LegalizeDecreto Regulamentar Regional n.º 10/2024/M
Decreto Regulamentar Regional n.º 10/2024/M
Sumário: Aprova a orgânica do Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança.
Aprova a Orgânica do Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança
O Decreto Regulamentar Regional n.º 2/2024/M, de 15 de janeiro, que aprova a orgânica da Secretaria Regional das Finanças, com o desígnio de orientar, auditar e monitorizar a conformidade digital, a proteção de dados pessoais e a segurança do ciberespaço da Administração Pública Regional, tendo por base os quadros jurídicos comunitários e nacionais e boas práticas internacionais, procedeu à criação do Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança, serviço da administração direta da Região Autónoma da Madeira, com natureza interdepartamental, que integra aquela Secretaria Regional, determinando, ainda, que esta criação apenas produz efeitos com a aprovação da orgânica deste novo serviço.
Simultaneamente estabelece-se naquele diploma que a estrutura de missão Gabinete para a Conformidade Digital e Proteção de Dados (GCPD), criada pela Resolução n.º 72/2020, de 20 de fevereiro, publicada no JORAM, 1.ª série, n.º 33, de 21 de fevereiro, prorrogada e reestruturada pelas Resoluções n.º 38/2023, de 26 de janeiro, e 164/2023, de 9 de março, publicadas no JORAM, 1.ª série, respetivamente n.º 20, de 30 de janeiro, e n.º 50, de 14 de março, é extinta com a entrada em vigor da orgânica deste novo serviço.
Com efeito, pela citada Resolução n.º 72/2020, de 21 de fevereiro, foi criada a estrutura de missão designada Gabinete do Encarregado-Geral de Proteção de Dados (GEGPD), com uma vigência de três anos, prorrogável por iguais períodos, incumbida de assegurar, de forma interdepartamental e para toda a Administração Pública Regional, o controlo, auditoria e fiscalização da aplicação do Regulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e da Lei n.º 58/2019, de 8 de agosto, e, bem assim, garantir os direitos, liberdades e garantias das pessoas singulares no âmbito dos tratamentos de dados pessoais.
Considerando também a obrigatoriedade de designação de um Encarregado de Proteção de Dados para as entidades públicas, enquanto elemento que orienta e controla a conformidade em matéria de proteção de dados, na referida resolução foi ainda determinado, nos termos do n.º 4 do artigo 12.º da Lei n.º 58/2019, de 8 de agosto, que o Encarregado-Geral de Proteção de Dados (EGPD) é designado Encarregado de Proteção de Dados, com as competências identificadas no artigo 39.º do RGPD, para todos os organismos da administração direta e indireta da Região Autónoma da Madeira, incluindo o setor público empresarial desde que os órgãos de gestão destas últimas entidades expressamente o declarassem perante o EGPD.
Decorridos mais de dois anos da criação da estrutura de missão, considerando a premência de gerir similarmente a conformidade em outras áreas conexas com a proteção de dados pessoais, com as Resoluções do Conselho do Governo Regional n.º 38/2023 e 164/2023, procedeu-se à prorrogação e reestruturação desta estrutura de missão com o alargamento do seu âmbito de intervenção, que passou a designar-se «Gabinete para a Conformidade Digital e Proteção de Dados», abreviado por GCPD, o que permitiu que viesse a gerir mais eficientemente a conformidade digital e o acesso à informação administrativa, em conexão com a conformidade em matéria de tratamento de dados pessoais, competindo a esta entidade emanar orientações e monitorizar a conformidade da atuação da Administração Pública Regional nestas matérias.
Presentemente, após a consolidação da estratégia de funcionamento e respetivo grau de maturidade do GCPD, constata-se que a estrutura de missão concluiu o objetivo de conceção e validação de um modelo transversal para a área de privacidade e proteção de dados pessoais e que agora exige-se a sua consolidação, implementação e monitorização permanentes com a integração destas funções numa estrutura fixa, mais eficiente.
Ademais, sentiu-se a necessidade de implementar um novo modelo de governança para a segurança da informação, à semelhança do que foi definido em matéria de privacidade e proteção de dados pessoais, com a atribuição a uma entidade independente da responsabilidade de estabelecer as políticas, normas, procedimentos e estratégias de segurança da informação a implementar transversalmente nos organismos da Administração Pública Regional, operacionalizando-se, assim, uma segregação das funções entre o serviço que define, monitoriza, audita e orienta aquelas políticas e o serviço que as executa.
É, pois, neste contexto, que através do presente diploma se procede à aprovação da orgânica do Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança, prosseguindo-se e concretizando-se a estratégia do Governo Regional nestas áreas.
