PORTARIA Nº 98, DE 09 DE NOVEMBRO DE 2026
Institui a Política Institucional de Proteção de Dados Pessoais e Privacidade e o Programa de Governança em Privacidade da Secretaria de Estado do Meio Ambiente do Distrito Federal - SEMA-DF, dispõe sobre a elaboração e a execução do Plano de Adequação à Lei Geral de Proteção de Dados Pessoais e altera a Portaria SEMA nº 32, de 23 de julho de 2021.
O SECRETÁRIO DE ESTADO DO MEIO AMBIENTE DO DISTRITO FEDERAL, no uso das atribuições que lhe confere o art. 105, parágrafo único, incisos I e III, da Lei Orgânica do Distrito Federal, tendo em vista as Leis Federais nº 13.709, de 14 de agosto de 2018, nº 12.527, de 18 de novembro de 2011, nº 10.650, de 16 de abril de 2003, e nº 9.784, de 29 de janeiro de 1999, esta aplicável por força da Lei Distrital nº 2.834, de 7 de dezembro de 2001, a Lei Distrital nº 4.990, de 12 de dezembro de 2012, o Decreto Distrital nº 45.771, de 8 de maio de 2024, os Decretos Distritais nº 48.899, 48.900, 48.901 e 48.902, de 3 de julho de 2026, e o art. 42, inciso II, do Regimento Interno aprovado pelo Decreto Distrital nº 38.510, de 26 de setembro de 2017, observados os atos supervenientes de estrutura e competência, resolve:
Art. 1º Ficam instituídos, no âmbito da Secretaria de Estado do Meio Ambiente do Distrito Federal - SEMA-DF, a Política Institucional de Proteção de Dados Pessoais e Privacidade e o Programa de Governança em Privacidade, destinados à organização e à implementação das medidas necessárias ao cumprimento da legislação de proteção de dados pessoais nas atividades administrativas e finalísticas da SEMA-DF.
§ 1º Esta Portaria aplica-se às unidades administrativas da SEMA-DF, aos agentes públicos que nelas atuam e, nos limites das obrigações legais e contratuais pertinentes, às pessoas físicas e jurídicas que realizem operações de tratamento de dados pessoais em nome da SEMA-DF.
§ 2º A aplicação desta Portaria às atividades desenvolvidas em apoio a conselhos, fundos, órgãos e entidades vinculadas observará a identificação do controlador, as competências legalmente estabelecidas e os instrumentos jurídicos aplicáveis.
§ 3º A vinculação administrativa de órgão, entidade ou colegiado à SEMA-DF não implica, por si só, transferência de competência decisória, e a identificação do controlador de cada tratamento observará a natureza jurídica do ente, a legislação específica e o art. 5º do Decreto Distrital nº 45.771, de 8 de maio de 2024.
Art. 2º As operações de tratamento de dados pessoais observarão a boa-fé e os princípios de finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas, estabelecidos no art. 6º da Lei Federal nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD.
Parágrafo único. O tratamento de dados pessoais pela SEMA-DF atenderá à sua finalidade pública e às competências legalmente estabelecidas, observados o art. 23 da LGPD e as hipóteses legais aplicáveis.
Art. 3º A execução desta Política observará:
I - a Constituição Federal e a legislação federal sobre proteção de dados pessoais;
II - a legislação de acesso à informação e de transparência administrativa;
III - as normas de gestão documental, arquivamento, conservação e destinação de documentos públicos;
IV - as normas distritais de governança digital, tecnologia da informação, segurança da informação e inteligência artificial;
V - as orientações e os instrumentos expedidos pelas autoridades e pelos órgãos centrais competentes, conforme sua natureza e força jurídica;
VI - as competências próprias das unidades administrativas, dos órgãos de controle e das autoridades legalmente investidas; e
VII - as disposições específicas aplicáveis aos sistemas, aos procedimentos administrativos e aos instrumentos de cooperação utilizados pela SEMA-DF.
Parágrafo único. Esta Portaria não institui hipótese autônoma de tratamento de dados pessoais, não autoriza acesso irrestrito a informações protegidas e não modifica competências previstas em lei ou decreto.
DA GOVERNANÇA E DAS RESPONSABILIDADES INSTITUCIONAIS
Art. 4º A governança de proteção de dados pessoais da SEMA-DF compreende os seguintes agentes e instâncias, observadas as respectivas competências:
I - o Secretário de Estado do Meio Ambiente do Distrito Federal, autoridade máxima da SEMA-DF, que atua como representante do controlador perante os órgãos de controle, nos termos do art. 5º, § 1º, do Decreto Distrital nº 45.771, de 2024;
II - o encarregado setorial pelo tratamento de dados pessoais e seu suplente, designados em ato próprio publicado no Diário Oficial do Distrito Federal, nos termos do art. 25 do Decreto Distrital nº 45.771, de 2024;
III - a Unidade Gestora da Lei Geral de Proteção de Dados - UGLGPD;
IV - os dirigentes das unidades administrativas e os responsáveis pelos processos de trabalho;
V - os gestores de sistemas, projetos, contratos e instrumentos de cooperação;
VI - os responsáveis pelas funções de tecnologia da informação, inteligência artificial e governança de dados, conforme os atos normativos específicos; e
VII - as unidades de assessoramento, ouvidoria e controle, nos limites de suas competências.
Parágrafo único. Para os fins desta Portaria, a SEMA-DF exerce as atribuições de controlador dos dados pessoais tratados no âmbito de suas competências, nos termos do art. 5º do Decreto Distrital nº 45.771, de 2024, observado o disposto no art. 1º, §§ 2º e 3º.
