PORTARIA MCID Nº 1.163, DE 14 DE OUTUBRO DE 2024

Institui a Política de Proteção de Dados Pessoais e Privacidade e o Comitê de Proteção de Dados Pessoais, no âmbito do Ministério das Cidades.

O MINISTRO DE ESTADO DAS CIDADES, no uso das atribuições que lhe conferem os incisos I e II do parágrafo único do artigo 87 da Constituição Federal, e tendo em vista o disposto na Lei nº 13.709, de 14 de agosto de 2018, na Lei nº 14.600, de 19 de junho de 2023, e no Decreto nº 11.468, de 5 de abril de 2023, resolve:

CAPÍTULO I

DAS DISPOSIÇÕES GERAIS

Art. 1º Fica instituída a Política de Proteção de Dados Pessoais e Privacidade e o Comitê de Proteção de Dados Pessoais, no âmbito do Ministério das Cidades, com a finalidade de estabelecer princípios e diretrizes a serem seguidos, para a garantia da proteção dos dados pessoais tratados no âmbito da Pasta, visando o cumprimento da Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD) e outras normas vigentes.

§ 1º Compete a todos os órgãos e unidades do Ministério das Cidades a adoção das medidas de prevenção e proteção de dados pessoais e privacidade previstas nesta Portaria.

§ 2º Esta Política regula o tratamento de dados pessoais realizado por qualquer pessoa, física ou jurídica, pública ou privada, e por qualquer meio, físico ou digital, em nome do Ministério das Cidades ou em suas dependências.

Art. 2º A aplicação desta Política será pautada pelos princípios da boa-fé, da finalidade, da adequação, da necessidade, da transparência, da segurança, da prevenção, da não discriminação e da responsabilização, conforme o art. 6º da Lei nº 13.709, de 2018.

Art. 3º Para efeitos desta Portaria, consideram-se:

I - acesso: ato de ingressar, transitar, conhecer ou consultar a informação, bem como possibilidade de usar os ativos de informação de um órgão ou entidade, observada eventual restrição que se aplique;

II - agente público: todo aquele que exerce, ainda que transitoriamente ou sem remuneração, por eleição, nomeação, designação, contratação ou qualquer outra forma de investidura ou vínculo, mandato, cargo, emprego, função ou estágio nos órgãos ou nas entidades da administração pública federal;

III - agentes de tratamento: o controlador e o operador;

IV - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

V - armazenamento: ação ou resultado de manter ou conservar em repositório um dado;

VI - arquivamento: ato ou efeito de manter registrado um dado em qualquer das fases do ciclo da informação, compreendendo os arquivos corrente, intermediário e permanente, ainda que tal informação já tenha perdido a validade ou esgotado a sua vigência;

VII - avaliação: analisar o dado com o objetivo de produzir informação;

VIII - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

IX - classificação: maneira de ordenar os dados conforme algum critério estabelecido;

X - coleta: recolhimento de dados com finalidade específica;

XI - comunicação: transmitir informações pertinentes a políticas de ação sobre os dados;

XII - controle: ação ou poder de regular, determinar ou monitorar as ações sobre o dado;

XIII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XIV - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

XV - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

XVI - encarregado: pessoa indicada pelo controlador, para atuar como canal de comunicação entre o controlador, os titulares dos dados pessoais e a Autoridade Nacional de Proteção de Dados - ANPD;

XVII - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

XVIII - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

XIX - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

XX - inventário de dados: é o processo pelo qual é possível conhecer de maneira aprofundada as atividades de tratamento de dados da organização, como quais são manuseados e por onde trafegam, identificando, em detalhes, os fluxos existentes no interior e para fora do órgão;

XXI - políticas/avisos de privacidade: documento informativo pelo qual o órgão transparece ao usuário a forma como o serviço realiza o tratamento dos dados pessoais e como ele fornece privacidade ao usuário;

XXII - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

XXIII - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

XXIV - transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

XXV - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XXVI - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

