Resolução Administrativa nº 93/2025
Institui a Política Interna de Proteção de Dados Pessoais do Tribunal de Contas dos Municípios do Estado de Goiás.
RESOLUÇÃO ADMINISTRATIVA Nº 93, DE 05 DE AGOSTO DE 2025.
Institui a Política Interna de Proteção de Dados Pessoais do Tribunal de Contas dos Municípios do Estado de Goiás.
O TRIBUNAL DE CONTAS DOS MUNICÍPIOS DO ESTADO DE GOIÁS (TCMGO), no uso de suas atribuições legais e regimentais, com fundamento no art. 80 da Constituição Estadual; no art. 3º. da Lei Estadual nº 15.958 , de 18 de janeiro de 2007 ( Lei Orgânica do TCMGO), e com base na documentação constante nos autos do processo nº 07562/2025, RESOLVE:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Art. 1º Esta Política Interna de Proteção de Dados Pessoais estabelece os princípios, diretrizes, regras e responsabilidades para as operações de tratamento de dados pessoais realizadas no âmbito do Tribunal de Contas dos Municípios do Estado de Goiás - TCMGO.
Art. 2º A aplicação desta regulamentação deverá considerar os princípios e as regras para o tratamento de dados pessoais definidos na Lei nº 13.709 , de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD) e no art. 31 da Lei nº 12.527 , de 18 de novembro de 2011 (Lei de Acesso à Informação).
Art. 3º Os seguintes conceitos, previstos no art. 5º. da LGPD, são fundamentais para a aplicação desta política:
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo a titular que não possa ser identificado,
considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;
V - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
IX - agentes de tratamento: o controlador e o operador;
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XII - eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado; e
XIII - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.
Art. 4º As disposições desta Política Interna de Proteção de Dados Pessoais aplicam-se:
I - aos membros, servidores, estagiários e colaboradores do TCMGO;
II - aos procuradores, servidores, estagiários e colaboradores do Ministério Público de Contas junto ao TCMGO;
III - aos fornecedores e prestadores de serviço contratados por este Tribunal, na condição de operadores de dados pessoais;
IV - aos órgãos e entidades que firmam convênios, acordos ou instrumentos congêneres com o TCMGO, na condição de operadores de dados pessoais; e
V - a qualquer outra pessoa (terceiros), que intervenha em uma das fases do tratamento dos dados pessoais produzidos, custodiados ou compartilhados pelo TCMGO, conforme previsto no art. 47 da LGPD.
Parágrafo único. Esta política não se aplica nos casos previstos no art. 4º. da LGPD e, em especial, ao tratamento de dados pessoais realizado pela Assessoria de Comunicação Social para fins exclusivamente jornalísticos, visando cumprir as obrigações estabelecidas no art. 77 da Resolução Administrativa nº 10 , de 4 de fevereiro de 2025 (Regimento Interno do TCMGO).
Art. 5º A Política Interna de Proteção de Dados Pessoais deverá ser considerada na aplicação da Política de Segurança da Informação deste Tribunal, como a estabelecida na Resolução Administrativa nº 69 , de 13 de setembro de 2022.
Art. 6º São objetivos desta política:
I - assegurar o efetivo cumprimento da legislação de proteção de dados pessoais;
II - promover a transparência, a responsabilização e a prestação de contas do tratamento de dados pessoais;
III - incentivar a adoção de boas práticas de proteção dos dados pessoais; e
IV - promover a segurança e a responsabilização no tratamento de dados pessoais, inclusive pelos operadores de dados pessoais confiados pelo TCMGO.
CAPÍTULO II
PRINCÍPIOS E DIRETRIZES
Art. 7º As atividades de tratamento de dados pessoais realizadas pelo TCMGO devem observar os fundamentos e princípios gerais de proteção de dados estabelecidos nos artigos 2º e 6º da Lei nº 13.709 , de 14 de agosto de 2018, bem como as seguintes diretrizes:
I - cumprir os requisitos para o tratamento de dados pessoais ou sensíveis previstos nos artigos 7º e 11 da Lei nº 13.709 , de 14 de agosto de 2018;
II - observar esta política e os regulamentos expedidos pela Autoridade Nacional de Proteção de Dados - ANPD;
III - adotar medidas de segurança e de controle apropriadas ao longo de todo o ciclo de tratamento do dado pessoal ou sensível, inclusive aquele protegido por legislação específica, com ênfase nas medidas de segurança e boas práticas elencadas no art. 27 desta resolução; e
IV - observar as diretrizes estabelecidas pelo Instituto Rui Barbosa - IRB e pela a Associação dos Membros dos Tribunais de Contas do Brasil - ATRICON a respeito da aplicação da LGPD no âmbito das atividades finalísticas e administrativas dos Tribunais de Contas.