Art. 5º Compete à autoridade máxima da SEMA-DF assegurar, no âmbito de suas atribuições, a implementação institucional desta Política, cabendo-lhe:
I - estabelecer prioridades e determinar providências administrativas;
II - promover a articulação entre as unidades responsáveis pelas operações de tratamento;
III - deliberar sobre as matérias submetidas à sua competência;
IV - assegurar as condições administrativas necessárias à execução das medidas aprovadas;
V - determinar providências corretivas quando identificadas desconformidades;
VI - acompanhar os resultados do Programa de Governança em Privacidade; e
VII - assegurar o cumprimento das obrigações de informação e encaminhamento previstas no Decreto Distrital nº 45.771, de 2024, inclusive a informação ao encarregado governamental sobre o encarregado setorial e os operadores, na forma do art. 6º, inciso VI, e o encaminhamento à Casa Civil do Distrito Federal da lista de operadores, na forma do art. 26.
Parágrafo único. A execução de atividades por unidades técnicas ou administrativas não afasta as responsabilidades legalmente atribuídas ao controlador.
Art. 6º A UGLGPD, instituída pela Portaria SEMA nº 32, de 23 de julho de 2021, com a redação dada pelo art. 43 desta Portaria, constitui instância colegiada permanente de apoio, vinculada administrativamente ao Gabinete, com o objetivo de articular as atividades de proteção de dados pessoais e organizar sua documentação.
§ 1º A UGLGPD é composta pelo encarregado setorial, por seu suplente e pelos servidores designados na forma do § 5º, não constitui unidade orgânica regimental, não possui competência decisória própria e seu funcionamento não implica criação de cargo, função, gratificação ou remuneração adicional.
§ 2º O encarregado setorial, seu suplente e os demais agentes oficialmente designados poderão utilizar unidade eletrônica específica no Sistema Eletrônico de Informações do Governo do Distrito Federal - SEI-GDF, desde que admitida pela regulamentação do sistema, em especial pelos arts. 7º, 8º e 13 da Portaria SEEC nº 3, de 5 de janeiro de 2022, na redação dada pela Portaria SEEC nº 506, de 26 de junho de 2025, com identificação do objetivo previsto no caput, dos usuários designados e das funções descritas no item 2 do Anexo II, observadas as regras de habilitação, segurança e controle de acesso.
§ 3º O acesso à documentação observará a necessidade funcional, a segregação de permissões e a rastreabilidade, não decorrendo autorização irrestrita da simples participação na UGLGPD.
§ 4º A UGLGPD não substitui gestores de sistemas, fiscais de contratos, ordenadores de despesas, responsáveis por tecnologia ou autoridades com competência decisória própria.
§ 5º A autoridade máxima definirá, em ato próprio publicado, no prazo de trinta dias contado da publicação desta Portaria, os demais integrantes e os responsáveis pela organização das atividades e consolidação das informações da UGLGPD, observadas as designações válidas e as competências das unidades e do encarregado setorial.
§ 6º Até a edição do ato de que trata o § 5º, a organização das atividades de apoio administrativo e a consolidação das informações caberão ao encarregado setorial, auxiliado pelo suplente, sem competência decisória e com observância do art. 7º, § 4º.
Art. 7º O encarregado setorial exercerá as atribuições estabelecidas no art. 41 da LGPD, no Decreto Distrital nº 45.771, de 2024, e no Regulamento aprovado pela Resolução CD/ANPD nº 18, de 16 de julho de 2024, cabendo ao suplente exercê-las nas hipóteses de substituição, na forma do art. 4º do Regulamento.
§ 1º O encarregado poderá solicitar às unidades as informações e os documentos necessários às suas atribuições, observados o acesso proporcional à finalidade, os sigilos legais e as competências dos responsáveis pelos processos.
§ 2º As atribuições do art. 16 do Decreto Distrital nº 45.771, de 2024, serão exercidas conforme seus pressupostos normativos, a responsabilidade institucional do controlador e a competência executiva das unidades. As diretrizes setoriais do encarregado serão complementares e subordinadas às diretrizes do art. 23, parágrafo único, do Decreto, e as dúvidas serão submetidas ao encarregado governamental, nos termos do art. 28.
§ 3º Providências dependentes de contratação, administração de sistemas, execução orçamentária, gestão de pessoal ou decisão reservada a outra autoridade serão encaminhadas à unidade competente, sem ampliação de atribuições por esta Portaria.
§ 4º Serão observadas as vedações funcionais do art. 14, parágrafo único, do Decreto Distrital nº 45.771, de 2024, e as regras de prevenção de conflitos dos arts. 18 a 21 do Regulamento aprovado pela Resolução CD/ANPD nº 18, de 2024, mediante avaliação das funções efetivamente exercidas.
Art. 8º Compete aos dirigentes das unidades administrativas, no âmbito de suas atribuições:
I - identificar as operações de tratamento realizadas nos processos sob sua responsabilidade;
II - informar finalidades, hipóteses legais, categorias de dados e destinatários;
III - manter atualizados os registros das operações;
IV - identificar os riscos associados às atividades executadas;
V - implementar os controles administrativos que lhes competirem;
VI - promover a observância das restrições de acesso aplicáveis;
VII - comunicar prontamente aos canais institucionais do art. 34, § 10, as suspeitas de incidentes envolvendo dados pessoais;
VIII - executar as providências corretivas determinadas pela autoridade competente; e
IX - fornecer informações e evidências necessárias à supervisão institucional e à manutenção do Plano de Adequação à LGPD.
Art. 9º As subsecretarias, assessorias, coordenações e unidades equivalentes indicarão ponto focal funcional para articulação com a UGLGPD, mediante comunicação ao Gabinete, no prazo do art. 38, inciso I.
§ 1º A indicação poderá recair sobre servidor que já exerça atividades de gestão de processos, governança, segurança ou organização administrativa.
§ 2º A atuação como ponto focal não configura designação como encarregado setorial, criação de cargo ou atribuição de competência decisória autônoma.
§ 3º A indicação não afasta a responsabilidade do dirigente da unidade.
