DOMRS 14/10/2026 - Diario Oficial dos Municipios do Rio Grande do Sul

TEXTO OFICIAL · ÍNTEGRA

Rio Grande do Sul , 14 de Outubro de 2026 • Diário Oficial dos Municípios do Estado do Rio Grande do Sul • ANO XVIII | Nº 4435

escala, monitoramento sistemático, tecnologias inovadoras ou quando solicitado pela ANPD.

Parágrafo único. O RIPD conterá a descrição dos tratamentos, a análise da necessidade e proporcionalidade, os riscos e as medidas de mitigação e será submetido ao encarregado e à área jurídica, preservados os sigilos legais.

Art. 16. Os dados pessoais serão conservados somente pelo prazo necessário às finalidades, observadas as obrigações legais, as tabelas de temporalidade, as normas de gestão documental e as hipóteses do art. 16 da LGPD, com eliminação segura ou anonimização quando cabível.

CAPÍTULO IV

DA TRANSPARÊNCIA E DOS DIREITOS DOS TITULARES Art. 17. O Município manterá, em seção específica do sítio eletrônico oficial:

I - a identidade e as informações de contato do encarregado;

II - a Política Municipal de Privacidade e Proteção de Dados Pessoais; III - informações claras e atualizadas sobre os tratamentos, suas finalidades, bases legais e compartilhamentos relevantes;

IV - o canal e as orientações para o exercício dos direitos dos titulares;

V - avisos de privacidade específicos, quando necessários;

VI - comunicações públicas de incidentes, quando exigidas.

Art. 18. O titular poderá exercer os direitos previstos na LGPD pelos canais da Ouvidoria, pelo protocolo presencial ou por canal eletrônico específico.

§ 1º A identidade do requerente será confirmada por método seguro, idôneo e proporcional ao risco do pedido, vedada a coleta excessiva de dados para autenticação.

§ 2º O pedido será encaminhado ao encarregado e à unidade responsável, que deverão localizar as informações, avaliar o direito aplicável e responder de forma clara, observados os prazos legais e regulamentares.

§ 3º A resposta poderá ser total ou parcialmente indeferida quando houver fundamento legal, dever de sigilo, necessidade de preservação de direitos de terceiros ou obrigação de conservação, devendo ser indicada a justificativa e o canal de revisão.

§ 4º Os pedidos de acesso a informações pessoais apresentados com fundamento na Lei de Acesso à Informação observarão também a Lei Federal nº 12.527/2011 e a regulamentação municipal. CAPÍTULO V

DO COMPARTILHAMENTO, DAS CONTRATAÇÕES E DOS SISTEMAS

Art. 19. O uso compartilhado de dados pessoais pelo Poder Público observará os arts. 26 e 27 da LGPD, a finalidade pública, a competência legal, a necessidade, a transparência, a segurança e o registro da operação.

Art. 20. A transferência ou comunicação de dados pessoais a pessoa jurídica de direito privado somente ocorrerá nas hipóteses legais e mediante instrumento que estabeleça, conforme o caso:

I - o objeto, a finalidade, as categorias de dados e de titulares;

II - os papéis e as responsabilidades dos agentes de tratamento; III - as instruções documentadas e a limitação do tratamento às finalidades autorizadas;

IV - os deveres de confidencialidade e as medidas de segurança; V - as condições para subcontratação;

VI - a cooperação no atendimento aos titulares e à ANPD;

VII - o prazo para comunicação de incidentes ao Município;

VIII - as regras de retenção, devolução, eliminação e portabilidade; IX - os mecanismos de auditoria, continuidade e responsabilização. Art. 21. A transferência internacional de dados pessoais somente será realizada quando atendidos os requisitos da Lei Federal nº 13.709/2018 e da regulamentação da ANPD, especialmente quanto à existência de hipótese legal para o tratamento, mecanismo válido de transferência internacional, adoção de medidas de segurança, limitação ao mínimo necessário e cumprimento dos deveres de transparência perante os titulares.