CAPÍTULO III
REGRAS PARA O TRATAMENTO DE DADOS PESSOAIS
Art. 8º O tratamento de dados pessoais pelo TCMGO deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências constitucionais, legais e regimentais ou cumprir as atribuições legais do serviço público, respeitando-se os princípios de proteção de dados pessoais estabelecidos no art. 6º. da LGPD, que são os seguintes:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Parágrafo único. O tratamento de dados pessoais ou sensíveis que sejam relacionados com a intimidade, a vida privada, a honra e a imagem das pessoas, deverá observar os requisitos estabelecidos no art. 31 da Lei nº 12.527 , de 18 de novembro de 2011.
Art. 9º A realização de tratamento de dados pessoais no âmbito do TCMGO deverá utilizar como base legal as hipóteses previstas nos arts. 7º ou 11 da Lei Geral de Proteção de Dados Pessoais.
Parágrafo único. O TCMGO utilizará como base legal, preferencialmente, as seguintes hipóteses estabelecidas no art. 7º. da LGPD, independentemente do consentimento dos titulares de dados:
I - cumprimento de obrigação legal ou regulatória, com amparo em dispositivo legal específico, que necessita do tratamento de dados pessoais para ser cumprido; e
II - tratamento e uso compartilhado, pela administração pública, de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições da LGPD acerca do tratamento de dados pessoais pelo poder público.
Art. 10. Os dados pessoais deverão ser armazenados de forma segura, conforme padrões de segurança aplicáveis à hipótese e de maneira que favoreça os meios para o exercício dos direitos do titular, previstos na Lei nº 13.709 , de 14 de agosto de 2018.
Parágrafo único. Os dados pessoais serão eliminados quando finalizado o tratamento, com base em uma das hipóteses descritas no art. 15 da Lei nº 13.709 , de 14 de agosto de 2018, ressalvadas as situações previstas no art. 16 da referida lei.
Art. 11. O uso compartilhado de dados pessoais pelo TCMGO atenderá a finalidades específicas de execução de políticas públicas e atribuição legal, respeitados os princípios de proteção de dados pessoais elencados no art. 6º. e o disposto no art. 26,
§ 1º, e art. 27, todos da Lei nº 13.709 , de 14 de agosto de 2018.
Art. 12. Nos casos em que o TCMGO realizar transferência internacional de dados, serão adotadas medidas para assegurar que a operação de tratamento seja realizada em conformidade com a Lei nº 13.709 , de 14 de agosto de 2018, e com os regulamentos aprovados pela Autoridade Nacional de Proteção de Dados.
Art. 13. Os contratos, convênios ou instrumentos congêneres firmados pelo TCMGO deverão conter cláusulas específicas de proteção de dados pessoais, as quais estabelecerão os deveres e obrigações dos agentes de tratamento envolvidos na operação de tratamento, respeitados os princípios, os direitos dos titulares e o regime de proteção de dados previstos na Lei nº 13.709 , de 14 de agosto de 2018.
CAPÍTULO IV
AVISO DE PRIVACIDADE
Art. 14. As informações sobre o tratamento de dados pessoais realizado pelo TCMGO deverão ser publicadas no Aviso de Privacidade do sítio eletrônico do TCMGO, nos termos do art. 23, I, da LGPD, com destaque para as finalidades, hipóteses legais, procedimentos e práticas adotadas para a execução das atividades.
§ 1º O Aviso de Privacidade possui a finalidade de informar aos titulares que acessam o sítio eletrônico do TCMGO como seus dados pessoais são tratados, especialmente no que se refere às operações de coleta, uso, armazenamento e compartilhamento.
§ 2º O Aviso de Privacidade publicado no sítio eletrônico do tribunal deverá ser objeto de deliberação pelo pleno e poderá ser atualizado de ofício pela presidência, mediante proposta do encarregado.
§ 3º Compete ao presidente designar os gestores das informações disponibilizadas no Portal da Transparência deste tribunal, que serão responsáveis por mapear os dados pessoais publicados, com auxílio do encarregado, visando atualizar as informações disponíveis no Aviso de Privacidade.
CAPÍTULO V
DIREITOS DOS TITULARES
Art. 15. O TCMGO adotará medidas para assegurar o exercício dos direitos dos titulares previstos na Lei nº 13.709 , de 14 de agosto de 2018, e em eventuais normas complementares.
Art. 16. Os direitos dos titulares poderão ser exercidos mediante requerimento expresso do titular, ou de seu representante legalmente constituído, preferencialmente, pelo canal da Ouvidoria do TCMGO.
§ 1º O atendimento dos direitos dos titulares estará condicionado à comprovação inequívoca da identidade do titular e ao protocolo de um requerimento.
§ 2º O requerimento do titular deverá estar acompanhado da qualificação, mediante a informação de seu nome completo, e a apresentação de cópia dos documentos de identidade, inscrição no Cadastro das Pessoas Físicas - CPF, sob pena de não ser admitido.
§ 3º A solicitação do titular poderá ser feita por meio de:
a) requerimento digital, registrado no Canal Eletrônico da Ouvidoria ou no Sistema Ticket, mediante assinatura eletrônica válida do titular;
b) requerimento físico, entregue à Gerência de Protocolo deste tribunal, com assinatura do titular com firma reconhecida em cartório.
