DOESP 09/09/2026 - Diario Oficial do Estado de Sao Paulo - Executivo Atos Normativos

TEXTO OFICIAL · ÍNTEGRA

82/209 - Diário Oficial do Estado de São Paulo

Volume 136, nº 171, Caderno Executivo, Atos Normativos, quarta-feira, 9 de setembro de 2026

O Conselho Diretor da Agência Reguladora de Serviços Públicos do Estado de São Paulo (ARSESP), na forma da Lei Complementar Estadual nº 1.413, de 23 de setembro de 2024, e do Decreto Estadual nº 69.339, de 04 de fevereiro de 2025:

da Administração Pública Direta e Autárquica do Estado de São Paulo, instituída pelo Decreto nº 68.769/2024;

XIV - Dados estratégicos: informações restritas, conforme previsão legal, de alto valor institucional para a ARSESP, cujo acesso, processamento ou divulgação indevida pode comprometer a regulação, a fiscalização, a segurança dos serviços públicos regulados, a tomada de decisão ou o interesse público. Podem incluir-se nesse conceito metodologias internas, dados técnicos, análises e documentos prédecisórios, informações sobre infraestrutura crítica;

Considerando que é dever da ARSESP assegurar à sociedade o acesso a informações sobre os serviços públicos e atividades regulatórias, promovendo a transparência ativa e passiva em conformidade com a Lei Federal nº 12.527/2011 (Lei de Acesso à Informação - LAI) e com o Decreto Estadual nº 58.052/2012, que regulamenta o acesso à informação no âmbito do Estado de São Paulo;

XV - Diretório de Dados da ARSESP: ambiente digital de catalogação e governança das bases de dados institucionais, que registra metadados, classificações e responsáveis, visando à gestão integrada e à transparência;

Considerando o disposto na Lei Federal nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), que estabelece princípios e regras para o tratamento de dados pessoais no setor público, e a necessidade de adequar os processos e sistemas da Agência às suas disposições; Considerando a Deliberação Normativa CGGDIESP nº 1, de 30 de dezembro de 2021, que instituiu a Política de Governança de Dados e Informações do Estado de São Paulo (PGDI), a qual determina que os órgãos e entidades estaduais adotem políticas específicas de governança, segurança e privacidade de dados; Considerando a necessidade de uniformizar práticas, responsabilidades e procedimentos internos relativos ao tratamento, acesso e compartilhamento de dados no âmbito da ARSESP, garantindo segurança, integridade, qualidade e uso ético das informações, DELIBERA: CAPÍTULO I

XVI - Encarregado pelo Tratamento de Dados Pessoais (DPO): pessoa indicada pela ARSESP para atuar como canal de comunicação entre a Agência, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD);

XVII - Gestão de Dados: conjunto de práticas operacionais para garantir a coleta, armazenamento, manutenção, classificação, disponibilização e eliminação segura de dados sob a responsabilidade da ARSESP;

XVIII - Governança de Dados: conjunto de políticas, normas e práticas que orientam o tratamento e a gestão de dados como ativos estratégicos da ARSESP, garantindo segurança, qualidade, integridade e uso ético da informação;

DAS DISPOSIÇÕES GERAIS

XIX - Incidente de Segurança com Dados Pessoais: qualquer evento adverso confirmado ou sob suspeita que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais; XX - Informação Pessoal Restrita: informação relativa à pessoa natural identificada ou identificável, cujo acesso deve observar a proteção da intimidade, vida privada, honra e imagem, conforme a Lei nº 12.527/2011; XXI - Informação Sigilosa: informação cujo acesso é restrito em razão de sua imprescindibilidade à segurança da sociedade ou do Estado, nos termos do Decreto nº 58.052/2012;

Art. 1º Fica instituída, no âmbito da Agência Reguladora de Serviços Públicos do Estado de São Paulo (ARSESP), a Política de Governança, Compartilhamento e Proteção de Dados que tem por objetivo estabelecer princípios, diretrizes e responsabilidades para o tratamento, a segurança, o compartilhamento e a governança de dados sob sua custódia.

Art. 2º A presente Política aplica-se a todos os dados, informações, documentos e sistemas da ARSESP, abrangendo:

I - dados e informações produzidos, recebidos ou mantidos pela Agência, em qualquer suporte ou formato; II - dados pessoais e dados pessoais sensíveis tratados pela ARSESP; III - dados compartilhados com entes públicos ou privados, no exercício das funções regulatórias, fiscalizatórias, administrativas ou contratuais.