Assim, ao abrigo dos n.os 1 e 2 do artigo 25.º do Decreto Regulamentar Regional n.º 2/2024/M, de 15 de janeiro, da alínea d) do n.º 1 do artigo 227.º e do n.º 6 do artigo 231.º da Constituição da República Portuguesa, e das alíneas c) e d) do artigo 69.º do Estatuto Político-Administrativo da Região Autónoma da Madeira, aprovado pela Lei n.º 13/91, de 5 de junho, e revisto pelas Leis n.os 130/99, de 21 de agosto, e 12/2000, de 21 de junho, e do n.º 1 do artigo 24.º do Decreto Legislativo Regional n.º 17/2007/M, de 12 de novembro, alterado pelos Decretos Legislativos Regionais n.os 24/2012/M, de 30 de agosto, 2/2013/M, de 2 de janeiro, e 42-A/2016/M, de 30 de dezembro, o Governo Regional da Madeira decreta o seguinte:
CAPÍTULO I
Natureza, missão e atribuições
Artigo 1.º
Natureza
1 - O Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança, abreviadamente designado por GCPD, é o serviço da administração direta da Região Autónoma da Madeira, com natureza interdepartamental, integrado na Secretaria Regional das Finanças, a que se refere a alínea j) do n.º 1 do artigo 5.º do Decreto Regulamentar Regional n.º 2/2024/M, de 15 de janeiro.
2 - No domínio das políticas que integram a sua missão, o GCPD é um serviço de coordenação, assegurando ainda funções de controlo e auditoria no âmbito da implementação dessas políticas.
Artigo 2.º
Missão
1 - O GCPD tem por missão apoiar a definição das políticas a adotar em matéria de conformidade digital, proteção de dados e cibersegurança da Administração Pública Regional, tendo por base os quadros jurídicos comunitários e nacionais, boas práticas e códigos de conduta associados à dimensão digital, à proteção de dados e à cibersegurança, bem como, de modo transversal, orientar, auditar e monitorizar a conformidade digital, a proteção de dados pessoais e a segurança do ciberespaço com essas políticas.
2 - No domínio da proteção de dados, o GCPD tem também por missão especial assegurar as funções de Encarregado de Proteção de Dados (EPD) dos organismos e serviços da administração direta e indireta da Região Autónoma da Madeira, assim como do setor empresarial da Região Autónoma da Madeira quando os órgãos de gestão destas últimas solicitem a adesão ao programa de privacidade e proteção de dados do Governo Regional da Madeira e cumpram com os requisitos definidos no referido programa para a sua adesão.
3 - No âmbito da área de cibersegurança, o GCPD tem ainda por missão especial assegurar as funções de Encarregado-Geral de Cibersegurança (EGCiber) dos organismos e serviços da administração direta e indireta da Região Autónoma da Madeira e das empresas públicas regionais.
Artigo 3.º
Atribuições
1 - Na área da proteção de dados, o GCPD prossegue as seguintes atribuições:
Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, nos domínios da proteção de dados pessoais e monitorizar a sua aplicação;
Emitir pareceres e recomendações;
Fomentar uma cultura de proteção de dados pessoais na Administração Pública Regional, através de ações de sensibilização, formação genérica e específica, eventos, workshops e conteúdos informativos a disponibilizar aos diferentes grupos de interesse (stakeholders);
Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na aplicação do Regulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e da Lei n.º 58/2019, de 8 de agosto, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito do tratamento de dados pessoais;
Efetuar a coordenação global do projeto «Rumo à Conformidade com o RGPD» e respetivo Programa de Privacidade e Proteção de Dados a implementar pelos diversos responsáveis pelo tratamento de dados pessoais da Administração Pública Regional que tenham como Encarregado de Proteção de Dados (EPD), o Encarregado-Geral de Proteção do Dados (EGPD) do Governo Regional da Madeira;
Assegurar a conformidade nas relações das entidades do Governo Regional com os titulares de dados pessoais e ser ponto de contacto com as autoridades de controlo, atendendo ao âmbito do RGPD e demais legislação nacional em matéria de proteção de dados;
Coordenar e colaborar com a Rede de Privacidade e Proteção de Dados no cumprimento das disposições relativas à proteção de dados, designadamente no exercício dos direitos dos titulares, reporte de violações de dados pessoais e nas Avaliações de Impacto sobre a Proteção de Dados (AIPD);
Emanar orientações e monitorizar a conformidade na aplicação do regime vigente em matéria de proteção de dados pessoais, em articulação com áreas conexas, designadamente os regimes relativos à conformidade digital, cibersegurança e de acesso e reutilização dos documentos administrativos na Administração Pública Regional, atendendo à intrínseca relação entre as matérias envolvidas;
Orientar e monitorizar a atuação dos Responsáveis pelo Acesso à Informação (RAl) na aplicação da Lei n.º 26/2016, de 22 de agosto, na redação atual, com as alterações introduzidas pela Lei n.º 68/2021, de 26 de agosto, que aprova o regime de acesso à informação administrativa e ambiental e de reutilização dos documentos administrativos (LADA), em articulação com as normas vigentes em matéria de proteção de dados pessoais.