§ 4º O atendimento dos direitos dos titulares por meio de seu representante legal deverá estar acompanhado de procuração válida em formato físico ou eletrônico, mediante assinatura das partes com firma reconhecida em cartório.
§ 5º A solicitação não gerará custos para o titular e deverá ser atendida nos prazos e nos termos previstos na Lei Geral de Proteção de Dados Pessoais.
Art. 17. As solicitações relacionadas aos direitos dos titulares deverão ser encaminhadas ao encarregado, por meio de processo ou registro no sistema Ticket.
Parágrafo único. O encarregado prestará esclarecimentos ao titular e adotará as providências cabíveis, mediante a manifestação das unidades regimentais envolvidas diretamente no tratamento dos dados questionados, quando necessário.
Art. 18. As demandas de tratamento de dados pessoais que envolvam questões jurídicas poderão ser encaminhadas para a presidência decidir, ou, a seu critério e pela relevância da matéria, mediante a designação de relator para deliberação do Tribunal Pleno, a fim de preservar os direitos dos titulares e as competências constitucionais e legais deste Tribunal.
Parágrafo único. No caso de indeferimento do pedido pelo presidente, o titular dos dados pessoais poderá protocolar reclamação, nos termos do art. 266 do Regimento Interno.
Art. 19. Os direitos do titular relativos a dados pessoais contidos em base de dados custodiada pelo TCMGO devem ser exercidos junto ao proprietário da base de dados, uma vez que o tribunal deverá garantir a integridade e a autenticidade das informações recebidas.
Parágrafo único. Os proprietários dos dados pessoais publicados no Portal do Cidadão, na forma do art. 12, VI, da Resolução Administrativa nº 24 , de 29 de abril de 2025, são os gestores dos municípios goianos, que enviam as prestações de contas eletrônicas ao TCMGO.
CAPÍTULO VI
ACESSO AOS DADOS PESSOAIS
Art. 20. O acesso aos dados pessoais ficará restrito às pessoas autorizadas e que necessitem realizar o tratamento desses dados para o desempenho de suas obrigações legais, regimentais ou contatuais.
Parágrafo único. O direito de acesso à informação pública, que contenha dados pessoais, será exercido com base nas regras contidas na Resolução Administrativa nº 15 , de 18 de março de 2025, que regulamenta a aplicação da Lei nº 12.527 , de 18 de novembro de 2011, neste tribunal.
Art. 21. Os pedidos de acesso a informações públicas realizados por terceiros, que acarretem no compartilhamento de dados pessoais ou sensíveis dos titulares, deverá ser autorizado pela Ouvidoria ou pela Presidência, com base nos procedimentos previstos na Resolução Administrativa nº 15 , de 18 de março de 2025.
Art. 22. Os pedidos de acesso à informação protocolados pelos próprios titulares dos dados, que acarretem no exercício dos direitos previstos no art. 18 da LGPD, deverão ser encaminhados imediatamente para o encarregado tomar as providências cabíveis, com base nesta política interna de proteção de dados pessoais.
CAPÍTULO VII
AGENTES DE TRATAMENTO
Seção I
Controlador
Art. 23. O controlador de dados pessoais, nos termos do art. 5º., inciso VI, da Lei nº 13.709 , de 14 de agosto de 2018, é o Estado de Goiás, assumindo o TCMGO atribuições de controlador mediante o processo de desconcentração administrativa, por meio de competências constitucionais, legais e regulamentares.
Seção I
Operador
Art. 24. É operador, nos termos do art. 5º., inciso VII, da LGPD, no âmbito deste tribunal, a pessoa natural ou jurídica, de direito público ou privado, que realizar tratamento de dados pessoais em nome do TCMGO.
Parágrafo único. Não é considerado operador, para os fins desta política, a pessoa física com vínculo empregatício a pessoa jurídica controladora do dado, tais como membros, servidores, estagiários ou colaboradores do TCMGO.
Art. 25. Os fornecedores de produtos ou serviços, ao tratarem os dados pessoais a eles confiados pelo TCMGO, serão considerados operadores e deverão submeter-se à política estabelecida por esta resolução, bem como cumprir os deveres e obrigações legais e contratuais aplicáveis.
CAPÍTULO VIII
ENCARREGADO
Art. 26. O Encarregado, previsto no art. 5º., inciso VIII, da LGPD, atuará como canal de comunicação entre o TCMGO, os titulares dos dados e a Autoridade Nacional de Proteção de Dados, e deverá exercer as atividades previstas no art. 41,
§2º, da LGPD, em tempo integral, e observar esta política interna de proteção de dados pessoais.
§ 1º O encarregado titular e o substituto serão indicados pelo presidente, nos termos do art. 41 da LGPD, dentre os auditores de controle externo deste tribunal, que não estejam lotados nas gerências técnicas da Superintendência de Tecnologia da Informação (STI), previstas no art. 136, II, do Regimento Interno, tendo em vista o princípio de segregação de funções.
