Projeto de Lei

PROJETO DE LEI Nº 1053/2018

EMENTA:

DISPÕE SOBRE O TRATAMENTO E PROTEÇÃO DE DADOS PESSOAIS NO ÂMBITO DA ADMINISTRAÇÃO PÚBLICA DIRETA E INDIRETA DO MUNICÍPIO

Autor(es): VEREADOR TARCÍSIO MOTTA, VEREADOR DAVID MIRANDA

A CÂMARA MUNICIPAL DO RIO DE JANEIRO

D E C R E T A :

CAPÍTULO I
DISPOSIÇÕES PRELIMINARES

Seção I
Do Escopo de Aplicação desta Lei

Art. 1º

Esta Lei dispõe sobre o tratamento de dados pessoais por pessoa jurídica de direito público ou privado no âmbito da Administração Pública Municipal direta e indireta, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade do cidadão.

Art. 2º A disciplina da proteção de dados pessoais é condição para o pleno exercício da cidadania e tem como fundamento:

I – o respeito à privacidade;

II - a autodeterminação informativa;

III - a liberdade de expressão, comunicação e opinião;

IV – a inviolabilidade da intimidade e da vida privada;

V – a legalidade, a impessoalidade, a moralidade, a publicidade e a probidade administrativa;

VI - o desenvolvimento econômico e tecnológico;

VII – a igualdade;

VIII - o reconhecimento da condição de vulnerável de crianças e adolescentes e sua proteção integral;

IX - os direitos humanos, o livre desenvolvimento da personalidade, a dignidade, e o exercício da cidadania pelas pessoas naturais.

Art. 3º Esta Lei aplica-se a qualquer operação de tratamento de dados pessoais no âmbito da Administração Pública Municipal Direta e Indireta, independentemente do país onde estejam localizados os dados, subordinando-se ao regime desta Lei:

I - órgãos da administração direta, autarquias, fundações públicas, empresas públicas, sociedades de economia mista e demais entidades vinculadas direta ou indiretamente ao Município;

II - pessoa natural ou jurídica de direito privado quando contratadas ou conveniada, direta ou indiretamente, pela Administração Pública Municipal;

III - entidades privadas sem fins lucrativos que utilizem dados da Administração Pública Municipal para a realização de ações de interesse público mediante termo de parceria, convênio, acordo, ajuste ou outro instrumento congênere.

Parágrafo único. O disposto no inciso II deste artigo aplica-se a todos os casos de ajuste entre órgãos ou entidades da Administração Pública e particulares em que haja um acordo de vontades para a formação de vínculo e a estipulação de obrigações recíprocas, seja qual for a denominação utilizada, e aos contratos administrativos firmados na forma da Lei Federal nº 8.666, de 21 de junho de 1993, bem como da Lei Federal nº 11.079, de 30 de dezembro de 2004 e da Lei Federal nº 13.019, de 31 de julho de 2014.

Art. 4º Esta Lei não se aplica ao tratamento de dados:

I - realizado por pessoa natural para fins exclusivamente pessoais fora do âmbito da Administração Pública Municipal Direta ou Indireta; ou

II - realizado para fins exclusivamente jornalísticos, artísticos, literários ou acadêmicos;

III - realizado para o fim de garantir o acesso à informação, nos termos da Lei Federal 12.527, de 18 de novembro de 2011.

Seção II
Das Definições

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: dado relacionado a pessoa natural identificada ou identificável, inclusive números identificativos, dados locacionais ou identificadores eletrônicos;

II - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

III - dados sensíveis: dados pessoais sobre a origem racial ou étnica, as convicções religiosas, as opiniões políticas, a filiação a sindicatos ou organizações de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, bem como dados genéticos ou biométricos;

IV - dados anonimizados: dados relativos a um titular que não possa ser identificado mediante esforços razoáveis;

V - banco de dados: conjunto estruturado de dados pessoais, centralizado, descentralizado ou dispersos em uma base geográfica e em suporte eletrônico ou físico;

VI - titular: a pessoa natural a quem se referem os dados pessoais objeto de tratamento;

VII - consentimento: manifestação livre e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade específica;

VIII – agentes do tratamento de dados pessoais: o responsável e o operador;

IX - responsável: a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

X - operador: a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do responsável;

XI - encarregado: a pessoa natural, indicada pelo responsável, que atua como canal de comunicação perante os titulares;

XII - anonimização: qualquer procedimento por meio do qual um dado deixa de poder ser associado mediante esforços razoáveis, direta ou indiretamente, a um indivíduo;

XIII - bloqueio: guarda do dado pessoal ou do banco de dados com a suspensão temporária de qualquer operação de tratamento;

XIV - eliminação: exclusão definitiva de dado ou de conjunto de dados armazenados em banco de dados, seja qual for o procedimento empregado;

XV - uso compartilhado de dados: a comunicação, a difusão, a transferência internacional, a interconexão de dados pessoais ou o tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos, no cumprimento de suas competências legais, ou entre órgãos e entidades públicos e entes privados para a execução de políticas públicas, descentralização da atividade pública e ações de interesse público;

XVI – perfil comportamental: qualquer forma de tratamento automatizado de dados pessoais destinado a avaliar aspectos ou a segmentação de uma pessoa natural, ainda que não identificada ou identificável, tais como para analisar ou prever características socioeconômicas, estado de saúde, localização e deslocamento.