Art. 10. As atribuições do Responsável de Inteligência Artificial - Responsável de IA e dos Curadores de Dados, sua articulação com o encarregado setorial e com as estruturas de governança de tecnologia da informação observarão os Decretos Distritais nº 48.900, 48.901 e 48.902, de 3 de julho de 2026, em especial os arts. 10 e 11 do Decreto Distrital nº 48.901, de 2026, e os atos das instâncias centrais competentes.
§ 1º Esta Portaria não constitui instância alternativa de aprovação de sistemas, autorizações de compartilhamento ou deliberações reservadas aos órgãos centrais.
§ 2º A designação do Responsável de IA, a designação do Encarregado de Dados e as comunicações à Secretaria de Estado de Governança Digital e Integração do Distrito Federal - SGDI observarão os arts. 10 e 35, inciso I, do Decreto Distrital nº 48.901, de 2026, não suprindo esta Portaria os atos exigidos.
§ 3º A indicação dos Curadores de Dados de Negócio caberá ao Curador de Dados Corporativo, correspondente à liderança máxima da SEMA-DF, nos termos do art. 5º, §§ 2º e 3º, do Decreto Distrital nº 48.902, de 2026, observada a avaliação de conflitos prevista no art. 7º, § 4º, desta Portaria.
§ 4º O Comitê de Tecnologia da Informação e Comunicação - COTIC da SEMA-DF permanece regido por seus atos próprios de instituição e composição. Esta Portaria não o converte automaticamente no Subcomitê Gestor de Tecnologia da Informação e Comunicação - SGTIC previsto no art. 8º do Decreto Distrital nº 48.900, de 2026, cabendo à autoridade competente verificar o atendimento dos requisitos e, se necessário, editar ato específico de adequação.
Art. 11. À unidade de tecnologia da informação, observada a estrutura vigente, caberá executar ou coordenar os controles tecnológicos de proteção de dados pessoais, no âmbito de suas atribuições.
§ 1º Os controles compreenderão, conforme a infraestrutura efetivamente administrada:
I - inventário de ativos e soluções tecnológicas;
II - administração de identidades e permissões;
III - atualização de sistemas e componentes;
IV - identificação e tratamento de vulnerabilidades;
V - registros técnicos de eventos e acessos;
VI - cópias de segurança e recuperação de dados;
VII - continuidade dos serviços digitais;
VIII - proteção dos equipamentos e serviços expostos à internet; e
IX - apoio técnico na resposta a incidentes.
§ 2º As atribuições serão exercidas pela Diretoria de Tecnologia - DITEC, pela Gerência de Suporte - GESUP e pelas demais instâncias competentes, observados os atos de estrutura e as responsabilidades dos serviços corporativos do Governo do Distrito Federal.
§ 3º O inventário tecnológico não substitui o das operações de tratamento, cuja finalidade e necessidade serão descritas pelas unidades de negócio, e guardará coerência com o inventário de soluções e ativos do Plano Diretor de TIC, de que trata o art. 12, § 2º, inciso II, do Decreto Distrital nº 48.900, de 2026.
Art. 12. À Assessoria Jurídico-Legislativa - AJL caberá prestar assessoramento jurídico nas matérias de sua competência, inclusive licitude dos tratamentos, publicidade, instrumentos de compartilhamento, contratações e questões que demandem encaminhamento à Procuradoria-Geral do Distrito Federal - PGDF.
Parágrafo único. O assessoramento jurídico não substitui manifestação técnico-pericial, avaliação de segurança ou decisão reservada à autoridade competente.
Art. 13. A Unidade de Controle Interno - UCI atuará em conformidade com o Decreto Distrital nº 45.933, de 20 de junho de 2024, e com as orientações da Controladoria-Geral do Distrito Federal - CGDF.
§ 1º A UCI observará sua condição de segunda linha de controle, especialmente no monitoramento dos controles primários, acompanhamento da gestão de riscos e orientação à gestão nos limites regulamentares.
§ 2º Esta Portaria não atribui à UCI a execução de controles primários nem auditoria interna fora das hipóteses legalmente autorizadas.
§ 3º O acompanhamento da UCI não constitui autorização prévia obrigatória para cada tratamento ou ato administrativo.
DO INVENTÁRIO, DAS HIPÓTESES LEGAIS E DA GESTÃO DE RISCOS
Art. 14. As unidades manterão registro atualizado das operações de tratamento de dados pessoais relacionadas às suas atividades, nos termos do art. 37 da LGPD e do art. 6º, inciso X, do Decreto Distrital nº 45.771, de 2024, observadas as informações mínimas do Anexo I.
§ 1º O inventário não exige reprodução integral das bases pessoais, devendo ser utilizados, sempre que suficientes, descrições, metadados e referências aos repositórios autorizados.
§ 2º O inventário será atualizado após modificação material do tratamento e submetido a revisão ordinária, no mínimo, anual.
§ 3º O mapeamento das operações e dos fluxos subsidiará o Plano de Adequação à LGPD e observará o modelo e as diretrizes do art. 36.
§ 4º A consolidação indicará as unidades, os sistemas, os contratos e os processos de negócio abrangidos, o universo de referência e as pendências, vedada sua qualificação como integral enquanto não concluída a conciliação desse universo.
§ 5º As unidades revisarão os campos de coleta dos formulários, cadastros e sistemas sob sua responsabilidade, suprimindo os desnecessários à finalidade, observados os deveres legais de instrução, conservação e publicidade.
Art. 15. Cada operação terá hipótese legal compatível com sua finalidade, observados, quando aplicáveis, os arts. 7º, 11, 14, 23, 26 e 27 da LGPD.
§ 1º O consentimento não será utilizado para substituir a hipótese legal própria do tratamento necessário ao cumprimento de obrigação legal, à execução de políticas públicas ou ao exercício de competência pública.
§ 2º O tratamento de dados sensíveis observará o art. 11 da LGPD, e o relacionado a pessoas em situação de vulnerabilidade observará os requisitos específicos e as medidas proporcionais aos riscos.