XXVII - usuários (ou "usuário", quando individualmente considerado): todas as pessoas naturais que utilizarem o serviço do Ministério das Cidades;

XXVIII - violação de dados pessoais: violação de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizado a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

XXIX - difusão: ato ou efeito de divulgação, propagação, multiplicação dos dados;

XXX - distribuição: ato ou efeito de dispor de dados de acordo com algum critério estabelecido;

XXXI - eliminação: ato ou efeito de excluir ou destruir dado do repositório;

XXXII - extração: ato de copiar ou retirar dados do repositório em que se encontrava;

XXXIII - modificação: ato ou efeito de alteração do dado;

XXXIV - processamento: ato ou efeito de processar dados visando organizá-los para obtenção de um resultado determinado;

XXXV - produção: criação de bens e de serviços a partir do tratamento de dados;

XXXVI - recepção: ato de receber os dados ao final da transmissão;

XXXVII - reprodução: cópia de dado preexistente obtido por meio de qualquer processo;

XXXVIII - transferência: mudança de dados de uma área de armazenamento para outra, ou para terceiro;

XXXIX - transmissão: movimentação de dados entre dois pontos por meio de dispositivos elétricos, eletrônicos, telegráficos, telefônicos, radioelétricos, pneumáticos, etc.;

XL - utilização: ato ou efeito do aproveitamento dos dados;

XLI - não repúdio: processo para garantir que uma mensagem não seja repudiada pelo destinatário, assegurando-lhe que esta se mantém íntegra; por outras palavras, o destinatário deve poder assegurar-se de que a mensagem foi realmente originada pelo alegado remetente, não tendo sido forjada nem alterada na transmissão; e

XLI - Gestão de incidentes: processo que visa assegurar que as fragilidades e eventos de segurança da informação associados à privacidade de dados pessoais sejam comunicados, permitindo a tomada de ação corretiva em tempo hábil.

CAPÍTULO II

DO TRATAMENTO DE DADOS PESSOAIS

Art. 4º Todo tratamento de dados pessoais realizado no âmbito do Ministério das Cidades deverá ter como objetivo o atendimento de finalidade pública, a persecução do interesse público e a execução de atribuições legais da Pasta.

§ 1º As atividades, produtos e serviços desenvolvidos pelo Ministério das Cidades deverão estar em conformidade com requisitos de privacidade e proteção de dados pessoais constantes de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes.

§ 2º O consentimento e o legítimo interesse não poderão ser utilizados como base legal para o tratamento de dados pessoais para o exercício de prerrogativas típicas do Ministério, decorrentes do cumprimento de suas obrigações e atribuições legais.

§ 3º A gestão dos dados pessoais tratados no sítio eletrônico na Internet, nos aplicativos e nas redes sociais do Ministério das Cidades deverá ser objeto de normativo específico.

§ 4º O Ministério das Cidades poderá utilizar arquivos do tipo cookies para registrar e gravar no computador do usuário as preferências e navegações realizadas nas respectivas páginas para fins estatísticos e de melhoria dos serviços ofertados, respeitando o consentimento do titular.

§ 5º O tratamento de dados pessoais sensíveis e dados de crianças e adolescentes somente poderá ser realizado, respectivamente, nos termos das seções II e III do capítulo II da Lei nº 13.709, de 2018.

Art. 5º Os contratos, convênios, acordos e instrumentos similares atualmente em vigor, que de alguma forma envolvam o tratamento de dados pessoais, devem incorporar cláusulas específicas em total conformidade com a presente Política de Proteção de Dados Pessoais e que contemplem:

I - requisitos mínimos de segurança da informação;

II - determinação de que o operador não processe os dados pessoais para finalidades que divirjam da finalidade principal informada pelo controlador;

III - requisitos de proteção de dados pessoais que os operadores de dados pessoais devem atender;

IV - condições sob as quais o operador deve devolver ou descartar com segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma mediante solicitação do controlador; e

V - diretrizes específicas sobre o uso de subcontratados pelo operador para execução contratual que envolva tratamento de dados pessoais.

