Dispõe sobre a Política de Proteção de Dados Pessoais e institui a Norma de Segurança da Informação e Comunicação – NoSIC, no âmbito da Secretaria de Estado de Administração Penitenciária do Distrito Federal.
O SECRETÁRIO DE ESTADO DE ADMINISTRAÇÃO PENITENCIÁRIA DO DISTRITO FEDERAL, no uso das atribuições que lhe são conferidas no artigo 105, parágrafo único, incisos I e III, da Lei Orgânica do Distrito Federal, e
CONSIDERANDO o artigo 5º, inciso LXXIX, da Constituição Federal de 1988, que estabelece como direito fundamental a proteção dos dados pessoais, inclusive nos meios digitais;
CONSIDERANDO o disposto na Lei Federal nº 13.709, de 14 de agosto de 2018, que trata da Lei Geral de Proteção de Dados Pessoais – LGPD;
CONSIDERANDO a Lei Distrital nº 4.990, de 12 de dezembro de 2012, que regula o acesso à informação no Distrito Federal;
CONSIDERANDO o Decreto Distrital nº 45.771, de 8 de maio de 2024, que dispõe sobre a aplicação da Lei Federal nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD, quanto às figuras dos agentes de tratamento e dos encarregados, no âmbito da Administração Pública Direta e Indireta do Distrito Federal;
CONSIDERANDO a Resolução-CGTIC-DF nº 01, de 29 de abril de 2024, que aprova a Política de Segurança da Informação e Comunicação (POSIC) no Governo do Distrito Federal, resolve:
TÍTULO I
DA POLÍTICA DE PROTEÇÃO DE DADOS PESSOAIS
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 1º Esta Portaria estabelece diretrizes para a proteção, o acesso, o tratamento e o compartilhamento de dados pessoais no âmbito da Secretaria de Estado de Administração Penitenciária do Distrito Federal – SEAPE, visando à proteção dos direitos dos titulares, à segurança das informações e à adequação das rotinas administrativas à legislação aplicável, sem prejuízo das normas de segurança da informação estabelecidas no Título II.
Parágrafo único. As disposições desta Portaria não constituem impedimento ao fornecimento de dados pessoais ou de informações de segurança pública ao Poder Judiciário, ao Ministério Público e aos demais órgãos de controle, fiscalização e investigação, no exercício de suas competências legais, tampouco ao compartilhamento de informações com os órgãos legalmente competentes para a realização de atividades de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais, observadas, em qualquer caso, as hipóteses legais de sigilo e as medidas de segurança aplicáveis à transmissão e ao tratamento das informações.
Art. 2º As disposições desta Portaria aplicam-se aos dados pessoais de pessoas privadas de liberdade, pré-egressos, egressos, visitantes, familiares, servidores, colaboradores, prestadores de serviços e demais pessoas naturais cujos dados sejam tratados no âmbito da SEAPE, visando, em especial:
I – à proteção dos dados armazenados em sistemas, bancos de dados, documentos e processos institucionais;
II – à prevenção de acessos, utilizações, alterações ou divulgações indevidos;
III – ao estabelecimento de critérios para o compartilhamento e a transferência de informações;
IV – à adoção de meios adequados de segurança na transmissão e no armazenamento dos dados; e
V - à promoção de ações de treinamento, capacitação e conscientização sobre proteção de dados pessoais.
Art. 3º O tratamento de dados pessoais deverá observar, além dos princípios que regem a Administração Pública, a boa-fé e os princípios da finalidade, adequação, necessidade, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas, especialmente mediante:
I – utilização dos dados para finalidade legítima e vinculada às competências e atribuições institucionais;
II – limitação do tratamento ao mínimo necessário ao alcance da finalidade pretendida, com utilização de dados pertinentes, proporcionais e não excessivos;
III – limitação do acesso aos agentes que necessitem das informações para o exercício de suas atribuições;
IV – adoção de medidas destinadas a impedir acesso, utilização, alteração, comunicação, perda ou divulgação indevidos; e
V – observância das regras específicas aplicáveis aos dados pessoais sensíveis.
