Segurança da informação e governança dos dados do sítio.
Orientação de redação deste bloco: Redija os artigos do decreto que asseguram que o sítio funcione, que os registros não se percam e que o tratamento de dados tenha responsável identificado. Sem esses dispositivos, a obrigação de publicar em tempo real fica sem sustentação técnica. Trilha de auditoria é o registro de quem fez o quê e quando dentro do sistema, que não pode ser apagado. Cópia de segurança é o backup, e plano de continuidade é o que fazer se o sistema cair no meio de um prazo. Matriz de decisão é a lista que ajuda a escolher o instrumento certo para cada tarefa, com perguntas objetivas. Segregação de funções é separar quem escolhe, quem fiscaliza e quem paga, para que a mesma pessoa não faça tudo. Fundamento: Lei nº 8.159, de 1991; Lei nº 12.527, de 2011; Lei nº 13.709, de 2018; Lei nº 14.129, de 2021.
[D4.46] Indique o encarregado pelo tratamento de dados pessoais, com a identidade e as informações de contato divulgadas publicamente no sítio, de forma clara e objetiva. (Lei nº 13.709, de 2018, art. 41, §§ 1º e 2º) Exemplo fictício: Art. 30. Fica designado como encarregado pelo tratamento de dados pessoais do Programa o titular da Controladoria Geral do Município, cuja identidade e informações de contato, incluídos endereço eletrônico e telefone, são divulgados na página do Programa e no portal do Município. Compete ao encarregado receber comunicações dos titulares e da autoridade nacional, prestar esclarecimentos e adotar providências, orientar os agentes sobre as práticas a serem tomadas e assistir a unidade responsável na comunicação e no registro de incidentes de segurança, no registro das operações de tratamento, na elaboração do relatório de impacto, nos mecanismos internos de supervisão e de mitigação de riscos, nas medidas técnicas e administrativas de segurança, nas políticas internas de conformidade e nos instrumentos contratuais que disciplinem tratamento de dados, como os termos assinados pelos credenciados e pela organização parceira.
[D4.47] Adote medidas de disponibilidade e de continuidade do sítio e da planilha pública, com cópias de segurança periódicas, teste de restauração e plano de recuperação em caso de falha. (Lei nº 13.709, de 2018, art. 46, e Lei nº 14.129, de 2021, art. 3º) Exemplo fictício: Art. 31. A unidade responsável adota medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado, e o dever de garantir essa segurança subsiste mesmo depois de encerrado o tratamento. São medidas mínimas: controle de acesso por perfil, com credencial pessoal e intransferível; registro de acesso a dado identificado; cópias de segurança diárias, com uma cópia mantida em local distinto; teste de restauração a cada 3 meses, com registro do resultado; e plano de continuidade que defina o que fazer se o sítio ficar indisponível durante prazo em curso, hipótese em que o prazo é suspenso e prorrogado por período igual ao da indisponibilidade, com aviso publicado.
[D4.48] Registre as operações de tratamento e trilha de auditoria das ações administrativas, com identificação da ação, da unidade responsável, da data e da hora, preservado o anonimato do participante. (Lei nº 13.709, de 2018, art. 37, e Lei nº 12.527, de 2011, art. 7º) Exemplo fictício: Art. 32. O sistema manterá trilha de auditoria das ações administrativas, registrando a ação praticada, a unidade e o agente responsável, a data e a hora, com guarda pelo prazo mínimo de _______________ anos e vedação de exclusão ou de alteração dos registros. § 1º Toda mudança de situação de uma ideia, da admissibilidade à aprovação, fica registrada com o motivo. § 2º Os registros de tratamento de dados pessoais observam a Lei Geral de Proteção de Dados, e o acesso a eles é restrito aos agentes autorizados e aos órgãos de controle.