Art. 6º As atividades de tratamento de dados pessoais deverão observar a moralidade, a impessoalidade, a legalidade, a publicidade e a probidade administrativa, e os seguintes princípios:

I - finalidade: pelo qual o tratamento deve ser realizado para finalidades legítimas, específicas, explícitas e informadas ao titular;

II - adequação: pelo qual o tratamento deve ser compatível com suas finalidades e com as legítimas expectativas do titular, de acordo com o contexto do tratamento;

III - necessidade: pelo qual o tratamento deve se limitar ao mínimo necessário para a realização das suas finalidades, abrangendo dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: pelo qual deve ser garantida aos titulares consulta facilitada e gratuita sobre as modalidades de tratamento e sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: pelo qual devem ser garantidas aos titulares a exatidão, a clareza, a relevância e a atualização dos dados, de acordo com a periodicidade necessária para o cumprimento da finalidade de seu tratamento;

VI - transparência: pelo qual devem ser garantidas aos titulares informações claras, adequadas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento;

VII - segurança: pelo qual devem ser utilizadas medidas técnicas e administrativas constantemente atualizadas, proporcionais à natureza das informações tratadas e aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: pelo qual devem ser adotadas medidas capazes de prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: pelo qual o tratamento não pode ser realizado para fins discriminatórios, salvo se estes fizerem parte da essência de determinada atividade ou política pública;e

X - Imutabilidade dos dados: uma vez definidas as informações sensíveis e registradas de maneira descaracterizada, toda ação que for executada sobre essa informação deverá ser registrada de forma a dar total transparência ao que acontece com o dado armazenado, incluindo, mas não limitado a, consultas, transmissões, processamentos, acessos, atualizações ou qualquer ação que mude o estado atual do dado para um novo estado.

CAPÍTULO II
DOS REQUISITOS PARA O TRATAMENTO DE DADOS PESSOAIS

Seção I
Dos Requisitos para o Tratamento de Dados Pessoais

Art. 7º O tratamento de dados pessoais somente poderá ser realizado após o consentimento livre, específico e inequívoco do titular, salvo nas seguintes hipóteses:

I - para o cumprimento de uma obrigação legal pelo responsável;

II - para o tratamento e uso compartilhado pela Administração Pública de dados necessários à execução de políticas públicas e à prestação de serviços públicos previstos em leis ou regulamentos;

III - para a realização de pesquisa histórica, científica ou estatística;

IV - para o exercício regular de direitos em processo judicial ou administrativo;

V - para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VI - para a tutela da saúde, com procedimento realizado por profissionais da área da saúde ou por entidades sanitárias.

§ 1º Nos casos de aplicação do disposto nos incisos I e II deste artigo, o responsável deverá informar ao titular as hipóteses em que será admitido o tratamento de seus dados, nos termos dos arts. 12 e 13 desta Lei.

§ 2º A forma de disponibilização das informações previstas no parágrafo anterior deverá levar em consideração as diretrizes do Conselho Municipal de Proteção de Dados Pessoais.

Art. 8º O consentimento previsto no caput do art. 7º deverá ser fornecido por escrito ou por qualquer outro meio que o certifique.

§ 1º Caso o consentimento seja fornecido por escrito, este deverá ser fornecido em cláusula destacada das demais cláusulas contratuais.

§ 2º Caso o consentimento seja obtido por meio não escrito, este deverá ser fornecido de forma clara, adequada e ostensiva, com a adoção de padrões técnicos que facilitem o controle dos titulares sobre seus dados pessoais.

§ 3º Cabe ao responsável o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei.

§ 4º É vedado o tratamento de dados pessoais quando o consentimento tenha sido obtido mediante erro, dolo, coação, estado de perigo ou simulação.

§ 5º O consentimento deverá se referir a finalidades específicas, sendo nulas as autorizações genéricas para o tratamento de dados pessoais.

§ 6º O consentimento pode ser revogado a qualquer momento, mediante manifestação expressa do titular.

§ 7º Em caso de alteração de informação correspondente às previstas nos incisos I, II, III e V do art. 13 desta Lei, o responsável deverá obter novo consentimento do titular, após destacar de forma específica o teor das alterações.

§ 8º O titular deverá ser informado da possibilidade de não fornecer o consentimento requerido e das consequências da negativa.

§ 9º O consentimento será considerado nulo caso as informações fornecidas ao titular tenham conteúdo enganoso ou não tenham sido apresentadas previamente de forma clara, adequada e ostensiva.

§ 10. Quando o consentimento para o tratamento de dados pessoais for condição para o fornecimento de produto ou serviço ou para o exercício de direito, o titular será informado com destaque sobre tal fato e sobre os meios pelos quais poderá exercer controle sobre o tratamento de seus dados.

