Portaria GPR 268 de 01/02/2024
Poder Judiciário da União
Tribunal de Justiça do Distrito Federal e dos Territórios
Gabinete da Presidência
PORTARIA GPR 268 DE 01 DE FEVEREIRO DE 2024
Regulamenta, no âmbito das contratações realizadas pelo Tribunal de Justiça do Distrito Federal e dos Territórios, as diretrizes referentes ao tratamento de dados pessoais constantes da Resolução n. 9 do TJDFT, de 02 de setembro de 2020.
O PRESIDENTE DO TRIBUNAL DE JUSTIÇA DO DISTRITO FEDERAL E DOS TERRITÓRIOS, em virtude de suas atribuições legais e regimentais, tendo em vista o disposto na Lei 13.709, de 14 de agosto de 2018, e na Resolução 363 do Conselho Nacional de Justiça, de 12 de janeiro de 2021, e o contido no processo SEI 0013801/2022,
RESOLVE:
Art. 1º Regulamentar, no âmbito das contratações realizadas pelo Tribunal de Justiça do Distrito Federal e dos Territórios - TJDFT, as diretrizes referentes ao tratamento de dados pessoais constantes da Resolução 9 de 2 de setembro de 2020 do Tribunal Pleno.
CAPÍTULO I
DA PROTEÇÃO E TRATAMENTO DE DADOS PESSOAIS NAS CONTRATAÇÕES
Art. 2º O TJDFT e os terceiros contratados devem comprometer-se a proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, relativos ao tratamento de dados pessoais, inclusive nos meios digitais.
§ 1º O tratamento de dados em todas as fases da contratação será realizado com estrita observância da boa-fé e dos princípios dispostos no art. 6º da Lei 13.709, de 14 de agosto de 2018.
§ 2º Em consonância com o princípio da necessidade, os dados pessoais, sensíveis ou não, solicitados durante a pesquisa de preços, nas licitações e na formalização e execução dos contratos, seja em formulários próprios seja em outros documentos, deverão restringir-se ao mínimo necessário à realização de suas finalidades.
Art. 3º Nas contratações cujo objeto preveja o acesso direto ou indireto a dados pessoais, a equipe de planejamento, ou o responsável pela elaboração dos estudos técnicos preliminares, deve avaliar os riscos envolvidos no tratamento dos dados e a necessidade de serem incluídas no edital e no contrato cláusulas específicas para o tratamento.
Art. 4º Para cada operação de tratamento de dados pessoais deve haver uma finalidade específica em consonância ao interesse público e com lastro em regra de competência administrativa aplicável à situação em concreto.
Parágrafo único. O tratamento de dados pessoais previsto no caput deste artigo observará o disposto nos arts. 7º e 11 da Lei 13.709, de 2018, e deve ser compatível com a finalidade especificada e necessário para sua realização, sendo seus titulares informados do tratamento.
Art. 5º Fica dispensado o consentimento do titular para o tratamento dos dados pessoais a serem fornecidos por licitantes e contratantes em decorrência de obrigação legal, contratual ou necessária para a execução de contrato ou de procedimentos preliminares relacionados à contratação, nos termos dos incisos II e V do art. 7º da Lei 13.709, de 2018.
1º A dispensa de consentimento prevista no caput deste artigo não exclui a necessidade de serem observadas pelos agentes de tratamento as demais obrigações previstas na lei.
2º Em casos excepcionais, caso seja necessária a obtenção do consentimento, este deverá ser fornecido por escrito ou por outro meio que evidencie a manifestação de vontade do titular.
3º Os dados pessoais coletados serão utilizados somente para fins específicos relacionados às contratações e em hipótese alguma serão compartilhados ou utilizados para outros fins.
Art. 6º Encerrada a vigência do contrato ou não havendo mais necessidade de utilização dos dados pessoais, sejam eles sensíveis ou não, o tratamento dos dados deve ser interrompido pela empresa contratada e, em período determinado pelo controlador e sob suas instruções, os dados deverão ser eliminados, salvo quando tiverem que ser mantidos para cumprimento de obrigação legal ou outra hipótese prevista na Lei 13.709, de 2018.
CAPÍTULO II
DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS
Art. 7º No âmbito de suas contratações com terceiros, o TJDFT exerce as funções típicas do controlador de dados, sendo o responsável por tomar as decisões referentes ao tratamento de dados pessoais, em especial quanto à finalidade do tratamento.
Art. 8º Nos contratos cujo objeto envolva tratamento de dados pessoais em nome do TJDFT, as contratadas atuarão como operadores.
§ 1º Os operadores devem observar as atribuições e responsabilidades dispostas na Lei 13.709, de 2018, quanto ao tratamento de dados pessoais, devendo seguir instruções específicas do controlador quando contratualmente estabelecidas.