§ 3º O tratamento de dados de crianças e adolescentes observará o art. 14 da LGPD e o Enunciado CD/ANPD nº 1, de 22 de maio de 2023, podendo fundamentar-se nas hipóteses dos arts. 7º ou 11, conforme a natureza do dado, desde que observado e prevalecente o melhor interesse do titular, cuja avaliação será registrada no inventário do art. 14 desta Portaria.
§ 4º Quando aplicável, o consentimento será obtido de forma livre, informada e inequívoca, para finalidade determinada, observados os requisitos dos arts. 8º e 9º da LGPD e as exigências específicas relativas a dados sensíveis e crianças, com indicação dos dados tratados e da possibilidade de revogação.
Art. 16. As unidades identificarão, avaliarão e tratarão os riscos das operações sob sua responsabilidade.
§ 1º A avaliação considerará, conforme o caso:
I - finalidade e natureza da operação;
II - categorias e volume dos dados;
III - quantidade e características dos titulares potencialmente afetados, inclusive crianças, adolescentes e pessoas em situação de vulnerabilidade;
IV - sistemas e ambientes utilizados;
V - possibilidades de acesso indevido, exposição, perda ou alteração;
VI - impactos potenciais aos direitos dos titulares; e
VII - salvaguardas existentes e medidas de mitigação necessárias.
§ 2º Os riscos classificados como materiais, conforme a metodologia do § 5º, terão registro da unidade responsável, prioridade, providências, prazo administrativo, dependências e avaliação do risco residual.
§ 3º Situações que excedam a competência ou os meios da unidade serão submetidas à autoridade competente, com indicação das medidas provisórias possíveis.
§ 4º A metodologia permitirá reproduzir os critérios utilizados, vedada a apresentação de índices de risco ou maturidade sem definição do método e das evidências.
§ 5º A avaliação observará, no que couber, o sistema de gestão de riscos e controles internos de que trata o art. 14 da Portaria SEMA nº 100, de 3 de novembro de 2025, e a metodologia adotada pelo Comitê Interno de Governança, sem prejuízo dos requisitos específicos desta Portaria.
Art. 17. A elaboração e a atualização do Relatório de Impacto à Proteção de Dados Pessoais - RIPD observarão os arts. 5º, inciso XVII, e 38 da LGPD, as determinações da Agência Nacional de Proteção de Dados - ANPD e os arts. 6º, inciso V, 16 e 23, inciso IV, do Decreto Distrital nº 45.771, de 2024.
§ 1º As unidades responsáveis fornecerão descrição das operações, finalidades, dados utilizados, riscos e salvaguardas.
§ 2º A unidade de tecnologia da informação prestará informações sobre infraestrutura e controles, quando pertinentes.
§ 3º O encarregado exercerá as atribuições de orientação, articulação e providências previstas no regime aplicável.
§ 4º As decisões sobre medidas administrativas, tratamento de riscos e execução respeitarão a competência do controlador e das demais autoridades.
§ 5º A exigibilidade do RIPD será examinada em decisão motivada, conforme o art. 38 da LGPD, os arts. 6º, inciso V, e 23, inciso IV, do Decreto Distrital nº 45.771, de 2024, e o caso concreto, vedada dispensa geral fundada apenas em classificação interna de baixo risco. A ausência de requisição específica da ANPD não afasta os deveres do art. 6º, inciso V, do Decreto.
§ 6º Quando exigível, a unidade responsável pela operação coordenará a elaboração e a atualização do RIPD, com articulação da UGLGPD e apoio das unidades técnicas, sem prejuízo da responsabilidade do controlador e das atribuições do encarregado.
Art. 18. A conservação, a transferência, o arquivamento e a eliminação de documentos e dados observarão as finalidades do tratamento, os arts. 15 e 16 da LGPD, os deveres legais de guarda, as tabelas de temporalidade e os procedimentos de gestão documental.
Parágrafo único. A proteção de dados não autoriza eliminar documentos sujeitos à conservação legal, à obrigação arquivística ou à preservação necessária a processo, fiscalização ou apuração regularmente instaurada.
DOS DIREITOS DOS TITULARES, DA TRANSPARÊNCIA E DA PUBLICIDADE
Art. 19. A SEMA-DF manterá em seu portal informações acessíveis sobre o tratamento de dados pessoais e os canais de exercício dos direitos dos titulares.
§ 1º A área de proteção de dados conterá, no mínimo:
I - identificação e contatos do encarregado setorial e de seu suplente, nos termos do art. 15 do Decreto Distrital nº 45.771, de 2024, e do art. 41, § 1º, da LGPD;
II - canais institucionais de atendimento, inclusive o sistema Participa-DF;
III - aviso de privacidade atualizado;
IV - informações inteligíveis sobre as principais finalidades e categorias de dados;
V - orientações para solicitações e reclamações;
VI - indicação do Portal Distrital da LGPD, mantido pela Casa Civil, como canal complementar de informação e registro de sugestões, reclamações e denúncias; e
VII - data ou versão da última atualização.
§ 2º A divulgação preservará os sigilos legais e não incluirá dados de servidores ou terceiros além do necessário à finalidade institucional.
§ 3º A unidade responsável pelo portal, em articulação com as unidades detentoras das informações e com a UGLGPD, promoverá atualização sempre que houver alteração material.
§ 4º O aviso de privacidade informará, em linguagem clara, finalidades, hipóteses legais, compartilhamentos, prazos de conservação e canais de exercício de direitos e será acompanhado de inventário dos cookies e das tecnologias similares, com finalidade, categoria, duração e, quando exigíveis, mecanismos de escolha do titular.
§ 5º Formulários, sistemas e serviços que coletem dados exibirão, no ponto de coleta, aviso de transparência com identificação do controlador, finalidade, hipótese legal, compartilhamentos e canal de atendimento.