Art. 9º É vedado o tratamento de dados pessoais sensíveis, salvo:

I – com fornecimento de consentimento inequívoco, expresso e específico pelo titular mediante manifestação própria, distinta da manifestação de consentimento relativa a outros dados pessoais, com informação prévia e específica sobre a natureza sensível dos dados a serem tratados e com alerta quanto aos riscos envolvidos no seu tratamento;

II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:

a) o cumprimento de uma obrigação legal pelo responsável;

b) o tratamento e uso compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

c) a realização de pesquisa histórica, científica ou estatística, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;

d) o exercício regular de direitos em processo judicial ou administrativo;

e) a proteção da vida ou da incolumidade física do titular ou de terceiro; ou

f) a tutela da saúde, com procedimento realizado por profissionais da área da saúde ou por entidades sanitárias.

§ 1º O disposto neste artigo aplica-se a qualquer tratamento de dados pessoais capaz de revelar dados pessoais sensíveis.

§ 2º O tratamento de dados pessoais sensíveis não poderá ser realizado em detrimento do titular, ressalvado o disposto em legislação específica.

§ 3º O disposto na alínea “c” do inciso II do caput deste artigo não se aplica às atividades de pesquisa que estejam vinculadas a atividades:

I - comerciais;

II - de administração pública, quando a pesquisa não for a atividade principal ou legalmente estabelecida do órgão;

III - de investigação criminal ou inteligência.

§ 4º O disposto nas hipóteses do parágrafo anterior garantirá, sempre que possível, a anonimização dos dados pessoais.

§ 5º Nos casos de aplicação do disposto nas alíneas “a” e “b” do inciso II do caput deste artigo pelos órgãos e entidades públicas, será dada publicidade à referida dispensa de consentimento, nos termos da Seção III deste Capítulo.

§ 6º Medidas adicionais de segurança e de proteção aos dados pessoais sensíveis deverão ser adotadas pelo responsável ou por outros agentes do tratamento, mediante a elaboração de relatório de impacto sobre a privacidade.

Art. 10. Nas hipóteses de dispensa do consentimento para o tratamento de dados pessoais, o responsável deverá, respeitados os direitos e liberdades fundamentais do titular, observar:

I – os princípios gerais e de garantia dos direitos do titular, em particular:

a) as legítimas expectativas do titular quanto ao tratamento de seus dados, de acordo com o disposto no inciso II do art. 6º desta Lei;

b) a finalidade e adequação, pelo que o tratamento dos dados deve ser realizado para uma finalidade específica, informada e compatível com as legítimas expectativas do titular, de acordo com o contexto do tratamento;

c) a necessidade, pelo que o tratamento dos dados pessoais limita-se ao estritamente necessário para a finalidade pretendida, abrangendo dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados, o que envolve a anonimização sempre que compatível com a finalidade do tratamento;

II – a adoção de medidas para garantir a transparência do tratamento de dados, devendo fornecer aos titulares mecanismos eficazes para que possam manifestar sua oposição ao tratamento, de acordo com o disposto no §1º do art. 17 desta Lei;

III – a emissão de relatório de impacto sobre a privacidade.

Seção II
Dos Dados Anonimizados

Art. 11. Os dados anonimizados serão considerados dados pessoais para os fins desta Lei quando o processo de anonimização ao qual foram submetidos for revertido ou quando, com esforços razoáveis, puder ser revertido.

§ 1º Poderão ser igualmente considerados como dados pessoais para os fins desta Lei os dados utilizados para a formação do perfil comportamental de uma determinada pessoa natural, ainda que não identificada ou identificável.

§ 2º O compartilhamento e o uso que se fazem de dados anonimizados devem ser objeto de publicidade e de transparência e devem ser antecedidos por relatório de impacto sobre a privacidade referente aos riscos de reversão do processo de anonimização e demais aspectos de seu tratamento.

§ 3º A reversão do processo de anonimização é proibida, salvo mediante consentimento expresso dos próprios titulares dos dados pessoais.

Seção III
Da Transparência no Tratamento dos Dados

Art. 12. Cabe aos entes sujeitos ao regime desta Lei adotar procedimentos e medidas de transparência de suas atividades de tratamento de dados pessoais, que devem ser executados em conformidade com os princípios básicos da administração pública e com as seguintes diretrizes:

I - observância da publicidade como preceito geral e do sigilo como exceção;

II - divulgação de informações, independentemente de solicitações, em locais e veículos de fácil acesso;

III - utilização de meios de comunicação viabilizados pela tecnologia da informação;

IV - fomento ao desenvolvimento da cultura de transparência no tratamento dos dados pessoais.

§ 1º Os entes sujeitos ao regime desta Lei deverão informar de forma clara e atualizada, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos:

I – as hipóteses em que realizam o tratamento de dados pessoais;

II - as políticas organizacionais para garantir que o tratamento de dados pessoais esteja em conformidade com os princípios estabelecidos pelo art. 6º desta Lei;

III – o uso compartilhado de dados;

IV - os relatórios de impacto sobre a privacidade;

V - os critérios, procedimentos e instruções utilizados para decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem interesses do titular, inclusive as decisões destinadas a definir o seu perfil comportamental.

§ 2º O Conselho Municipal de Proteção de Dados Pessoais emitirá recomendações e diretrizes para o cumprimento do disposto neste artigo.