CAPÍTULO II
DO TRATAMENTO DE DADOS PESSOAIS E DAS ATIVIDADES DE SEGURANÇA PÚBLICA
Art. 4º O tratamento de dados pessoais realizado no âmbito das atividades administrativas e das políticas públicas executadas pela SEAPE observará a Lei Federal nº 13.709, de 2018, especialmente quanto às medidas de proteção, segurança, necessidade e limitação da finalidade.
§ 1º O tratamento de dados pessoais independerá do consentimento do titular quando amparado em hipótese legal que autorize sua realização, especialmente:
I – para cumprimento de obrigação legal ou regulatória; ou
II – para tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis ou regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.
§ 2º Nas hipóteses previstas no § 1º, não será exigida declaração, autorização ou termo de consentimento do titular como condição para o tratamento ou compartilhamento regularmente fundamentado.
§ 3º O tratamento de dados pessoais sensíveis observará as hipóteses específicas previstas no art. 11 da Lei Federal nº 13.709, de 2018.
§ 4º A dispensa de consentimento não afasta a observância dos princípios e das medidas de proteção previstas na legislação e nesta Portaria.
Art. 5º Não se aplica a Lei Federal nº 13.709, de 2018, nos termos de seu art. 4º, ao tratamento de dados pessoais realizado para fins exclusivos de:
I – segurança pública;
II – defesa nacional;
III – segurança do Estado; ou
IV – atividades de investigação e repressão de infrações penais.
§ 1º Para fins desta Portaria, poderão ser compreendidas nas hipóteses do caput, quando destinadas exclusivamente às respectivas finalidades, entre outras, as operações relacionadas:
I – à inteligência penitenciária;
II – à prevenção, detecção, investigação e repressão de ilícitos ou ameaças à segurança;
III – à segurança dos estabelecimentos penais, de suas áreas, instalações e perímetros;
IV – ao controle de acesso e à adoção de medidas destinadas a impedir o ingresso ou a circulação indevida de pessoas, objetos ou substâncias;
V – à identificação, avaliação e acompanhamento de riscos relacionados à ordem e à segurança penitenciária;
VI – à prevenção de fugas, resgates, motins, rebeliões e outras ocorrências capazes de comprometer a segurança penitenciária; e
VII – ao planejamento e à execução de ações operacionais de segurança penitenciária.
§ 2º A não incidência da Lei Federal nº 13.709, de 2018, nas hipóteses deste artigo não afasta a adoção dos mecanismos de proteção, controle de acesso, segurança e rastreabilidade previstos nesta Portaria, naquilo que forem compatíveis com a natureza da atividade.
§ 3º Os tratamentos previstos neste artigo observarão medidas proporcionais e estritamente necessárias ao atendimento do interesse público, o devido processo legal, os princípios gerais de proteção de dados e os direitos dos titulares, nos termos do art. 4º, § 1º, da Lei Federal nº 13.709, de 2018.
CAPÍTULO III
DO ACESSO E DA UTILIZAÇÃO DOS DADOS PESSOAIS
Art. 6º O acesso a sistemas, bancos de dados, documentos e processos que contenham dados pessoais deverá ser compatível com as atribuições do servidor, colaborador ou unidade administrativa e limitar-se às informações necessárias ao desempenho de suas atividades.
§ 1º É vedada a consulta, utilização, extração, reprodução ou compartilhamento de dados pessoais por curiosidade, interesse particular ou sem relação com as atribuições funcionais do agente.
§ 2º Os sistemas deverão adotar, sempre que tecnicamente possível, mecanismos de identificação individual do usuário, registro de acessos e definição de perfis de permissão compatíveis com as atribuições desempenhadas.
§ 3º É vedado o compartilhamento de credenciais pessoais de acesso a sistemas institucionais.
Art. 7º Os dados pessoais sensíveis e as demais informações que, em razão de sua natureza, possam produzir riscos relevantes aos direitos, à intimidade ou à segurança do titular terão acesso restrito aos agentes cuja atuação exija seu conhecimento, sem prejuízo das hipóteses específicas de sigilo estabelecidas em lei.