Parágrafo único. Deverá ser assegurado que os terceiros e processadores de dados pessoais contratados estejam plenamente em conformidade com as cláusulas contratuais estabelecidas, no momento da celebração do acordo entre as partes envolvidas.

Art. 6º O uso compartilhado de dados pessoais deve atender a finalidade específica de execução de política pública e atribuição legal do Ministério das Cidades, respeitados os princípios de proteção de dados pessoais elencados no art. 6º da Lei nº 13.709, de 2018.

§ 1º É vedado ao Poder Público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto:

I - em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado;

II - nos casos em que os dados forem acessíveis publicamente;

III - quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; ou

IV - na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.

§ 2º Os contratos e convênios de que trata o § 1º deste artigo deverão ser comunicados à autoridade nacional.

§ 3º A comunicação ou o uso compartilhado de dados pessoais a pessoa de direito privado será informada à autoridade nacional e dependerá de consentimento do titular, exceto nas hipóteses de dispensa previstas na Lei nº 13.709, de 2018.

§ 4º O compartilhamento de dados pessoais deverá ser formalizado em ato, contrato, convênio ou outro instrumento formal, que estabeleça a finalidade específica do tratamento, as competências, os procedimentos, os prazos, os mecanismos de informação e comunicação com o titular, entre outros requisitos, que decorram das peculiaridades do caso concreto ou de determinações provenientes de normas específicas, visando garantir a proteção dos direitos do titular.

§ 5º A transferência internacional de dados pessoais apenas será permitida quando em observância ao disposto no Capítulo V da Lei nº 13.709, de 2018.

Art. 7º Os dados pessoais tratados deverão ser eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:

I - cumprimento de obrigação legal ou regulatória pelo controlador;

II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

III - transferência a terceiros, desde que respeitados os requisitos de tratamento de dados dispostos nesta Portaria; ou

IV - uso exclusivo do controlador, vedado seu acesso por terceiros, e desde que anonimizados os dados.

Parágrafo único. A anonimização definitiva e irreversível será aplicada nos casos em que o tratamento do dado pessoal não for mais necessário para atendimento de finalidade pública e o registro não possa ser descartado definitivamente sem comprometer a consistência do sistema ou de outros dados dependentes.

CAPÍTULO III

DA TRANSPARÊNCIA

Art. 8º Deverá ser dada ampla transparência às informações sobre os tratamentos de dados pessoais realizados no Ministério das Cidades, independentemente de solicitação do titular.

§1º As informações sobre os tratamentos de dados pessoais realizados no Ministério das Cidades deverão, necessariamente, estar disponíveis no sítio eletrônico oficial da Pasta, na Internet, e nos canais de prestação de serviços.

§2º Será assegurado ao titular o direito de acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva, e abranger no mínimo:

I - a finalidade específica do tratamento;

II - a forma e duração do tratamento, observados os segredos comercial e industrial;

III - a identificação do controlador;

IV - informações de contato do controlador;

V - informações acerca do uso compartilhado de dados pelo controlador e a finalidade;

VI - responsabilidades dos agentes que realizarão o tratamento;

VII - direitos do titular, com menção explícita aos direitos contidos no art. 18 da Lei nº 13.709, de 2018;

VIII - meios disponíveis para o titular exercer os seus direitos; e

IX - canais de atendimento da Ouvidoria do Ministério das Cidades.

§3º A divulgação de contratos administrativos, realizada em atendimento ao princípio da publicidade, disponibilizará dados pessoais de terceiros, bem como de agentes públicos do Ministério das Cidades no desempenho de cargo público, nas hipóteses previstas nos incisos I, II, III e V do art. 7º da Lei nº 13.709, de 2018.