§ 6º Nos serviços dirigidos a crianças e adolescentes, as informações serão simples, claras e acessíveis, adequadas ao público, nos termos do art. 14, § 6º, da LGPD.
Art. 20. As solicitações de titulares serão recebidas pelo sistema Participa-DF e pelos demais canais competentes e encaminhadas às unidades responsáveis, observado o § 5º.
§ 1º A identidade do requerente e, quando aplicável, sua representação serão verificadas por procedimento proporcional ao risco de divulgação indevida.
§ 2º As respostas observarão prazos, procedimentos e restrições legais, inclusive competências da Ouvidoria e do sistema de acesso à informação.
§ 3º O atendimento poderá compreender acesso parcial, fundamentada a proteção das informações resguardadas. Na impossibilidade de providência imediata, a resposta indicará as razões de fato ou de direito, nos termos do art. 18, § 4º, da LGPD.
§ 4º Solicitações relativas a outro controlador serão encaminhadas ou orientadas à autoridade competente, quando cabível.
§ 5º A Ouvidoria encaminhará ao encarregado setorial as solicitações fundamentadas no art. 18 da LGPD, para articulação com a unidade detentora das informações. As recusas totais ou parciais de pedidos de direitos do titular que não se submetam ao procedimento específico de acesso à informação serão decididas pela autoridade administrativa competente ou por quem receber delegação válida. Quando o requerimento também constituir pedido de acesso à informação, a decisão e os recursos observarão as autoridades e instâncias próprias da Lei Distrital nº 4.990, de 2012, e do Decreto Distrital nº 34.276, de 2013, sem atribuição de competência recursal por esta Portaria.
§ 6º Manifestações recebidas pelo Portal Distrital da LGPD ou encaminhadas pelo encarregado governamental serão tratadas na forma deste artigo, com registro do encaminhamento e da resposta.
§ 7º Cada solicitação será qualificada segundo seu objeto, com registro do regime jurídico, do prazo, da unidade responsável e da autoridade decisória. Serão observados o art. 23, § 3º, da LGPD e a legislação específica, especialmente as Leis Federais nº 9.507, de 12 de novembro de 1997, nº 9.784, de 1999, e nº 12.527, de 2011, e a legislação distrital aplicável. A incidência do art. 19 da LGPD sobre confirmação de tratamento e acesso aos dados será examinada conforme o caso, sem transposição automática desse prazo aos demais direitos do art. 18. Como meta administrativa de gestão, sem afastar os prazos legalmente aplicáveis, as unidades buscarão concluir a resposta em quinze dias.
§ 8º Da decisão de recusa total ou parcial caberá o recurso estabelecido no regime jurídico aplicável, observado o seguinte:
I - nos pedidos submetidos à legislação de acesso à informação, serão observados os arts. 19 e 20 da Lei Distrital nº 4.990, de 2012, e os arts. 22 e 24 do Decreto Distrital nº 34.276, de 2013, com preservação integral das etapas, das autoridades e dos prazos previstos nesses dispositivos;
II - nos demais casos, ressalvado procedimento específico, serão observados os arts. 56 a 59 e 61 da Lei Federal nº 9.784, de 1999: o recurso será interposto no prazo de dez dias da ciência ou da divulgação oficial da decisão e dirigido à autoridade que a proferiu, que disporá de cinco dias para reconsiderá-la e, se a mantiver, o encaminhará à autoridade superior competente, a quem caberá decidir em até trinta dias do recebimento dos autos, prazo prorrogável por igual período mediante justificativa explícita;
III - a delegação da decisão inicial não modifica a competência recursal estabelecida no regime aplicável, e o julgamento de recursos é indelegável, nos termos do art. 13, inciso II, da Lei Federal nº 9.784, de 1999; e
IV - quando a decisão originária for da autoridade máxima, a unidade de atendimento identificará o regime e o órgão recursal competente, sem presumir recurso hierárquico interno inexistente, conversão obrigatória em pedido de reconsideração ou supressão de instância legalmente prevista. Eventual dúvida será submetida imediatamente ao Gabinete para encaminhamento aos órgãos centrais competentes e, se necessária, consulta jurídica, preservados os prazos e os direitos do requerente.
§ 9º A decisão denegatória indicará fundamento, recurso cabível, prazo e autoridade competente. A petição à ANPD, nos termos do art. 18, § 1º, da LGPD, não substitui recurso administrativo previsto na legislação.
Art. 21. A publicidade administrativa será compatibilizada com a proteção de dados, observadas as Leis Federais nº 12.527, de 2011, e nº 10.650, de 2003, quanto às informações ambientais, a Lei Distrital nº 4.990, de 2012, e os demais deveres de transparência.
§ 1º A presença de dados pessoais não determina, isoladamente, sigilo integral do documento.
§ 2º Será assegurado, quando juridicamente cabível, acesso à parcela pública, com ocultação fundamentada apenas das informações protegidas. A aplicação do art. 33 da Lei Distrital nº 4.990, de 2012, e do art. 42 do Decreto Distrital nº 34.276, de 2013, considerará o âmbito da proteção, as hipóteses legais de acesso, as exceções e a duração juridicamente aplicável, sem restrição automática de todo dado pessoal.
§ 3º Permanecem as obrigações de publicidade relativas a orçamento, execução financeira, contratos, atos administrativos e prestações de contas.
§ 4º A divulgação de CPF, dados bancários, endereços particulares, contatos e documentos de terceiros será examinada segundo a legislação, a finalidade e a necessidade de identificação.
§ 5º Os critérios de divulgação integral, parcial ou restrita por espécie documental, inclusive contratos, parcerias, atas, decisões, processos sancionadores e listas de beneficiários, serão estabelecidos em orientação normativa do Secretário, ouvidas a AJL e a UGLGPD, em articulação com o Guia Operacional de Proteção de Dados e SEI-GDF da SEMA-DF. O Gabinete poderá expedir Memorando Circular para orientar a execução dos critérios, sem substituir a orientação normativa.
