Comitê Gestor de Privacidade e�Proteção de Dados Pessoais - CGPD

​

1ª Reunião com a Rede de Encarregados/DPOs

18/11/2022

Pauta (18/11/2022)

1. Administração Pública e LGPD;
2. Decreto Estadual nº 26.451/2021;
3. Instruções Normativas Estaduais relativas à LGPD (Publicações no Diof, Política de Privacidade, curso de nivelamento, cartilha de boas práticas, requisitos para indicação do encarregado, inventário de dados pessoais, fluxo de atendimento às demandas dos titulares);
4. Framework para adequação à LGPD;
5. Guia de Conformidade;
6. Capacitação (cursos, cartilhas, guias, vídeos e demais materiais didáticos).
7. Portal Estadual sobre LGPD e Portal de Gestão do Conhecimento; e
8. Ferramentas para contribuir com o compliance.

Proteção de Dados Pessoais

• Movimento internacional, iniciado na Europa, cuja principal referência é a GDPR (General Data Protection Regulation - Regulamento Geral de Proteção de Dados).
• Reflexo no comércio internacional.
• Necessidade do Brasil seguir o fluxo internacional.
• Promulgação da Lei Geral de Proteção de Dados Pessoais - LGPD (Lei Federal nº 13.709, de 14 de agosto de 2018 - 4 anos).
• Entrou totalmente em vigor em agosto de 2021 - com o término da vacatio legis quanto às sanções administrativas.

Proteção de Dados Pessoais

• Art. 5º, inciso LXXIX, da Constituição Federal, assegura o direito à proteção dos dados pessoais, inclusive nos meios digitais, sendo direito fundamental cuja aplicação é imediata (EC 115/2022).
• Competência exclusiva da União para organizar e fiscalizar a proteção e o tratamento de dados pessoais (art. 21, XXVI, CF).
• Competência privativa da União para legislar sobre matéria de proteção de dados pessoais (art. 22, XXX, CF).
• A LGPD visa proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, dispondo sobre o tratamento de dados pessoais, inclusive nos meios digitais.

Administração Pública e LGPD

• A União, Estados, Distrito Federal e Municípios devem observar as normas gerais da LGPD (parágrafo único, art. 1º, LGPD).
• O tratamento de dados pessoais deverá ser realizado para o atendimento da finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público (art. 23, LGPD):
• informação das hipóteses em que realiza o tratamento de dados pessoais, informando sobre a previsão legal, finalidade, procedimentos e práticas utilizadas; e
• indicação do encarregado pelo tratamento de dados pessoais - DPO.

Quando se aplica?

• A qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:
• I - a operação de tratamento seja realizada no território nacional;
• II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou
• III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Quando não se aplica?

• Pessoa natural
• Ao tratamento de dados realizado por pessoal natural para fins exclusivamente particulares e não-econômicos;

​

• Para fins exclusivamente
• Jornalístico e artísticos;
• Acadêmicos, nas hipóteses dos arts. 7 e 11.

Quando não se aplica?

• Para fins exclusivos
• Segurança pública;
• Defesa nacional;
• Segurança do Estado;
• Atividades de investigação e repressão de infrações penais.

​

• O tratamento, neste caso, será regido por legislação específica;
• É vedado o tratamento de dados, neste caso, por pessoa de direito privado, salvo em procedimentos sob tutela de pessoa jurídica de direito público;
• A ANPD emitirá opiniões técnicas ou recomendações, devendo ainda solicitar relatórios de impacto à proteção de dados pessoais.

ANPD

• Autoridade Nacional de Proteção de Dados (ANPD);
• Autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio e com sede e foro no Distrito Federal (Lei 14.460/2022);
• Dentre suas competências, destacam-se:
• elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade;
• fiscalizar e aplicar sanções;
• apreciar petições de titular contra controlador;
• promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança;
• promover ações de cooperação com autoridades de proteção de dados pessoais de outros países.
• solicitar às entidades do poder público que realizem operações de tratamento de dados pessoais;
• editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade;
• realizar auditorias, ou determinar sua realização, no âmbito da atividade de fiscalização; e
• comunicar às autoridades competentes as infrações penais das quais tiver conhecimento.

