LEI MUNICIPAL Nº 326/2025, DE 04 DE JUNHO DE 2025.

O PREFEITO MUNICIPAL DE VERA MENDES, Estado do Piauí, no uso das atribuições que lhe são conferidas pela Lei Orgânica do Município, faz saber, que a Câmara Municipalaprovou e eu sanciono a seguinte Lei:

CAPÍTULO I DISPOSIÇÕES PRELIMINARES

Art. 1° Esta lei estabelece medidas preparatórias, ações iniciais e regulamenta a adequação às disposições contidas na Lei Geral de Proteção de Dados Pessoais - LGPD, no âmbitodo Poder ExecutivoMunicipal, estabelecendo competências, procedimentos e providências a serem observadas por seus órgãos e entidades, visando a garantia da proteção de dados pessoais.

Parágrafo único - As normasgerais contidas nestalei são de interesse municipal e devem ser observadas pelos órgãos e entidades, da administração pública direta e indireta, no âmbito do Poder Executivo.

Art. 2° Esta lei aplica-sea qualquer operaçãode tratamento de dados pessoais, desde que realizada no âmbito do Poder Executivo do Município de Vera Mendes/PI.

§ 1º - Considera-se realizada no âmbito do Poder Executivo do Município de Vera Mendes/PI, a operação de tratamento de dados pessoais cujo procedimento ocorra pelos órgãos ou entidades da Administração Direta ou Indireta do Poder Executivo Municipal.

§ 2º - Excetua-se do disposto no caput deste artigo, o tratamento de dados previstono art. 4º da Lei Federal nº 13.709, de 14 de agosto de 2018.

Art. 3º Para os fins desta lei, considera-se:

I  - Relatório de impacto à proteçãode dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoaisque podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

1

a)    trata-se, ainda, de documento de comunicação e transparência que orienta a descrição dos processos de tratamento de dados pessoaisque possam gerar riscos, bem como medidas, salvaguardas e mecanismos de mitigação;

II   - planejamento da adequação a LGPD: conjunto de regras de boas práticas e de governança de dados pessoais, que estabelecem as condições de organização, o regime de funcionamento, as políticas e os procedimentos, as normas de segurança, os padrões técnicos, os requisitos para o tratamento legítimo de dados, o sigilo das informações, as obrigações específicas, as ações educativas, os regramentos e determinações internas de supervisão e de mitigação de riscos, o plano de respostas a incidentes, a adoção de mecanismos de segurança desde a concepção de novos produtosou serviços, entre outros aspectos relacionados ao tratamento de dados pessoais;

III  - programa de governança em privacidade: apresenta os principais pontos da LGPD, fornecendo os subsídios para a criação deum programa institucional de gerenciamento da privacidade;

IV - inventário de dados pessoais: inventário de todasas operações de tratamento de dados pessoais e suas avaliações sob a ótica dos princípios da LGPD; e

V - avaliação de riscos: identificação e mensuração de riscos de governança e privacidade, mitigando-os com a adoção de controles apropriados.

CAPÍTULO II

DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS

Seção I

Do Controlador

Art. 4° O Controlador perante a Lei 13.709/18 será a pessoa jurídica correspondente ao Poder Executivo do Município de Vera Mendes/PI, a quem competem as decisões referentes ao tratamento de dados pessoais.

§ 1º - A pessoa jurídica correspondente a cada órgão, unidade ou entidade do Poder Executivo Municipal, diz respeito àquela pessoa com Cadastro Nacional de Pessoas Jurídicas (CNPJ) ativo e administrada pelo Poder Executivo deste município, possui obrigações típicas de controlador no uso compartilhado de dados pessoais triviais e sensíveis, devendo atender as obrigações estabelecidas pela LGPD.

§ 2º - O PoderExecutivo municipal abrangeos órgãos e entidades da administração direta e indireta.

Subseção I

Da Comissão Municipalde Proteção de Dados Pessoais e da Privacidade

2

Art. 5° O Controlador será assessorado por Comissão Municipal de Proteção de Dados Pessoais e da Privacidade (CMPD), responsável pela definição, deliberação e edição de conteúdo sobre a matéria de proteção de dados pessoais no âmbito deste município.

§ 1º - A comissão deve ser composta por, no mínimo, 1 (um) integrante de cada unidade administrativa, a menos que a unidade não efetue tratamento de dados pessoais.

§ 2º - A comissão deve ser multidisciplinar, composta por membros de notório conhecimento em matéria jurídica, fluxo de processos, fluxo de dados, segurança da informação e proteção dados, de tecnologia da informação, de negócio e, por fim, transparência no setor público.

§ 3º - Compete à Comissão Municipal de Proteção de Dados Pessoais e da Privacidade (CMPD), em sua primeira reunião, mediante a presença de todos os seus integrantes, iniciar os trabalhos de elaboração do seu regimento interno.

Seção II Da Operador

Art. 6° Cada pessoa física ou jurídica, que realize tratamento de dados pessoaisem nome do órgão ou entidade, será considerada Operador.

§ 1º - O contratado do operador para auxiliá-lo a realizar o tratamento de dados pessoais em nome do controlador será o suboperador.

§ 2º - Independentemente dos arranjos institucionais entre operador e suboperador, ambos podem desempenhar, a depender do caso concreto, a função de operador, inclusive compartilhando responsabilidades.