XXII - Metadado: informação que descreve o conteúdo, a origem, a estrutura e as condições de uso ou restrição de um dado, permitindo sua catalogação e gestão; XXIII - Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

Art. 3º A Política tem como fundamentos:

I - a Constituição Federal de 1988, especialmente o art. 5º, incisos X, XII e XXXIII;

XXIV - Programa de Governança de Dados: conjunto estruturado de políticas, normas, processos e responsabilidades voltados à coordenação, monitoramento e melhoria contínua da gestão de dados da ARSESP;

II - a Lei Complementar Estadual nº 1.413, de 23 de setembro de 2024 e o Decreto Estadual nº 69.339, de 04 de fevereiro de 2025;

XXV - Pseudonimização: técnica pela qual um dado perde a possibilidade de associação direta ao titular sem o uso de informações adicionais mantidas separadamente, sob medidas técnicas e administrativas de segurança; XXVI - Relatório de Impacto à Proteção de Dados Pessoais (RIPD): documento que contém a descrição dos processos de tratamento de dados pessoais que possam gerar riscos aos direitos e liberdades fundamentais, bem como as medidas de mitigação adotadas;

III - a Lei nº 12.527/2011 (Lei de Acesso à Informação);

IV - a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais);

V - o Decreto nº 58.052/2012 (Acesso à Informação no Estado de São Paulo);

VI - a Deliberação Normativa CGGDIESP nº 1/2021 (PGDI Estadual); VII - o Regimento Interno da ARSESP. Art. 4º São princípios que orientam esta Política: I - legalidade, finalidade e necessidade;

I - legalidade, finalidade e necessidade; XXVII - Responsável Técnico pela Base de Dados: servidor ou II - qualidade, integridade e disponibilidade dos dados; empregado designado pela área interessada detentora da base, III - transparência e prestação de contas; responsável pela atualização, integridade e controle de acesso às IV - confidencialidade e segurança da informação; informações nela contidas; V - proporcionalidade e prevenção; XXVIII - Segurança da Informação: conjunto de ações e controles VI - responsabilidade compartilhada; destinados a proteger os dados e sistemas contra acessos não VII - interoperabilidade e inovação tecnológica. autorizados, uso indevido, alteração, destruição, perda ou divulgação Art. 5º A presente Política integra o Programa de Governança de indevida;

Art. 5º A presente Política integra o Programa de Governança de Dados da ARSESP e vincula todas as unidades administrativas e os prestadores de serviços regulados, observadas as competências regimentais.

XXIX - Titular dos Dados: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

regimentais. XXX - Tratamento de Dados: toda operação realizada com dados, CAPÍTULO II como coleta, produção, recepção, classificação, utilização, acesso, DAS DEFINIÇÕES reprodução, transmissão, processamento, arquivamento, armazenamento, Art. 6º Para os efeitos desta Deliberação, consideram-se as seguintes eliminação, avaliação, controle, modificação, comunicação, definições: compartilhamento, transferência ou difusão;

I - Anonimização: utilização de meios técnicos razoáveis para tornar um dado pessoal não identificável, de forma irreversível, de modo que não possa ser associado, direta ou indiretamente, a um indivíduo;

XXXI - Usuário Autorizado: servidor, empregado ou colaborador que possua permissão formal para acessar dados e sistemas da ARSESP, dentro dos limites de sua função.

II - Avaliação de Riscos de Dados: processo contínuo de identificação, análise e mitigação de vulnerabilidades relacionadas ao tratamento, armazenamento ou compartilhamento de dados;

CAPÍTULO III

DA GOVERNANÇA E DA GESTÃO DE DADOS Art. 7º A governança de dados na ARSESP tem por finalidade assegurar que os dados sejam tratados como ativos institucionais, sustentando decisões regulatórias, administrativas e estratégicas com base em evidências.