2 - Na área da cibersegurança, o GCPD prossegue as seguintes atribuições:
Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, no domínio da cibersegurança e monitorizar a sua aplicação;
Emitir pareceres e recomendações;
Fomentar uma cultura de cibersegurança na Administração Pública Regional, através de ações de sensibilização, formação genérica e específica, eventos, workshops e conteúdos informativos a disponibilizar aos diferentes grupos de interesse (stakeholders);
Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na aplicação do Regime Jurídico de Segurança do Ciberespaço, boas práticas e políticas internas em matéria de cibersegurança na Administração Pública Regional;
Criar, desenvolver e coordenar um projeto de conformidade e respetivo programa de cibersegurança transversal à Administração Pública Regional;
Assegurar a cooperação da Administração Pública Regional com entidades externas em matéria de cibersegurança, inclusive com a Autoridade Nacional de Cibersegurança e, quando necessário, com o ponto de contacto único internacional para reação a ciberincidentes, no contexto nacional;
Coordenar e colaborar com a Rede de gestão de conformidade da Administração Pública Regional no âmbito da cibersegurança.
3 - Na área da conformidade digital, o GCPD prossegue as seguintes atribuições:
Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, no domínio da conformidade digital, incluindo a inteligência artificial, e monitorizar a sua aplicação;
Emitir pareceres e recomendações;
Fomentar uma cultura de conformidade digital na Administração Pública Regional, através de ações de sensibilização, formação genérica e específica, eventos, workshops e conteúdos informativos a disponibilizar aos diferentes grupos de interesse (stakeholders);
Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na utilização de tecnologias emergentes na Administração Pública Regional, com os quadros jurídicos europeus e nacionais, boas práticas e políticas internas associados à dimensão digital;
Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na aplicação dos quadros jurídicos europeus e nacionais, boas práticas e políticas internas em matéria de inteligência artificial na Administração Pública Regional;
Coordenar e colaborar com a Rede de gestão da conformidade digital da Administração Pública Regional.
CAPÍTULO II
Órgão, competências e organização
Artigo 4.º
Órgão
1 - O GCPD é dirigido por um diretor, equiparado a cargo de direção superior de 1.º grau.
2 - O diretor do GCPD é coadjuvado por dois diretores adjuntos, equiparados para efeitos remuneratórios a cargos de direção intermédia de 1.º grau.
3 - Para a prossecução da missão prevista no n.º 2 do artigo 2.º, o GCPD dispõe de um Encarregado-Geral e de um Encarregado-Geral Adjunto de Proteção de Dados da Administração Pública Regional, cujas funções são exercidas por inerência, respetivamente, pelo diretor e pelo diretor adjunto designado para o efeito.
4 - No âmbito da missão prevista no n.º 3 do artigo 2.º, o GCPD dispõe ainda de um Encarregado-Geral e de um Encarregado-Geral Adjunto de Cibersegurança da Administração Pública Regional, cujas funções são exercidas respetivamente, por inerência, pelo diretor do GCPD e pelo diretor adjunto designado para o efeito.
5 - O diretor e os diretores adjuntos são designados, por despacho conjunto do Presidente do Governo Regional e do membro do Governo responsável pela área das finanças, nos termos do n.º 1 do artigo 5.º do Decreto Legislativo Regional n.º 5/2004/M, de 22 de abril, na redação atual, de entre licenciados, respetivamente, há, pelo menos, 10 e 8 anos que possuam qualidades profissionais, conhecimentos especializados nas áreas da conformidade digital, de privacidade e proteção de dados e cibersegurança, preferencialmente com experiência e certificações reconhecidas a nível nacional e internacional nas referidas áreas.
6 - O diretor e os diretores adjuntos do GCPD agem com independência na prossecução das suas atribuições e no exercício das suas funções.
Artigo 5.º
Diretor
1 - Sem prejuízo das competências que lhe forem conferidas por lei ou que nele sejam delegadas ou subdelegadas, no desempenho das suas funções, compete, designadamente, ao diretor do GCPD:
Dirigir, coordenar e orientar o GCPD, bem como aprovar os regulamentos e normas de execução necessários ao seu bom funcionamento, em consonância com os valores estabelecidos e que regem a sua atividade;
Emitir pareceres que, nos termos da lei, sejam da competência do GCPD, nomeadamente nos domínios da conformidade digital, privacidade e proteção de dados pessoais e da cibersegurança;
Transmitir orientações transversais sobre matérias da sua competência a todos os serviços da Administração Pública Regional;
Representar o GCPD junto de quaisquer organismos nacionais ou internacionais no âmbito das suas atribuições;
Garantir a articulação entre o GCPD e os departamentos e organismos do Governo Regional e demais entidades;
Representar a RAM nas estruturas nacionais e assinar acordos, protocolos ou contratos programa, relacionadas com as suas atribuições e competências;
Assessorar a tutela nos domínios da conformidade digital, da privacidade e proteção de dados pessoais e da cibersegurança;
Coordenar as Redes de gestão de conformidade criadas no âmbito das atribuições do GCPD;
Proceder ao planeamento estratégico e operacional das áreas de atuação do GCPD, garantindo a sua execução e monitorização;
Apresentar e coordenar a elaboração dos planos e relatórios anuais de atividades do GCPD a submeter à aprovação superior;
A consulta deste documento não substitui a leitura do Diário da República correspondente. Não nos responsabilizamos por eventuais incorreções resultantes da transcrição do original para este formato.