Comitê Gestor de Dados Pessoais – CGDP
(Portarias PRE n.º 55 e 65/2021 – IDs 0994330 e 0997168)

Plano de Ação

1. Identificação do Plano de Ação
Plano de Ação	
Lei Geral de Proteção de Dados – TRE/MS	
Unidade solicitante	Data da solicitação:	
Comitê Gestor de Dados Pessoais – CGDP	13/04/2021	
Líder do Plano de Ação	Unidade do líder	
Jorge Luiz Batista Antônio	Assessoria Especial da Direção-Geral – AEDG	

2.  Histórico de registros
Versão	Data	Responsável	Descrição	
00	14/04/2021	Eduardo Nagata – AGPI 	Versão preliminar	
01	21/04/2021	Jorge Luiz Batista Antônio – AEDG	1ª Revisão	

3. Necessidades e justificativa
Implantar, no âmbito do Tribunal Regional Eleitoral de Mato Grosso do Sul, as disposições da Lei Geral de Proteção de Dados Pessoais – LGPD, nº 13.709/2018, alterada pela Lei nº 13.853/2019, que dispõe sobre o tratamento de dados pessoais em mio físico ou digital, inclusive por pessoas jurídicas de direito público. Em razão desta lei, o CNJ editou a Recomendação nº 73, de 20 de agosto de 2020 recomendando em seu art. 1º:
I.	elaborar plano de ação que contemple, no mínimo, os seguintes tópicos: a. organização e comunicação; b. direitos do titular; c. gestão de consentimento; d. retenção de dados e cópia de segurança; e. contratos; f. plano de respostas a incidentes de segurança com dados pessoais;
II.	disponibilizar, nos sítios eletrônicos, de forma ostensiva e de fácil acesso aos usuários: a. informações básicas sobre a aplicação da Lei Geral de Proteção de Dados aos tribunais, incluindo os requisitos para o tratamento legítimo de dados, as obrigações dos controladores e os direitos dos titulares; b. formulário para exercício de direitos dos titulares de dados pessoais;
III.	elaborar ou adequar, bem com publicar nos respectivos sítios eletrônicos, de forma ostensiva e de fácil acesso aos usuários: a. política de privacidade para navegação no website da instituição em relação à Lei Geral de Proteção de Dados Pessoais e ao art. 7º, VIII, da Lei nº 12.965/2014 (Marco Civil da Internet); b. os registros de tratamentos de dados pessoais contendo, entre outras, informações sobre: 1. finalidade do tratamento; 2. base legal; 3. descrição dos titulares; 4. categorias de dados; 5. categorias de destinatários; 6. transferência internacional; 7. prazo de conservação; 8. medidas de segurança adotadas; 9. a política de segurança da informação;
IV.	constituir Grupo de Trabalho para estudo e identificação das medidas necessárias à implementação da Lei Geral de Proteção de Dados no âmbito deste Tribunal, cujo relatório final subsidiará o Conselho Nacional de Justiça na elaboração de uma política nacional.

4. Objetivos e metas do plano de ação
Esse plano de ação tem como objetivo a realização de atividades consistentes na concretização das medidas sugeridas pelo CNJ na citada Recomendação nº 73 e na Resolução nº 363, tais como levantamento, mapeamento e classificação dos dados, as bases legais e processos de trabalho nos quais são realizados os tratamento de dados; gestão de dados, do consentimento e da segurança da informação;   adequação e revisão de contratos, normativos e sistemas informatizado para conformidade à LGPD; gestão de riscos; e políticas de privacidade e de segurança da informação.

5. Escopo
1. Diagnóstico com levantamento da situação atual, identificando as bases de dados pessoais existentes, os processos de trabalho e procedimentos adotados de modo a estabelecer as discrepâncias entre a situação atual e a situação pretendida adequada aos dispositivos da LGPD;
2. Proposição de diretrizes a sanar as discrepâncias identificadas na etapa anterior;
3. Implementação do plano de ação de ajustes no TRE/MS;
4. Avaliação do trabalho desenvolvido e validação quanto à conformidade à LGPD, compreendendo, mas não se limitando, a realização de auditoria, testes e simulações e homologação por entidade externa.

5.1. Exclusões específicas
O plano de ação não abrange a criação de projetos setoriais que venham a ser necessários para adequação dos processos e procedimentos internos aos Tribunais.

