DOESP 09/09/2026 - Diario Oficial do Estado de Sao Paulo - Executivo Atos Normativos

TEXTO OFICIAL · ÍNTEGRA

83/209 - Diário Oficial do Estado de São Paulo

Volume 136, nº 171, Caderno Executivo, Atos Normativos, quarta-feira, 9 de setembro de 2026

Art. 23. A Gerência de Dados poderá ajustar o dicionário de variáveis, formato ou estrutura das bases solicitadas aos prestadores de serviço, quando necessário para compatibilização ou integração das informações, desde que:

§ 1º O tratamento de dados pessoais e sensíveis pela área de Recursos Humanos observará:

I - a finalidade específica de cumprimento de obrigações legais, contratuais ou relacionadas à execução de políticas públicas, vedado o uso para finalidades diversas;

I - não altere o conteúdo informacional nem o resultado esperado;

II - comunique previamente à área interessada responsável; III - preserve as regras e periodicidades previstas nas deliberações setoriais.

II - a adoção de medidas técnicas e administrativas reforçadas de segurança, incluindo: a) controle de acesso baseado em perfis e necessidade funcional; b) autenticação multifator nos sistemas de gestão de pessoal; c) registro de logs de acesso e manipulação de dados; d) criptografia ou mascaramento de dados sensíveis em repouso e em trânsito;

SEÇÃO I

DA MATRIZ DE RESPONSABILIDADES (RACI)

Art. 24. Com o objetivo de assegurar clareza, padronização e d) criptografia ou mascaramento de dados sensíveis em repouso e transparência na distribuição das responsabilidades relacionadas à em trânsito; governança, tratamento, segurança, compartilhamento e gestão dos e) proibição de armazenamento de dados pessoais em mídias dados institucionais, fica instituída, no âmbito desta Política, a Matriz de removíveis ou dispositivos não institucionais. Responsabilidades (RACI). III - o controle de todo o ciclo de vida dos dados de pessoal, Art. 25. A Matriz consolida, de forma estruturada, as atribuições das abrangendo recrutamento, seleção, gestão funcional, capacitação, unidades organizacionais envolvidas nos processos de: avaliação, benefícios, saúde ocupacional, desligamento e arquivamento; I - governança e gestão de dados; IV - a observância de política de retenção e descarte seguro dos

I - governança e gestão de dados; IV - a observância de política de retenção e descarte seguro dos II - classificação, estruturação, interoperabilidade e metadados; dados, conforme prazos legais e princípios de necessidade e minimização; III - proteção e tratamento de dados pessoais e sensíveis; V - a elaboração de Relatório de Impacto à Proteção de Dados IV - segurança da informação; Pessoais (RIPD), sempre que o tratamento envolver dados sensíveis em V - compartilhamento interno e externo; larga escala, transferência de dados a terceiros ou novas tecnologias de VI - gestão do Calendário Anual de Dados e Informações; processamento.

VI - gestão do Calendário Anual de Dados e Informações; processamento. VII - validação técnica prévia pela Superintendência de Tecnologia da § 2º É vedado o compartilhamento de dados pessoais de agentes Informação (STI); públicos com terceiros, inclusive outros órgãos, sem base legal ou VIII - processos regulatórios, fiscalizatórios e de atendimento ao instrumento formal que defina finalidade, responsabilidades e medidas usuário (SAU/Ouvidoria); de segurança compatíveis. IX - gestão de dados de Recursos Humanos; § 3º A área de Recursos Humanos deverá manter atualizado o X - uso responsável de tecnologias, incluindo Inteligência Artificial. inventário de tratamentos sob sua responsabilidade e comunicar Art. 26. Em consonância com a estrutura da presente Política, que imediatamente à Gerência de Dados (GDAD) e ao Encarregado (DPO) estabelece diretrizes e responsabilidades para o tratamento, segurança e qualquer incidente de segurança, vazamento, perda ou acesso indevido. uso ético dos dados, bem como para a interoperabilidade e padronização § 4º O acesso aos dados de pessoal é restrito a servidores institucional, a Matriz RACI tem caráter normativo, devendo orientar: formalmente designados, devendo ser revogado de imediato em caso de I - a execução das atividades operacionais e estratégicas relacionadas mudança de função ou desligamento.

