DOMPE 21/09/2026 Extra - Diario Oficial dos Municipios de Pernambuco

TEXTO OFICIAL · ÍNTEGRA

Pernambuco , 21 de Setembro de 2026 • Diário Oficial dos Municípios do Estado de Pernambuco • ANO XVII | Nº 4186a - Edição Extraordinária

controladores, os operadores, os encarregados e as unidades de apoio, observadas as competências legais e regulamentares.

§1º Os órgãos da Administração Pública Municipal Direta e Indireta, nos termos da Lei Federal nº 13.709, de 2018, deverão seguir a PMPDP, observando as exigências deste Decreto, e realizar e manter atualizados:

I – o mapeamento dos dados pessoais existentes e dos fluxos de dados pessoais em suas unidades;

II – o Inventário do Tratamento de Dados Pessoais em suas unidades, que consiste no registro das operações de tratamento de dados pessoais na Prefeitura;

III – o Relatório de Impacto à Proteção de Dados (RIPD), quando solicitado ou quando o tratamento dos dados pessoais apresentar riscos relevantes;

IV – a elaboração da política de segurança, privacidade e governança de dados pessoais.

Art. 7º No âmbito da Administração Pública Municipal direta, o Município de Goiana será considerado controlador dos dados pessoais tratados no exercício das competências institucionais do Poder Executivo, sem prejuízo da atuação dos órgãos e autoridades responsáveis pela execução das respectivas políticas públicas.

Parágrafo Único: Compete ao Secretário Municipal ou à autoridade equivalente responsável pela política pública, órgão, unidade ou processo de tratamento tomar as decisões setoriais relativas ao tratamento de dados pessoais, no âmbito de suas atribuições legais e em conformidade com as diretrizes do Município, inclusive quanto à execução do tratamento, à necessidade do tratamento, aos meios administrativos e operacionais empregados e às medidas de segurança e conformidade aplicáveis.

Art. 8º As entidades da Administração Indireta dotadas de personalidade jurídica própria serão consideradas controladoras dos tratamentos realizados no exercício de suas competências institucionais, respondendo pela respectiva governança e pela indicação de seu encarregado, observada a legislação aplicável.

Parágrafo único. Poderão ser adotados mecanismos compartilhados de apoio, capacitação, segurança e governança entre o Município e as entidades da Administração Indireta, sem confusão entre as responsabilidades de cada controlador.

§ 2º No âmbito da Administração Pública Indireta, a designação do Encarregado será formalizada por portaria da autoridade máxima do órgão ou entidade, a ser publicada no Diário Oficial do Município.

§3º A identidade e as informações de contato do Encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, no sítio eletrônico do respectivo controlador.

§4º Mediante justificativa, considerando a estrutura administrativa, a extensão das atividades de tratamento de dados pessoais ou a necessidade de descentralização das atribuições, poderá ser designado mais de um Encarregado, inclusive com a indicação de Encarregado Setorial, responsável por atuar no âmbito de determinada Secretaria, órgão ou unidade administrativa.

Art. 10 O operador é a pessoa natural ou jurídica, de direito público ou privado responsável por realizar o tratamento de dados pessoais em nome do controlador e conforme a finalidade por este delimitada, nos termos do art. 5º, inciso VII, e do art. 39, ambos, da LGPD.

Parágrafo único. Compete ao Operador:

I – realizar o tratamento dos dados conforme as diretrizes fornecidas pelo controlador, garantindo o cumprimento adequado das normas vigentes.

II – manter os dados pessoais protegidos de acesso não autorizado, divulgação, destruição, perda acidental ou qualquer tipo de violação de dados pessoais;

III – manter registros das operações de tratamentos de dados pessoais que realizar;

IV – observar as boas práticas e padrões de governança previstos na Lei Federal nº 13.709, de 2018;

V – comunicar ao Controlador, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da Lei Federal nº 13.709, de 2018;

VI - dentro dos parâmetros definidos pelo controlador e no pleno exercício de sua capacidade técnica, escolher sobre:

a) sistema, método ou ferramentas utilizadas para coletar os dados pessoais;

b) meios utilizados para transferir os dados pessoais de uma organização para outra;

Art.9º Compete ao controlador:

I — aprovar diretrizes e instrumentos, prover as condições necessárias e promover ações destinadas à efetividade da Política Municipal de Proteção de Dados Pessoais;

II - designar o Encarregado pelo Tratamento de Dados Pessoais e assegurar as condições necessárias ao exercício de suas atribuições;

III - elaborar ou determinar a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, com apoio do encarregado e das áreas jurídica, tecnológica e finalística competentes;

IV - fornecer aos operadores termos de uso, manuais de instruções e treinamento dos tratamentos sob sua responsabilidade; e

V – avaliar, com o apoio do Encarregado e das unidades competentes, os incidentes de segurança que possam acarretar risco ou dano relevante aos titulares e, quando cabível, promover as comunicações à Autoridade Nacional de Proteção de Dados – ANPD e aos titulares, nos termos da legislação aplicável.

§1º A designação do Encarregado deverá observar as prerrogativas, competências e qualificações necessárias ao adequado exercício da função e será formalizada por meio de Portaria do Chefe do Poder Executivo, a ser publicada no Diário Oficial dos Municípios.

c) métodos utilizados para recuperar dados pessoais de determinados indivíduos;

d) maneira de garantir que o método por trás do cronograma de retenção seja respeitado;

e) meio de garantir a segurança dos dados; e

f) método de armazenamento de dados pessoais.

Art. 11 . São atribuições do Encarregado pelo Tratamento de Dados Pessoais:

I - apoiar a Política Municipal de Proteção de Dados Pessoais, no sentido de:

a) coordenar metodologicamente e orientar o mapeamento e o inventário dos processos de tratamento de dados pessoais realizados pelos órgãos e entidades municipais, inclusive em meios digitais;

b) analisar a maturidade dos tratamentos em face dos objetivos e metas estabelecidos e do consequente risco de incidentes de privacidade;

www.diariomunicipal.com.br/amupe 3