Parágrafo único. A inclusão de dados pessoais sensíveis em processo administrativo deverá limitar-se às informações necessárias à instrução e à decisão do feito, evitando-se a reprodução de documentos ou informações não pertinentes à respectiva finalidade.
CAPÍTULO IV
DO COMPARTILHAMENTO E DA TRANSFERÊNCIA DE DADOS PESSOAIS
Art. 8º O compartilhamento de dados pessoais tratados no âmbito da SEAPE, para o desempenho de atividades administrativas ou a execução de políticas públicas, inclusive nas áreas de saúde, educação, trabalho, documentação, assistência social, preparação para a liberdade e reintegração social, deverá limitar-se às informações necessárias ao atendimento da finalidade específica que o fundamenta, observadas as competências legais dos órgãos e entidades envolvidos.
Art. 9º Os compartilhamentos institucionais recorrentes, ou que envolvam quantidade significativa de dados, dados pessoais sensíveis ou informações capazes de produzir risco relevante, deverão ser formalizados em processo administrativo, acordo, convênio, protocolo, ato normativo ou outro instrumento adequado, de forma a permitir a identificação da finalidade, dos destinatários e das condições de compartilhamento.
Parágrafo único. Os compartilhamentos deverão ser realizados de forma que permita, sempre que possível, a rastreabilidade da remessa e do destinatário das informações.
Art. 10. Os contratos, convênios, acordos de cooperação ou instrumentos congêneres que envolvam tratamento de dados pessoais deverão prever, quando pertinente, obrigações relativas:
I – à finalidade do tratamento;
II – à confidencialidade;
III – às medidas de segurança;
IV – à limitação de acesso;
V – à comunicação de incidentes;
VI – à conservação ou eliminação dos dados ao término da finalidade; e
VII – à vedação de utilização ou compartilhamento para finalidade incompatível.
CAPÍTULO V
DOS PROCESSOS, DOCUMENTOS E DA TRANSPARÊNCIA
Art. 11. A produção, inserção e tramitação de documentos que contenham dados pessoais em sistemas de processo administrativo deverão observar os princípios da finalidade e da necessidade, evitando-se a inclusão ou reprodução de informações pessoais desnecessárias à instrução do processo.
§ 1º A existência de dados pessoais em documento ou processo não implica, por si só, restrição integral de acesso, devendo ser observadas conjuntamente a legislação de proteção de dados pessoais, a legislação de acesso à informação e as demais hipóteses legais de sigilo ou restrição.
§ 2º Sempre que possível e suficiente à proteção da informação pessoal, deverão ser utilizados mecanismos de ocultação, tarjamento, anonimização ou disponibilização parcial em substituição à restrição integral do documento ou processo.
Art. 12. A SEAPE disponibilizará, em seu sítio eletrônico, informações claras e atualizadas sobre as principais operações de tratamento de dados pessoais realizadas no exercício de suas competências, especialmente quanto:
I – às respectivas finalidades;
II – aos principais fundamentos jurídicos aplicáveis;
III – aos procedimentos e práticas adotados;
IV – às hipóteses relevantes de uso compartilhado; e
V – aos canais para exercício dos direitos dos titulares e contato com o encarregado setorial pelo tratamento de dados pessoais.
Parágrafo único. A transparência prevista neste artigo não implica divulgação de dados pessoais ou de informações cuja publicidade seja restringida por lei ou possa comprometer a segurança pública, a segurança dos estabelecimentos penais, atividades de inteligência, investigações ou outros interesses legalmente protegidos.
TÍTULO II
DA NORMA DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÃO – NoSIC/SEAPE
CAPÍTULO I
DAS DIRETRIZES DE SEGURANÇA DA INFORMAÇÃO
Art. 13. Fica instituída a Norma de Segurança da Informação e Comunicação – NoSIC/SEAPE, em caráter complementar à Política de Segurança da Informação e Comunicação do Governo do Distrito Federal – POSIC/GDF, aplicável às informações e aos ativos de informação sob responsabilidade da SEAPE.
§ 1º A NoSIC/SEAPE aplica-se às informações institucionais independentemente de sua forma, meio de armazenamento ou transmissão, inclusive documentos físicos, sistemas informatizados, bancos de dados, mensagens e demais recursos de informação.