§ 2º Para o exercício de suas atividades, o encarregado titular será lotado na STI, tendo em vista a materialidade, a relevância e o risco do tratamento de dados pessoais nos sistemas de tecnologia do Tribunal;
§ 3º O encarregado terá acesso direto à Presidência para tratar assuntos relacionados exclusivamente com a Lei Geral de Proteção de Dados Pessoais, podendo expedir ofícios ou despachar processos de forma autônoma.
§ 4º No caso de necessidade do afastamento provisório do titular, como no caso de férias, licenças ou motivo de saúde, as atividades do encarregado serão executadas pelo respectivo substituto, que será o servidor titular da Assessoria Jurídica da Presidência.
§ 5º O encarregado poderá ser apoiado por servidores indicados pelo presidente, conforme a necessidade do serviço.
CAPÍTULO IX
SEGURANÇA E BOAS PRÁTICAS
Art. 27. O TCMGO adotará medidas de segurança técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas que venham a causar a destruição, perda, alteração, ou qualquer forma de tratamento inadequado ou ilícito, nos termos do capítulo VII da LGPD, tais como:
I - controle de acesso aos sistemas informatizados do tribunal, por meio de credenciais de acesso e assinatura de termo de responsabilidade e confidencialidade;
II - avaliação dos sistemas de tecnologia da informação e dos bancos de dados em que houver tratamento de dados pessoais, principalmente nos casos em que houver uso de inteligência artificial;
III - plano de resposta a incidentes relacionados à proteção de dados pessoais;
IV - análise da segurança quando do compartilhamento de dados pessoais dos titulares com terceiros, seja em meio físico ou eletrônico;
V - guarda e eliminação dos dados pessoais fundamentada na tabela de temporalidade aprovada pelo Tribunal Pleno;
VI - registro e manutenção do tratamento de dados pessoais nos processos, serviços ou atividades deste Tribunal;
VII - mapeamento dos dados pessoais, com base na metodologia do Guia de Elaboração de Inventário de Dados Pessoais do Governo Federal, abordando as seguintes informações:
a) identificação dos processos, serviços ou atividades de tratamento de dados pessoais;
b) agentes de tratamento e encarregado;
c) atuação do operador no ciclo de vida do tratamento dados pessoais;
d) de que forma os dados pessoais são coletados, armazenados, processados, compartilhados e eliminados;
e) escopo e natureza dos dados pessoais;
f) finalidade do tratamento de dados pessoais;
g) categorias de dados pessoais;
h) categorias de dados pessoais sensíveis;
i) frequência e totalização das categorias de dados pessoais tratados;
j) categorias dos titulares de dados pessoais;
k) compartilhamento de dados pessoais com operadores;
l) medidas de segurança e de privacidade aplicadas;
m) transferência internacional de dados pessoais;
n) identificação dos contratos de serviços e/ou soluções de tecnologia da informação que tratam dados pessoais inventariados;
o) matriz de probabilidade e impacto dos riscos de tratamento de dados pessoais identificados;
p) medidas de segurança e de privacidade adotadas como forma de resposta aos riscos identificados no processo, atividade ou serviço; e
VIII - gerenciamento de riscos relacionados com o tratamento de dados pessoais, com ênfase nos seguintes:
a) risco de acesso não autorizado;
b) risco de coleção excessiva;
c) risco de compartilhar ou distribuir dados pessoais com terceiros fora do TCMGO sem o consentimento do titular dos dados pessoais;
d) risco de falha em considerar os direitos do titular dos dados pessoais;
e) risco de falha ou erro de processamento;
f) risco de informação insuficiente sobre a finalidade do tratamento;
g) risco de modificação não autorizada;
h) risco de perda;
i) risco de reidentificação de dados pseudonimizados;
j) risco de remoção não autorizada;
k) risco de retenção prolongada de dados pessoais sem necessidade;
l) risco de roubo;
m) risco de tratamento sem consentimento do titular dos dados pessoais;
n) risco de vinculação ou associação indevida, direta ou indireta, dos dados pessoais ao titular;
IX - adoção de medidas técnicas ou administrativas como forma de resposta aos riscos identificados no processo, atividade ou serviço, tais como:
a) medidas de segurança: anonimização; controles criptográficos; controles de acesso lógico; controles de segurança em redes; cópia de segurança (backup); desenvolvimento seguro; gestão de capacidade e redundância; gestão de mudanças; gestão de riscos; registro de eventos; rastreabilidade e salvaguarda de logs; resposta a incidente e segurança web;
b) medidas de privacidade: controles de acesso e privacidade; legitimidade e especificação de propósito; transparência do tratamento aos titulares; limitação da coleta; minimização dos dados; responsabilização; uso, retenção e limitação de divulgação; e
X - utilização do Relatório de Impacto à Proteção de Dados Pessoais, como auxílio à tomada de decisão e proteção de dados pessoais.
