O Conselho Nacional de Justiça (CNJ) estabeleceu medidas para a adequação dos tribunais de todo o país à Lei Geral de Proteção de Dados Pessoais (LGPD). A proposta de resolução foi aprovada nesta terça-feira (15) pelo plenário.

A LGPD entrou em vigor no mês de setembro, regulamentando a coleta, o armazenamento e a manipulação de dados pessoais. O objetivo da norma do CNJ é facilitar o processo de implementação da legislação no âmbito do sistema judicial.

Leia também: Conselho recomenda paridade de gênero em bancas de concurso
STF invalida limite de idade para ingresso na magistratura
Fux prorroga trabalho remoto de servidores do STF até 31 de março

O Tribunal de Justiça do Rio de Janeiro já conta com o Comitê Gestor de Proteção de Dados Pessoais desde setembro. A juíza Daniela Bandeira representa a AMAERJ na comissão, que avalia os mecanismos de tratamento e proteção dos dados existentes para propor ações voltadas a seu aperfeiçoamento. Administrativamente, a Associação iniciou, também, seu procedimento de adaptação à lei.

No CNJ, o relator da proposta foi o conselheiro Henrique Ávila. O presidente da AMAERJ, Felipe Gonçalves, e o secretário-geral da Associação, Richard Robert Fairclough, acompanharam a sessão do Conselho, em Brasília. Confira abaixo a minuta da resolução aprovada pelo CNJ:

RESOLUÇÃO

Estabelece medidas para o processo de adequação à Lei Geral de Proteção de Dados Pessoais a serem adotadas pelos Tribunais.

O PRESIDENTE DO CONSELHO NACIONAL DE JUSTIÇA (CNJ), no uso de suas atribuições legais e regimentais,         

CONSIDERANDO que é missão do Conselho Nacional de Justiça desenvolver políticas judiciárias que promovam a efetividade e a unidade ao Poder Judiciário, para os valores de justiça e de paz social;

CONSIDERANDO a entrada em vigor da Lei n^o 13.709/2018 (Lei Geral de Proteção de dados Pessoais – LGPD), bem como a crescente utilização da Internet e de modelos digitais estruturados para acesso e processamento de dados disponibilizados pelos órgãos do Poder Judiciário;

CONSIDERANDO a criação, por intermédio da Portaria CNJ n^o 212/2020, do Grupo de Trabalho destinado à elaboração de estudos e propostas voltadas à adequação dos tribunais à Lei n^o 13.709/2018 (Lei Geral de Proteção de Dados Pessoais);

CONSIDERANDO a necessidade de proteção da privacidade e dos dados pessoais dos titulares nos atos processuais e administrativos;

CONSIDERANDO a necessidade de padronização de critérios mínimos para os programas de implementação prática da Lei n^o 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD) em todos os tribunais do país; 

CONSIDERANDO os termos já constantes na Recomendação CNJ n^o 73/2020, que recomenda aos órgãos do Poder Judiciário brasileiro a adoção de medidas preparatórias e ações iniciais para adequação às disposições contidas na Lei Geral de Proteção de Dados (LGPD);

CONSIDERANDO a decisão plenária tomada no julgamento do Ato Normativo n^o 000XXXXXX.2020.2.00.0000, na XXXXª Sessão XXXXX, realizada em XXX de XXXX de 2020;

RESOLVE:

Art. 1^o Estabelecer medidas para o processo de adequação à Lei Geral de Proteção de Dados Pessoais a serem adotadas pelos tribunais do país (primeira e segunda instâncias e Cortes Superiores), à exceção do Supremo Tribunal Federal, para facilitar o processo de implementação no âmbito do sistema judicial, consistentes em:

I  – criar o Comitê Gestor de Proteção de Dados Pessoais (CGPD), que será o responsável pelo processo de implementação da Lei n^o 13.709/2018 em cada tribunal, com as seguintes características:

a)   a composição do referido Comitê deverá ter caráter multidisciplinar e ter em vista o porte de cada tribunal;

b)    caberá a cada Tribunal a decisão de promover a capacitação dos membros do CGPD sobre a LGPD e normas afins, o que poderá ser viabilizado pelas Academias ou Escolas Judiciais das respectivas Cortes de Justiça;

II  – designar o encarregado pelo tratamento de dados pessoais, conforme o disposto no art. 41 da LGPD;

III   – formar um Grupo de Trabalho Técnico de caráter multidisciplinar para auxiliar nas funções junto ao encarregado pelo GT, composto, entre outros, por servidores da área de tecnologia, segurança da informação e jurídica;