§ 3º Aplicam-se as normas e os procedimentos previstos na Lei Federal nº 12.527, de 18 de novembro de 2011, para se assegurar uma gestão transparente dos dados pessoais.

Art. 13. O titular deverá ter acesso facilitado a informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva, e que deverão versar sobre, entre outros temas:

I – a finalidade específica do tratamento;

II – a forma e a duração do tratamento;

III – a identificação do responsável;

IV - informações de contato do responsável;

V – os sujeitos ou categorias de sujeitos para os quais os dados podem ser comunicados, bem como o âmbito de difusão;

VI – as responsabilidades dos agentes que realizarão o tratamento;

VII – os direitos do titular, com menção explícita à possibilidade de acessar os dados, retificá-los ou revogar o consentimento, por procedimento gratuito e facilitado.

§ 1º Em caso de alteração de informação referente ao disposto no inciso IV do caput deste artigo, o responsável deverá comunicar ao titular as informações de contato atualizadas.

§ 2º Nas atividades que impliquem coleta continuada de dados pessoais, o titular deverá ser informado periodicamente sobre as principais características do tratamento, observando-se as diretrizes definidas pelo Conselho Municipal de Proteção de Dados Pessoais.

Seção IV
Do Término do Tratamento

Art. 14. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:

I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes para o alcance da finalidade específica almejada;

II - fim do período de tratamento;

III - comunicação do titular, inclusive no exercício do seu direito de revogação do consentimento conforme disposto no § 6º do art. 8º desta Lei.

Art. 15. Os dados pessoais serão eliminados após o término de seu tratamento, autorizada a conservação para as seguintes finalidades:

I - cumprimento de obrigação legal do responsável;

II - pesquisa histórica, científica ou estatística, garantida, quando possível, a anonimização dos dados pessoais.

CAPÍTULO III
DOS DIREITOS DO TITULAR

Art. 16. Toda pessoa natural tem assegurada a titularidade de seus dados pessoais, garantidos os direitos fundamentais de liberdade, intimidade e privacidade, nos termos desta Lei.

Art. 17. O titular dos dados pessoais tem direito a obter, em relação a seus dados:

I - confirmação da existência de tratamento;

II - acesso aos dados;

III - correção de dados incompletos, inexatos ou desatualizados;

IV - anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos; e

V - eliminação, a qualquer momento, de dados pessoais com cujo tratamento tenha consentido.

§ 1º O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento em caso de descumprimento ao disposto nesta Lei.

§ 2º Os direitos previstos neste artigo serão exercidos mediante requerimento do titular a um dos agentes de tratamento, que adotará imediata providência para seu atendimento, sem custos para o titular.

§ 3º Em caso de impossibilidade da adoção imediata de providência de que trata o § 2º deste artigo, o responsável enviará ao titular, em até sete dias a partir da data do recebimento do requerimento, resposta em que poderá:

I - comunicar que não é agente de tratamento dos dados, indicando, sempre que possível, quem o seja; ou

II - indicar as razões de fato ou de direito que impedem a adoção imediata da providência.

§ 4º O responsável deverá informar sobre a realização de correção, eliminação, anonimização ou bloqueio dos dados a terceiros a quem os dados tenham sido comunicados para que repitam idêntico procedimento.

Art. 18. A confirmação de existência ou o acesso a dados pessoais serão providenciados, a critério do titular:

I - em formato simplificado, imediatamente; ou

II - por meio de declaração clara e completa, que indique a origem dos dados, a data de registro, os critérios utilizados e a finalidade do tratamento, fornecida no prazo de até sete dias contados a partir da data do requerimento do titular.

§ 1º Os dados pessoais serão armazenados em formato que favoreça o exercício do direito de acesso.

§ 2º As informações e dados poderão ser fornecidos, a critério do titular:

I - por meio eletrônico, seguro e idôneo para tal fim; ou

II - sob forma impressa, situação em que poderá ser cobrado exclusivamente o valor necessário ao ressarcimento do custo dos serviços e dos materiais utilizados.

§ 3º Quando o tratamento tiver origem no consentimento do titular ou em um contrato, o titular poderá solicitar cópia eletrônica integral dos seus dados pessoais em formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento.

§ 4º O Conselho Municipal de Proteção de Dados Pessoais emitirá diretrizes e recomendações sobre os formatos em que serão fornecidas as informações e os dados ao titular.

Art. 19. O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive as decisões destinadas a definir o seu perfil comportamental.

§ 1º Deverá ser permitida a realização de auditoria de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, inclusive com a inserção de novos dados e o acesso ao seu resultado;

§ 2º O responsável deverá fornecer informações claras e adequadas a respeito dos critérios, procedimentos e instruções utilizados para a decisão automatizada;

§ 3º O responsável deverá emitir relatório de impacto sobre a privacidade, levando-se em consideração os direitos e liberdades fundamentais do titular.

Art. 20. Os dados pessoais referentes a exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo.