O que o Poder Executivo de Rondônia tem feito?

• Publicação do Decreto nº 26.451, de 4 de outubro de 2021, dispondo de medidas para aplicação da LGPD no âmbito do Poder Executivo e criação do Comitê Gestor de Privacidade e Proteção de Dados Pessoais - CGPD
• Disponível em http://ditel.casacivil.ro.gov.br/COTEL/Livros/Files/D26451%20-%20COMPILADO.pdf.
• Desdobramentos:
• Encarregado - agentes públicos formalmente designados;
• Indicação do encarregado por parte de todos os órgãos e entidades estaduais;
• Estado de Rondônia Controlador por direito, no âmbito da Administração Pública Direta;
• Órgãos e entidades estaduais Controlador de fato (funções típicas de controladores por força da desconcentração administrativa);
• Integrantes (empregados, administradores, sócios, servidores, funcionários etc.) não são considerados controladores ou operadores, tendo em vista a subordinação e atuação sob o poder diretivo; e
• Implementação, por parte dos órgãos e entidades estaduais, de Plano de Adequação ou Programa de Governança em Privacidade, conforme necessidade.

Principais Competências

• PGE - consultoria jurídica ao CGPD (pareceres, atos normativos, modelos de contratos, convênio ou acordo de cooperação);
• CGE - apoio e orientação ao CGPD, monitoramento quanto à adequação, notificação quanto à desconformidades;
• OGE - orientação aos encarregados quanto ao atendimento dos titulares de dados, canal de atendimento (Fala.br) incluindo de denúncias;
• SETIC - aplicação de soluções de TIC relacionadas à proteção de dados pessoais, padrões de desenvolvimento, adequação de sistemas, diretrizes gerais e medidas de segurança da informação;
• Atribuições do encarregado/DPO - orientação, recomendação de salvaguardas, assessoramento, auxílio na adequação de processos etc.

Qual papel do Comitê LGPD?

• Tem por objetivo estabelecer o conjunto de regras de boas práticas e de governança, diretrizes, políticas, projetos, ações e metas estratégicas visando o cumprimento e adequação do Poder Executivo às disposições da LGPD, além de:
• formulação de princípios e diretrizes para a gestão de dados;
• elaboração da Política de Privacidade e Proteção de Dados Pessoais, modelos de termo de uso, política de cookies etc;
• proposição de projetos, ações, diretrizes, metas e cronograma visando a gradual adequação à LGPD;
• orientação da rede de encarregados, incluindo a definição e indicação de treinamentos etc.

Composição do Comitê LGPD?

• Decreto Estadual nº 27.032, de 8 de abril de 2022 -

7 meses de criação.

​

Ações do Comitê LGPD

• Se reuniu por 6 vezes;
• Uso adaptado do framework do Governo Federal, por meio da adoção de guias práticos elaborados pela Secretaria de Governo Digital - SGD, do Ministério da Economia, bem como das instruções da Autoridade Nacional de Proteção de Dados - ANPD:
• https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd

​

• https://www.gov.br/anpd/pt-br/documentos-e-publicacoes

​

• Portal de Gestão do Conhecimento:
• https://documentos.sistemas.ro.gov.br/shelves/comite-lgpd-ro

Instrução Normativa nº 1/2022/CGPD

• Política de Privacidade e Proteção de Dados Pessoais do Poder Executivo Estadual, disponível em https://wiki.setic.ro.gov.br/pdfs/compliance/in_n.º_1-2022-cgpd.pdf.
• Reforça as premissas da LGPD;
• Reforça a classificação de Controlador de fato e de direito;
• Aborda informações sobre o tratamento de cookies;
• Prevê como se dará o Registro das Operações de Tratamento (IDP);
• Reforça competências do Encarregado;
• Setic estabelecerá diretrizes gerais de segurança da informação;
• Institui Fala.br Rondônia como canal oficial para manifestações;
• Responsabilidades dos órgãos e entidades do Poder Executivo; e
• Regras de boas práticas e de governança.