III - Base de Dados: conjunto estruturado de dados, pessoais ou não, armazenados em qualquer formato e mantidos sob a responsabilidade da ARSESP ou de terceiros por ela contratados;

Art. 8º A estrutura de governança será coordenada pela Gerência de Dados, sob supervisão da Superintendência de Tecnologia da Informação, com as seguintes responsabilidades: I - manter e atualizar o Diretório de Dados da ARSESP, contendo o catálogo das bases e metadados institucionais; II - promover a padronização de procedimentos de coleta, tratamento, armazenamento e descarte de dados; III - orientar as áreas interessadas quanto à classificação e sensibilidade das informações; IV - monitorar a conformidade com a LGPD, a PGDI e esta Política; V - apoiar a Diretoria e as áreas interessadas na análise e gestão de riscos de dados. Art. 9º Cada área, no limite de suas responsabilidades definidas no Regimento Interno, será responsável pela integridade e atualização dos dados sob sua custódia, devendo:

IV - Ciclo de Vida do Dado: conjunto de etapas compreendendo a criação, coleta, uso, armazenamento, compartilhamento, atualização, arquivamento e descarte de dados;

V - Compartilhamento de Dados: disponibilização de dados ou conjunto de dados a outros órgãos, entidades ou terceiros, em meio físico, digital ou por integração sistêmica;

VI - Conformidade de Dados (Data Compliance): estado de aderência das práticas de tratamento e governança de dados às normas legais, internas e aos princípios da boa administração pública;

VII - Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VIII - Cultura de Dados: conjunto de valores, práticas e comportamentos que promovem o uso responsável, estratégico e ético dos dados na tomada de decisão institucional;

IX - Dado Anonimizado: dado relativo a titular que não possa ser identificado, considerando meios técnicos razoáveis e disponíveis no momento do tratamento; X - Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde, vida sexual, dado genético ou biométrico; XI - Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável, nos termos da Lei nº 13.709/2018 (LGPD); XII - Dado: qualquer elemento, fato ou valor que possa ser processado, armazenado ou analisado, independentemente do formato ou suporte, digital ou físico;

I - garantir a exatidão e tempestividade das informações; II - comunicar incidentes ou inconsistências à Gerência de Dados e à TI; III - cooperar com a anonimização, quando necessária para publicação.

DO COMPARTILHAMENTO E DO ACESSO À INFORMAÇÃO Art. 10. O compartilhamento de dados pela ARSESP obedecerá aos princípios da necessidade, finalidade e segurança, observando-se três categorias: I - uso interno: compartilhamento entre áreas da Agência, mediante justificativa funcional; II - uso regulatório ou institucional: compartilhamento com outros órgãos públicos e entidades reguladas, mediante instrumento formal (convênio, acordo, termo ou contrato);

XIII - Dados Abertos: dados públicos disponibilizados em formato aberto, acessível e reutilizável, sem restrições de licenciamento, em conformidade com a Lei nº 12.527/2011 e com a Política de Dados Abertos

III - uso público ou aberto: divulgação de dados anonimizados no Portal de Dados Abertos e no sítio eletrônico da Agência.

Art. 11. As solicitações de compartilhamento deverão ser formalizadas no Sistema Eletrônico de Informações (SEI), com:

I - identificação do solicitante e da finalidade; II - análise da Gerência de Dados quanto à classificação e risco; III - anuência da Superintendência responsável; IV - anuência da Superintendência de Tecnologia da Informação, quando envolver integração de sistemas/base de dados.

Parágrafo único. As disposições deste Capítulo não se aplicam aos pedidos de acesso à informação disciplinados pela Lei Federal nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), os quais observarão os procedimentos e garantias previstos na legislação específica, vedada a exigência de motivação do solicitante. Nas hipóteses em que o pedido envolver acesso, compartilhamento ou tratamento de dados pessoais, inclusive dados pessoais sensíveis, deverão ser observadas, adicionalmente, as disposições da Lei Federal nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), especialmente quanto à base legal, finalidade, necessidade, adequação e proteção dos direitos dos titulares.

Art. 12. É vedado o compartilhamento de dados pessoais ou sensíveis sem base legal específica ou sem a devida anonimização, ressalvadas as hipóteses dos arts. 7º, 11 e 23 da LGPD, conforme a natureza dos dados e do tratamento.

CAPÍTULO V

DA PROTEÇÃO E TRATAMENTO DE DADOS PESSOAIS Art. 13. O tratamento de dados pessoais pela ARSESP observará: I - finalidade legítima e proporcional;

II - base legal adequada;

III - registro das operações de tratamento;

IV - aplicação de medidas técnicas e administrativas de segurança; V - direito de revisão e retificação pelo titular, conforme art. 18, da LGPD.

