Aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) no âmbito da Prefeitura de Curitiba (Decreto nº 31/2026)

§ 1º As entidades municipais da Administração Pública Indireta com personalidade jurídica de direito público e as entidades com personalidade jurídica de direito privado que optarem pela adoção deste Decreto deverão designar formalmente um encarregado responsável e seu suplente para o exercício das atribuições previstas na Lei Geral de Proteção de Dados Pessoais, devendo, ainda, estabelecer, por meio de regulamento próprio, as competências do encarregado, observando-se as disposições deste Decreto.

§ 2º As entidades de direito privado integrantes da Administração Indireta que optarem pela adoção de regulamento próprio deverão informar formalmente à Controladoria-Geral do Município e designar um encarregado responsável pelo exercício das atribuições previstas na Lei Geral de Proteção de Dados.

§ 3º As empresas públicas e as sociedades de economia mista do Município, que atuem em regime de concorrência, nos termos do art. 173 da Constituição Federal, serão tratadas, para fins de aplicação deste Decreto, de forma equivalente às pessoas jurídicas de direito privado, observadas as disposições da Lei Geral de Proteção de Dados Pessoais e demais normas correlatas.

§ 4º Quando as empresas públicas e as sociedades de economia mista municipais estiverem executando políticas públicas ou atividades diretamente vinculadas à sua implementação, aplicar-se-á a elas o mesmo regime conferido aos órgãos e entidades da Administração Pública Municipal, conforme as disposições deste Decreto.

I controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

II operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

III encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados - ANPD;

IV agentes de tratamento: o controlador e o operador, nos termos dos incisos I e II;

V encarregado-geral de proteção de dados: pessoa indicada (um titular e um suplente) pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados;

VI encarregados setoriais de proteção de dados: pessoa indicada (um titular e um suplente) pelos órgãos municipais para realizar a adequação à Lei Geral de Proteção de Dados Pessoais de seus órgãos;

VII Comissão Permanente Municipal de Proteção de Dados - CPMPD: comissão formada por representantes de pastas distintas da Administração Municipal, com o objetivo de atuar de forma deliberativa e consultiva quanto a qualquer assunto relacionado à Lei Geral de Proteção de Dados Pessoais, demais leis que possam colidir com o tema proteção de dados e sobre este Decreto;

VIII órgãos e entidades municipais: todos os órgãos e entidades da Administração Direta e Indireta do Município abrangidos por este Decreto;

IX dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

X dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

XI dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

XII banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

XIII titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

XIV tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XV anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XVI consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XVII Programa de Governança em Privacidade e Proteção de Dados: instrumento capaz de demonstrar a integridade e o comprometimento do agente de tratamento em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;

XVIII Plano de Adequação: instrumento que estabelece o conjunto de normas, procedimentos, responsabilidades, ações educativas, mecanismos internos de supervisão, medidas de mitigação de riscos e demais aspectos voltados à implementação e manutenção da conformidade à Lei Geral de Proteção de Dados Pessoais, no âmbito dos órgãos e entidades municipais;

XIX Relatório de Impacto à Proteção de Dados Pessoais - RIPD: documentação que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

XX uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

XXI transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

XXII incidente de segurança: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais;

XXIII Agência Nacional de Proteção de Dados - ANPD: autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública, responsável por zelar pela proteção de dados pessoais, orientar, regulamentar e fiscalizar o cumprimento da legislação.

Parágrafo único A Prefeitura Municipal de Curitiba fica definida como controladora da Administração Direta, atuando e exercendo suas funções por intermédio dos respectivos órgãos da Administração Direta.

Parágrafo único As normas e os procedimentos internos, destinados à disciplina do tratamento de dados pessoais no âmbito das diferentes áreas de atuação administrativa municipal, elaborados pelos órgãos e entidades abrangidos por este decreto, deverão ser encaminhados à Controladoria-Geral do Município e submetidos à Comissão Permanente Municipal de Proteção de Dados para análise e aprovação, antes de sua publicação, veiculação ou implementação.

I finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação à finalidade do tratamento de dados;

IV livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI transparência: garantia aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX não discriminação: impossibilidade de realização do tratamento para fins discriminatórios, ilícitos ou abusivos;

X responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

I objetivar o exercício de suas competências legais e o cumprimento das atribuições legais do serviço público, para o atendimento de sua finalidade pública, na persecução do interesse público;

II observar o dever de conferir publicidade às hipóteses de sua realização, com o fornecimento de informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para execução dessas atividades em sítios eletrônicos.

I estrutura organizacional: criação e consolidação da estrutura institucional de governança da proteção de dados pessoais no Município;

II diagnóstico de adequação: avaliação do nível de conformidade do Município à Lei Geral de Proteção de Dados Pessoais e em compatibilidade à Lei de Acesso à Informação;

III mapeamento de dados pessoais: registro e adequação das operações de tratamento e das informações sobre o âmbito e a natureza dos dados;

IV gestão de riscos: identificação, avaliação, monitoramento e gerenciamento dos riscos relacionados ao tratamento de dados pessoais;

V adequação de documentos, contratos e instrumentos congêneres: revisão e adequação de documentos rotineiros, contratos, convênios e demais instrumentos normativos, em observância aos princípios e diretrizes da Lei Geral de Proteção de Dados Pessoais e da Lei de Acesso à Informação;

VI qualificação e sensibilização: promoção de qualificação continuada e disponibilização de material informativo, de modo a fomentar a cultura de proteção de dados no âmbito da Administração Pública Municipal;

VII transparência e comunicação: instituição de canal de comunicação com os titulares e divulgação de informações sobre a implementação e manutenção da governança da proteção de dados.

Parágrafo único As atividades e os procedimentos de cada eixo serão definidos por instrução normativa específica.

I demonstrar o comprometimento da administração em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;

II ser aplicável a todos os dados pessoais sob o controle da Prefeitura, independente do modo de coleta;

III estabelecer políticas e salvaguardas com base no processo de avaliação sistemática de impactos e riscos à privacidade;

IV estabelecer a relação de confiança com o titular, por meio de atuação transparente e comunicação;

V ser integrado a estrutura de governança da Prefeitura, estabelecer e aplicar mecanismos de supervisão, internos e externos;

VI dispor de plano de resposta a incidentes e remediação;

VII ser atualizado constantemente a partir de monitoramento contínuo e avaliações periódicas.

Parágrafo único O Programa de Governança em Privacidade e Proteção de Dados será implementado sob coordenação da Controladoria-Geral do Município, com a participação dos órgãos e entidades municipais responsáveis por executar as ações setoriais, assegurar a conformidade de seus processos de tratamento de dados pessoais e adotar as medidas técnicas e administrativas necessárias à efetiva proteção dos dados.

I na hipótese de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527, de 18 de novembro de 2011, (Lei de Acesso à Informação) e Decreto Municipal nº 2.101, de 3 de outubro de 2025;

II na hipótese em que os dados forem acessíveis publicamente, observadas as disposições da Lei Federal nº 13.709, de 14 de agosto de 2018;

III quando houver previsão legal ou a transferência for respaldada, por meio de cláusula específica, em contratos, convênios ou instrumentos congêneres, sendo que a celebração desses instrumentos deverá ser comunicada pelo órgão ou entidade ao Encarregado-Geral de Proteção de Dados, para fins de informação à Agência Nacional de Proteção de Dados;

IV na hipótese da transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.

Parágrafo único Em quaisquer das hipóteses previstas neste artigo, a transferência de dados dependerá de autorização específica conferida pelo órgão ou entidade municipal à entidade privada, e estas deverão assegurar que não haverá comprometimento do nível de proteção dos dados garantido pelo órgão ou entidade municipal.

I o Encarregado-Geral de Proteção de Dados informe à Agência Nacional de Proteção de Dados;

II seja obtido o consentimento do titular, salvo:

a) nas hipóteses de dispensa de consentimento previstas na Lei Federal nº 13.709, de 14 de agosto de 2018;

b) nos casos de uso compartilhado de dados, em que será dada publicidade nos termos do art. 6º., inciso II, deste Decreto;

c) nas hipóteses do art. 10 deste Decreto.

Parágrafo único Sempre que necessário o consentimento, a comunicação dos dados pessoais a entidades privadas e o uso compartilhado entre estas e os órgãos e entidades municipais deverão ser observados os termos e finalidades constantes do ato de consentimento, sob pena de responsabilização.

