DISPÕE
SOBRE A REGULAMENTAÇÃO DA LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LEI FEDERAL Nº
13.709, DE 14 DE AGOSTO DE 2018) NO ÂMBITO DA ADMINISTRAÇÃO PÚBLICA DIRETA E
INDIRETA DO MUNICÍPIO DE CARAGUATATUBA.
MATEUS VENEZIANI DA SILVA, PREFEITO MUNICIPAL DE CARAGUATATUBA, usando das atribuições que lhe são conferidas por Lei e,
CONSIDERANDO que a Lei Federal nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD) estabeleceu normas gerais sobre tratamento de dados pessoais, impondo obrigações à Administração Pública quanto à governança, transparência e proteção dos direitos fundamentais de liberdade e privacidade e do livre desenvolvimento da personalidade da pessoa natural;
CONSIDERANDO que o Decreto Municipal nº 2.333, de 11 de setembro de 2025, alterado pelo Decreto Municipal nº 2.353, de 08 de outubro de 2025, dispõe sobre a instituição de Grupo de Trabalho de Proteção de Dados Pessoais (LGPD), Gestão de Riscos e Segurança da Informação da Prefeitura Municipal de Caraguatatuba;
CONSIDERANDO que o Decreto Municipal nº 2.363, de 14 de outubro de 2025 dispõe sobre a nomeação de Encarregado pelo Tratamento de Dados Pessoais, conforme disposto na Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709, de 14 de agosto de 2018) e dá outras providências;
CONSIDERANDO a importância de regulamentar a Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709, de 14 de agosto de 2018) no âmbito da Administração Pública Direta e Indireta do Município de Caraguatatuba, de modo a estabelecer diretrizes, competências e procedimentos voltados à adequação institucional às disposições daquela norma, buscando assegurar a conformidade legal, a proteção dos dados pessoais tratados pelo Município e o fortalecimento das boas práticas de governança e transparência;
CONSIDERANDO, por fim, o
que consta do Processo Administrativo nº 39.430/2025, decreta:
CAPÍTULO I
DAS DISPOSIÇÕES
PRELIMINARES
Art. 1º Este Decreto regulamenta a Lei Geral de Proteção de Dados Pessoais (Lei Federal nº 13.709, de 14 de agosto de 2018), no âmbito da Administração Pública Direta e Indireta do Município de Caraguatatuba, estabelecendo competências, procedimentos e providências correlatas a serem observados por seus órgãos e entidades, visando garantir a proteção de dados pessoais.
Art. 2º Para os fins deste Decreto considera-se:
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;
V - titular: pessoa natural a quem se referem os dados pessoais que são objetos de tratamento;
VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem às decisões referentes ao tratamento de dados pessoais;
VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIII - Encarregado pelo Tratamento de Dados Pessoais (Encarregado): pessoa indicada como canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD);
IX - agentes de tratamento: o controlador e o operador;
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular dos dados concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XIII - plano de adequação: conjunto de regras de boas práticas e de governança de dados pessoais que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos agentes envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos, o plano de resposta a incidentes de segurança e outros aspectos relacionados ao tratamento de dados pessoais;
XIV - autoridade nacional: entidade da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Federal nº 13.709, de 14 de agosto de 2018 em todo o território nacional.
Art. 3º As atividades de tratamento de dados pessoais pelos órgãos e entidades da Administração Pública Direta e Indireta do Município de Caraguatatuba deverão observar a boa-fé e os seguintes princípios:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
CAPÍTULO II
DAS
RESPONSABILIDADES
Seção I
Das Responsabilidades na Administração
Pública Municipal Direta
Art. 4º O Poder Executivo Municipal, por meio das Secretarias Municipais, nos termos da Lei Federal nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), deve realizar e manter continuamente atualizados:
I - o mapeamento dos dados pessoais existentes e dos fluxos de dados pessoais em suas unidades;
II - a análise de risco;
III - o relatório de impacto à proteção de dados pessoais, quando solicitado.
Art. 5º São atribuições do Encarregado pelo Tratamento de Dados Pessoais aquelas previstas no Decreto Municipal nº 2.363, de 14 de outubro de 2025.
Art. 6º Cabe aos Secretários Municipais:
I - dar cumprimento, no âmbito dos respectivos órgãos, às ordens e recomendações do Encarregado pelo Tratamento de Dados Pessoais;
II - atender às solicitações encaminhadas pelo Encarregado pelo Tratamento de Dados Pessoais para cessação de eventual violação à Lei Federal nº 13.709, de 14 de agosto de 2018, ou apresentação das respectivas justificativas;
III - encaminhar ao Encarregado pelo Tratamento de Dados Pessoais, no prazo por este fixado:
a) informações sobre o tratamento de dados pessoais que venham a ser solicitadas pela autoridade nacional, nos termos do art. 29 da Lei Federal nº 13.709, de 14 de agosto de 2018;
b) relatórios de impacto à proteção de dados pessoais, ou informações necessárias à elaboração de tais relatórios, nos termos do art. 32 da Lei Federal nº 13.709, de 14 de agosto de 2018;
IV - assegurar que o Encarregado pelo Tratamento de Dados Pessoais seja informado, de forma adequada e em tempo útil, de todas as questões relacionadas com a proteção de dados pessoais no âmbito de seu órgão.