Art. 28. O TCMGO adotará regras de boas práticas e de segurança da informação específicas para as unidades técnicas e administrativas, com a finalidade de prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
Parágrafo único. Todas as soluções de tecnologia da informação providas pelas unidades regimentais deste tribunal deverão ser objeto de mapeamento e gerenciamento de riscos, visando implementar medidas de segurança e de privacidade específicas, com base nas regras e responsabilidades estabelecidas nesta política, mediante proposta Encarregado, registrada no sistema Ticket.
CAPÍTULO X
RESPONSABILIDADES
Seção I
Responsabilidades
Art. 29. Os princípios, diretrizes e regras para o tratamento dos dados pessoais produzidos, custodiados ou compartilhados pelo TCMGO se estendem a todos os destinatários elencados no art. 4º. desta resolução, que serão responsáveis por adotar medidas de privacidade e segurança previstas na Lei nº 13.709 , de 14 de agosto de 2018, e nesta política interna de proteção de dados pessoais.
Seção II
No âmbito do Controlador
Art. 30. Para o efetivo cumprimento desta Política, ficam instituídas as seguintes responsabilidades no tratamento de dados pessoais no âmbito deste Tribunal:
I - do Tribunal Pleno;
II - do Presidente;
III - do Encarregado;
IV - da Superintendência de Tecnologia da Informação;
V - da Gerência de Recursos Humanos;
VI - da Assessoria Jurídica da Presidência;
VII - dos Superintendentes, Secretários e Gerentes;
VIII - das Chefias imediatas; e
IX - das pessoas físicas elencadas no art. 4º. desta resolução.
Subseção I
Do Tribunal Pleno
Art. 31. O Tribunal Pleno, órgão máximo de direção do TCMGO, será responsável por deliberar:
I - as questões administrativas que versem sobre tratamento de dados pessoais, nos casos em que o Presidente designar um relator, nos termos do art. 67, inciso V, aliena "f", da Resolução Administrativa nº 10 , de 4 de fevereiro de 2025; e
II - sobre as diretrizes estratégicas de governança de proteção de dados pessoais.
Subseção II
Do Presidente
Art. 32. O Presidente do TCMGO será responsável por:
I - decidir as questões administrativas que envolvam o tratamento de dados pessoais no TCMGO ou, a seu critério e pela relevância da matéria, designar relator para deliberação do Tribunal Pleno, nos termos do regimento interno;
II - tomar as decisões que visam dar efetividade a esta política;
III - decidir sobre a forma de tratamento dos dados pessoais que são publicados no sítio eletrônico deste Tribunal, principalmente nos casos em que for necessário aplicar técnicas de mascaramento ou anonimização;
IV - designar o encarregado pelo tratamento de dados pessoais do TCMGO e o respectivo substituto, mediante publicação no Diário Oficial de Contas; e
V - assegurar a destinação de recursos no Plano Anual de Aquisições para proteger os dados pessoais tratados no âmbito do Tribunal, bem como assegurar a disponibilidade dos sistemas e bancos de dados, no caso de incidentes de segurança da informação.
Subseção III
Do Encarregado
Art. 33. O encarregado será responsável por:
I - receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
II - receber comunicações da Autoridade Nacional de Proteção de Dados e adotar providências;
III - orientar os servidores e os contratados do TCMGO a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
IV - executar as demais atribuições determinadas pelo TCMGO ou estabelecidas em normas complementares;
V - orientar a Presidência nas questões administrativas que envolvam o tratamento de dados pessoais no TCMGO, inclusive nos casos de pedidos de acesso a informações pessoais de titulares realizados por terceiros;
VI - alertar os titulares das unidades regimentais a respeito da necessidade de mapeamento dos dados pessoais que possuam maior risco de danos aos titulares, auxiliando e orientando os gestores na elaboração de inventários específicos;
VII - propor a atualização desta política, em observância à evolução tecnológica, jurisprudencial, regulatória e aos novos paradigmas de boas práticas;
Parágrafo único. As demandas de tratamento de dados pessoais que envolvam questões jurídicas poderão ser encaminhadas para a Presidência decidir a respeito, acompanhadas da orientação do encarregado, a fim de preservar os direitos dos titulares e as competências deste Tribunal.