§ 2º As medidas de proteção deverão ser observadas durante todo o ciclo de vida da informação, compreendendo sua criação, utilização, armazenamento, transmissão, compartilhamento e descarte.
§ 3º As disposições deste Título aplicam-se também aos dados tratados para as finalidades previstas no art. 5º, independentemente da não incidência da LGPD sobre a respectiva operação.
§ 4º As atividades de segurança da informação devem observar os princípios constitucionais e administrativos que regem a Administração Pública.
§ 5º As ações de segurança da informação devem estar integradas à proteção de dados pessoais, observada a Política de Proteção de Dados Pessoais e normas dela decorrentes.
Art. 14. A segurança da informação no âmbito da SEAPE observará, especialmente, os princípios da confidencialidade, integridade, disponibilidade, autenticidade, não repúdio, privilégio mínimo, segregação de funções e auditabilidade, nos termos da POSIC/GDF.
Parágrafo único. Os controles de segurança deverão ser proporcionais à natureza e à criticidade da informação protegida, devendo-se adotar mecanismos de gestão eficiente de riscos de segurança da informação.
Art. 15. Para os efeitos desta Portaria, entende-se por:
I - aceitação de risco: decisão de aceitar um risco. A aceitação pode ser necessária em razão do custo benefício para se proteger um ativo ou devido ao risco residual remanescente após o tratamento de riscos;
II - ameaça: são agentes ou condições causadoras de incidentes contra ativos. Exploram as vulnerabilidades, ocasionando perda de confidencialidade, integridade ou disponibilidade;
III - análise/avaliação de risco: processo de identificação de ameaças e vulnerabilidades associadas a um ativo de modo a estimar a probabilidade e o impacto na ocorrência de um incidente;
IV - armazenamento em nuvem: método de armazenamento de dados que permite que servidores e aplicações acessem os dados por meio de sistemas de arquivos compartilhados, utilizando internet pública ou uma conexão de rede privada dedicada;
V - ativo: é tudo aquilo que tenha valor para a organização e consequentemente exige proteção;
VI - autenticidade: garantia de que o dado ou informação são verdadeiros;
VII - backup / cópia de segurança: é o processo de cópia de dados de um dispositivo de armazenamento para outro com o objetivo de proporcionar a proteção contra a perda dos originais;
VIII - classificação da informação: é o processo de identificar e definir níveis e critérios de proteção adequados para as informações de forma a garantir sua confidencialidade, integridade e disponibilidade, de acordo com a importância para a organização;
IX - confidencialidade: garantia de que o acesso à informação seja obtido somente por pessoas autorizadas;
X - controle de acesso: são restrições de acesso a um ativo da organização;
XI - controle de segurança: são práticas de gestão de risco (políticas, normas, procedimentos ou mecanismos) que podem proteger os ativos contra ameaças, reduzir ou eliminar vulnerabilidades, limitar o impacto de um incidente ou ajudar na sua detecção;
XII - custódia: responsabilidade de se guardar um ativo para terceiros. A custódia não permite automaticamente o direito de acesso ao ativo, nem a capacidade de conceder direito de acesso a outros;
XIII - custodiante: indivíduo a quem é dada a custódia de um ativo;
XIV - direito de Acesso: privilégio associado a um usuário para ter acesso a um ativo;
XV - diretriz: o que deve ser feito e como, para atender aos objetivos declarados na política;
XVI - disponibilidade: garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário;
XVII - engenharia social: tentativa de extrair informações de uma vítima, usando informações corretas ou nome de pessoas conhecidas;
XVIII - forense computacional: conjunto de técnicas para coleta e exame de evidências digitais, reconstrução de dados e de ataques, identificação e rastreamento de invasores;
XIX - grupo de resposta a incidentes de segurança em computadores: grupo de pessoas com a responsabilidade de receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança em computadores;
XX - gestor de área: responsável por qualquer unidade de uma organização, tais como: chefes de núcleo, coordenadores, gerentes, diretores e todos os demais dirigentes que mantêm subordinados sob sua responsabilidade;
XXI - gestão de riscos: atividade contínua de identificação, análise, tratamento, aceitação e comunicação de riscos;