Art. 21. A defesa dos interesses e direitos dos titulares de dados poderá ser exercida em juízo individual ou coletivamente, na forma do disposto na Lei Federal nº 9.507, de 12 de novembro de 1997, nos arts. 81 e 82 da Lei Federal nº 8.078, de 11 de setembro de 1990, na Lei Federal nº 7.347, de 24 de julho de 1985, e nos demais instrumentos de tutela individual e coletiva.

Art. 22. Aplicam-se as normas e os procedimentos previstos na Lei Federal nº 12.527, de 18 de novembro de 2011, para facilitar o acesso do titular a informações sobre o tratamento de seus dados pessoais.

CAPÍTULO IV
DO USO COMPARTILHADO DE DADOS

Art. 23. O uso compartilhado de dados por órgãos e entidades públicos ou entre órgãos e entidades públicos e entes privados deverá:

I - observar os princípios de proteção de dados elencados no art. 6º desta Lei, em particular:

a) as finalidades específicas de execução de políticas públicas ou de prestação de serviços públicos, no cumprimento das competências legais dos órgãos e entidades públicos;

b) as legítimas expectativas do titular, de acordo com o disposto no inciso II do art. 6º desta Lei, frente à finalidade para a qual o seu dado foi coletado originariamente;

c) serem os dados pessoais estritamente necessários para a finalidade pretendida, devendo estes ser anonimizados sempre que compatível com a finalidade do tratamento.

II - ser antecedido pela emissão de relatório de impacto sobre a privacidade;

III - ser objeto de publicidade nos termos do art. 12, devendo ser fornecidas a descrição dos dados e informações claras e atualizadas sobre:

a) a data;

b) a periodicidade e a frequência;

c) as finalidades do tratamento realizado com os dados;

d) a necessidade do compartilhamento;

e) descrição dos dados;

f) a eventual formação de perfil comportamental de uma pessoa natural, ainda que não identificada ou identificável;

g) as medidas de segurança adotadas para a proteção dos dados.

Art. 24. É vedado aos órgãos e entes da Administração Pública transferir dados pessoais constantes de suas bases de dados a entidades privadas, exceto em caso de execução descentralizada de atividade pública e nas hipóteses previstas na Lei Federal nº 12.527, de 18 de novembro de 2011.

§ 1º Aplicam-se as normas e os procedimentos previstos na Lei Federal nº 8.666, de 21 de junho de 1993, e na Lei Federal nº 11.079, de 30 de dezembro de 2004, para que o uso compartilhado dos dados esteja em estrita conformidade com os princípios básicos da administração pública, devendo ser precedido de licitação, que:

I - não será sigilosa, sendo públicos e acessíveis os atos de seu procedimento;

II – não admitirá prever, incluir ou tolerar, nos atos de convocação, cláusulas ou condições que comprometam, restrinjam ou frustrem o seu caráter competitivo;

III – priorizará:

a) bens e serviços com tecnologia desenvolvida no País;

b) programas de computação de código aberto, livres de restrições quanto à cessão, alteração e distribuição de suas cópias eletrônicas, nos termos do art. 38 desta Lei;

c) a adoção de medidas técnicas e administrativas constantemente atualizadas, proporcionais à natureza dos dados compartilhados e aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

d) a adoção de padrões técnicos que facilitem o controle dos titulares sobre seus dados pessoais;

IV – não admitirá que os dados compartilhados sejam utilizados:

a) para finalidades estranhas à execução descentralizada da atividade pública;

b) como parte do preço ou como qualquer tipo de contraprestação a favor da contratada para a execução descentralizada da atividade pública, observando-se o princípio da moralidade na administração pública.

§ 2º O instrumento de convocação deverá levar em consideração medidas técnicas de segurança e de boas práticas, nos termos do Capítulo VI desta Lei.

Art. 25. Os dados deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado para a execução de políticas públicas, prestação de serviços públicos e descentralização da atividade pública.

Art. 26. O Conselho Municipal de Proteção de Dados Pessoais estipulará diretrizes para o cumprimento do disposto nesta seção.

CAPÍTULO V
DOS AGENTES E DA RESPONSABILIDADE NO TRATAMENTO DE DADOS PESSOAIS

Seção I
Do Responsável e do Operador

Art. 27. O responsável e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem.

Parágrafo único. O Conselho Municipal de Proteção de Dados Pessoais poderá estipular diretrizes e recomendações sobre formato, estrutura e tempo de guarda do registro.

Art. 28. O operador deverá realizar o tratamento segundo as instruções fornecidas pelo responsável, que verificará a observância destas e do disposto nesta Lei.

Art. 29. O Conselho Municipal de Dados Pessoais poderá solicitar aos agentes do tratamento de dados pessoais que publiquem relatórios de impacto de privacidade e sugerir a adoção de padrões e boas práticas para o tratamento de dados pessoais.

Art. 30. Quando houver infração a esta Lei em decorrência de tratamento de dados pessoais por órgão público, o Conselho Municipal de Proteção de Dados Pessoais poderá enviar informe com medidas cabíveis para fazer cessar a violação.

§ 1º As punições cabíveis a agentes públicos no âmbito desta Lei serão aplicadas pessoalmente aos operadores de órgãos públicos, conforme disposto na Lei Municipal nº 94, de 14 de março de 1979, e na Lei Federal nº 8.429, de 2 de junho de 1992.