Subseção IV
Da Superintendência de Tecnologia da Informação
Art. 34. A Superintendência de Tecnologia da Informação será responsável por:
I - propor as políticas, as diretrizes e os procedimentos relativos aos sistemas de tecnologia para o desempenho das atividades fiscalizatórias e administrativas deste tribunal, mediante deliberação do Comitê Gestor das Estratégias de Tecnologia da Informação, que deve observar os princípios estabelecidos no art. 6º. LGPD, principalmente nas soluções que utilizarem inteligência artificial;
II - adotar mecanismos de segurança e proteção de dados desde a concepção de novos produtos ou serviços de tecnologia da informação, inclusive relacionados com o uso de inteligência artificial;
III - implementar medidas de segurança preventivas e corretivas, necessárias para proteger os dados pessoais tratados nos sistemas informatizados sob sua responsabilidade;
IV - definir os requisitos de segurança necessários para a utilização das informações contidas nos bancos de dados deste tribunal de forma automatizada, que devem ser observados pelos responsáveis pelo provimento de soluções de tecnologia da informação;
V - impedir o acesso ao banco de dados e aos sistemas de tecnologia da informação providos pela STI aos servidores que não tenham entregado o termo de responsabilidade e confidencialidade de dados para a Gerência de Recursos Humanos, nos casos exigidos pela presidência, mediante ordem de serviço;
VI - analisar a segurança quando do compartilhamento de dados pessoais com terceiros por meio de Web Service (API), por meio de fichas de inventário de dados pessoais específicas e atualizadas;
VII - impedir o compartilhamento de dados pessoais por meio de Web Service com operadores após o término do prazo do convênio, acordo ou instrumento congênere;
VIII - avaliar os sistemas e os bancos de dados em que houver tratamento de dados pessoais e adotar medidas de segurança e privacidade;
IX - manter a Política de Segurança da Informação do Tribunal atualizada, mediante a revisão da Resolução Administrativa nº 69 , de 13 de setembro de 2022;
X - manter os registros dos tratamento dos dados pessoais nos sistemas informatizados sob sua responsabilidade, de forma a oferecer condições de rastreabilidade, em caso de incidentes de segurança que envolvam dados pessoais;
XI - executar ações de controle interno visando assegurar a confidencialidade, disponibilidade, integridade e autenticidade dos sistemas e bancos de dados sob sua responsabilidade, inclusive por meio de auditorias internas; e
XII - conservar os dados pessoais no banco de dados do Tribunal até o término do tratamento, com base a tabela de temporalidade aprovada pelo Tribunal Pleno.
Art. 35. Em caso de incidente de segurança nos sistemas informatizados do Tribunal que possam causar danos aos titulares de dados pessoais, a Superintendência de Tecnologia da Informação será responsável por tomar as providências cabíveis para a contenção do incidente e, em seguida, encaminhar um relatório à Presidência com as seguintes informações:
I - a descrição dos dados pessoais afetados e os titulares envolvidos;
II - as medidas de segurança utilizadas para a proteção dos dados afetados pelo incidente;
III - as medidas adotadas para a gestão do incidente, abordando os seguintes temas:
a) detecção e análise: identificando a causa do incidente e avaliando seu impacto;
b) contenção: informando as medidas para limitar o impacto do incidente, evitando que ele se espalhe e cause danos maiores;
c) erradicação: informando sobre a eventual remoção da causa do incidente, por meio da eliminação de ameaças ou da correção de vulnerabilidades; e
d) recuperação: informando se os sistemas ou dados afetados foram restaurados e se as operações formam retomadas.
Subseção V
Da Gerência de Recursos Humanos
Art. 36. A Gerência de Recursos Humanos será responsável por:
I - tratar os dados pessoais ou sensíveis sob sua responsabilidade observando os princípios, diretrizes e regras de tratamento estabelecidos nesta política;
II - controlar o acesso às informações pessoais ou sensíveis sob sua responsabilidade, para que sejam restritas aos servidores que efetivamente precisam dessas informações para exercerem suas competências regimentais;
III - arquivar os termos de responsabilidade e confidencialidade dos destinatários desta política no respectivo dossiê funcional; e
IV - propor a atualização da tabela de temporalidade contida na Resolução Administrativa nº 225 , de 7 de agosto de 2013, nos assuntos de sua competência, visando eliminar os dados pessoais após o término do tratamento, ressalvadas as hipóteses legais previstas no art. 16 da LGPD.
Parágrafo único. O tratamento de dados pessoais ou sensíveis contidos em atestados médicos, laudos médicos e documentos congêneres deverá ser restrito aos servidores que efetivamente utilizam essas informações para o cumprimento de suas obrigações legais ou regimentais, independentemente se disponíveis em meio físico ou eletrônico, sem prejuízo das demais regras estabelecidas na Resolução Administrativa nº 102 , de 15 de outubro de 2024.
Subseção VI
Da Assessoria Jurídica da Presidência
Art. 37. A Assessoria Jurídica da Presidência será responsável por:
I - tomar as medidas cabíveis, no exercício de suas atribuições, para que os contratos, aditivos, convênios, acordos de cooperação ou outros elementos congêneres contenham cláusulas que assegurem o cumprimento da Lei nº 13.709 , de 14 de agosto de 2018, e o cumprimento das regras e responsabilidades estabelecidas nesta resolução; e
II - manifestar-se nos processo e nas demandas registradas no sistema Ticket, encaminhadas pela Presidência, que versem sobre a Lei Geral de Proteção de Dados Pessoais.