I encarregado-Geral de Proteção de Dados da Prefeitura (titular e suplente), indicados pela Controladoria-Geral do Município e designados por ato do Chefe do Poder Executivo;

II encarregado Setorial de Proteção de Dados (titular e suplente), indicados pela autoridade máxima de cada órgão municipal;

III encarregado-Geral de Proteção de Dados (titular e suplente), indicados pela autoridade máxima de cada entidade municipal;

IV Comissão Permanente Municipal de Proteção de Dados - CPMPD composta por representantes, titulares e suplentes, indicados pela autoridade máxima, das seguintes pastas:

a) Controladoria-Geral do Município - CGM;

b) Procuradoria - Geral do Município - PGM;

c) Secretaria Municipal de Administração e Tecnologia da Informação - SMATI;

d) Secretaria do Governo Municipal - SGM;

e) Secretaria Municipal de Planejamento, Finanças e Orçamento - SMF;

f) Instituto de Pesquisa e Planejamento Urbano de Curitiba - IPPUC.

§ 1º A indicação dos encarregados Setoriais de Proteção de Dados dos órgãos e dos Encarregados-Gerais de Proteção de Dados das entidades, bem como de seus respectivos suplentes, deverá ser formalizada por meio de ato publicado pelo próprio órgão ou entidade e informada à Controladoria-Geral do Município, por meio ofício-resposta assinado pela da autoridade máxima do órgão ou entidade.

§ 3º A indicação dos componentes da Comissão Permanente Municipal de Proteção de Dados - CPMPD, bem como de seus suplentes, será feita por meio ofício-resposta, encaminhado pela autoridade máxima do órgão ou entidade à Controladoria-Geral do Município e as designações serão efetivadas por ato do Chefe do Poder Executivo Municipal, a ser publicado no Diário Oficial do Município - DOM.

§ 4º Para os membros da Comissão Permanente Municipal de Proteção de Dados não serão criadas funções específicas.

Parágrafo único Caberá à Controladoria Geral do Município, em conjunto com o Instituto Municipal de Administração Pública - IMAP, a realização de estudos e as providências necessárias para a criação da estrutura do Encarregado-Geral de Proteção de Dados da Prefeitura, de acordo com as normas legais aplicáveis e considerando o presente Decreto.

I instituir e manter o Plano de Adequação no âmbito dos órgãos e entidades municipais e o Programa de Governança em Privacidade e Proteção de Dados, integrado à estrutura geral de governança e segurança da informação municipal;

II assessorar e orientar os órgãos e entidades municipais quanto às diretrizes estabelecidas no âmbito do Plano de Adequação e do Programa de Governança em Privacidade;

III orientar os órgãos e entidades na promoção da transparência das atividades de tratamento de dados pessoais, bem como sobre o exercício dos direitos dos titulares dos dados;

IV promover a cultura de proteção de dados pessoais dos agentes públicos envolvidos nas atividades de tratamento por meio da sensibilização e qualificação continuada;

V articular institucionalmente com a Agência Nacional de Proteção de Dados, com outras comissões estaduais e órgãos federais, estabelecendo cooperação técnica e alinhamento de diretrizes;

VI monitorar a aplicação deste Decreto, com especial atenção ao cumprimento dos prazos e procedimentos, e sugerir providências aos órgãos e entidades em caso de descumprimento da Lei Geral de Proteção de Dados; e

VII executar outras atividades correlatas à proteção de dados pessoais.

I realizar o tratamento dos dados pessoais em conformidade com os princípios, fundamentos e diretrizes previstos na Lei Geral de Proteção de Dados Pessoais;

II aderir ao Programa de Governança em Privacidade e Proteção de Dados instituído pela Controladoria-Geral do Município, adotando processos e políticas internas estabelecidos para a implementação e manutenção da conformidade à Lei Geral de Proteção de Dados Pessoais;

III implementar e manter a conformidade com a Lei Geral de Proteção de Dados Pessoais, em consonância com as diretrizes, metas e prazos estabelecidos no Plano de Adequação da Controladoria-Geral do Município, em especial quanto aos incisos III, IV e V do art. 7º. deste Decreto, bem como às demais normas complementares desta Controladoria;