CAPÍTULO III DO ENCARREGADO

Art. 7° O Encarregado é responsável por atuar como canal de comunicação entre o Controlador, os Titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Art. 8° O Encarregado pelo tratamento de dados pessoaisindicado:

I       - possuir conhecimentos multidisciplinares essenciais a sua atribuição, preferencialmente, os relativos aos temas de privacidade e proteção de dados pessoais, de análise jurídica, de gestão de riscos, de governança de dados e de acessoà informação no setor público; e

II   - não deverá se encontrar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação do Controlador.

3

Art. 9° A identidade e as informações de contato (nome, endereço e telefone de contato) do Encarregado devem ser divulgadas publicamente, de forma clara e objetiva, no sítio eletrônico do Controlador conforme referido no art. 41, § 1°, da LGPD.

Parágrafo único - O Controlador poderá divulgar a identidade e as informações de contato do Encarregado em hotsite próprio com informações sobre a aplicação da LGPD.

Art. 10. A autoridade máximado Controlador deveráassegurar ao Encarregado: I - acesso direto e imediato à alta administração;

II   -pronto apoio das unidades administrativas no cumprimento das solicitações, respeitando o prazo fixado; e

III   -pronta comunicação, de forma adequadae em tempo hábil, sobre questões relacionadas à proteção de dados pessoais.

Parágrafo único - Para fins do inciso I do caput deste artigo, considera-se como alta administração os agentes políticos, os ocupantes de cargos em comissão e os detentores de funções gratificadas, respeitados os respectivos níveis hierárquicos.

Art. 11. As atividades do encarregado pelo tratamento de dados pessoaisconsistem em:

I   - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II  - recebercomunicações da autoridade nacional e adotar providências;

III  - orientaros funcionários e os contratados do órgão ou entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

IV  - submeter à Comissão Municipal de Proteção de Dados Pessoais e da Privacidade (CMPD), sempre que julgar necessário, matérias atinentes a esta lei e a LGPD;

V   - determinar ao responsável por unidade administrativa, a realização de estudos técnicos para elaboração das diretrizes previstas no relatório de impacto à proteção de dados pessoais;

VI  - decidirsobre as sugestões formuladas pela autoridade nacional a respeitoda adoção de padrões e de boas práticas para o tratamento de dados pessoais conforme art. 32 da LGPD;

VII  - providenciar a publicação dos relatórios de impacto à proteção de dados pessoais previstos pelo art. 32 da LGPD;

VIII   - elaborar apontamentos e requisitar providências ao responsável por unidade administrativa, sempre que necessário e sobre matéria referente à aplicação desta lei, à aplicação da LGPD e à proteção de dados pessoais;

IX - organizare coordenar a primeira reuniãoda CMPD de acordo com o estipulado no § 3º do art. 5º; e

X  - executaras demais atribuições determinadas pelo controlador, a exemplo do art. 19, ou estabelecidas em normas complementares.

4

§ 1º - O Encarregado terá os recursos operacionais e financeiros necessários ao desempenho de suas funções e à manutenção dos seus conhecimentos, bem como acesso motivado a todas as operações de tratamento.

§ 2º - O Encarregado está impreterivelmente vinculado à obrigação de sigilo ou de confidencialidade no exercício das suas funções.

CAPÍTULO IV

DAS MEDIDAS PREPARATÓRIA E DAS AÇÕESINICIAIS

Art. 12. Compete a cada Controlador, o estabelecimento e a divulgação de canal de ouvidoria próprio para comunicação entre o Encarregado pelo tratamento de dados pessoais e o Titular dos respectivos dados.

§ 1º - O canal de atendimento deve ser baseadoem formulário eletrônico ou sistema para atendimento de solicitações, sugestões e/ou reclamações, que concentrará todas as comunicações entre os Titulares dos dados e o Encarregado.

§ 2º - O canal de atendimento deve possuir fluxo para atendimento aos direitos dos titulares (art. 18, 19 e 20 da LGPD), solicitações, sugestões e/ou reclamações apresentadas, desde o seu ingresso até a adoção das providências cabíveis.

Art. 13. Cabe a cada Controlador, a organização das suas unidadesde corregedoria ou de apuração de responsabilidades em relação ao estabelecimento de regramentos e determinações de supervisão no contexto das suas atribuições em alinhamento ao previsto nesta lei e na LGPD.

Art. 14. É de responsabilidade de cada Controlador, dentre outros, o planejamento, a realização e a melhoria continuada dos procedimentos de:

I  - regramento, mapeamento e levantamento de dados e dos respectivos fluxos dentre suas unidades organizacionais, bem como em relação aos seus compartilhamentos;

II  - estabelecimento do programa de governança em privacidade, incluindo política de privacidade e aviso de cookies;

III  - inventário de dados pessoais;

IV   - estabelecimento de termos de uso e políticas de segurança e tecnologia da Informação;

V - avaliação de riscos;

VI   - adequação de contratos com o estabelecimento de regras mínimas e revisão de minutas de contratos, instrumentos de parceria e congêneres, que autorizem tratamento de dados pessoais e sigilo de informações, em conformidade com a LGPD;

VII  - confecção do relatório de impacto à proteção de dados pessoais, quandosolicitado;

VIII  - implementação do plano de resposta a incidentes de segurança; e

5