I - a execução das atividades operacionais e estratégicas relacionadas mudança de função ou desligamento. aos dados; § 5º A Gerência de Dados poderá emitir orientações complementares II - a articulação entre Gerência de Dados (GDAD), STI, GTI, áreas e apoiar a área de Recursos Humanos na revisão dos processos e interessadas, Ouvidoria/SAU, Recursos Humanos, Consultoria Jurídica (CJ) sistemas relacionados à proteção e privacidade de dados pessoais. e o Encarregado de Dados (DPO); SEÇÃO IV III - o fluxo de decisão e de responsabilidade final sobre cada tema GESTÃO TECNOLÓGICA contemplado nesta Política; Art. 31. O uso de tecnologias de Inteligência Artificial (IA), inclusive as IV - a interpretação uniforme das atribuições e o acompanhamento de natureza generativa, deverá observar: da implementação e conformidade. I - proibição de inserção de dados pessoais ou sensíveis, sigilosos e § 1º A Matriz RACI terá vigência concomitante à presente Política e estratégicos em recursos de IA externos sem prévia avaliação da base será atualizada sempre que houver revisão normativa, reorganização legal e garantia de anonimização; institucional ou ajustes necessários ao adequado funcionamento da II - proibição de compartilhamento de documentos institucionais em governança de dados. ferramentas de IA que não sejam oficialmente disponibilizadas ou § 2º A Matriz de Responsabilidades será disponibilizada como Anexo I aprovadas pela ARSESP; desta Política, integrando-a para todos os fins. III - a obrigatoriedade de análise, validação e responsabilidade § 3º As áreas envolvidas deverão observar a Matriz em todas as fases humana sobre todo conteúdo, informação, recomendação, relatório ou do ciclo de vida dos dados, bem como nos fluxos de compartilhamento, produto gerado por sistemas de IA antes de sua utilização em atividades validação técnica, interoperabilidade, controle de acesso, proteção de institucionais ou tomada de decisão; dados pessoais e execução de atividades regulatórias, conforme previsto IV - os projetos envolvendo tecnologias de inteligência artificial e de na estrutura desta Política.

III - a obrigatoriedade de análise, validação e responsabilidade humana sobre todo conteúdo, informação, recomendação, relatório ou produto gerado por sistemas de IA antes de sua utilização em atividades institucionais ou tomada de decisão; IV - os projetos envolvendo tecnologias de inteligência artificial e de informação deverão ser submetidos previamente à análise da Superintendência de Tecnologia da Informação (STI).

DA APLICAÇÃO ESPECÍFICA NAS ÁREAS INTERESSADAS § 1º Somente poderão ser utilizadas, para fins institucionais, Art. 27. A aplicação desta Política observará diretrizes específicas para ferramentas de Inteligência Artificial previamente aprovadas pela determinados processos institucionais, de forma a assegurar que todos Superintendência de Tecnologia da Informação (STI) ou por outra unidade os tratamentos de dados ocorram em conformidade com a LGPD, a LAI e formalmente designada pela ARSESP, observados os requisitos de as normas internas. segurança da informação, proteção de dados, conformidade normativa e SEÇÃO I gestão de riscos.