6. Cronograma de execução

Etapa	#	Recomendação CNJ n.º 73/2020	Descrição da ação	Justificativa
Objetivo	Produto esperado
Observações	Cronograma	Responsável	
						Início	Término		
Etapa de estudo para implementação da LGPD no TRE/MS	1.1	Art. 1º, I, a (organização e comunicação)	Criação de grupo de trabalho para realização de estudos visando a implementação da LGPD no TRE/MS	Criar grupo de trabalho com servidores das mais diversas áreas, para realizar estudo visando a indicação de diretrizes para implementação das práticas que permitam o Tribunal estar em conformidade com a Lei.	Relatório de conclusão dos trabalhos (ID 0952540)	09/2020	11/2020	GT_LGPD	
Organização	2.1	Art. 1º, I, a (organização e comunicação)	Designação dos responsáveis na Organização	Instituição de Comitê Gestor de Proteção de Dados	CGDP - Portarias PRE nº 55 e 65/2021	02/2021		PRE	
	2.2	Art. 1º, I, a (organização e comunicação)	Designação dos responsáveis na Organização	Nomeação do Encarregado e constituição de grupo de apoio.	Designar servidores que darão apoio técnico às atividades de implantação da LGPD no tribunal. 	04/2021		PRE e CGDP	
		Art. 1º, I, a (organização e comunicação)	Diagnóstico e classificação	Realizar levantamento, mapeamento, diagnóstico e classificação dos dados tratados pelo TRE-MS 	Catálogo de dados por categoria; Catálogo de processos de trabalho utilizados nos tratamentos; 	04/2021	06/2021	Encarregado e GT-Apoio	
	2.3	Art. 1º, I, a (organização e comunicação)	Capacitação dos servidores do CGDP	Realizar capacitação dos servidores do CGDP para a assimilação de preceitos da LGPD, bem assim para nivelar os conhecimentos exigidos para a aplicação desta lei pelos integrantes do Comitê.	Seminários, webnários, cursos online, dentre outros.	04/2021	06/2021	CGDP	
	2.4	Art. 1º, I, a (organização e comunicação)	Sensibilização do Conselho de Governança Institucional, do Comitê Permanente de Gestão Estratégica e demais Comitês Gestores Setoriais	Conscientização, capacitação, treinamento e comunicação junto aos Comitês de Governança e Comitês Setoriais	Apresentação sobre a LGPD e do Plano de Ação	05/2021	05/2021	Coordenador CGDP, Encarregado e grupo de apoio.	
	2.5	Art. 1º, I, a (organização e comunicação)	Sensibilização dos servidores	1. Necessidade de implantação de plano de formalização e conscientização de magistrados, servidores, estagiários, terceirizados e demais colaboradores sobre a importância da privacidade de dados pessoais através dos seguintes meios:
Ações pontuais de conscientização;
Realização de capacitação ou treinamento;
Realização de Webinars;
Elaboração de conteúdo, materiais e tutoriais para desenvolvimento da cultura de dados;
2. Criação de página na intranet com informações para os usuários internos (divulgar, no mínimo, os pontos principais da Política de Proteção de Dados Pessoais do TRE/MS; como o pessoal da organização poderá obter respostas para seus questionamentos; os responsáveis para resolução de eventuais dúvidas e como proceder ao contato com o Encarregado; os procedimentos relativos aos titulares no encaminhamento de suas demandas; os procedimentos para reporte de incidentes de segurança de dados)	Reuniões setoriais; Treinamentos;
Seminários.