IV garantir a participação dos agentes públicos em ações de qualificação continuada e a divulgação de materiais informativos, internos e externos, promovendo a cultura de proteção de dados e o tratamento adequado das informações pessoais;

V fornecer informações claras, acessíveis e atualizadas sobre o tratamento de dados pessoais realizado pelo órgão ou entidade, por meio de canais de fácil acesso, alinhadas às diretrizes da Controladoria-Geral do Município, da Agência Nacional de Proteção de Dados e da Lei Geral de Proteção de Dados Pessoais;

VI atender as solicitações, orientações e demandas da Controladoria-Geral do Município relacionadas à implementação, monitoramento e aprimoramento das ações de conformidade à Lei Geral de Proteção de Dados Pessoais;

VII executar outras atividades correlatas à proteção de dados pessoais, conforme determinação da Controladoria-Geral do Município, da Agência Nacional de Proteção de Dados ou de outras normas aplicáveis.

I receber comunicações e solicitações dos titulares dos dados e da Agência Nacional de Proteção de Dados, prestando esclarecimentos e adotando as providências necessárias;

II auxiliar a Controladoria-Geral do Município na elaboração e revisão de políticas, normas e procedimentos relativos à proteção e tratamento de dados pessoais no âmbito municipal, submetendo-os à apreciação da Comissão Permanente Municipal de Proteção de Dados;

III orientar os Encarregados Setoriais quanto às atividades do Plano de Adequação;

IV prestar apoio à Controladoria-Geral do Município nas ações de divulgação e sensibilização interna voltadas à qualificação em privacidade e proteção de dados;

V auxiliar a Controladoria-Geral do Município na contratação de consultorias especializadas em proteção de dados pessoais;

VI elaborar o relatório anual consolidado sobre o nível de conformidade do Município com a Lei Geral de Proteção de Dados Pessoais e encaminhá-lo à Comissão Permanente Municipal de Proteção de Dados;

VII executar outras atividades correlatas definidas pela Controladoria-Geral do Município, pela Agência Nacional de Proteção de Dados e demais normas aplicáveis.

I coordenar a implementação e a operacionalização da Lei Geral de Proteção de Dados Pessoais no âmbito do órgão em que atua, em conformidade com as atividades previstas no Plano de Adequação estabelecido pela Controladoria-Geral do Município;

II orientar gestores, servidores e colaboradores acerca das práticas adequadas de tratamento e proteção de dados pessoais;

III atuar como ponto focal para demandas internas e externas relacionadas à proteção de dados pessoais, inclusive aquelas provenientes da Controladoria-Geral do Município, da Agência Nacional de Proteção de Dados ou dos titulares;

IV atender às requisições e recomendações da Controladoria-Geral do Município;

V monitorar o cumprimento dos prazos e procedimentos previstos no art. 23, § 3º, da Lei Geral de Proteção de Dados Pessoais - LGPD, relacionados ao exercício dos direitos dos titulares;

VI elaborar relatório anual sobre o nível de conformidade à Lei Geral de Proteção de Dados Pessoais - LGPD do órgão em que atua, encaminhando-o ao Encarregado-Geral de Proteção de Dados da Prefeitura;

VII comunicar imediatamente à Controladoria-Geral do Município qualquer suspeita ou ocorrência de incidente de segurança;

VIII colaborar na apuração de incidentes de segurança e nas medidas a serem adotadas para reverter ou mitigar seus efeitos;

IX executar outras atividades correlatas, determinadas pela alta administração, pelo Controle Interno do órgão e pela Controladoria-Geral do Município, necessárias ao cumprimento da legislação e das normas municipais de proteção de dados.

I analisar e aprovar políticas, normas e demais instrumentos de proteção de dados no âmbito municipal;

II atuar como instância deliberativa e consultiva em matérias relacionadas à Lei Geral de Proteção de Dados Pessoais e demais normas correlatas que envolvam conflito ou interface com privacidade e proteção de dados;

III acompanhar, monitorar e avaliar o nível de conformidade dos órgãos e entidades municipais com as políticas de proteção de dados;

IV propor diretrizes estratégicas para a proteção de dados pessoais no âmbito da Administração Municipal, incluindo planos de médio e longo prazo, metas e indicadores;

V atuar como instância de mediação ou consulta em casos de dúvidas, conflitos ou interpretações sobre o tratamento de dados no âmbito municipal.