Art. 22. As contratações, aquisições, desenvolvimento e manutenção de sistemas que envolvam dados pessoais deverão incorporar privacidade e segurança desde a concepção e por padrão, controle de acessos, registros, trilhas de auditoria, cópias de segurança, atualização, segregação e requisitos de portabilidade e eliminação. CAPÍTULO VI DA SEGURANÇA DA INFORMAÇÃO E DOS INCIDENTES

Art. 23. O Município adotará medidas técnicas e administrativas proporcionais aos riscos, incluindo, conforme a criticidade:

I - gestão de identidades e acessos, privilégio mínimo e autenticação adequada;

II - registros de eventos e trilhas de auditoria;

III - cópias de segurança protegidas e testes documentados de restauração;

IV - atualização de sistemas e correção de vulnerabilidades; V - proteção de redes, estações de trabalho, dispositivos e arquivos físicos;

VI - criptografia em trânsito e, quando cabível, em repouso; VII - descarte seguro de documentos, mídias e equipamentos;

VIII - continuidade dos serviços e resposta a incidentes.

Art. 24. Qualquer suspeita de incidente envolvendo dados pessoais deverá ser comunicada imediatamente à área de Tecnologia da Informação, ao encarregado e à chefia da unidade, preservando-se as evidências e evitando-se comunicações externas não autorizadas.

Art. 25. O encarregado, com o apoio da equipe de resposta a incidentes, avaliará o evento e submeterá à autoridade competente formalmente definida pelo controlador a decisão fundamentada sobre a comunicação à ANPD e aos titulares, sem prejuízo da ciência da alta administração nos incidentes relevantes.

§ 1º O incidente que possa acarretar risco ou dano relevante aos titulares será comunicado à ANPD e aos titulares no prazo de 3 (três) dias úteis, contado do conhecimento de que o incidente afetou dados pessoais, ressalvada a existência de prazo específico diverso.

§ 2º Quando não for possível fornecer todas as informações no prazo referido no § 1º, a comunicação poderá ser complementada, de forma fundamentada, no prazo estabelecido pela regulamentação da ANPD.

§ 3º Todo incidente, comunicado ou não, será registrado e conservado pelo prazo estabelecido pela regulamentação da ANPD, sem prejuízo das normas de gestão documental aplicáveis ao Poder Público.

§ 4º O Município manterá Plano de Resposta a Incidentes, aprovado por ato próprio e submetido a exercícios e revisões periódicas. CAPÍTULO VII

DA POLÍTICA MUNICIPAL DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS Seção I

Das Diretrizes Gerais

Art. 26. Fica instituída a Política Municipal de Privacidade e Proteção de Dados Pessoais, aplicável aos órgãos da Administração Direta e aos agentes públicos, estagiários, contratados, conveniados, operadores e demais pessoas que realizem tratamento de dados pessoais em nome do Município.

Art. 27. São diretrizes da Política Municipal de Privacidade e Proteção de Dados Pessoais:

I - proteger os direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade;

II - assegurar o tratamento de dados pessoais para finalidades públicas legítimas, específicas e compatíveis com as competências legais do Município;

III - limitar a coleta e a utilização aos dados adequados, pertinentes e não excessivos em relação às finalidades; IV - promover transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas;

V - incorporar a privacidade e a proteção de dados desde a concepção de processos, serviços, sistemas e contratações e, quando aplicável, por padrão;

VI - fortalecer a confiança dos titulares no tratamento de dados pessoais realizado pela Administração Pública.

Seção II

Das Bases Legais e dos Tratamentos de Maior Risco

Art. 28 . As unidades deverão identificar e documentar a base legal aplicável a cada operação de tratamento, observadas as hipóteses previstas nos arts. 7º, 11 e 23 da LGPD e, especialmente, o cumprimento de obrigação legal ou regulatória, a execução de políticas públicas, a proteção da vida, a tutela da saúde, o exercício regular de direitos e as demais hipóteses compatíveis com a atuação do Poder Público.

§ 1º O consentimento somente será utilizado quando juridicamente adequado ao contexto do tratamento e inexistir base legal mais apropriada à finalidade pública.

www.diariomunicipal.com.br/famurs 59