§ 2º Aplicam-se no que couber as normas e os procedimentos previstos na Lei Federal 12.846, de 1º de agosto de 2013, para as punições cabíveis e a responsabilização administrativa e civil das pessoas jurídicas sujeitas ao regime desta Lei.

Seção II
Do Encarregado pelo Tratamento de Dados Pessoais

Art. 31. O responsável e as pessoas jurídicas de direito privado sujeitas ao regime desta Lei indicarão um encarregado pelo tratamento de dados pessoais, devendo:

I – divulgar publicamente a identidade e as informações de contato do encarregado, de forma clara e objetiva e preferencialmente na página eletrônica na Internet;

II – assegurar que o encarregado:

a) esteja envolvido em todas as operações relativas ao tratamento de dados pessoais;

b) exerça com autonomia sua função, não podendo ser penalizado por não seguir instruções ou diretrizes que não estejam em conformidade com o disposto nesta Lei.

Art. 32. As atividades do encarregado consistem em:

I - receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações do Conselho Municipal de Proteção de Dados Pessoais e adotar providências;

III - orientar os funcionários e contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais, de acordo com o disposto nesta Lei;

IV – realizar demais atribuições determinadas pelo responsável ou estabelecidas em normas complementares;

V – orientar a elaboração dos relatórios de impacto sobre a privacidade e a observância dos parâmetros neles estabelecidos para o tratamento dos dados pessoais.

CAPÍTULO VI
DA SEGURANÇA E DAS BOAS PRÁTICAS

Seção I
Da Segurança e do Sigilo de Dados

Art. 33. O operador deve adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados, de situações acidentais ou ilícitas de destruição, perda, alteração e comunicação ou de qualquer forma de tratamento inadequado ou ilícito.

§ 1º O Conselho Municipal de Proteção de Dados Pessoais poderá recomendar padrões técnicos e organizacionais para tornar aplicável o disposto no caput deste artigo, levando-se em consideração a natureza das informações tratadas, características específicas do tratamento e o estado atual da tecnologia, em particular no caso de dados sensíveis.

§ 2º As medidas de segurança deverão ser observadas desde a fase de concepção do produto ou serviço até a sua prestação.

Art. 34. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se ao dever de sigilo em relação aos dados pessoais, mesmo após o término do tratamento.

Seção II
Dos Incidentes de Segurança

Art. 35. O responsável deverá comunicar ao Conselho Municipal de Proteção de Dados Pessoais a ocorrência de qualquer incidente de segurança que possa acarretar risco ou prejuízo relevante aos titulares.

Parágrafo único. A comunicação será feita em prazo razoável, conforme definido pelo órgão competente, e deverá apresentar, no mínimo:

I - descrição da natureza dos dados pessoais afetados;

II - informações sobre os titulares envolvidos;

III - indicação das medidas de segurança utilizadas para a proteção dos dados, inclusive procedimentos de encriptação;

IV - riscos relacionados ao incidente;

V - os motivos da demora, no caso de a comunicação não ter sido imediata;

VI - medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos de prejuízo.

Art. 36. O Conselho Municipal de Proteção de Dados Pessoais verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, recomendar ao responsável a adoção das seguintes providências:

I - pronta comunicação aos titulares;

II - ampla divulgação do fato em meios de comunicação;

III – adoção de medidas para reverter ou mitigar os efeitos do incidente.

Parágrafo único. A pronta comunicação aos titulares afetados pelo incidente de segurança será obrigatória, independentemente de recomendação do Conselho Municipal de Proteção de Dados Pessoais, nos casos em que for identificável a possibilidade de o incidente colocar em risco a segurança pessoal dos titulares ou de lhes causar danos.

Seção III
Dos Sistemas de Proteção de Dados Pessoais e dos Softwares Livres

Art. 37. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos princípios gerais previstos nesta Lei e às demais normas regulamentares.

Art. 38. Os estabelecimentos públicos municipais da Administração Direta e Indireta e entidades privadas sujeitas ao regime desta Lei deverão utilizar em seus sistemas e equipamentos de informática, prioritariamente, programas de computação de código aberto, livres de restrições quanto à cessão, alteração e distribuição de suas cópias eletrônicas.

§ 1º Caso exista a necessidade de aquisição de programas de propriedade de entidades privadas, mediante justificativa prévia, será dada preferência para aquelas que possibilitem a conversão dos arquivos e o intercâmbio entre os sistemas, permitindo a execução dos programas sem restrições em sistemas operacionais baseados em código aberto.

§ 2º Entende-se por programa de computação de código aberto aquele cuja licença de propriedade industrial ou intelectual não restrinja sob nenhum aspecto a sua cessão, distribuição e utilização ou a alteração de suas características originais, assegurando ao usuário acesso irrestrito e sem custos adicionais a seu código fonte e permitindo a alteração parcial ou total do programa para seu aperfeiçoamento ou adequação.

§ 3º O código fonte deve ser o recurso preferencial utilizado pelo programador para modificar o programa, não sendo permitido ofuscar a sua acessibilidade.