PROCESSOS REGULATÓRIOS E DE FISCALIZAÇÃO § 2º Toda aplicação de IA deverá observar os princípios da finalidade, Art. 28. A publicação e divulgação dos relatórios de fiscalização, adequação, necessidade, transparência, segurança, prevenção, quando possível, assim como os documentos gerados ou recebidos responsabilização e prestação de contas, bem como as disposições da durante a fiscalização obedecerão aos seguintes princípios: legislação aplicável à proteção de dados pessoais. I - promoção da transparência e do controle social; § 3º A Gerência de Dados poderá emitir normas complementares, II - anonimização prévia de dados pessoais e sensíveis; inclusive com base em recomendações da ANPD e da Estratégia Brasileira III - compatibilização com a Política de Divulgação de Informações da de Inteligência Artificial. ARSESP. Art. 32. Os painéis, relatórios analíticos e apresentações de dados § 1º É vedada a publicação de relatórios que contenham dados institucionais, produzidos com uso de ferramentas como Power BI ou pessoais identificáveis, salvo quando estritamente indispensáveis e relatórios estáticos, deverão: respaldados por base legal específica. I - conter somente dados oficiais validados pela área responsável § 2º Relatórios históricos com dados pessoais deverão ser revisados pelos dados; pela área relatora, progressivamente, com registro das medidas de II - incluir metadados sobre fonte, data da última atualização e adequação realizadas. responsável; § 3º A Gerência de Dados emitirá instrução complementar com III - adotar padronização visual conforme manual institucional da procedimentos de anonimização, catalogação e guarda dos relatórios de ARSESP; fiscalização. IV - excluir ou anonimizar quaisquer dados pessoais, sensíveis ou SEÇÃO II sigilosos antes da publicação externa. DO SERVIÇO DE ATENDIMENTO AO USUÁRIO § 1º A publicação de painéis em ambiente público deverá seguir as Art. 29. O tratamento de dados pessoais realizado no âmbito da recomendações da Gerência de Dados em relação aos padrões. Ouvidoria e do SAU observará as seguintes regras, preservando o sigilo da § 2º A atualização e a manutenção periódica dos painéis serão de identidade do usuário: responsabilidade da área interessada, que detém a base de origem, em I - a coleta e uso de dados pessoais serão limitados ao estritamente conjunto com a Gerência de Dados. necessário para o registro, acompanhamento e resposta das CAPÍTULO IX manifestações; DO CALENDÁRIO ANUAL DE DADOS E INFORMAÇÕES DA ARSESP II - os relatórios estatísticos deverão ser produzidos de forma Art. 33. Fica instituído o Calendário Anual de Dados e Informações da anonimizada; ARSESP, instrumento corporativo que consolida prazos, responsabilidades III - os dados poderão ser utilizados para fins de regulação e e procedimentos relativos ao envio, atualização e disponibilização de fiscalização, preservando o sigilo da identidade do usuário: informações utilizadas pela Agência em suas atividades regulatórias, a) para utilização dos dados pelos usuários internos, que utilizarão fiscalizatórias e administrativas. informações do SAU para finalidade de fiscalização, será elaborado § 1º O Calendário compreenderá os dados periódicos a serem procedimento específico. encaminhados pelos prestadores de serviços regulados, solicitados pelas IV - é vedada a inserção de dados pessoais ou sensíveis nos painéis áreas interessadas da ARSESP. públicos de acompanhamento, salvo quando anonimizados. § 2º O Calendário será formalizado por Portaria da ARSESP, com base Parágrafo único. A Gerência de Dados apoiará a Ouvidoria na na consolidação elaborada pela Gerência de Dados. consolidação e anonimização das bases do SAU, bem como na publicação SEÇÃO I periódica no Portal de Dados Abertos. DAS RESPONSABILIDADES DA GERÊNCIA DE DADOS (GDAD) SEÇÃO III Art. 34. Compete à Gerência de Dados (GDAD): GESTÃO INTERNA E RECURSOS HUMANOS I - elaborar os Requerimentos de Informações (RI) relativos aos Art. 30. O tratamento de dados pessoais realizado pela área de dados periódicos de interesse institucional; Recursos Humanos deverá observar rigorosamente os princípios e II - receber as bases de dados; fundamentos da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados III - verificar a conformidade estrutural e o formato das bases Pessoais - LGPD) e as diretrizes desta Política, garantindo a proteção recebidas via portal de recebimento, assegurando compatibilidade com o integral das informações dos servidores, empregados, estagiários e Diretório de Dados e os padrões definidos; demais colaboradores vinculados à ARSESP.

IV - disponibilizar, via portal, relatório de conformidade das bases recebidas;

V - instruir os processos administrativos de consolidação e publicação do Calendário Anual;

VI - registrar e controlar os prazos previstos de entrega. SEÇÃO II

DAS RESPONSABILIDADES DAS ÁREAS INTERESSADAS Art. 35. Compete às áreas interessadas da ARSESP:

I - encaminhar à GDAD, até o dia 30 de setembro de cada exercício, as informações necessárias para elaboração dos Requerimentos de Informações e composição do Calendário Anual;

II - solicitar à GDAD a inclusão de novos pedidos de dados ou alterações em bases existentes, quando houver revisão normativa ou necessidade operacional; III - preencher e manter atualizadas as fichas de metadados e os dicionários de dados correspondentes às bases sob sua responsabilidade;

IV - encaminhar à GDAD todas as informações e justificativas solicitadas durante a elaboração dos RI e do Calendário; V - validar os Requerimentos de Informações (RI) elaborados pela GDAD antes do envio aos prestadores, exceto quanto às características técnicas dos dados (metadados);

VI - controlar e acompanhar, sendo corresponsável pelos prazos previstos de entrega;

VII - reiterar solicitações de dados aos prestadores, em caso de atraso ou envio em desacordo com solicitado no RI; VIII - analisar, auditar e fiscalizar os dados recebidos, manifestandose sobre sua qualidade e consistência, exceto quanto aos requisitos técnicos;

