DOMRS 14/10/2026 - Diario Oficial dos Municipios do Rio Grande do Sul

TEXTO OFICIAL · ÍNTEGRA

Rio Grande do Sul , 14 de Outubro de 2026 • Diário Oficial dos Municípios do Estado do Rio Grande do Sul • ANO XVIII | Nº 4435

II - ponto focal: agente público indicado por cada secretaria ou unidade para apoiar o encarregado e o Comitê;

III - inventário de dados pessoais: registro estruturado das operações de tratamento de dados pessoais;

IV - RIPD: Relatório de Impacto à Proteção de Dados Pessoais; V - incidente de segurança: evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais;

VI - privacidade desde a concepção e por padrão: integração de salvaguardas desde o planejamento de processos, serviços e sistemas, com adoção das configurações mais protetivas compatíveis com a finalidade pública.

Art. 4º As atividades de tratamento de dados pessoais observarão a boa-fé, os princípios previstos no art. 6º da LGPD, a finalidade pública, a persecução do interesse público, as competências legais do Município e os direitos dos titulares. CAPÍTULO II

DA GOVERNANÇA E DAS RESPONSABILIDADES

Art. 5º A governança do Programa será exercida:

I - pelo Chefe do Poder Executivo, na condição de representante do controlador;

II - pelo encarregado pelo tratamento de dados pessoais;

III - pelo Comitê Municipal de Governança em Privacidade e Proteção de Dados;

IV - pelos titulares das secretarias e das unidades administrativas;

V - pelos pontos focais;

VI - pelos agentes públicos e prestadores de serviços que realizem tratamento de dados pessoais.

Seção I

Do Encarregado pelo Tratamento de Dados Pessoais

Art. 6º O encarregado pelo tratamento de dados pessoais será formalmente designado por Portaria, recaindo a indicação, preferencialmente, sobre servidor público de reputação ilibada, observadas a qualificação necessária ao desempenho das atribuições, a inexistência de conflito de interesses e a regulamentação expedida pela ANPD.

§ 1º O ato de designação indicará expressamente as formas de atuação e as atividades do encarregado, nos termos da LGPD, deste Decreto e da regulamentação da ANPD, e designará substituto para atuar nas ausências, impedimentos e vacância do titular.

§ 2º O ato de designação do encarregado e de seu substituto será publicado no Diário Oficial, e a identidade, as informações de contato e as formas de atuação do encarregado serão divulgadas no sítio eletrônico oficial, de forma clara, objetiva, destacada e atualizada.

§ 3º O Município assegurará ao encarregado autonomia técnica, acesso direto à alta administração, recursos humanos, técnicos e administrativos, tempo adequado e acesso às unidades e às informações necessárias ao exercício de suas atribuições.

§ 4º O encarregado deverá declarar situações de conflito de interesses e comunicar qualquer circunstância superveniente, cabendo ao controlador adotar as medidas pertinentes, especialmente quando outras atribuições do designado envolverem decisões estratégicas sobre as finalidades ou os meios do tratamento de dados pessoais que possam comprometer sua atuação independente.

§ 5º O encarregado não responde pessoalmente pela conformidade dos tratamentos realizados pelo Município, sem prejuízo da responsabilidade por atos próprios praticados com dolo ou culpa, nos termos da legislação.

Art. 7º Compete ao encarregado, além das atribuições previstas no art. 41 da LGPD e na regulamentação da ANPD:

I - receber reclamações e comunicações dos titulares, prestar esclarecimentos, encaminhar os pedidos às unidades responsáveis e acompanhar as providências;

II - receber comunicações da ANPD e coordenar seu atendimento; III - orientar os agentes públicos, contratados e operadores a respeito das práticas de proteção de dados pessoais;

IV - assessorar o controlador e o Comitê, com independência técnica; V - coordenar inventários, avaliações de risco, RIPDs e registros de incidentes, sem substituir as unidades responsáveis;

VI - emitir recomendações e acompanhar planos de ação;

VII - manter registro das atividades realizadas;

VIII - apoiar a elaboração de relatórios e respostas aos órgãos de controle. Seção II

Do Comitê Municipal

Art. 8º Fica instituído o Comitê Municipal de Governança em Privacidade e Proteção de Dados, de natureza consultiva, propositiva, coordenadora e permanente, cuja composição será definida por portaria.