[D4.49] Informe o prazo de guarda das ideias protocoladas, dos documentos do ciclo e dos dados pessoais eventualmente coletados, com a destinação ao final do prazo e a observância da tabela de temporalidade do Município. (Lei nº 13.709, de 2018, arts. 15 e 16, e Lei nº 8.159, de 1991, art. 9º) Exemplo fictício: Art. 20. As ideias protocoladas e os documentos dos ciclos são de guarda permanente, por integrarem a memória da política pública; os dados pessoais eventualmente fornecidos por quem optar por se identificar serão eliminados em cinco anos do encerramento do ciclo, observada a tabela de temporalidade do Município.
[D4.50] Elabore relatório de impacto à proteção de dados pessoais, quando o tratamento puder gerar risco às liberdades civis e aos direitos fundamentais ou quando a autoridade nacional o solicitar. (Lei nº 13.709, de 2018, arts. 5º, XVII, e 38) Exemplo fictício: Art. 33. Ocorrido incidente de segurança com dados pessoais, a unidade responsável observa quatro passos, na ordem: avaliar internamente o incidente, apurando a natureza, a categoria e a quantidade de titulares e de dados afetados e as consequências concretas e prováveis; comunicar o encarregado imediatamente; comunicar o controlador, quando a unidade atuar como operadora, ou receber a comunicação do operador, quando for controladora, o que alcança os credenciados e a organização parceira; e comunicar a autoridade nacional e os titulares, quando o incidente puder acarretar risco ou dano relevante, em prazo razoável definido pela autoridade. O relatório de impacto à proteção de dados pessoais é elaborado quando o tratamento puder gerar risco às liberdades civis e aos direitos fundamentais e contém, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise sobre as medidas, salvaguardas e mecanismos de mitigação de risco adotados. Havendo comunicação ou uso compartilhado de dados pessoais com pessoa de direito privado, o encarregado informa a autoridade nacional e é obtido o consentimento do titular, salvo nas hipóteses legais de dispensa.
Regulamentação dos vários regimes de execução em um só decreto.
Fundamento: competência regulamentar do Chefe do Poder Executivo; Lei nº 14.133, de 2021; Lei nº 13.019, de 2014; Lei nº 10.973, de 2004; Lei nº 9.608, de 1998.
[D4.51] Reproduza no decreto a matriz de decisão do instrumento fixada na lei do programa alvo, conforme a regra [5.0.13], com os critérios objetivos que dizem qual caminho usar para cada tipo de tarefa e em que situação a Administração passa ao caminho seguinte. O decreto acrescenta só a forma de registrar a escolha no processo e na planilha pública. (Lei nº 14.133, de 2021, art. 18, § 1º, e Lei nº 13.019, de 2014, art. 2º) Exemplo fictício: Art. 25. A escolha do instrumento segue a ordem do art. 8º da Lei nº _______________, verificada por estas perguntas, na ordem: a tarefa é serviço com preço de mercado e resultado exigível? Use contratação ou credenciamento. Existe interesse recíproco e a execução é por entidade sem fins lucrativos, sem contraprestação direta? Use parceria. A tarefa é estudo ou pesquisa formativa, sem entrega de serviço? Use bolsa. A colaboração é espontânea, não remunerada e complementar? Use voluntariado. A escolha, a situação que motivou a escolha e o artigo da lei aplicado são registrados no processo e na planilha pública.
[D4.52] Defina o sistema eletrônico único do Programa e a planilha pública, com os campos que identificam a frente e o instrumento de cada registro. (Lei nº 12.527, de 2011, art. 8º, § 3º, e Lei nº 14.129, de 2021, art. 3º) Exemplo fictício: O decreto determina que todos os instrumentos corram no mesmo sistema, com cadastro único de pessoas, e que a planilha pública traga, para cada registro, a ideia de origem, a frente, o instrumento, a situação, o valor e a data, de modo que qualquer pessoa acompanhe a mesma ideia do protocolo até o pagamento, seja qual for o caminho escolhido.