IX - decidir, em conjunto com a GDAD, sobre pedidos de dilação de prazo formulados pelos prestadores de serviço; X - solicitar, receber e armazenar os dados de caráter não periódico e não histórico, mantendo a GDAD informada sobre essas solicitações; XI - informar à GDAD sobre a atualização dos metadados e do calendário, sempre que houver mudança de periodicidade, formato ou fonte de informação. SEÇÃO III

DA ELABORAÇÃO E PUBLICAÇÃO DO CALENDÁRIO

Art. 36. A Gerência de Dados consolidará as informações recebidas das áreas interessadas, verificará sua compatibilidade e validará o conteúdo com as respectivas Superintendências até o dia 15 de novembro de cada exercício.

Art. 37. A versão final do Calendário Anual de Dados e Informações da ARSESP deverá ser: I - publicada no sítio eletrônico institucional até o dia 1º de dezembro de cada exercício;

II - comunicada formalmente aos prestadores de serviços regulados e demais partes interessadas.

Art. 38. O Calendário poderá ser revisado a qualquer tempo, mediante justificativa técnica da área interessada e aprovação da GDAD, devendo as alterações serem formalizadas em nova Portaria e publicadas no mesmo canal de divulgação.

CAPÍTULO X DA VALIDAÇÃO PELA SUPERINTENDÊNCIA DE TECNOLOGIA DA INFORMAÇÃO Art. 39. Deverá ser submetida à validação prévia pela Superintendência de Tecnologia da Informação (STI) toda Deliberação, Estudo Técnico, Instrução de Trabalho ou documento regulatório que envolva:

I - solicitação, coleta ou envio de dados a prestadores de serviços regulados;

II - criação ou alteração de sistemas de informação; III - definição de indicadores ou parâmetros baseados em dados; IV - regulação, fiscalização ou monitoramento baseados em dados estruturados.

Art. 40. Para fins de validação do previsto no art. 39, as Deliberações, Estudos Técnicos, Instruções de Trabalho e demais documentos regulatórios deverão ser acompanhados do modelo de estrutura dos dados, da ficha de metadados e do dicionário de variáveis, conforme padrão disponibilizado pela Gerência de Dados. Parágrafo único. O modelo da estrutura dos dados, a ficha de metadados e o dicionário de variáveis deverão integrar o conteúdo da Nota Técnica que fundamentar as deliberações enquadradas no art. 39. Art. 41. A validação da STI terá como objetivo garantir que a norma proposta: I - disponha de estrutura adequada de recebimento e armazenamento dos dados; II - apresente padrões compatíveis de formato e dicionário de dados; III - esteja tecnicamente integrada com o Diretório de Dados da ARSESP e com as bases existentes; IV - não gere redundâncias, sobreposição de solicitações ou riscos à segurança da informação; V - observe os padrões corporativos de interoperabilidade, metadados e governança estabelecidos pela Política de Governança, Compartilhamento e Proteção de Dados. Art. 42. O processo de validação será conduzido pela Superintendência de Tecnologia da Informação (STI), com apoio da Gerência de Dados (GDAD) e da Gerência de Tecnologia da Informação (GTI), devendo ser registrada manifestação formal no processo administrativo que instrui a minuta da norma ou deliberação. Parágrafo único. A manifestação da STI não versará sobre o mérito regulatório, mas exclusivamente sobre os aspectos técnicos e estruturais relativos à gestão da informação, interoperabilidade e segurança.

Art. 43. A manifestação da STI constitui requisito instrutório obrigatório nos processos que envolvam aspectos de governança e gestão de dados, devendo eventuais pendências técnicas ser expressamente apontadas à unidade proponente e submetidas ao Conselho Diretor juntamente com a proposta normativa.

§ 1º A manifestação da STI não possui efeito vinculante quanto à apreciação do mérito pelo Conselho Diretor.

§ 2º Caberá à STI comunicar formalmente à unidade proponente e à Gerência de Dados eventuais pendências técnicas que motivarem a não validação, indicando os ajustes necessários para viabilizar a apreciação da matéria pelo Conselho Diretor.

Este documento pode ser verificado pelo código E.2026.09.09.1.77.1 em http://www.doe.sp.gov.br/autenticidade

Documento assinado digitalmente conforme MP nº 2.200-2/2001, que institui a Infraestrutura de Chaves Públicas (ICP-Brasil).