§ 2º Para realização de tratamento de dados pessoais por suboperador, pessoa natural ou jurídica contratada pelo operador para auxiliar no tratamento dos dados, é necessária a autorização formal do controlador, podendo constar em cláusula contratual a autorização ou não da atuação de suboperador.
Art. 9º Nos contratos em que o contratante e a contratada determinem conjuntamente a finalidade e os meios de tratamento dos dados pessoais, a controladoria dos dados será conjunta, respondendo solidariamente ambos os controladores pelos danos causados ao titular dos dados, à exceção das hipóteses previstas no art. 43 da Lei 13.709, de 2018.
Parágrafo único. Nas contratações de serviços indiretos com dedicação exclusiva de mão de obra, as empresas contratadas também assumem a função de controladora dos dados pessoais de seus funcionários.
Art. 10. Os operadores, de forma geral, bem como os agentes públicos que atuam em nome do controlador, deverão observar, além da legislação atinente ao tema:
I - a Política de Privacidade de Dados de Pessoas Físicas do TJDFT, instituída pela Resolução 9 de 2020;
II - as diretrizes expedidas pelo Comitê Gestor de Segurança da Informação e Proteção de Dados Pessoais - CGSI;
III - os demais atos normativos internos editados pelo TJDFT e normas referidas por esta Portaria.
Parágrafo único. As questões que extrapolem suas competências serão submetidas aos níveis imediatamente superiores, incluindo o CGSI.
CAPÍTULO III
DA RESPONSABILIDADE DOS AGENTES DA ÁREA DE CONTRATAÇÃO
Art. 11. Aos gestores de contrato, fiscais de contrato e demais agentes que operam nas contratações, cujos atos expressem a atuação do TJDFT, órgão revestido das funções típicas de controlador, nos termos do art. 8º desta Portaria, compete:
I - manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse;
II - garantir aos titulares dos dados pessoais informações claras, precisas e facilmente acessíveis sobre a realização do tratamento;
III - realizar o tratamento de dados pessoais observando a boa-fé e os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização, conforme o teor do art. 6º da Lei 13.709, de 2018;
IV - propor medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito nas contratações.
Parágrafo único. As informações mencionadas no inciso II deste artigo serão disponibilizadas na página oficial do TJDFT na internet, em local específico relacionado à proteção geral de dados, no prazo máximo de seis meses após a publicação desta Portaria.
CAPÍTULO IV
DISPOSIÇÕES GERAIS
Art. 12. O TJDFT, em suas relações contratuais com fornecedores e prestadores de serviços, manterá dados pessoais de representantes legais ou prepostos das empresas contratadas, bem como de colaboradores terceirizados que estejam vinculados a pessoas jurídicas contratadas para prestação de serviços.
Art. 13. As empresas contratadas classificadas como operadoras devem certificar-se de que os dados obtidos em razão dos contratos firmados serão armazenados em bancos de dados seguros, com adequado controle de acesso por perfil de usuário e, sempre que possível, com registro das trilhas de auditoria pelo sistema, como forma de garantir a rastreabilidade de cada transação e a apuração, a qualquer momento, de desvios e falhas.
§ 1º O acesso pelas empresas contratadas às bases de dados que contenham ou possam conter dados pessoais implicará dever de sigilo para a contratada e seus prepostos.
§ 2º As empresas referidas no caput deste artigo deverão dar conhecimento formal aos seus empregados sobre as obrigações e condições acordadas nos contratos respectivos, inclusive no tocante à Política de Privacidade de Dados de Pessoas Físicas do TJDFT, cujos princípios deverão ser aplicados ao tratamento dos dados pessoais.
§ 3º As trilhas de auditoria devem incluir, pelo menos, a identificação do usuário responsável pela ação, detalhes sobre a ação realizada, registros precisos de data, hora, local ou origem da ação ou internet protocol (IP), além de dados relevantes associados à atividade.
Art. 14. A ocorrência de qualquer incidente que implique violação ou risco de violação de dados pessoais em tratamento deverá ser informada pelos responsáveis do tratamento ao Encarregado pelos dados pessoais no TJDFT, no prazo máximo de dois dias úteis após o incidente, a fim de que sejam adotadas as providências devidas.
Art. 15. Eventuais responsabilidades das partes serão apuradas conforme estabelecido nos respectivos contratos e de acordo com o que dispõe a Seção III do Capítulo VI da Lei 13.709, de 2018.
CAPÍTULO V
DISPOSIÇÃO FINAL
Art. 16. Esta Portaria entra em vigor na data de sua publicação.
Desembargador CRUZ MACEDO
Presidente
ESTE TEXTO NÃO SUBSTITUI O DISPONIBILIZADO NO DJ-E DE 06/03/2024, EDIÇÃO N. 44, FLS. 8-10, DATA DE PUBLICAÇÃO: 07/03/2024