I - respeito à privacidade;

II - autodeterminação informativa;

III - liberdade de expressão, de informação, de comunicação e de opinião;

IV - inviolabilidade da intimidade, da honra e da imagem;

V - desenvolvimento econômico e tecnológico e a inovação;

VI - livre iniciativa, a livre concorrência e a defesa do consumidor;

VII - respeito dos direitos humanos, do livre desenvolvimento da personalidade, da dignidade e do exercício da cidadania pelas pessoas naturais;

VIII - interesse público; e

IX - transparência de atuação no âmbito de suas competências.

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

VI - controlador: pessoa jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VII - operador: pessoa jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD;

IX - agentes de tratamento: o controlador e o operador interno e externo;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI - Autoridade Nacional de Proteção de Dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei Federal nº 13.709, de 2018, em todo o território nacional;

XII - unidade gestora: ambiente sob o qual cada controlador tem competência de atuação;

XIII - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XIV - consentimento: manifestação livre, informada e inequívoca pela qual o titular dos dados concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XV - plano de adequação: conjunto das regras de boas práticas e de governança de dados pessoais que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos agentes envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos, o plano de respostas a incidentes de segurança e outros aspectos relacionados ao tratamento de dados pessoais; e

XVI - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.

I - controlar e gerir a atividade de tratamento de dados;

II - instruir os operadores sobre a realização do tratamento de dados;

III - fiscalizar a observância pelos operadores das instruções e das normas sobre a matéria;

IV - nomear o encarregado no âmbito da sua unidade gestora;

V - elaborar e manter atualizado o relatório de impacto à proteção de dados pessoais – RIPD;

VI - informar ao encarregado governamental os nomes do encarregado setorial e dos operadores internos e externos da sua unidade gestora;

VII - obter o consentimento específico do titular, quando necessário;

VIII - instrumentalizar a portabilidade dos dados;

IX - garantir a transparência no tratamento de dados;

X - manter o registro das operações de tratamento de dados pessoais;

XI - comunicar ao encarregado setorial, à Autoridade Nacional de Proteção de Dados e ao titular, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos do art. 48 da Lei nº 13.709, de 2018.

I - realizar o tratamento de dados pessoais segundo as instruções fornecidas pelo controlador;

II - manter os dados pessoais protegidos de acesso não autorizado, divulgação, destruição, perda acidental ou qualquer tipo de violação de dados pessoais;

III - manter registros das operações de tratamentos de dados pessoais que realizar;

IV - observar as boas práticas e padrões de governança previstos na Lei Federal nº 13.709, de 2018;

V - comunicar ao encarregado Setorial a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos da Lei Federal nº 13.709, de 2018;

VI - quando autorizado pelo controlador e no pleno exercício de sua capacidade técnica, decidir sobre:

I - sugerir diretrizes de tratamento de dados a serem adotados pela Administração Pública Direta e Indireta do Distrito Federal.

II - orientar controladores e encarregados Setoriais a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais, conforme disposto na Lei Federal nº 13.709, de 2018;

III - elaborar e disponibilizar material de divulgação e capacitação a respeito das boas práticas e padrões de governança de dados e segurança da informação, a serem tomadas em relação à proteção de dados pessoais no Distrito Federal, conforme disposto na Lei Federal nº 13.709, de 2018;

IV - acompanhar as comunicações da Autoridade Nacional de Proteção de Dados e orientar os controladores e encarregados setoriais;

V - disponibilizar e manter atualizado o Portal Distrital da LGPD;

VI - instrumentalizar e garantir a transparência dos dados, nos termos da Lei Federal nº 13.709, de 2018;

VII - consolidar os relatórios recebidos pelos encarregados Setoriais;

VIII - prestar informações a respeito da aplicação da LGPD na Administração Pública ao Governador do Distrito Federal;

IX - elaborar o Guia Orientativo e as Instruções Normativas para a aplicação da LGPD.

I - à privacidade e proteção de dados pessoais;

II - à gestão de riscos;

III - à governança de dados;

IV - ao acesso à informação no setor público;

V - à legislação pertinente ao tema; e

VI - à segurança da informação.

I - orientar os funcionários e os contratados da Administração Pública Direta e Indireta a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

II - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

III - editar diretrizes para a elaboração dos planos de adequação, conforme art. 22, inciso III deste Decreto;

IV - receber comunicações da Autoridade Nacional de Proteção de Dados e adotar providências;

V - decidir sobre as sugestões formuladas pela Autoridade Nacional de Proteção de Dados a respeito da adoção de padrões e de boas práticas para o tratamento de dados pessoais, nos termos do art. 32 da Lei Federal nº 13.709, de 2018;

VI - providenciar a elaboração dos relatórios de impacto à proteção de dados pessoais previstos pelo art. 32 da Lei Federal nº 13.709, de 2018;

VII - providenciar, em caso de recebimento de informe da Autoridade Nacional de Proteção de Dados com medidas cabíveis para fazer cessar uma afirmada violação à Lei Federal nº 13.709, de 2018, nos termos do art. 31 daquela lei, o encaminhamento ao setor responsável pelo tratamento de dados pessoais, fixando prazo para atendimento à solicitação ou apresentação das justificativas pertinentes;

VIII - avaliar as justificativas apresentadas nos termos do inciso VI deste artigo, para o fim de:

IX - requisitar aos setores responsáveis as informações pertinentes, para sua compilação em um único relatório, nos termos do artigo 32, da Lei Federal nº 13.709, de 2018.

I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e

X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

I - condições, regimes e procedimentos internos para o tratamento de dados pessoais;

II - normas de segurança da informação;

III - padrões técnicos;

IV - alocação de responsabilidades e obrigações aos diversos colaboradores envolvidos nas atividades de tratamento;

V - ações educativas;

VI - mecanismos internos de supervisão e mitigação de riscos; e

VII - procedimentos de resposta a incidentes de segurança.

I - demonstrar o comprometimento da organização em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;

II - ser aplicável a todo conjunto de dados pessoais que estejam sob o controle da organização, independentemente do modo como se realizou a coleta;

III - contar com planos de resposta a incidentes e remediação;

IV - ser adaptado à estrutura, à escala e ao volume das operações da organização, bem como à sensibilidade dos dados tratados;

V - estabelecer políticas de salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;

VI - ser atualizado constantemente com base em informações obtidas a partir do monitoramento contínuo e avaliações periódicas;

VII - ter o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular; e

VIII - estar integrado a sua estrutura geral de governança, que estabeleça e aplique mecanismos de supervisão internos e externos.

I - o mapeamento dos dados pessoais existentes e dos fluxos de dados pessoais em suas unidades;

II - a análise de risco e medidas de mitigação;

III - o plano de adequação baseado no modelo implementado pela casa civil;

IV - o relatório de impacto à proteção de dados pessoais, quando solicitado.