Art. 14. A ARSESP atuará como controladora dos dados pessoais coletados para o exercício de suas funções legais, podendo ser operadora em convênios ou acordos específicos, conforme definido em cada instrumento.

Art. 15. O tratamento de dados sensíveis somente ocorrerá quando indispensável à execução da regulação, fiscalização, controle social ou cumprimento de obrigação legal, mediante proteção adicional e registro específico.

Art. 16. O Encarregado pelo Tratamento de Dados Pessoais (DPO) será indicado por ato formal do Conselho Diretor, com atribuições de: I - atuar como canal de comunicação entre titulares, ARSESP e ANPD; II - orientar servidores e empregados sobre práticas de proteção de dados;

III - supervisionar a conformidade e apoiar a gestão de incidentes; IV - elaborar relatórios periódicos ao Conselho Diretor. CAPÍTULO VI

DA SEGURANÇA DA INFORMAÇÃO

Art. 17. A Superintendência de Tecnologia da Informação (STI), com execução técnica da Gerência de Tecnologia da Informação (GTI), deverá assegurar a implementação de controles técnicos de segurança, integridade, backup e rastreabilidade de acessos aos sistemas da ARSESP. Art. 18. A STI deverá avaliar os controles necessários de acordo com a informação, contemplando as regras abaixo:

I - controle de acesso e autenticação;

II - gestão de perfis e senhas;

III - monitoramento e auditoria de logs;

IV - plano de continuidade e recuperação de desastres;

V - política de cópias de segurança e atualização de softwares. Art. 19. Todo incidente de segurança envolvendo dados pessoais deverá ser comunicado imediatamente à STI, que avaliará a gravidade, registrará o evento e encaminhará relatório circunstanciado ao Encarregado pelo Tratamento de Dados Pessoais (DPO).

§ 1º Compete ao Encarregado, em articulação com o Conselho Diretor, realizar a comunicação formal à Autoridade Nacional de Proteção de Dados (ANPD) e, quando aplicável, aos titulares afetados, nos termos do art. 48, da Lei nº 13.709/2018.

§ 2º As medidas de contenção, mitigação e registro deverão seguir o Plano de Resposta a Incidentes de Segurança da Informação da ARSESP. CAPÍTULO VII

DAS RESPONSABILIDADES E DOS METADADOS Art. 20. Compete: I - ao Conselho Diretor: aprovar a Política e supervisionar sua execução;

II - à Superintendência de Tecnologia da Informação (STI): supervisionar a governança de dados no âmbito institucional, assegurando a aderência às diretrizes tecnológicas, de segurança da informação, interoperabilidade e infraestrutura;

III - à Gerência de Dados (GDAD): coordenar a governança de dados na ARSESP, bem como implementar, monitorar e revisar esta Política, promovendo sua aplicação transversal nas áreas da Agência; IV - à Gerência de TI: garantir a segurança e integridade tecnológica; V - Área interessada: zelar pela qualidade e veracidade dos dados sob sua responsabilidade; VI - ao Encarregado (DPO): atuar conforme o art. 16 desta Deliberação. Art. 21. As áreas interessadas da ARSESP deverão submeter à Gerência de Dados, sempre que necessitarem criar, receber ou atualizar uma base de dados, as informações necessárias ao seu registro no Diretório de Dados da Agência, conforme modelo de Ficha de Metadados a ser definido e disponibilizado pela própria Gerência de Dados.

§ 1º A Gerência de Dados estabelecerá, por meio de norma complementar, o conteúdo mínimo, o formato e os procedimentos para preenchimento e atualização da ficha de metadados, observando as diretrizes da Política de Governança de Dados e da legislação aplicável. § 2º As áreas interessadas são responsáveis por garantir a veracidade e completude das informações prestadas. § 3º A ficha de metadados constituirá documento integrante dos processos de fiscalização, regulação ou acompanhamento setorial, devendo ser atualizada a cada alteração relevante.

Art. 22. Sempre que houver solicitação de dados pessoais ou sensíveis a prestadores de serviço, concessionárias ou órgãos externos, a área interessada deverá justificar a finalidade específica e a base legal do tratamento, registrando essas informações na ficha de metadados.

Este documento pode ser verificado pelo código E.2026.09.09.1.77.1 em http://www.doe.sp.gov.br/autenticidade

Documento assinado digitalmente conforme MP nº 2.200-2/2001, que institui a Infraestrutura de Chaves Públicas (ICP-Brasil).