Subseção VII
Dos Superintendentes, Secretários e Gerentes
Art. 38. Os superintendentes, secretários e gerentes de unidades previstas no Regimento Interno serão responsáveis por:
I - assegurar que os servidores, estagiários ou colaboradores sob sua estejam cientes dos princípios, diretrizes e regras de tratamento de dados pessoais estabelecidos nesta política;
II - adotar medidas técnicas ou administrativas para fazer cumprir esta política no exercício de suas competências regimentais;
III - prestar esclarecimentos ao encarregado e adotar as providências cabíveis para o atendimento das reclamações e comunicações protocoladas pelos titulares, no limite de suas atribuições;
IV - prestar informações ao encarregado a respeito das operações de tratamento de dados pessoais sob sua responsabilidade;
V - elaborar as fichas de inventários de dados pessoais propostas pelo encarregado e adotar medidas de controle para evitar ou mitigar os riscos evidenciados nos processos, atividades ou serviços sob sua responsabilidade; e
VI - elaborar relatório de impacto à proteção de dados pessoais sob sua responsabilidade, quando solicitado pela Presidência, com orientação do encarregado.
Subseção VIII
Das Chefias Imediatas
Art. 39. São responsabilidades das chefias imediatas, inclusive dos chefes de gabinetes:
I - assegurar que os servidores, estagiários ou colaboradores sob sua supervisão apliquem os princípios, diretrizes e regras estabelecidos nesta política, por meio de ações de controle interno no âmbito de suas competências;
II - identificar os dados pessoais utilizados para executar suas atribuições regimentais e adotar ações de controle interno para eles sejam tratados em conformidade com os requisitos estabelecidos na LGPD;
III - limitar o tratamento dos dados pessoais ou sensíveis ao mínimo necessário para executar suas competências, restringindo o acesso aos dados aos servidores ou colaboradores que efetivamente precisam dessas informações para cumprir com suas obrigações regimentais ou contratuais; e
IV - comunicar ao encarregado sobre incidente de segurança que possa acarretar risco ou dano relevante aos titulares sobre o qual venha a tomar conhecimento.
Subseção IX
Das Pessoas Físicas Destinatários Desta Política
Art. 40. São responsabilidades das pessoas físicas elencadas no art. 4º. desta resolução:
I - estar ciente e observar os princípios, diretrizes e regras de tratamento estabelecidos nesta política interna de proteção de dados pessoais;
II - preservar a integridade e guardar sigilo dos dados pessoais tratados para o exercício de suas atividades, quando incidente hipótese legal de restrição de acesso;
III - não disponibilizar nem dar acesso aos dados pessoais produzidos, custodiados ou compartilhados pelo TCMGO em hipóteses não previstas em lei ou para pessoas não autorizadas; e
IV - comunicar à chefia imediata a ocorrência de incidente de segurança que possa acarretar dano relevante aos titulares sobre o qual venha a tomar conhecimento.
Seção II
No âmbito do Operador
Art. 41. São responsabilidades dos operadores de dados pessoais confiados pelo TCMGO, por meio de contratos, convênios, acordos ou instrumentos congêneres:
I - submeter-se à política de proteção de dados pessoais estabelecida nesta resolução, sem prejuízo das demais obrigações legais em vigor;
II - cumprir os deveres e obrigações contratuais aplicáveis;
III - assinar o contrato, convênio, acordo ou instrumento congênere com cláusulas específicas sobre proteção de dados pessoais definidas pelo TCMGO, comprometendo-se a seguir fielmente as instruções transmitidas;
IV - facultar acesso a dados pessoais somente para pessoas que tenham obtido autorização, a qual será concedida apenas a quem tenha estrita necessidade de conhecer tais dados e que tenha assumido compromisso formal de preservar a segurança dos dados, devendo a prova do compromisso estar disponível em caráter permanente para exibição ao TCMGO, mediante solicitação;
V - apresentar garantias ao gestor do contrato, convênio ou instrumento congênere, de que aplicam medidas de segurança e privacidade adequadas para proteger os dados pessoais compartilhados pelo Tribunal;
VI - manter os registros de tratamento de dados pessoais que realizarem, de forma a oferecer condições de rastreabilidade e a fornecer prova eletrônica a qualquer tempo, nos termos do art. 37 da LGPD;
VII - descartar de forma irrecuperável ou devolver para o Tribunal, todos os dados pessoais e as respectivas cópias existentes, após o cumprimento da devida finalidade ou após o encerramento do tratamento por decurso de prazo ou por extinção de vínculo legal ou contratual, nos termos do art. 15 da LGPD;
VIII - comunicar formalmente e imediatamente o gestor do contrato, convênio ou instrumento congênere, se ocorrer qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares sobre o qual venha a tomar conhecimento, seja suspeito ou confirmado.
Art. 42. Os operadores contratados para fornecer sistemas de gestão para a Gerência de Recursos Humanos deverão entregar para o gestor do contrato o termo de responsabilidade e confidencialidade de dados de todas as pessoas que possam acessar os dados pessoais ou sensíveis confiados pelo TCMGO, com base em modelo específico fornecido pela presidência, nos termos do art. 47 da LGPD.