XXII - gestor de segurança da informação e comunicação: é responsável pelas ações de segurança da informação e comunicações no âmbito da SEAPE;
XXIII - impacto: tamanho do prejuízo, medido através de propriedades mensuráveis ou abstratas, que a concretização de uma determinada ameaça causará;
XXIV - incidente de segurança: qualquer evento que resulte no descumprimento da Política de Segurança da Informação e Comunicação que possa representar ameaça aos ativos, tais como: quebra da segurança, fragilidade, mau funcionamento, vírus, acesso indevido ou desnecessário a pastas/diretórios de rede, acesso indevido à internet ou programas instalados sem conhecimento da área de Tecnologia da Informação;
XXV - integridade: salvaguarda da exatidão e completeza da informação e dos métodos de processamento;
XXVI - log: registro de eventos relevantes ocorridos em sistema computacional, podendo conter data e hora das atividades, identificação do usuário, comandos e argumentos executados, identificação da estação local ou remota que iniciou a conexão, entre outros elementos;
XXVII - monitoramento: atividade de verificação manual ou automática de eventuais ameaças, incidentes de segurança ou quaisquer descumprimentos às diretrizes presentes na Política, Normas ou Procedimentos de Segurança da Informação e Comunicação;
XXVIII - não repúdio: garantia de segurança de informação que impede uma entidade de negar ter participado de uma dada operação;
XXIX - plano de continuidade de negócio (PCN): documento que estabelece mecanismos para restabelecer a atividade de uma organização, em caso de interrupção;
XXX - plano de resposta a incidentes: documento que estabelece metodologias que visam minimizar o impacto de um incidente e permitir o restabelecimento dos serviços o mais rápido possível;
XXXI - proprietário da informação: indivíduo que, em virtude de suas funções ou atribuições legais, detenha competência para identificar e classificar as informações geradas no âmbito de sua unidade;
XXXII - proteção: vide Controle de Segurança;
XXXIII - recursos de tecnologia da informação e comunicação: conjunto de recursos tecnológicos integrados entre si, que proporcionam, por meio de hardware e software, a criação, acesso, armazenamento, transmissão e processamento de dados e informações;
XXXIV - risco: é a probabilidade de uma determinada ameaça se concretizar, combinada com os impactos que ela trará;
XXXV - segurança da informação: é a proteção da informação de vários tipos de ameaças para garantir a continuidade do negócio, minimizar o risco ao negócio, maximizar o retorno sobre os investimentos e as oportunidades de negócio;
XXXVI - servidor público: pessoa física que exerce cargo, emprego ou função pública;
XXXVII - tratamento do risco: processo de seleção e implementação de controles de segurança;
XXXVIII - usuário: qualquer pessoa, física ou jurídica ou processo em um sistema computacional que faça uso dos recursos de tecnologia da informação e comunicação relativos ao GDF;
XXXIX - vulnerabilidade: são fragilidades associadas aos ativos que os tornam suscetíveis às ameaças.
CAPÍTULO II
DOS CONTROLES E DAS MEDIDAS DE SEGURANÇA DA INFORMAÇÃO
Art. 16. Sem prejuízo das regras específicas previstas no Título I, o acesso, armazenamento e transmissão de informações institucionais observarão as seguintes diretrizes:
I – utilização de credenciais individuais e intransferíveis para acesso aos sistemas e recursos institucionais;
II – concessão de acesso limitada ao necessário ao exercício das atribuições do usuário;
III – utilização preferencial de sistemas, correio eletrônico, repositórios e demais meios institucionais disponibilizados ou autorizados pela Administração Pública;
IV – vedação à utilização de contas particulares de correio eletrônico, serviços de armazenamento ou outros recursos pessoais para o tratamento de informações institucionais, salvo quando expressamente autorizados;
V – adoção de mecanismos adicionais de proteção quando a natureza, o volume, a sensibilidade ou a criticidade das informações assim recomendarem;
VI – preservação, sempre que tecnicamente possível, da rastreabilidade dos acessos e das operações relevantes realizadas nos sistemas institucionais;
VII – treinamento, capacitação e conscientização sobre a temática de segurança da informação;
VIII – gestão de ativos de informação;
IX – gestão de riscos de segurança da informação;
X – gestão de incidentes de segurança da informação; e
XI – auditoria e a verificação de conformidade.