Art. 9º Deverão ser elaborados Termos de Uso e Políticas de Privacidade específicas para cada serviço ofertado, informatizado ou não.

Art. 10. O Ministério das Cidades deverá estar apto a comprovar a observância e o cumprimento das leis e normas vigentes e a adoção de medidas eficazes e capazes para a proteção dos dados pessoais tratados.

CAPÍTULO IV

DA SEGURANÇA DA INFORMAÇÃO

Art. 11. O tratamento de dados pessoais no âmbito do Ministério das Cidades deverá observar as seguintes diretrizes, visando atender os padrões de Segurança da Informação e de Proteção de Dados Pessoais, necessários à garantia do direito fundamental dos indivíduos à autodeterminação informativa:

I - garantia da segurança dos dados pessoais: requisitos de confidencialidade, integridade e disponibilidade, bem como autenticidade, responsabilidade e não repúdio;

II - sigilo de dados pessoais: dever de confidencialidade por parte de todas as pessoas com acesso a Dados Pessoais no âmbito do Ministério; e

III - privacidade de dados pessoais por concepção e por padrão: ao desenvolver novos processos, procedimentos ou sistemas que envolvam o tratamento de dados pessoais, deverão ser adotadas medidas para garantir que as regras de privacidade e proteção de dados sejam aplicadas desde a fase de concepção até a sua implantação.

Art. 12. Deverão ser adotadas as medidas de segurança a seguir, visando reduzir ou mitigar os riscos de ocorrência de incidentes e de danos às liberdades civis e aos direitos fundamentais dos titulares, em eventual incidente:

I - limitação dos dados pessoais tratados ao mínimo necessário e à finalidade específica e informada ao titular;

II - limitação do acesso aos dados pessoais às pessoas que realizam o tratamento;

III - registro das operações de tratamento de dados pessoais realizadas;

IV - estabelecimento e registro das funções e responsabilidades dos colaboradores envolvidos nos tratamentos de dados pessoais;

V - estabelecimento de acordos de confidencialidade, termos de responsabilidade ou termos de sigilo com operadores de dados pessoais;

VI - armazenamento dos dados pessoais em ambiente seguro, de modo que terceiros não autorizados não possam acessá-los;

VII - implementação das medidas e dos controles necessários para assegurar o nível de tolerância ao risco aprovado pelo Comitê Interno de Governança - CIGOV do Ministério das Cidades;

VIII - verificações e revisões periódicas de conformidade e efetividade dos processos, buscando a certificação do cumprimento dos requisitos de privacidade e proteção de dados pessoais e da garantia de cláusula de responsabilidade e sigilo constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres;

IX- elaboração e atualização periódica de Relatório de Impacto à Proteção de Dados Pessoais - RIPD, com a descrição dos processos de tratamento de dados pessoais que possam gerar riscos às liberdades civis e aos direitos fundamentais, as medidas, salvaguardas e mecanismos de mitigação de risco adotados e os resultados das ações de verificação de conformidade realizadas;

X- elaboração, atualização periódica e ampla divulgação dos Termos de uso e Políticas de Privacidade, que deverão fornecer informações sobre o processamento de dados pessoais, em cada ambiente físico ou virtual, e as medidas de proteção de dados adotadas para salvaguardar esses dados pessoais;

XI - elaboração e aprovação com a alta gestão de Planos de Resposta a Incidentes Cibernéticos, com base em indicadores de probabilidade e criticidade dos riscos envolvidos, que contenha procedimentos com tarefas específicas a serem executadas por uma determinada equipe para a contenção e mitigação de incidentes e restauração dos serviços ao estado pré-incidente, quando possível, e o plano de comunicação à Autoridade Nacional de Proteção de Dados - ANPD; e

XII - certificação da identidade do titular, ou de quem o represente, no atendimento a demanda que implique acesso à informação pessoal, mediante:

a) a verificação da autenticação por meio do login único de acesso "gov.br", com selo de segurança prata ou outro meio de certificação digital legalmente aceito; ou

b) a conferência, pelo servidor público competente, de documento físico oficial apresentado presencialmente.