Todos devem ter conhecimento da existência do Portal da LGPD, da Política de Privacidade e Política de Segurança da Informação, do Comitê Gestor de Dados Pessoais e do Encarregado de Dados	1. Após a criação da Política de Privacidade e Política de Segurança da Informação
2. Após mapeamento de dados		CGDP, Encarregado e grupo de apoio.	
Direitos do Titulares	3.1	Art. 1º, I, b (direitos do titular)	Divulgar os Direitos dos Titulares previstos na LGPD e em outros diplomas normativos	Realizar levantamento dos direitos dos titulares impostos pela LGPD, bem como os direitos, perante órgãos públicos, regidos por outras legislações, em especial a lei do Habeas Data, a Lei Geral do Processo Administrativo e a Lei de Acesso à Informação.	Divulgação na página da internet do tribunal quanto aos direitos conferidos aos titulares dos dados pessoais	05/2021		Encarregado	
Gestão	4.1		Realizar levantamento diagnóstico e criar processos de trabalho de gestão de dados; do consentimento; de riscos; e documental	Levantamento, mapeamento e diagnóstico de atividades tendentes a criar fluxo de processos para gestão em conformidade com a LGPD	Criar fluxos de processos de gestão: de dados; do consentimento; de riscos; e documental	08/2021		CGDP, Encarregado e GT-Apoio	
Contratos	5.1	Art. 1º, I, e	Realizar levantamento diagnóstico dos contratos, convênios, termos de cooperação do Tribunal e instrumentos congêneres	Propor a revisão dos contratos, convênios, termos de cooperação (e, se for o caso, definição de política de contratação e interação com empresas e instituições diversas)	Cláusulas-padrão política de segurança da informação e LGPD	08/2021		CGDP	
Resposta a incidentes de segurança	6.1	Art. 1º, I, f	Mapear e classificar as categorias de dados tratados e requisitos de segurança para criar fluxo de processos de resposta a incidente de segurança	Estabelecer protocolos para resposta a incidentes de segurança com dados pessoais	Fluxos de processos e protocolos de segurança	08/2021		Encarregado e GT-Apoio	
Transparência ativa e passiva	7.1	Art. 1º, VI, a e b, Res. 363	Avisos de cookies e política de privacidade para navegação nas páginas do TRE-MS 	Dar publicidade aos titulares de dados pessoais que acessam as páginas do tribunal na internet sobre a forma e finalidade da utilização de cookies e quanto à privacidade na navegação.	Poup-up ou banner com aviso e link para normativos e mais detalhes sobre a utilização dos cookies	05/2021	05/2021	CGDP, encarregado e TI	
	7.2	Art. 1º, II, b	Formulário de solicitação de dados por parte do titular	Criar sistema similar ao SEI-Ouvidoria para possibilitar a disponibilização de formulário que permitirá os titulares solicitarem acesso e informações relativos aos seus dados direcionado ao encarregado de dados. Ou, adaptar o sistema SEI-Ouvidoria para criar formulário destinado ao Encarregado de Dados (exige alteração do sistema somente possível pelo TRE-TO)	Sistema de “AtendimentoOnline” para encaminhar solicitações relativas à LGPD diretamente ao Encarregado de Dados	04/2021	05/2021	CODESC	
	7.3	Art. 1º, II, c	Divulgar os registros de tratamentos de dados pessoais	Informações sobre: finalidade do tratamento; base legal; descrição dos titulares; categoria de dados; categoria de destinatários. Transferência internacional; compartilhamento; prazo de conservação; medidas de segurança; e política de segurança da informação	Tabela de Compliance framework	04/2021	06/2021	CGDP, Encarregado e GT-Apoio	
Implantação de programa permanente de conformidade	8.1	-	Implantar programa permanente de conformidade com a LGPD	Mudança de cultura: após implementações iniciais e detecção das lacunas de conformidade, necessária a implantação de programa permanente de conformidade com a LGPD, do mesmo modo como concebido aos sistemas e aplicativos, devendo-se incorporar salvaguardas de privacidade e dados pessoais, em todos os projetos e ações desenvolvidas, de forma a evitar qualquer ação futura a sanar desconformidades, mas sim enraizar a cultura de que toda e qualquer iniciativa deve ser gerada à luz do normativo.	Política de Segurança da Informação	08/2021		CGDP e TI	
	8.2	-	Elaborar do Relatório de Impacto à Proteção de Dados Pessoais (RIPD)	Esse relatório deve conter a descrição dos processos de tratamento de dados e possíveis riscos às liberdades civis e direitos fundamentais. O documento é fruto de um processo de avaliação de impacto à privacidade, focado em identificar, analisar e minimizar os riscos de proteção de dados.	Política de Segurança da Informação	08/2021		CGDP e TI	
	8.3	-	Atualizar sistemas informatizados	Adaptar sistemas informatizados para atender a legislação, à Política de Privacidade de Dados Pessoais, bem como gerar relatório de impacto.	Verificação de conformidade	08/2021		CGDP e TI	
	8.4		Revisar normativos do Tribunal	Revisão das normas administrativas à luz da LGPD, para que se evite sistemática violação da lei pela prática de condutas incompatíveis com o novo ordenamento, assim como para atendimento às exigências de conformidade.	Mapeamento do arcabouço normativo do TRE-MS	08/2021		CGDP	
	8.5		Definir ferramenta informatizada para geração de relatórios periódicos de conformidade de tratamento de dados	Estudo para definição das melhores formas de obter relatórios para verificação de conformidade dos tratamentos dos dados, inclusive para fins de emissão de Relatório de Impacto à Proteção de Dados Pessoais (RIPD)	BI	08/2021		CGDP	
	8.6	-	Implantar programa de conscientização com os conceitos de “privacidade desde a concepção” e “privacidade por padrão” em todos os sistemas e aplicativos a serem desenvolvidos	A General Data Protection Regulation (GDPR) foi uma das primeiras legislações a trazer dois princípios que passaram a ser relevantes na produção de aplicativos e outros serviços digitais dentro do contexto moderno de proteção de dados. Tais conceitos foram incorporados ao texto da LGPD de forma esparsa e tratam da “Privacidade desde a Concepção” (Privacy by Design) e “Privacidade por padrão” (Privacy by Default). Assim, não deverá ser permitido que se desenvolva nenhum projeto, produto ou serviço sem que a proteção da privacidade esteja no centro desse desenvolvimento.	Política de Segurança da Informação	08/2021		CGDP e TI	
Segurança da Informação	9.1	Art. 1º, I, f	Análise de Riscos	Efetuar análises de riscos e adotar medidas a evitar falhas que possam ferir os direitos e liberdades do cidadão.
Identificar os pontos possíveis de vazamento: proteger os dados pessoais envolve controles físicos, processuais e tecnológicos.
Após, necessária a realização de avaliação de riscos, considerando possíveis vulnerabilidades, ameaças e agentes de ameaças relacionados aos dados pessoais e a todos os pontos de vazamento identificados.	Política de Segurança da Informação				
	9.2		Proteção dos dados	Avaliar a segurança dos dados que restaram após limpeza e implementar ações a garantir sua proteção e monitoramento, com segurança física, lógica, controles de acesso, rastreabilidade, etc.	Política de Segurança da Informação				