§ 1º É vedado o compartilhamento de senhas, credenciais ou outros mecanismos pessoais de autenticação.
§ 2º A disponibilização ou transmissão de bases completas de dados deverá ser evitada quando a finalidade puder ser alcançada mediante conjunto reduzido de informações, sem prejuízo do disposto no art. 8º.
§ 3º O destinatário de informação institucional deverá adotar medidas de proteção compatíveis com sua natureza e limitar sua utilização à finalidade que justificou o acesso ou recebimento.
CAPÍTULO III
DOS INCIDENTES DE SEGURANÇA DA INFORMAÇÃO
Art. 17. O servidor, colaborador ou prestador de serviço que identificar perda, acesso indevido, divulgação não autorizada, alteração, destruição, comprometimento de credenciais ou qualquer outro incidente de segurança deverá comunicar imediatamente o fato ao Gabinete e à unidade responsável pela segurança da informação.
§ 1º Quando o incidente envolver dados pessoais, a comunicação será também encaminhada ao Encarregado pelo tratamento de dados pessoais.
§ 2º A avaliação, contenção, registro, tratamento e comunicação do incidente observarão a POSIC/GDF, a legislação de proteção de dados pessoais e os procedimentos institucionais aplicáveis.
§ 3º A eventual comunicação de incidente envolvendo dados pessoais à Agência Nacional de Proteção de Dados – ANPD e aos titulares observará a legislação e a regulamentação vigentes.
TÍTULO III
DAS RESPONSABILIDADES E DISPOSIÇÕES FINAIS
Art. 18. O Encarregado pelo tratamento de dados pessoais exercerá as atribuições previstas na Lei Federal nº 13.709, de 2018, no Decreto Distrital nº 45.771, de 2024, e nas demais normas aplicáveis.
Art. 19. O Gestor de Segurança da Informação e seu respectivo substituto serão designados por ato administrativo próprio e atuarão, em conjunto com o Encarregado pelo tratamento de dados pessoais, nas matérias que envolvam simultaneamente segurança da informação e proteção de dados pessoais.
Art. 20. Será instituído, por ato normativo próprio, comitê destinado a tratar das ações de proteção de dados pessoais e de segurança da informação, composto, no mínimo, pelos seguintes membros:
I - Encarregado pelo tratamento de dados pessoais;
II - Gestor de Segurança da Informação;
III - responsável setorial indicado pela Coordenação do Sistema Prisional;
IV - responsável setorial indicado pela área correicional;
V - responsável setorial indicado pela área de gestão de pessoas; e
VI - Curador de Dados de Negócio.
Art. 21. O acesso, tratamento, utilização, armazenamento, transmissão ou compartilhamento de dados e informações institucionais em desacordo com esta Portaria poderá ensejar apuração de responsabilidade administrativa, sem prejuízo das demais responsabilidades previstas em lei.
Art. 22. Poderão ser editadas Normas de Segurança da Informação e Comunicação complementares e Procedimentos de Segurança da Informação e Comunicação – PROSICs, bem como orientações e procedimentos específicos destinados a disciplinar aspectos técnicos e operacionais necessários à implementação desta Portaria, como segurança física, gestão de mudanças, privacidade, criptografia, acesso à rede, gestão de senhas e contas de usuário, dispositivos móveis, gestão de incidentes, plano de continuidade de negócios, proteção à propriedade intelectual, treinamento e sensibilização para segurança.
Art. 23. Os casos omissos e as dúvidas decorrentes da aplicação desta Portaria serão submetidos às unidades competentes, conforme a matéria, assegurada a participação do Encarregado pelo tratamento de dados pessoais quando envolverem matéria de proteção de dados pessoais e do Gestor de Segurança da Informação quando envolverem matéria de segurança da informação.
Art. 24. Esta Portaria entra em vigor na data de sua publicação.
WENDERSON SOUZA E TELES