Parágrafo único. O acesso às informações registradas no sistema de gestão de pessoas deverá ser restrito as pessoas que efetivamente precisam dessas informações para exercerem suas obrigações contratuais, de forma que o tratamento seja realizado exclusivamente para atingir a finalidade especificada no contrato, mediante controle de acesso e rastreabilidade dos responsáveis, em caso de incidente de segurança que acarrete danos aos titulares.
CAPÍTULO XI
INTERAÇÃO COM A AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS
Art. 43. Em caso de incidente de segurança que envolva dados pessoais e que possa acarretar risco ou dano relevante aos titulares, este Tribunal priorizará à contenção imediata do incidente e informará a Autoridade Nacional de Proteção de Dados no prazo estipulado no art. 48,
§1º, da Lei nº 13.709 , de 14 de agosto de 2018.
§ 1º A comunicação deverá mencionar no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados;
IV - os riscos relacionados ao incidente; e
V - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A comunicação será realizada pelo Presidente do TCMGO, mediante comunicação ao Pleno, e deverá fundamentar-se:
I - no relatório apresentado pela Superintendência de Tecnologia da Informação, com base no art. 35 desta resolução;
II - no relatório de impacto à proteção de dados pessoais, elaborado pela unidade responsável pela segurança dos dados que foram afetados pelo incidente, quando determinado pela presidência;
III - na proposta do encarregado; e
IV - no parecer jurídico da Advocacia Setorial deste Tribunal.
CAPÍTULO XII
CONSCIENTIZAÇÃO E CAPACITAÇÃO
Art. 44. As boas práticas adotadas para a proteção de dados pessoais deverão ser objeto de campanhas informativas, a fim de disseminar a cultura protetiva e de transparência, com conscientização e sensibilização dos interessados.
Parágrafo único. Todos os membros e servidores deste Tribunal deverão ser notificados por meio do Portal do Servidor para tomar ciência desta política.
Art. 45. O encarregado deverá orientar os destinatários desta política sobre as práticas de privacidade e proteção de dados pessoais previstas na LGPD, inclusive por meio de:
I - publicação de temas relevantes na página de Tratamento de Dados Pessoais do TCMGO no Sharepoint;
II - orientações específicas, formalizadas no sistema ticket; e
III - cursos e oficinas promovidos pela Escola de Contas, preferencialmente de forma eletrônica, para que o conteúdo seja gravado e disponibilizado para o público interno por meio do Sharepoint.
CAPÍTULO XIII
PENALIDADES
Art. 46. As violações a esta política são passíveis de aplicação de penalidades administrativas internas apuradas pela:
I - Corregedoria, no caso de membros e servidores do Tribunal, na forma do Regimento Interno; e
II - Presidência, no caso de operadores de dados confiados pelo TCMGO, com base nas regras estabelecidas nos contratos, convênios, acordos ou instrumentos congêneres.
CAPÍTULO XIV
DISPOSIÇÕES FINAIS
Art. 47. A aplicação de procedimentos, orientações e normativos em casos concretos que impactem no tratamento de dados pessoais ou sensíveis deve observar os princípios e diretrizes aplicáveis para o tratamento de dados pessoais.
Art. 48. Fica revogada a Resolução Administrativa nº 184 , de 16 de dezembro de 2021.
Art. 49. O Presidente do Tribunal de Contas dos Municípios do Estado de Goiás fica autorizado a regulamentar as medidas necessárias à implementação desta resolução e a resolver eventuais casos omissos.
Art. 50. Esta resolução entra em vigor na data de sua publicação.
TRIBUNAL DE CONTAS DOS MUNICÍPIOS DO ESTADO DE GOIÁS, 05 de Agosto de 2025.
Presidente: Joaquim Alves de Castro Neto
Relator: Francisco José Ramos.
Presentes os conselheiros: Cons. Fabrício Macedo Motta, Cons. Francisco José Ramos, Cons. Humberto Aidar, Cons. Joaquim Alves de Castro Neto, Cons. Valcenôr Braz de Queiroz, Cons. Sérgio Antônio Cardoso de Queiroz, Cons. Sub. Flávio Monteiro de Andrada Luna, Cons. Sub. Laecio Guedes do Amaral, Cons. Sub. Maurício Oliveira Azevedo, Cons. Sub. Pedro Henrique Bastos e o representante do Ministério Público de Contas, Procurador Henrique Pandim Barbosa Machado.
Votação:
Votaram(ou) com o Cons.Francisco José Ramos: Cons. Fabrício Macedo Motta, Cons. Humberto Aidar, Cons. Joaquim Alves de Castro Neto, Cons. Sérgio Antônio Cardoso de Queiroz, Cons. Valcenôr Braz de Queiroz, Cons. Sub. Pedro Henrique Bastos.
Atos que alteram, regulamentam ou revogam esta Resolução Administrativa:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por esta Resolução Administrativa:
Resolução Administrativa nº 184/2021 de 16/12/2021 - Norma revogada SELECT status_consolidacao FROM leismeta WHERE idlei = 139813 AND idambito = 4 LIMIT 1