DOS PROCESSOS ADMINISTRATIVOS E DAS RESPONSABILIDADES SETORIAIS
Art. 22. Nas atividades orçamentárias e financeiras, os controles observarão as competências da Coordenação de Orçamento e Finanças - COFIN e das unidades de orçamento, liquidação, pagamento e contabilidade.
§ 1º A Gerência de Orçamento - GEORC observará os controles das informações pessoais presentes no planejamento, créditos, empenhos e alterações orçamentárias.
§ 2º A Diretoria de Finanças - DIFIN supervisionará os controles das atividades financeiras e contábeis sob sua responsabilidade.
§ 3º A Gerência de Liquidação - GELIQ aplicará os controles relativos aos documentos fiscais, atestos, registros e informações necessários à liquidação.
§ 4º A Gerência de Pagamento - GEPAG observará os controles dos dados pessoais e bancários utilizados nos pagamentos, preservadas a comprovação e a publicidade legal.
§ 5º As operações regulares de empenho, liquidação e pagamento não dependerão de autorização individual prévia do encarregado setorial.
§ 6º Informações da folha e registros financeiros de pessoal serão tratados pela unidade competente, observado o art. 23, § 2º.
Art. 23. A Coordenação de Gestão de Pessoas - COGEP e suas unidades observarão medidas proporcionais de proteção dos registros pessoais, funcionais e financeiros.
§ 1º A Diretoria de Registros Funcionais - DIREF, a Gerência de Cadastro e Benefícios - GECAB e a Gerência de Capacitação e Atenção ao Servidor - GECAT observarão os controles de suas atividades.
§ 2º A Diretoria de Registros Financeiros - DIRFIN observará os controles de registros financeiros de pessoal, folha, consignações, acertos remuneratórios e demais operações de sua competência.
§ 3º Dados sensíveis, registros médicos e informações familiares ou funcionais protegidas terão controles compatíveis com sua natureza.
§ 4º Permanecem as obrigações de publicidade remuneratória e de prestação de informações aos órgãos competentes.
Art. 24. A Coordenação de Gestão Interna - COGI, a unidade de planejamento de contratações com competência vigente, a Gerência de Compras e a Diretoria de Contratos - DICON observarão os requisitos de proteção de dados pertinentes às respectivas etapas, preservadas as competências das unidades requisitantes, dos agentes de contratação e dos gestores e fiscais contratuais.
§ 1º Os instrumentos contratuais e congêneres conterão, quando pertinentes:
I - identificação das funções jurídicas das partes no tratamento;
II - finalidade e instruções aplicáveis;
III - requisitos de segurança e controle de acesso;
IV - condições de compartilhamento e subcontratação;
V - procedimentos para comunicação de incidentes pelo contratado ao encarregado setorial, pelos canais do art. 34, § 10, com ciência à unidade responsável pelo contrato, no prazo contratual máximo de vinte e quatro horas do conhecimento do fato, salvo prazo menor no instrumento, sem prejuízo de dever de comunicação mais célere imposto pelo regime aplicável e de modo compatível com as obrigações do controlador;
VI - regras de conservação, devolução ou eliminação, quando cabíveis; e
VII - deveres de cooperação com titulares e autoridades.
§ 2º A cláusula contratual não substitui a fiscalização de seu cumprimento.
§ 3º A condição de operador decorrerá das características efetivas da operação, nos termos do art. 7º do Decreto Distrital nº 45.771, de 2024, e do art. 5º, inciso VII, da LGPD, não sendo presumida para toda pessoa contratada.
§ 4º Novos sistemas, formulários, integrações e serviços observarão a proteção de dados desde a concepção e a adoção de configurações proporcionais à finalidade e à necessidade, nos termos dos arts. 6º e 46, § 2º, da LGPD, com avaliação prévia de finalidade, minimização, acesso, publicidade, conservação e segurança pelas unidades competentes.
§ 5º A exigência de documentos e dados de sócios, empregados, responsáveis técnicos, prepostos e outras pessoas naturais será limitada ao necessário, sem prejuízo dos documentos de habilitação e contratação legalmente exigidos.
§ 6º Modelos de outros órgãos somente serão adotados após adequação ao regime da contratação e às funções efetivas das partes.
§ 7º O inciso V do § 1º aplica-se aos instrumentos celebrados após esta Portaria. Os contratos vigentes serão adequados por instrumento juridicamente cabível, inclusive por ocasião de aditamento ou prorrogação, sem alteração unilateral indevida e sem prejuízo das obrigações e prazos superiores, especialmente do art. 37 do Decreto Distrital nº 48.901, de 2026.
§ 8º Nos contratos de aquisição de sistemas de IA constará vedação ao uso dos dados do Governo do Distrito Federal para treinamento de modelos pelo fornecedor, salvo autorização formal da SEMA-DF aprovada pelo Comitê Gestor de Tecnologia da Informação e Comunicação do Distrito Federal - CGTIC, nos termos dos arts. 21 e 25, § 1º, alínea e, do Decreto Distrital nº 48.901, de 2026.
Art. 25. Nos processos ambientais sancionadores, regidos pela Lei Distrital nº 41, de 13 de setembro de 1989, e pelo Decreto Distrital nº 37.506, de 22 de julho de 2016, serão preservados o contraditório, a ampla defesa, o acesso às peças necessárias e a publicidade legal, inclusive a exigida pela Lei Federal nº 10.650, de 2003, e pelos arts. 23 e 76 do Decreto.
§ 1º A divulgação de dados de denunciantes, testemunhas, representantes, terceiros e demais participantes observará a legislação e as medidas proporcionais de proteção.