Art. 13. O Ministério das Cidades comunicará à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Parágrafo único. Todo colaborador do Ministério das Cidades que porventura tenha ciência de incidente ou de potencial violação de dados deverá reportar ao Encarregado de dados e à Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais - ETIR, de forma tempestiva.

CAPÍTULO V

DA CONSCIENTIZAÇÃO, CAPACITAÇÃO E SENSIBILIZAÇÃO

Art. 14. As pessoas que possuem acesso aos dados pessoais no Ministério das Cidades devem fazer parte de programas de conscientização, capacitação e sensibilização em matérias de privacidade e proteção de dados pessoais.

Parágrafo único. A conscientização, capacitação e sensibilização em privacidade e proteção de dados pessoais deve ser adequada aos papéis e responsabilidades das pessoas.

Art. 15. O Programa de Integridade do Ministério das Cidades e o Plano de Desenvolvimento de Pessoas deverão incluir um programa abrangente de capacitação, treinamento e conscientização destinado a garantir que as pessoas que realizam tratamento de dados pessoais no âmbito da Pasta compreendam suas responsabilidades e os procedimentos relacionados à proteção de dados pessoais

CAPÍTULO VI

DO COMITÊ DE PROTEÇÃO DE DADOS PESSOAIS

Art. 16. Fica instituído o Comitê de Proteção de Dados Pessoais do Ministério das Cidades, com a responsabilidade de promover a orientação e o patrocínio necessários às ações de privacidade e proteção de dados pessoais na Pasta, mediante:

I - a orientação, o assessoramento e o monitoramento da implementação

do estabelecido nesta Política;

II - a constituição de grupos de trabalho para tratar de temas e propor soluções específicas sobre proteção de dados pessoais;

III - a promoção da elaboração e da divulgação de normas internas e procedimentos de boas práticas para a proteção de dados pessoais, o gerenciamento de risco e a atuação em caso de incidente que comprometa os dados pessoais; e

IV - o incentivo à conscientização, capacitação e sensibilização das pessoas que desempenham qualquer atividade de tratamento de dados pessoais.

§ 1º O Comitê de Proteção de Dados Pessoais do Ministério das Cidades manterá disponível, na página do Ministério, na Internet, uma base de conhecimento com orientações, normativos e boas práticas de condutas para apoiar o gerenciamento de incidentes e a tomada de ações adequadas em caso de comprometimento de dados pessoais.

§ 2º Os grupos de trabalho de que trata o inciso II terão até três membros, com duração de até trinta dias, prorrogáveis por igual período, e não haverá mais de dois grupos em operação simultânea.

Art. 17. Integram o Comitê de Proteção de Dados Pessoais do Ministério das Cidades:

I - o Encarregado pelo Tratamento de Dados Pessoais, nos termos do art. 41, §2º, da Lei nº 13.709, de 2018, responsável por coordenar os trabalhos do Comitê, conduzir o diagnóstico de privacidade, orientar, no que couber, os gestores proprietários dos ativos de informação, responsáveis pelo planejamento, implementação e melhoria contínua dos controles de privacidade em ativos de informação que realizem o tratamento de dados pessoais ou dados pessoais sensíveis, além do estabelecido no art. 41, §2º, da Lei nº 13.709, de 2018 e demais normas aplicáveis;

II - o Gestor de Tecnologia da Informação e Comunicação, nos termos da Portaria nº 778, de 4 de abril de 2019, responsável por planejar, implementar e melhorar continuamente os controles de privacidade e segurança da informação em soluções de tecnologia da informação e comunicações, considerando a cadeia de suprimentos relacionada à solução;

III - o Gestor de Segurança da Informação, nos termos da Instrução Normativa nº 1, de 27 de maio de 2020, do Gabinete de Segurança Institucional, da Presidência da República - GSI/PR, responsável por planejar, implementar e melhorar continuamente os controles de segurança da informação em ativos de informação;