Instrução Normativa nº 2/2022/CGPD

• Disponível em https://wiki.setic.ro.gov.br/pdfs/compliance/in_n.º_2-2022-cgpd.pdf:
• Adoção do curso “Tratamento de Dados Pessoais pelo Poder Público - LGPD” para servidores - AVA, elaborado pela SETIC/RO (mais de 900 concluintes):
• Disponível em https://ava.escoladegoverno.ro.gov.br/;
• Dever de todos os servidores (180 dias para aqueles em exercício);
• Carga horária de 10h;
• Avaliação do conhecimento, nota mínima de 60 pontos;
• Prazo para integralização de 30 dias após a inscrição; e
• Emissão de certificados.
• Adoção da “Cartilha de Boas Práticas: Tratamento de Dados Pessoais”, elaborada pela SETIC/RO:
• Disponível em https://wiki.setic.ro.gov.br/pdfs/compliance/cartilha-boas-praticas-lgpd.pdf.

Instrução Normativa nº 3/2022/CGPD

• Já aprovada pelo Comitê LGPD, em fase de apreciação pela PGE.
• Dispõe sobre os requisitos para indicação do encarregado pelo tratamento de dados pessoais em órgãos e entidades do Poder Executivo do Estado de Rondônia e dá outras providências.
• Desdobramentos:
• equiparação da nomenclatura “Encarregado” a de “Oficial de Proteção de Dados Pessoais - DPO”, conforme Classificação Brasileira de Ocupações - CBO;
• prevê a atuação do Encarregado/DPO em nome de diferentes órgãos e entidades do Poder Executivo;
• recomendação de sua vinculação ao Controle Interno ou setor similar (afastar conflitos de interesses, auditoria, análise de conformidade, fiscalização e monitoramento);
• e-mail institucional padronizado (<sigla_do_órgão>@lgpd.ro.gov.br); e
• criação da Unidade SEI padronizada (<sigla_do_órgão>-LGPD).

Instrução Normativa nº 3/2022/CASACIVIL-DIOF

• Regulamenta o Sistema do Diário Oficial Eletrônico do Estado de Rondônia, disponível em https://wiki.setic.ro.gov.br/pdfs/compliance/in_n.º3-2022-casacivil.pdf:
• Reprovação de matérias em desacordo com a LGPD (art. 11, XIII);
• O conteúdo dos Atos Oficiais não poderão infringir a LGPD (art. 29, parágrafo único).

O que vem pela frente?

• Edição do Portal LGPD Estadual (https://rondonia.ro.gov.br/lgpd/);
• Instrução Normativa sobre os requisitos para indicação do encarregado;
• Instrução Normativa sobre Inventário de Dados Pessoais - IDP;
• Instrução Normativa sobre Relatório de Impacto à Proteção de Dados Pessoais - RIPD;
• Instrução Normativa sobre Plano Geral de Resposta a Incidentes e Remediação;
• Instrução Normativa sobre avisos de privacidade e mensagens de cookies;
• Diretrizes para instrumentos convocatórios;
• Diretrizes quanto ao fluxo de atendimento às manifestações do titular e cartilha informando seus direitos;
• Seminário Estadual sobre LGPD;

O que vem pela frente?

​

• Regulamento sobre o compartilhamento de dados entre órgãos e entidades no âmbito da Administração Pública Estadual;
• Modelo de termo de uso;
• Guia de Conformidade LGPD adequado às necessidades dos órgãos e entidades Estaduais;
• Política de Segurança da Informação Estadual;
• Diretrizes Gerais de Segurança da Informação;
• Gestão de Incidentes e plano de resposta; e
• Análise de Vulnerabilidades.
• Avaliações periódicas de maturidade (privacidade e segurança);
• Processo de auditoria interna de análise de conformidade;
• Estudo de ferramentas técnicas para contribuir no compliance LGPD;
• Plano de resposta à fiscalização e processo administrativo sancionador;
• Treinamento para Encarregados/DPOs etc.