§ 4º A licença de utilização de programas abertos deve permitir modificações e trabalhos derivados e a livre distribuição dos programas sob os mesmos termos da licença do programa original, não podendo ser utilizados programas cujas licenças:

I - impliquem em qualquer forma de discriminação a pessoas ou grupos;

II - sejam específicas para determinado produto, impossibilitando que programas derivados deste tenham a mesma garantia de utilização, alteração e distribuição;

III - restrinjam outros programas distribuídos conjuntamente.

§ 5º Quando houver justificativa técnica comprobatória da ineficiência dos programas abertos em determinada contratação, a Administração Pública poderá adquirir, mediante concorrência prévia, programas de informática não caracterizados como abertos, desde que haja a apresentação de justificativa técnica, nos termos da Lei Federal nº 8.666, de 21 de junho de 1993.

§ 6º É obrigatória a utilização de programa de computação de código aberto para decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem interesses do titular, inclusive as decisões destinadas a definir o seu perfil comportamental;

§ 7º A Administração Pública deverá promover educar e promover a utilização de programas de computação de código aberto para o exercício do controle parental dos dados pessoais de crianças e adolescentes, nos termos dos princípios desta Lei e da Lei Federal nº 8.069, de 13 de julho de 1990 - Estatuto da Criança e do Adolescente.

Seção IV
Das Boas Práticas

Art. 39. O responsável pelo tratamento de dados pessoais e o operador deverão formular diretrizes de boas práticas referentes à organização, ao regime de funcionamento, aos procedimentos, às normas de segurança, aos padrões técnicos e às obrigações específicas para os diversos envolvidos no tratamento, nas ações educativas, nos mecanismos internos de supervisão e em outros aspectos relacionados ao tratamento de dados pessoais.

§ 1º Ao estabelecer regras de boas práticas, deverá ser levada em consideração a natureza, o escopo e a finalidade do tratamento e dos dados, bem como a probabilidade e gravidade dos riscos de dano aos indivíduos.

§ 2º As regras de boas práticas serão disponibilizadas publicamente e atualizadas.

§ 3º Deve ser priorizada a adoção de padrões técnicos que facilitem o controle dos titulares sobre seus dados pessoais.

Seção V
Do Relatório de Impacto sobre a Privacidade

Art. 40. O operador deverá emitir relatório de impacto sobre a privacidade nos seguintes casos, em que o tratamento de dados pessoais implica alto risco para os direitos e liberdades fundamentais do titular:

I – quando forem tomadas decisões que afetem os interesses do titular unicamente com base em tratamento automatizado de dados pessoais;

II – quando for traçado perfil comportamental;

III – quando houver monitoramento sistemático de áreas públicas;

IV – quando houver uso de novas tecnologias para prevenir a ocorrência de danos, nos termos do inciso VIII do art. 6º;

V - nas demais hipóteses previstas nesta Lei, em particular:

a) quando houver tratamento de dados sensíveis;

b) quando houver uso compartilhado de dados.

Art. 41. O relatório de impacto sobre a privacidade deve ser composto ao menos dos seguintes elementos:

I – descrição de que o tratamento dos dados respeita os princípios de proteção de dados elencados no art. 6º desta Lei, em particular:

a) a finalidade e a adequação, pelo que o tratamento dos dados deve ser realizado para uma finalidade específica, informada e compatível com as legítimas expectativas do titular, de acordo com o contexto do tratamento;

b) a necessidade, pelo que o tratamento dos dados pessoais limita-se ao estritamente necessário para a finalidade pretendida, abrangendo dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados, o que envolve anonimização sempre que compatível com a finalidade do tratamento;

c) a qualidade, com a implementação de mecanismos que garantam a exatidão, a clareza, a relevância e a atualização dos dados, de acordo com a periodicidade necessária para o cumprimento da finalidade de seu tratamento;

II – adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos indevidos nos termos desta Lei, particularmente para evitar acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

Parágrafo único. O Conselho Municipal de Proteção de Dados Pessoais poderá estipular diretrizes para o cumprimento do disposto nesse artigo.

Art. 42. O operador deverá tornar pública uma lista sobre quais tipos de tratamento de dados estão sujeitos ou não à exigência de relatórios de impacto sobre a privacidade, sem prejuízo de publicá-los nos termos do inciso IV do §1º do art. 12 desta Lei.

CAPÍTULO VII
DA FISCALIZAÇÃO

Seção I
Do Conselho Municipal de Proteção de Dados Pessoais e da Privacidade

Art. 43. Fica criado o Conselho Municipal de Proteção de Dados Pessoais e da Privacidade.

Parágrafo único. O Conselho Municipal de Proteção de Dados Pessoais e da Privacidade é um órgão consultivo, deliberativo e normativo.