§ 2º As notificações observarão o regime do Decreto Distrital nº 37.506, de 2016, que admite, além da via postal com aviso de recebimento, outro meio válido que assegure a certeza da ciência (arts. 54, 57, § 2º, e 59, parágrafo único), e a regulamentação específica, inclusive a Portaria SEMA nº 47, de 22 de maio de 2026, distinguindo-se o registro de envio da comprovação juridicamente suficiente da ciência.
§ 3º A proteção de dados não prejudicará a instrução, a defesa ou o acesso legítimo à prova.
§ 4º A lista de obras ou atividades embargadas observará os elementos de publicidade exigidos pelo art. 23 do Decreto Distrital nº 37.506, de 2016, inclusive localização georreferenciada, com avaliação documentada das medidas juridicamente admissíveis para evitar exposição de dados pessoais excedentes, sobretudo quando houver coincidência com domicílio particular. A lista semestral do art. 76 indicará as sanções e o estágio processual exigíveis, assegurada a ocultação proporcional dos dados não necessários à publicidade.
§ 5º A publicação das decisões da SEMA-DF e do CONAM, prevista no art. 76, § 2º, do Decreto, observará as medidas de proteção de que tratam os §§ 1º e 4º.
Art. 26. A Coordenação de Colegiados e Fundos - CCOF, a Diretoria de Colegiados - DICOL e a unidade de apoio ao Fundo Único de Meio Ambiente do Distrito Federal - FUNAM observarão os controles de suas atividades.
§ 1º Os controles abrangerão, conforme o caso, pautas, atas, convocações, recursos, comunicações, editais, projetos, parcerias e publicações.
§ 2º O apoio administrativo não modifica competências dos colegiados nem atribui à SEMA-DF responsabilidade por tratamentos juridicamente submetidos a outro controlador, identificado na forma do art. 1º, § 3º.
§ 3º Nos recursos ambientais dirigidos ao Conselho de Meio Ambiente do Distrito Federal - CONAM, nos termos do art. 58 do Decreto Distrital nº 37.506, de 2016, serão preservadas as atribuições do Conselho e os direitos processuais.
Art. 27. As unidades de estudos, pesquisas, programas socioambientais e participação comunitária identificarão finalidades e dados utilizados, adotando salvaguardas proporcionais aos riscos.
§ 1º A avaliação considerará especialmente dados de crianças, adolescentes, pessoas em situação de vulnerabilidade e localização capaz de permitir identificação direta ou indireta.
§ 2º Os dados abrangidos pela Lei Distrital nº 7.287, de 17 de julho de 2023, receberão a proteção nela estabelecida, conforme seus pressupostos e alcance. Dados de outros familiares ou terceiros serão protegidos segundo a LGPD e as demais normas aplicáveis.
§ 3º A aplicação das medidas dependerá da identificação dos dados efetivamente tratados e dos pressupostos legais, sem presunção de informação protegida em toda base territorial ou ambiental.
DO SISDIA, DOS DADOS GEOESPACIAIS, DO COMPARTILHAMENTO E DO VIDEOMONITORAMENTO
Art. 28. A Subsecretaria de Gestão Ambiental Territorial - SUGAT, por intermédio da Unidade de Informação Ambiental - UINFA e das unidades responsáveis pelos processos de negócio, observará os controles das bases, serviços e publicações do Sistema Distrital de Informações Ambientais - SISDIA.
§ 1º A governança temática compreenderá identificação de finalidades, avaliação de conteúdo, qualidade de atributos, requisitos funcionais e necessidade de publicação.
§ 2º A DITEC e as demais unidades técnicas responderão pelos controles que lhes forem atribuídos, inclusive autenticação, permissões, registros, segurança de integrações e continuidade.
§ 3º A finalidade e o conteúdo de camada ambiental permanecerão com a unidade de negócio competente, sem transferência à TI pela simples responsabilidade de infraestrutura.
§ 4º As bases e camadas serão avaliadas quanto a dados pessoais, identificação indireta, granularidade territorial e reidentificação.
§ 5º A avaliação abrangerá, conforme a arquitetura, interfaces públicas, serviços de mapas, downloads, interfaces de programação de aplicações - APIs, consultas automatizadas, metadados e bases integradas.
§ 6º O geoportal público não constitui fundamento autônomo para divulgação desnecessária ou não autorizada de dados pessoais.
§ 7º Bases e camadas que tenham contido dados pessoais somente serão publicadas após avaliação documentada do risco de reidentificação, considerados meios técnicos razoáveis e disponíveis, cruzamentos e granularidade, com registro das técnicas adotadas e observância do art. 12 da LGPD. A pseudonimização não implica, por si, anonimização.
Art. 29. O compartilhamento com órgãos, entidades ou particulares dependerá de finalidade legítima, hipótese legal, necessidade e competência dos participantes.
§ 1º A instrução registrará, conforme risco e natureza:
II - finalidade específica e atribuição legal;
III - hipótese legal do tratamento e compartilhamento;
IV - categorias de titulares e dados;
V - necessidade e proporcionalidade;
VI - destinatários e condições de acesso;
VIII - compartilhamento posterior;
X - responsabilidades por qualidade e atualização; e
XI - encerramento ou alteração da operação.
§ 2º Compartilhamentos sistemáticos e integrações observarão procedimentos e autorizações das instâncias centrais. As requisições de bases observarão a intermediação da SGDI pelo SEI, nos termos do art. 2º, inciso V e parágrafo único, do Decreto Distrital nº 48.899, de 2026. A deliberação interna sobre uso, priorização e compartilhamento caberá ao Curador de Dados Corporativo, nos termos do art. 7º, inciso II, do Decreto Distrital nº 48.902, de 2026, preservadas as demais competências legais.
§ 3º Integrações por APIs ou equivalentes terão documentados os perfis, registros de consulta, autenticação e revogação de permissões, conforme aplicável.
§ 4º Instrumentos conjuntos e obrigações pactuadas somente poderão ser alterados pelas autoridades competentes e pelo procedimento adequado.