§ 1º O Comitê será integrado, no mínimo, por representantes das áreas de Administração, Tecnologia da Informação, Jurídica, Controle Interno, Ouvidoria, Recursos Humanos, Saúde, Educação e Assistência Social, podendo convidar representantes de outras unidades.

§ 2º A participação no Comitê será considerada serviço público relevante e não será remunerada.

§ 3º O encarregado participará das reuniões do Comitê na condição de assessor permanente, preservadas sua autonomia e independência técnica.

Art. 9º Compete ao Comitê:

I - propor políticas, padrões, formulários, procedimentos e planos; II - priorizar ações com base em riscos;

III - acompanhar o cronograma, os indicadores e as evidências de implementação;

IV - apreciar as recomendações do encarregado e acompanhar as providências delas decorrentes, preservada sua autonomia técnica;

V - apoiar a resposta a incidentes relevantes;

VI - promover a integração entre privacidade, segurança da informação, transparência, gestão documental, contratações e gestão de riscos;

VII - produzir relatório anual de implementação; VIII - manter atas e registros de suas decisões. Seção III

Dos Titulares das Unidades, Pontos Focais e Demais Agentes Art. 10. Compete aos titulares das secretarias e das unidades administrativas:

I - assegurar o cumprimento deste Decreto em sua área;

II - indicar ponto focal titular e substituto;

III - identificar e registrar os tratamentos, riscos, operadores e compartilhamentos;

IV - implementar medidas corretivas, preventivas e de segurança; V - comunicar imediatamente qualquer suspeita de incidente;

VI - assegurar a participação dos agentes em capacitações;

VII - submeter novos processos, sistemas, contratações e compartilhamentos à avaliação de privacidade, quando aplicável.

Art. 11. Compete aos pontos focais apoiar o levantamento de informações, manter interlocução com o encarregado e o Comitê, acompanhar as ações de sua unidade e preservar as respectivas evidências.

Art. 12 . Todo agente público ou prestador que tenha acesso a dados pessoais deverá observar as instruções do controlador, o sigilo funcional, as políticas municipais e as medidas de segurança, utilizando os dados exclusivamente para finalidades autorizadas. CAPÍTULO III

DO PLANEJAMENTO, DO INVENTÁRIO E DA GESTÃO DE RISCOS

Art. 13. O Programa será executado por meio de plano de ação documentado, aprovado e revisado anualmente, contendo, no mínimo, ações, responsáveis, prazos, indicadores, riscos, prioridades e evidências de execução.

Art. 14. Cada unidade deverá elaborar e manter atualizado o inventário de suas operações de tratamento de dados pessoais, contendo, no mínimo:

I - identificação do processo, da finalidade pública e da competência legal;

II - categorias de titulares e de dados, com destaque para dados pessoais sensíveis e dados de crianças e adolescentes; III - base legal aplicável;

IV - formas de coleta, utilização, armazenamento, acesso, compartilhamento, retenção e eliminação;

V - sistemas, arquivos físicos e locais de armazenamento;

VI - operadores e controladores conjuntos, quando houver;

VII - medidas técnicas e administrativas de segurança;

VIII - riscos identificados e medidas de tratamento;

IX - responsável interno e data da última revisão.

Art. 15 . A elaboração do RIPD será priorizada quando o tratamento puder gerar alto risco aos direitos e às liberdades dos titulares, envolver dados pessoais sensíveis, crianças ou adolescentes, larga

www.diariomunicipal.com.br/famurs 58