7. Equipe do plano
Nome	Unidade	Ramal	E-mail	
Dr. Fernando Chemim Cury	Juiz Auxiliar da Presidência			
Nélida Cristina Xavier Letteriello	Presidência			
Wanderson Bezerra de Azevedo	Corregedoria Regional Eleitoral			
Waldercy de Souza Esteves	Ouvidoria			
Laudo Pinheiro da Silva	Escola Judiciária Eleitoral			
Jorge Luiz Batista Antônio	Direção-Geral			
Eduardo Haruo Braga Nagata	Assessoria de Governança e Projetos Institucionais			
Alexandre Cícero Freire Gonçalves	Secretaria de Administração e Finanças			
Marcelo Silva de Novaes	Secretaria de Tecnologia da Informação			
Fabiane de Carvalho e Silva	Secretaria de Gestão de Pessoas			
Marcelo de Souza Zanardo	Secretaria Judiciária			

8. Matriz de responsabilidades 
Os objetivos desta seção são garantir comprometimento e definir claramente a responsabilidade dos envolvidos com as principais entregas. No presente documento a coluna "Responsável" procura estabelecer sugestões para composição desta matriz. Em situações em que houver mais uma unidade responsável, haverá necessidade de que o produto esperado, conforme descrito, seja desenvolvido em conjunto ou que cada unidade apresente seu próprio produto. As parcerias indicam apenas a possibilidade de obtenção de colaboração, sem afetar a responsabilidade primária pelo produto.

9. Premissas/Restrições 
Colhemos como premissa o alcance, em sua integralidade, e completude deste plano de ação antes da entrada em vigência dos dispositivos sancionatórios da LGPD. Importante ressaltar que a vigência desta parte da LGPD ocorrerá no dia 1º de agosto de 2021, quanto aos arts. 52, 53 e 54 (sanções administrativas), conforme art. 65 I-A, incluído pela Lei nº 14.010, de 2020. Há que ser observar que os demais artigos já estão em vigência. Portanto, o presente plano admite sua conclusão até agosto de 2021. Entretanto, especialmente nas ações de Diagnóstico, as colunas "Data Início" e "Data Prevista Término" corroboram que as tarefas propostas devem ter início imediato e serem concluídas no prazo sugerido a fim de possibilitar a completude das adequações.

10. Gestão de riscos 
Riscos são eventos ou condições incertas que, se ocorrerem, têm um efeito positivo ou negativo sobre os objetivos do plano de ação. Apesar do CGDP ser o principal responsável por acompanhar os riscos relacionados ao plano, como um todo, todas as unidades envolvidas deverão compartilhar a responsabilidade a cada ameaça ou oportunidade que possam surgir. Ressalta-se, de imediato, a possibilidade dos seguintes riscos, listados a seguir e acompanhados de sugestões de mitigação:
•	Alterações na vacatio legis da LGPD (risco alto, impacto baixo). Resposta - desvincular ações do plano em relação à vigência da Lei e iniciar imediatamente o diagnóstico, conforme atual redação e respectiva revisão periódica.
•	Estabelecimento de regras adicionais pela ANPD (risco baixo, impacto indeterminado) contrárias ao especificado nos produtos deste plano. Resposta: revisão periódica das regras estabelecidas ou projetadas.

11. Estratégia de comunicação
O objetivo desta seção reside em definir como as comunicações acontecerão, contemplando os tópicos a serem comunicados, as partes interessadas (destinatários e remetentes), os meios de comunicação utilizados, os formatos adotados e os eventos realizados. O presente plano de ação contém ações específicas que precisarão da participação da Assessoria de Comunicação, por meio da divulgação das ações, além da participação da EJE para a promoção de eventos que visem a sensibilização das partes, à medida que as etapas forem ocorrendo.

12. Aprovação
Aprovado  por	
Líder do Plano de Ação	Data	Assinatura	
Jorge Luiz Batista Antônio			
Equipe do Plano de Ação	Data	Assinatura	
Comitê Gestor de Proteção de Dados			
Juiz Auxiliar da Presidência  	Data	Assinatura	
Dr. Fernando Chemim Cury