RESOLUÇÃO DPGERJ N° 1235 DE 19 DE OUTUBRO DE 2023

A DEFENSORA PÚBLICA-GERAL DO ESTADO DO RIO DE JANEIRO, no uso das atribuições que lhe foram conferidas pelo artigo 8º, I da Lei Complementar n.° 06/77;

CONSIDERANDO o disposto no artigo 46 da Lei 13.709/18, que trata da segurança e do sigilo de dados, impondo aos agentes de tratamento a obrigação de “adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito”;

CONSIDERANDO o disposto no artigo 47 da Lei 13.709/18, que trata da obrigação dos agentes de tratamento em garantir a segurança da informação em relação aos dados pessoais, mesmo após o término do tratamento de dados;

CONSIDERANDO o disposto no artigo 50 da Lei 13.709/18, que permite aos agentes de tratamento, no âmbito das suas competências, formular regras de boas práticas e de governança que estabeleçam as normas de segurança, os padrões técnicos e as obrigações específicas para os diversos envolvidos no tratamento;

CONSIDERANDO o disposto no artigo 3º, II da Resolução DPGERJ n. 1090, de 09 de abril de 2021;

CONSIDERANDO o constante nos autos do processo E-20/001.004545/2023; CONSIDERANDO que, para cumprimento das funções institucionais, a Defensoria Pública do Rio de Janeiro compartilha acesso a banco de dados pessoais próprios e/ou de terceiros, devendo ser observada a finalidade pública, a persecução do interesse público e o cumprimento das suas atribuições legais;

RESOLVE:

Art. 1°. Estabelecer no âmbito da Defensoria Pública do Estado do Rio de Janeiro normas e diretrizes para a utilização de Bancos de Dados próprios e/ou de terceiros, com a finalidade de cumprimento das suas funções institucionais, previstas no artigo 4º da Lei Complementar 80/94 e artigo 6º da LC 06/77.

Art. 2°. Para fins desta Resolução, considera-se:

I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural; III – banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

IV - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

V - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VI – agentes de tratamento: o controlador e o operador;

VII – tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

VIII – titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

IX – incidente de segurança: violação das medidas adotadas pelos agentes de tratamento para salvaguardar a integridade e o sigilo dos dados pessoais sob sua administração, resultando em acessos não autorizados e em situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Art. 3°. Poderá ser concedido o acesso a banco de dados próprios a:

I – Defensoras(es) Públicas(os);

II – Servidoras(es) concursadas(os), extraquadro e cedidas(os);

III – Residentes jurídicas(os), estagiárias(os), colaboradoras(es) e voluntárias(os).

Parágrafo único. As(os) servidoras(es) cedidas(os) e estagiários(as), além de colaboradoras(es) e voluntárias(os), que possuem acesso a bancos de dados, assinarão termo de responsabilidade.

Art. 4°. Poderá ser concedido, em regra, o acesso a bancos de dados de terceiros pela Defensoria Pública do Rio de Janeiro, de acordo com as especificidades de eventual convênio, acordo de cooperação técnica ou instrumentos congêneres a:

I – Defensoras(es) Públicas(os);

II - Servidoras(es) concursadas(os) e extraquadro;

Art. 5°. As informações acerca do procedimento para obter acesso a bancos de dados de terceiros serão dadas pela Coordenação Cível ou Criminal, a depender do tipo de banco, sendo necessário o prévio requerimento administrativo para habilitação do acesso.

Art. 6°. O acesso a dados pessoais a partir dos bancos de dados disponíveis a Defensores Públicos e demais operadores da Defensoria Pública do Rio de Janeiro deverá observar:

I - o disposto na Lei Geral de Proteção de Dados (Lei 13.709/18);

II - as orientações da Agência Nacional de Proteção de Dados; e

III – as orientações do Encarregado de Proteção de Dados;

Parágrafo único. A inobservância das regras e orientações acima explicitadas poderá importar em responsabilidade civil e administrativa pelos danos suportados pelos titulares dos dados.

Art. 7°. O acesso aos bancos de dados próprios e/ou de terceiros deverá ser realizado para o estrito cumprimento das funções institucionais, ou, ainda, em decorrência de obrigação legal ou quando respaldado em contratos, convênios ou instrumentos congêneres.

Parágrafo único. Somente se admitirá a utilização de todo e qualquer dado pessoal obtido a partir de consulta a bancos de dados para os mesmos fins descritos no caput.

Art. 8°. Os acessos a bancos de dados próprios e/ou de terceiros deverão manter o sigilo e confidencialidade de todas as informações – em especial os dados pessoais e dados pessoais sensíveis – compartilhadas, em consonância com o disposto na Lei Geral de Proteção de Dados, sendo vedado o compartilhamento das informações com outros órgãos, pessoas físicas ou jurídicas, salvo quando decorrente de obrigações legais, para cumprimento das funções institucionais ou quando respaldado em contratos, convênios ou instrumentos congêneres.

Art. 9°. Os dados obtidos a partir de acessos a bancos de dados deverão ser armazenados apenas pelo período necessário ao cumprimento da finalidade para o qual foram originalmente coletados e/ou em conformidade com hipóteses legais que autorizam o tratamento.

Art. 10. O acesso aos dados obtidos a partir de consulta a bancos de dados serão limitados aos estritamente necessários para o cumprimento das funções institucionais, de obrigações legais ou quando respaldado em contratos, convênios ou instrumentos congêneres, assegurando que todos estejam sujeitos ao sigilo e a confidencialidade.

Art. 11. Caso seja detectada a ocorrência de incidente de segurança, deverá ser observado o procedimento trazido pela Resolução DPGERJ n. 1142/2022, que institui o Plano de Resposta a Incidentes de Segurança no âmbito da Defensoria Pública do Estado do Rio de Janeiro, especialmente o disposto no artigo 6º.

Art. 12. Os casos omissos ao disposto nesta Resolução serão resolvidos pela(o) Defensor(a) Pública(o) Geral.

Art. 13. Esta Resolução entra em vigor na data de sua publicação.

Rio de Janeiro, 19 de outubro de 2023.

PATRÍCIA CARDOSO MACIEL TAVARES

DEFENSORA PÚBLICA-GERAL DO ESTADO