IV - o Chefe da Assessoria Especial de Controle Interno, que atuará no apoio, supervisão e monitoramento das atividades desenvolvidas pela primeira linha de defesa prevista pela Instrução Normativa CGU nº 3, de 9 de junho de 2017, no assessoramento em gestão de riscos, controle e transparência; e

V - um representante e um suplente da Secretaria-Executiva, com a responsabilidade de assessorar o mapeamento, a modelagem e a gestão dos processos que envolvam o tratamento de dados pessoais, orientar a aplicação dos instrumentos de governança, a construção e disponibilização informações gerenciais, as ações de desenvolvimento de pessoas e o aperfeiçoamento da gestão documental.

§ 1º Compete ao titular da unidade de Ouvidoria o papel de Encarregado pelo Tratamento de Dados Pessoais do Ministério das Cidades, na forma do art. 10, V, do Decreto nº 11.830, de 14 de dezembro de 2023.

§ 2º Os suplentes dos integrantes do Comitê relacionados nos incisos I a IV serão seus substitutos formais.

§ 3º O Comitê poderá solicitar a designação de profissionais de outras unidades do Ministério das Cidades, para participarem de reuniões, ações e grupos de trabalho específicos, quando entender conveniente.

Art. 18. O Comitê de Proteção de Dados Pessoais do Ministério das Cidades se reunirá ordinariamente a cada seis meses, para avaliação dos resultados do período e aprovação dos relatórios trimestrais e anual, a serem enviados para monitoramento pelo Comitê Interno de Governança - CIGOV do Ministério das Cidades.

§ 1º O Comitê se reunirá extraordinariamente, sempre que necessário, por convocação de qualquer de seus membros.

§ 2º O quórum de instalação das reuniões do Comitê é de metade dos membros e o quórum de deliberação é de maioria simples.

§ 3º As deliberações serão aprovadas pela maioria simples de seus membros, e caberá ao Encarregado, além do voto ordinário, o voto de qualidade para desempate.

§ 4º As reuniões serão realizadas, preferencialmente, por meio eletrônico.

§ 5º Caberá à Secretaria-Executiva prestar o apoio administrativo e de infraestrutura necessários à execução dos trabalhos.

Art. 19. Cada órgão a seguir, da estrutura organizacional do Ministério das Cidades, deverá designar ao menos um facilitador e um suplente, para a promoção das ações de adequação à Lei nº 13.709, de 2018, a serem conduzidas pelo Comitê:

I - Gabinete do Ministro;

II - Secretaria-Executiva;

III - Secretaria Nacional de Desenvolvimento Urbano e Metropolitano;

IV - Secretaria Nacional de Habitação;

V - Secretaria Nacional de Mobilidade Urbana;

VI - Secretaria Nacional de Periferias; e

VI - Secretaria Nacional de Saneamento Ambiental.

Art. 20. As designações dos representantes e suplentes do Comitê, bem como dos facilitadores e suplentes, serão oficializadas por ato do Secretário-Executivo do Ministério das Cidades.

Parágrafo único. A participação no Comitê é considerada prestação de relevante serviço público e não enseja qualquer remuneração, devendo ser registrada nos assentamentos funcionais dos membros.

CAPÍTULO VII

DAS FUNÇÕES E RESPONSABILIDADES NO TRATAMENTO DE DADOS PESSOAIS

Art. 21. Toda pessoa, natural ou jurídica, de direito público ou privado, que tenha interação em qualquer fase do tratamento de dados pessoais, no âmbito do Ministério das Cidades, deve zelar pela sua privacidade e proteção.