Encarregado pelo Tratamento de Dados Pessoais

Decreto Estadual nº 26.451/2021

• Definição de Encarregado (art. 2º, V);
• Necessidade de indicação por parte do órgão ou entidade Estadual (art. 3º, II);
• Prerrogativas e qualificações para o exercício da função (art. 4º, § 1º);
• Identidade e informações de contato devem ser públicas (art. 4º, § 2º);
• Dever de participar de ações de capacitação disponibilizadas pelo Poder Executivo (art. 4º, § 3º);
• Garantias ao encarregado para exercício da função (art. 5º);
• Notificação realizada pela CGE sobre eventuais falhas ou lacunas no tratamento de dados pessoais (Art. 8º, IV);
• Orientação realizada pela OGE quanto ao atendimento de demandas do titular de dados (Art. 9º, I);
• Notificação realizada pela OGE quando receber denúncias sobre incidentes de segurança ou irregularidades (Art. 9º, II);
• Encaminhamento pelo Controlador de informações solicitadas pela ANPD (Art. 11, III);
• Competências do encarregado (Art. 13);
• Atuação conjunta com o Comitê LGPD (Art. 14, § 1º, II);
• Definição e indicação de treinamentos e cursos de capacitação (Art. 14, § 1º, V); e
• Orientação da rede de encarregados (Art. 14, § 1º, VI).

Guia de Conformidade: Tratamento de Dados Pessoais

• Consiste roadmap para entrada em conformidade com a LGPD.
• Disponível em https://rondonia.ro.gov.br/wp-content/uploads/2022/09/Guia-de-Conformidade-LGPD-SETIC-versao-1.0.pdf.
• Aborda:
• 7 (sete) passos para entrar em conformidade com a LGPD;
• Avaliação diagnóstica;
• Definições dos agentes de tratamento previstos na LGPD;
• Boas práticas na elaboração do Inventário de Dados Pessoais - IDP;
• Elaboração de plano de ação etc.

Cursos de Capacitação e Certificações para DPOs

• Sugestões:
• Serviço Federal de Processamento de Dados - SERPRO https://www.loja.serpro.gov.br/curso-lgpd-educacional:
• Curso para Encarregado de Dados Pessoais; e
• Exame de Certificação de Encarregado de Dados Pessoais.

⚠️ OBS: Informações disponíveis no Site do Serpro, em consulta realizada no dia 31/10/2022, às 12:35.

Cursos de Capacitação e Certificações para DPOs

• Sugestões:
• Exin https://www.exin.com/pt-br/career-paths/exin-career-path-certifications/exin-data-protection-officer/:
• EXIN Data Protection Officer:
• Information Security Management (ISF)�→ $ 215.00 (R$ 1.124,00); +
• Privacy & Data Protection Foundation (PDPF)�→ $ 215.00 (R$ 1.124,00); +
• Privacy & Data Protection Practitioner (PDPP)�→ $ 251.00 (R$ 1.312,73).

⚠️ OBS: Informações disponíveis no Site do Serpro, em consulta realizada no dia 31/10/2022, às 13:15.

Ferramentas para contribuir com o compliance

• Disponibilidade para acesso às Normas da ABNT;
• Recomendações: NBR ISO/IEC 27001, 27002, 27701 e 29151.

​

• Editor avançado de PDF:
• Uso de recursos como descaracterização/ocultação de dados (data redaction) e assinaturas em PDF.

​

• Películas de privacidade:
• aplicadas em monitores cuja disposição física pode colocar em risco a guarda de dados e informações sigilosas.

​

• Fragmentadoras:
• trituração de papéis, CDs, DVDs e cartões.

