a Resolução N. TC- 149 /2019, que dispõe sobre a estrutura e a competência dos Órgãos Auxiliares do Tribunal de Contas do Estado de Santa Catarina, e que compete à Assessoria de Planejamento (Apla) promover a gestão de processos, prescrevendo métodos e ferramentas que orientem o gerenciamento dos processos finalísticos e administrativos, assegurando seu alinhamento e convergência com a missão e com os objetivos estratégicos do TCE/SC;

considerando a Resolução N. TC- 160 /2020, que instituiu o Programa de Integridade do TCE/SC, criou, em seu art. 7º., II, a Unidade de Gestão de Integridade (UGI), que, entre outras atribuições, tem como dever analisar, avaliar, fazer a gestão e o monitoramento dos riscos à integridade do Tribunal;

considerando que o registro de tratamento de dados mantido pelo IDP envolve descrever informações em relação ao tratamento de dados pessoais realizado pelo TCE/SC, tais como: atividades, serviços ou processos de negócio que envolvem tratamento de dados pessoais; fluxo de tratamento dos dados pessoais; tempo de retenção dos dados pessoais; atores envolvidos (o encarregado e os agentes de tratamento, que são o controlador e o operador); finalidade (o que os agentes de tratamento fazem com o dado pessoal); hipóteses (arts. 7º e 11 da LGPD); previsão legal; dados pessoais e dados pessoais sensíveis tratados pelo TCE/SC; categoria dos dados pessoais e dos dados pessoais sensíveis; categorias de titulares de dados pessoais; categoria dos titulares dos dados pessoais; instituições com as quais os dados pessoais são compartilhados; transferência internacional de dados (art. 33 LGPD); e medidas de segurança/privacidade atualmente adotadas;

Considerando os fatos e fundamentos que compõem o Processo SEI 23.0.000003690-0, RESOLVE:

Art. 1º A responsabilidade pela elaboração e manutenção do Inventário de Dados Pessoais (IDP) e do Relatório de Impacto à Proteção de Dados Pessoais (RIPD), inclusive de dados sensíveis, referentes às operações de tratamento de dados no âmbito do Tribunal de Contas do Estado de Santa Catarina (TCE/SC), dar-se-á nos termos desta Portaria.

Art. 2º É de responsabilidade dos chefes de Gabinetes de Conselheiros, Conselheiros-Substitutos, dos Procuradores do Ministério Público junto ao Tribunal de Contas, dos titulares dos Órgãos Auxiliares que compõem a estrutura organizacional do TCE/SC (art. 3º. da Resolução N. TC- 0149 /2019), elaborar e manter atualizado o IDP e o RIPD, em todo contexto em que as operações de tratamento de dados pessoais possam gerar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos na LGPD e às liberdades civis e aos direitos fundamentais do titular de dados, conforme art. 5º., inciso XVII, e art. 55-J, inciso XIII, da LGPD.

Parágrafo único. É de responsabilidade dos fiscais de contrato, bem como do encarregado de dados, certificar que os operadores de dados elaborem e mantenham atualizados o IDP e o RIPD, nos termos da LGPD.

Art. 3º Para a elaboração do IDP, os responsáveis constantes no art. 2º., caput, desta Portaria deverão seguir o Guia de Elaboração de Inventário de Dados Pessoais da Secretaria de Governo Digital (SGD) do Ministério da Gestão e da Inovação em Serviços Públicos, que tem como referência fundamental o Guia do Framework de Privacidade e Segurança da Informação, ambos disponíveis no site do Governo Federal.

Parágrafo único. A metodologia de registro de tratamento de dados poderá ser alterada pelo CGSIPD a qualquer tempo.

Art. 4º Todos os servidores do TCE/SC que realizarem tratamento de dados deverão seguir as seguintes diretrizes:

I - capacitação em segurança da informação, comunicação, privacidade e proteção de dados, a ser custeada pelo TCE/SC, e deverá ser aprovada pelo CGSIPD;

II - capacitação sobre os fundamentos da LGPD, que está disponível no site da escola virtual do governo federal.

Art. 5º Ficam estabelecidos os seguintes prazos para envio do registro de tratamento de dados pessoais e do RIPD para conhecimento do CGSIPD e do encarregado de dados, para os dados que já estão sendo tratados até a data da publicação desta Portaria:

I - Diretoria de Tecnologia da Informação (DTI), Diretoria de Informações Estratégicas (DIE) e Diretoria de Gestão de Pessoas (DGP): 180 (cento e oitenta) dias corridos, contados da publicação desta portaria; (Vide prorrogação dada pela Portaria nº 507 /2024)

II - Para as demais diretorias e gabinetes: 360 (trezentos e sessenta) dias corridos, contados da publicação desta portaria. (Vide prorrogação dada pela Portaria nº 193 /2025)

§ 1º Caso seja necessário um prazo superior ao mencionado nos incisos I e II deste artigo, a diretoria ou o gabinete deverá solicitar prorrogação de prazo à Presidência, justificando o motivo, a qual poderá ser acatada ou não.

§ 2º Após a publicação desta Portaria, a cada novo tratamento de dados pessoais, o fluxo de tratamento de dados deverá ser enviado à Apla para registro, bem como para a UGI, que irá analisar os riscos referentes ao novo mapeamento.

§ 3º Entende-se por fluxo de tratamento de dados o conjunto de operações realizadas com dados pessoais, desde a sua coleta até a eliminação, incluindo as fases de processamento, armazenamento e transferência.

§ 4º Caso haja necessidade da atualização ou elaboração do RIPD, o responsável pelo tratamento dos dados deverá fazê-lo e em seguida encaminhar para análise do controlador e do encarregado de dados.

Art. 6º As questões sobre mapeamento de processos deverão ser tratadas com a Apla.

§ 1º Os assuntos referentes à identificação dos riscos para a elaboração do RIPD serão resolvidos pela UGI.

§ 2º As dúvidas no preenchimento do IDP, do RIPD e demais documentos que venham a ser exigidos pela Agência Nacional de Proteção de Dados (ANPD) deverão ser sanadas pela Aget, por meio de seu encarregado de dados.

Art. 7º A inobservância destas regras acarretará a apuração das responsabilidades funcionais previstas nas normas internas do Tribunal de Contas de Santa Catarina e na legislação em vigor.

Art. 8º Os casos omissos serão decididos pelo Presidente do TCE/SC.

Art. 9º Esta Portaria entra em vigor na data de sua publicação.

Florianópolis, 7 de maio de 2024.

Conselheiro Herneus João De Nadal

Presidente

Este texto não substitui o disponibilizado no DOTC-e de 08.05.2024.

Atos que alteram, regulamentam ou revogam esta Portaria:

Portaria nº 193/2025 de 02/05/2025 - Norma em vigor

Portaria nº 507/2024 de 01/11/2024 - Norma em vigor

Atos que são alterados, regulamentados ou revogados por esta Portaria:

Nenhum Ato.