Art. 44. Compete ao Conselho Municipal de Proteção de Dados Pessoais e da Privacidade:

I – participar e fornecer subsídios para a elaboração da Política Municipal de Proteção de Dados Pessoais e da Privacidade;

II - elaborar relatórios anuais de avaliação da execução das ações da Política Municipal de Proteção de Dados Pessoais e da Privacidade;

III – realizar estudos e debates sobre a proteção de dados pessoais e da privacidade;

IV - disseminar o conhecimento sobre a proteção de dados pessoais e da privacidade à população em geral;

V - ser instância de democratização nas ações educativas executadas pelo Poder Público Municipal;

VI - estabelecer diretrizes relacionadas à proteção de dados pessoais;

VII - estabelecer diretrizes para a elaboração de relatórios de impacto sobre a privacidade;

VIII - elaborar e alterar seu Regimento Interno;

IX - eleger o seu presidente.

Art. 45. O Conselho Municipal de Proteção de Dados Pessoais e da Privacidade respeitará os critérios de gênero, raça, representação do Poder Público e da Sociedade Civil, composto por dez representantes titulares e dez suplentes designados, com mandato de dois anos, podendo ser renovado uma única vez por igual período, sendo:

I - um representante da Controladoria Geral do Município;

II - três representantes do Poder Público Municipal que tenham atribuição de gestão de programas, projetos e ações relacionados com os objetivos do conselho;

III - três representantes da academia que desenvolvam atividades conexas aos objetivos deste conselho;

IV - três representantes do terceiro setor, com dois anos de atividade em áreas afins aos objetivos do conselho;

§ 1º Os representantes dos incisos III e IV serão eleitos por seus pares, dentre as respectivas entidades representativas constituídas há pelo menos três anos e que tenham objetivos estatutários relacionados com os objetivos do conselho;

§ 3º A participação no Conselho Municipal de Proteção de Dados Pessoais e da Privacidade será considerada atividade de relevante interesse público, não remunerada.

§ 4º As reuniões do conselho serão públicas e transmitidas pela rede mundial de computadores.

§ 5º O conselho poderá, por deliberação de sua maioria absoluta, convidar pessoas especialistas para, na qualidade de convidado ouvinte, integrar suas reuniões visando contribuição técnica para temáticas a serem deliberadas pelo conselho.

CAPÍTULO VIII
DISPOSIÇÕES TRANSITÓRIAS E FINAIS

Art. 46. Esta Lei entra em vigor após decorridos cento e oitenta dias de sua publicação.

Plenário Teotônio Villela, 22 de novembro de 2018.

Vereador TARCISIO MOTTA (PSOL) Vereador DAVID MIRANDA (PSOL)

JUSTIFICATIVA

Art. 81. A defesa dos interesses e direitos dos consumidores e das vítimas poderá ser exercida em juízo individualmente, ou a título coletivo.

I - interesses ou direitos difusos, assim entendidos, para efeitos deste código, os transindividuais, de natureza indivisível, de que sejam titulares pessoas indeterminadas e ligadas por circunstâncias de fato;

II - interesses ou direitos coletivos, assim entendidos, para efeitos deste código, os transindividuais, de natureza indivisível de que seja titular grupo, categoria ou classe de pessoas ligadas entre si ou com a parte contrária por uma relação jurídica base;

III - interesses ou direitos individuais homogêneos, assim entendidos os decorrentes de origem comum.

III - as entidades e órgãos da Administração Pública, direta ou indireta, ainda que sem personalidade jurídica, especificamente destinados à defesa dos interesses e direitos protegidos por este código;

IV - as associações legalmente constituídas há pelo menos um ano e que incluam entre seus fins institucionais a defesa dos interesses e direitos protegidos por este código, dispensada a autorização assemblear.

§ 1° O requisito da pré-constituição pode ser dispensado pelo juiz, nas ações previstas nos arts. 91 e seguintes, quando haja manifesto interesse social evidenciado pela dimensão ou característica do dano, ou pela relevância do bem jurídico a ser protegido.

Datas:

Entrada	11/22/2018	Despacho	11/23/2018
Publicação	11/27/2018	Republicação

Outras Informações:

Pág. do DCM da Publicação	12 a 18	Pág. do DCM da Republicação
Tipo de Quorum	MA	Arquivado	Não
Motivo da Republicação		Pendências?	Não

Observações:

DESPACHO: A imprimir
Comissão de Justiça e Redação, Comissão de Administração e Assuntos Ligados ao Servidor Público, Comissão de Defesa dos Direitos Humanos,
Comissão de Ciência Tecnologia Comunicação e Informática, Comissão de Educação, Comissão de Higiene Saúde Pública e Bem-Estar Social,
Comissão dos Direitos da Criança e do Adolescente , Comissão de Finanças Orçamento e Fiscalização Financeira.
Em 23/11/2018
VEREADORA TÂNIA BASTOS - Presidente em exercício

Comissões a serem distribuidas

01.:Comissão de Justiça e Redação
02.:Comissão de Administração e Assuntos Ligados ao Servidor Público
03.:Comissão de Defesa dos Direitos Humanos
04.:Comissão de Ciência Tecnologia Comunicação e Informática
05.:Comissão de Educação
06.:Comissão de Higiene Saúde Pública e Bem-Estar Social
07.:Comissão dos Direitos da Criança e do Adolescente
08.:Comissão de Finanças Orçamento e Fiscalização Financeira

Regime de Tramitação	Ordinária
Projeto