Art. 7º Cabe à Secretaria de Tecnologia da Informação e Inovação (STII):
I - oferecer os subsídios técnicos necessários à edição das diretrizes pelo Encarregado pelo Tratamento de Dados Pessoais do Município para a elaboração de eventuais planos de adequação;
II - orientar, sob o ponto de vista tecnológico, as Secretarias na implantação dos respectivos planos de adequação.
Seção II
Das Responsabilidades das Entidades da
Administração Pública Municipal Indireta
Art. 8º Cabe às entidades da Administração Pública Municipal Indireta observar, no âmbito de suas competências, as exigências da Lei Federal nº 13.709, de 14 de agosto de 2018, devendo providenciar, no mínimo:
I - a designação de um Encarregado pelo Tratamento de Dados Pessoais, nos termos do art. 41 da Lei Federal nº 13.709, de 14 de agosto de 2018, cuja identidade e informações de contato devem ser divulgadas publicamente, de forma clara e objetiva;
II - a elaboração e a manutenção de um plano de adequação, nos termos do art. 2º, inciso XIII deste Decreto.
CAPÍTULO III
DO TRATAMENTO DE
DADOS PESSOAIS PELA ADMINISTRAÇÃO PÚBLICA MUNICIPAL
Art. 9º O tratamento de dados pessoais pelos órgãos e entidades da Administração Pública Direta e Indireta do Município de Caraguatatuba deve:
I - atender sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público;
II - assegurar a informação sobre as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.
Art. 10 Os órgãos e as entidades da Administração Pública Municipal podem efetuar o uso compartilhado de dados pessoais com outros órgãos e entidades públicas para atender a finalidades específicas de execução de políticas públicas, no âmbito de suas atribuições legais, respeitados os princípios de proteção de dados pessoais elencados no art. 6º da Lei Federal nº 13.709, de 14 de agosto de 2018.
Art. 11 É vedado aos órgãos e entidades da Administração Pública Municipal transferir a entidades privadas dados pessoais constantes de bases de dados a que tenham acesso, exceto:
I - em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei Federal nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação);
II - nos casos em que os dados forem acessíveis publicamente, observadas as disposições da Lei Federal nº 13.709, de 14 de agosto de 2018;
III - quando houver previsão legal ou a transferência for respaldada por meio de cláusula específica em contratos, convênios ou instrumentos congêneres, cuja celebração deverá ser informada pelo responsável ao Encarregado pelo Tratamento de Dados Pessoais para comunicação à autoridade nacional;
IV - na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades ou a proteção e a segurança da integridade do titular dos dados, vedado o tratamento para outras finalidades.
Parágrafo único. Em quaisquer das hipóteses previstas neste artigo:
I - a transferência de dados dependerá de autorização específica conferida pelo órgão municipal à entidade privada;
II - as entidades privadas deverão assegurar que não haverá comprometimento do nível de proteção dos dados garantido pelo órgão ou entidade municipal.
Art. 12 Os órgãos e entidades da Administração Pública Municipal podem efetuar a comunicação ou o uso compartilhado de dados pessoais à pessoa de direito privado, desde que:
I - o Encarregado pelo Tratamento de Dados Pessoais informe a autoridade nacional, na forma do respectivo regulamento;
II - seja obtido o consentimento do titular, salvo:
a) nas hipóteses de dispensa de consentimento previstas na Lei Federal nº 13.709, de 14 de agosto de 2018;
b) nos casos de uso compartilhado de dados, em que será dada publicidade nos termos do art. 9º, inciso II, deste Decreto;
c) nas hipóteses previstas no art. 11 deste Decreto.
Parágrafo único. Sempre que necessário o consentimento, a comunicação dos dados pessoais a entidades privadas e o uso compartilhado entre estas e os órgãos e entidades municipais poderão ocorrer somente nos termos e para as finalidades indicadas no ato de consentimento.
CAPÍTULO IV
DAS DISPOSIÇÕES
FINAIS
Art. 13 Os casos omissos deverão ser dirimidos mediante aplicação do disposto na Lei Federal nº 13.709, de 14 de agosto de 2018 e na regulamentação editada pela Agência Nacional de Proteção de Dados - ANPD.
Art. 14 Este Decreto entra em vigor na data de sua publicação, revogadas as disposições em contrário.
Caraguatatuba, 24 de fevereiro de 2026.
MATEUS VENEZIANI DA SILVA
PREFEITO MUNICIPAL
Este texto não substitui o original publicado e arquivado na Prefeitura Municipal de Caraguatatuba.