Ferramentas para contribuir com o compliance

• Processo centralizado de Ata de Registro de Preços da Secretaria de Governo Digital do Ministério da Economia:
• Console de Gerenciamento em Alta Disponibilidade:
• responsável pelo gerenciamento centralizado de políticas e de chaves criptográficas, bem como pela gestão de toda a solução e dos agentes de proteção, reduzindo o esforço de administração e custo total de propriedade.

​

• Agente de Proteção de Dados para Banco de Dados:
• fornece criptografia de banco de dados (estruturados e não estruturados) com gerenciamento centralizado de chaves, controle de acesso de usuários e registro detalhado de auditoria de acesso.
• instalado no sistema operacional de cada servidor de banco de dados, uma licença para cada.

​

• Agente de Proteção de Dados para Servidores de Arquivos:
• fornece criptografia para o servidor de arquivos (dados não estruturados) com gerenciamento centralizado de chaves, controle de acesso de usuários e registro detalhado de auditoria de acesso.
• instalado no sistema operacional de cada servidor de arquivos, uma licença para cada.

Ferramentas para contribuir com o compliance

• Processo centralizado de Ata de Registro de Preços da Secretaria de Governo Digital do Ministério da Economia:
• Agente de Proteção de Dados para Aplicação:
• permite a toquenização vaultless com o Dynamic Data Masking, para anonimizar dados, incluindo dados pessoais, presentes em on primeses, big date ou nuvem.
• vinculado à aplicação que possui dado sensível a ser protegido, uma licença para cada.

​

• Agente para Descoberta e Classificação de Dados:
• possibilitar a descoberta de dados, em ambientes estruturados e não estruturados, armazenados em diferentes repositórios (servidores de arquivos, bancos de dados, big data, estações de trabalho etc.).
• classificar dados por padrão, no mínimo em quatro níveis (restrito, privado, interno e público).
• atribui pontuações de risco que permitam identificar o nível de sensibilidade dos dados.
• contabilizado por quantidade de dado a ser processado.

​

• Serviço de instalação, configuração, implementação e treinamento.

Ferramentas para contribuir com o compliance

Estimativa de preço. Aquisição mediante contratação como serviço (subscrição).

Soluções das fabricantes: Thales e IBM.

Fonte: Estudo Técnico Preliminar - ETP da Secretaria de Governo Digital do Ministério da Economia.

Indicação dos Encarregados/DPOs

Troca de Experiências

• O que, como e onde?
• Apoio da alta gestão.
• etc.

Recomendação de bibliografias

• COTS, Márcio; OLIVEIRA, Ricardo. Lei Geral de Proteção de Dados comentada. 2. ed. São Paulo: Thomson Reuters Brasil, 2019.
• CRESPO, Marcelo Xavier de Freitas. Compliance no Direito Digital. São Paulo: Thomson Reuters Brasil, v. 3, 2020.
• MALDONADO, Viviane Nóbrega. LGPD: Lei Geral de Proteção de Dados Pessoais: manual de implementação. São Paulo: Thomson Reuters Brasil, 2019.
• MALDONADO, Viviane Nóbrega; BLUM, Renato Opice. LGPD: Lei Geral de Proteção de Dados comentada. 2. ed. São Paulo: Thomson Reuters Brasil, 2019.
• OLIVEIRA, Ricardo; COTS, Márcio. O legítimo interesse e a LGPDP. 1. ed. São Paulo: Thomson Reuters Brasil, 2020.
• PINHEIRO, Patricia Peck. Direito digital. 6. ed. São Paulo: Saraiva, 2016.
• POZZO, Augusto Neves Dal. MARTINS, Ricardo Marcondes. LGPD e administração pública: uma análise ampla dos impactos. São Paulo: Thomson Reuters Brasil, 2020.

​

Comitê Gestor de Privacidade e Proteção

de Dados Pessoais - CGPD

​

Contato: comite@lgpd.ro.gov.br

Unidade SEI: CGE-CGPD