Art. 22. São atribuições do Ministério das Cidades, no exercício das funções de controlador:

I - observar os fundamentos, princípios da privacidade e proteção de dados pessoais e os deveres impostos pela Lei nº 13.709, de 2018, e por normativos correlatos no momento de decidir sobre um futuro tratamento ou realizá-lo;

II - considerar o preconizado pelos art. 7º, art. 11 e art. 23 da Lei nº 13.709, de 2018, antes de realizar o tratamento de dados pessoais;

III - cumprir o previsto pelos art. 46 e art. 50 da Lei nº 13.709, de 2018, buscando a proteção de dados pessoais e sua governança;

IV - divulgar a identidade e as informações de contato do encarregado de forma clara e objetiva, no sítio institucional;

V - elaborar o inventário de dados pessoais, a fim de manter registros das operações de tratamento de dados pessoais;

VI - reter dados pessoais somente pelo período necessário para o cumprimento da hipótese legal e finalidade utilizadas como justificativa para o tratamento de dados pessoais;

VII - criar e manter atualizados os avisos ou políticas de privacidade, que informarão sobre os tratamentos de dados pessoais realizados em cada ambiente físico ou virtual, e como os dados pessoais neles tratados são protegidos; e

VIII - requerer do titular a ciência com o termo de uso para cada serviço ofertado, informatizado ou não, que trate dados pessoais.

Parágrafo único. É vedado qualquer tratamento de dados pessoais para fins não relacionados com as atividades desenvolvidas pelo Ministério das Cidades ou por pessoa não autorizada formalmente.

Art. 23. São atribuições dos operadores, que realizem operações de tratamento de dados pessoais em nome do Ministério das Cidades:

I - observar os princípios estabelecidos no art. 6º da Lei nº 13.709, de 2018, ao realizar tratamento de dados pessoais.

II - seguir as diretrizes estabelecidas pelo controlador; e

III - antes de efetuar o tratamento, verificar se as diretrizes estabelecidas pelo controlador cumprem os requisitos legais presentes nos art. 7º, art. 11 e art. 23 da Lei nº 13.709, de 2018.

§ 1º Qualquer fornecedor de produtos ou serviços, que por algum motivo, realize o tratamento de dados pessoais a eles confiados, é considerado operador e deve seguir as diretrizes estabelecidas nesta Política.

§ 2º É proibida a decisão unilateral do operador quanto aos meios e finalidades utilizados para o tratamento de dados pessoais.

Art. 24. Compete ao Comitê Interno de Governança - CIGOV do Ministério das Cidades incentivar e promover o patrocínio necessário para o cumprimento desta Política e monitorar a implementação das ações de promoção da privacidade e proteção de dados pessoais na Pasta.

Art. 25. Compete ao Comitê de Proteção de Dados Pessoais do Ministério das Cidades gerenciar a implementação da Lei Geral de Proteção de Dados Pessoais e a observância da Política de Proteção de Dados Pessoais e Privacidade, dentro do Ministério, na forma do disposto no Capítulo VI desta Portaria.

CAPÍTULO VIII

DAS PENALIDADES

Art. 26. Ações que violem a Política de Proteção de Dados Pessoais e Privacidade do Ministério das Cidades poderão acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e penais, assegurados aos envolvidos o contraditório e a ampla defesa.

Art. 27. Casos de descumprimento desta Política deverão ser registrados e comunicados ao Comitê de Proteção de Dados Pessoais do Ministério das Cidades, para ciência e tomada das providências cabíveis.

CAPÍTULO IX

DAS DISPOSIÇÕES FINAIS

Art. 28. As dúvidas e os casos omissos sobre a Política de Proteção de Dados Pessoais e seus documentos deverão ser submetidas ao Comitê de Proteção de Dados Pessoais do Ministério das Cidades.

Art. 29. Esta Portaria será revisada sempre que houver necessidade de adequações às políticas, normas institucionais e legislação vigente.

Art. 30. Fica revogada a Portaria MCID nº 1.021, de 15 de agosto de 2023.

Art. 31. Esta política entra em vigor na data de sua publicação.

JADER FONTENELLE BARBALHO FILHO