IV  – elaborar, por meio de canal do próprio encarregado, ou em parceria com as respectivas ouvidorias dos tribunais:

a)  formulário eletrônico ou sistema para atendimento das requisições e/ou reclamações apresentadas por parte dos titulares dos dados pessoais;

b)   fluxo para atendimento aos direitos dos titulares (art. 18, 19 e 20 da LGPD), requisições e/ou reclamações apresentadas, desde o seu ingresso até o fornecimento da respectiva resposta;

V    – criar um site com informações sobre a aplicação da LGPD aos tribunais, incluindo:

a)   os requisitos para o tratamento legítimo de dados;

b)  as obrigações dos controladores e os direitos dos titulares nos termos do art. 1^o, II, “a” da Recomendação do CNJ n^o 73/2020;

c)    as informações sobre o encarregado (nome, endereço e e-mail para contato), referidas no art. 41, § 1^o, da LGPD;

VI   – disponibilizar informação adequada sobre o tratamento de dados pessoais, nos termos do art. 9^o da LGPD, por meio de:

a)   avisos de cookies no portal institucional de cada tribunal;

b)   política de privacidade para navegação na página da instituição;

c)  política geral de privacidade e proteção de dados pessoais a ser aplicada internamente no âmbito de cada tribunal e supervisionada pelo CGPD;

VII    – zelar para que as ações relacionadas à LGPD sejam cadastradas com os assuntos pertinentes da tabela processual unificada;

VIII  – determinar aos serviços extrajudiciais que, sob a supervisão da respetiva Corregedoria Geral da Justiça,  analisem a adequação à LGPD no âmbito de suas atribuições;

IX   – organizar programa de conscientização sobre a LGPD, destinado a magistrados, servidores, trabalhadores terceirizados, estagiários e residentes judiciais, das áreas administrativas e judiciais de primeira e segunda instâncias e Cortes Superiores, à exceção do Supremo Tribunal Federal;

X  – revisar os modelos de minutas de contratos e convênios com terceiros já existentes, que autorizem o compartilhamento de dados, bem como elaborar orientações para as contratações futuras, para conformidade com a LGPD, considerando os seguintes critérios:

a)   para uma determinada operação de tratamento de dados pessoais deve haver:

1. uma respectiva finalidade específica;

2. em consonância ao interesse público; e

3. com lastro em regra de competência administrativa aplicável à situação concreta;

b)   o tratamento de dados pessoais previsto no respectivo ato deve ser:

1. compatível com a finalidade especificada; e

2. necessário para a sua realização;

c)   inclusão de cláusulas de eliminação de dados pessoais nos contratos, convênios e instrumentos congêneres, à luz dos parâmetros da finalidade e da necessidade acima indicados;

d)    realizar relatório de impacto de proteção de dados previamente ao contrato ou convênio,  com observância do princípio da transparência;

XI  – implementar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, nos termos do art. 46 e seguintes da LGPD, por meio:

a)  da elaboração de política de segurança da informação que contenha plano de resposta a incidentes (art. 48 da LGPD), bem como a previsão de adoção de mecanismos de segurança desde a concepção de novos produtos ou serviços (art. 46, § 1^o);

b)    da avaliação dos sistemas e dos bancos de dados, em que houver tratamento de dados pessoais, submetendo tais resultados à apreciação do CGPD para as devidas deliberações;

c)   da avaliação da segurança de integrações de sistemas;

d)   da análise da segurança das hipóteses de compartilhamento de dados pessoais com terceiros;

XII   – elaborar e manter os registros de tratamentos de dados pessoais contendo informações sobre

a) finalidade do tratamento;

b) base legal;

c) descrição dos titulares;

d) categorias de dados;

e) categorias de destinatários;

f) eventual transferência internacional; e

g) prazo de conservação e medidas de segurança adotadas, nos termos do art. 37 da LGPD.

XIII   – Informar o CGPD sobre os projetos de automação e inteligência artificial.

Art. 2^o Para o cumprimento do disposto nesta Resolução, recomenda-se que o processo de implementação da LGPD contemple, ao menos, as seguintes ações:

 I – realização do mapeamento de todas as atividades de tratamento de dados pessoais por meio de questionário, conforme modelo a ser elaborado pelo CNJ;

II – realização da avaliação das vulnerabilidades (gap assessment) para a análise das lacunas da instituição em relação à proteção de dados pessoais;

III – elaboração de plano de ação (Roadmap), com a previsão de todas as atividades constantes nesta Resolução.

Art. 3^o Esta Resolução entra em vigor na data da sua publicação.

Ministro LUIZ FUX