§ 5º Nas operações em que a SEMA-DF atuar como controladora, manter-se-á relação atualizada dos operadores, com encaminhamento à Casa Civil e informação ao encarregado governamental, nos termos dos arts. 6º, inciso VI, e 26 do Decreto Distrital nº 45.771, de 2024.
§ 6º Os agentes e as unidades da SEMA-DF atuam em nome do controlador, e a mera responsabilidade técnica não os qualifica, por si, como operadores, sem prejuízo das informações exigidas pelo art. 6º, inciso VI, do Decreto Distrital nº 45.771, de 2024. A identificação compete ao controlador, nos termos do art. 8º do Decreto, e observará o art. 5º, inciso VII, da LGPD, o art. 7º do Decreto e as funções efetivas. Serão avaliados os serviços externos à estrutura da SEMA-DF, inclusive os hospedados no CeTIC-DF e geridos pela SGDI, considerados os arts. 1º, inciso II, e 16 do Decreto Distrital nº 48.899, de 2026, e os arts. 13 e 14 do Decreto Distrital nº 48.900, de 2026, sem qualificação automática pela existência de contrato, vínculo ou hospedagem.
§ 7º O compartilhamento com pessoas jurídicas de direito privado observará os arts. 26 e 27 da LGPD, inclusive comunicação à ANPD nas hipóteses exigidas.
Art. 30. O tratamento de imagens de videomonitoramento ambiental observará as normas e os instrumentos específicos.
§ 1º Os procedimentos identificarão:
II - responsáveis pela infraestrutura e acesso;
III - armazenamento, compartilhamento e conservação;
IV - fornecimento às autoridades; e
§ 2º Nos instrumentos conjuntos, a posição jurídica da SEMA-DF e dos demais partícipes será identificada no registro do art. 14, conforme as atribuições efetivas de captação, infraestrutura, armazenamento e disponibilização. A alteração dependerá da participação dos signatários, na forma do art. 41, § 2º.
DA INTELIGÊNCIA ARTIFICIAL, DAS SOLUÇÕES DIGITAIS E DA PRESERVAÇÃO DE OBRIGAÇÕES
Art. 31. A aquisição, o desenvolvimento e o uso de sistemas de IA observarão o Decreto Distrital nº 48.901, de 2026, e os atos das instâncias competentes.
§ 1º Serão observados os requisitos de inventário, classificação de risco, transparência, avaliação de impacto algorítmico e supervisão humana, conforme natureza e finalidade.
§ 2º O uso de plataformas públicas de IA generativa ficará limitado, como regra, a informações de caráter público, observado o art. 18, §§ 1º e 2º, do Decreto Distrital nº 48.901, de 2026.
§ 3º O tratamento de informações não públicas observará conjuntamente as condições dos arts. 18 e 20 do Decreto Distrital nº 48.901, de 2026, inclusive a autorização excepcional e a homologação quando exigíveis. A homologação não constitui, por si, autorização irrestrita para inserir dados não públicos, pessoais, sensíveis ou sigilosos. Eventual autorização contida no ato de homologação deverá abranger expressamente a finalidade e as categorias de informação pretendidas e ser compatível com o Decreto.
§ 4º Ferramentas de redação, análise e produtividade não dispensam avaliação das informações inseridas, finalidades, resultados e efeitos, registro explícito do uso de IA nos documentos decorrentes e supervisão humana com revisão crítica, nos termos do art. 13, incisos IV e V, do Decreto Distrital nº 48.901, de 2026.
§ 5º Sistemas de fiscalização automatizada ou apoio a decisões com efeitos jurídicos relevantes observarão os arts. 14 a 16 do Decreto Distrital nº 48.901, de 2026.
§ 6º A IA não substitui a competência decisória do agente, nos termos do art. 5º, inciso II, do Decreto Distrital nº 48.901, de 2026, nem converte estimativa ou classificação automatizada em prova individual suficiente.
§ 7º A UGLGPD, com o Responsável de IA, acompanhará os prazos do art. 35 do Decreto Distrital nº 48.901, de 2026, e proporá regularização imediata de pendências identificadas.
Art. 32. Esta Portaria não reinicia, suspende, prorroga ou dispensa obrigações e prazos legais, regulamentares ou fixados por autoridade competente, inclusive os dos Decretos Distritais nº 48.900, 48.901 e 48.902, de 2026, e não substitui o Plano de Adequação do art. 23 do Decreto Distrital nº 45.771, de 2024.
DA SEGURANÇA, DAS COMUNICAÇÕES E DA RESPOSTA A INCIDENTES
Art. 33. As unidades, em articulação com os responsáveis técnicos, adotarão medidas administrativas e tecnológicas proporcionais à natureza, ao volume e aos riscos das operações.
§ 1º Os controles compreenderão, conforme aplicáveis:
I - autenticação e identificação individual de usuários;
II - privilégios conforme necessidade funcional;
III - revisão e revogação de permissões;
IV - atualização de sistemas e componentes;
V - tratamento de vulnerabilidades;
VI - proteção de equipamentos, aplicações e conexões;
VII - cópias de segurança e restauração;
X - riscos associados a fornecedores.
§ 2º A DITEC, a GESUP, os gestores de sistemas e os demais responsáveis documentarão a implementação e os testes dos controles de sua competência.
§ 3º Os gestores e os fiscais verificarão as obrigações contratadas, observados seus limites de atuação.
§ 4º A ausência de comprovação será registrada como situação não verificada até apuração, sem constituir automaticamente prova de inexistência do controle.
§ 5º A gestão dos documentos administrativos observará o SEI-GDF como meio oficial, nos termos dos Decretos Distritais nº 36.756, de 16 de setembro de 2015, e nº 42.070, de 5 de maio de 2021, e da Portaria SEEC nº 3, de 2022.
§ 6º Correio eletrônico, armazenamento corporativo e aplicativos são meios auxiliares e não substituem o registro processual. Comunicações relevantes serão juntadas ao processo. As notificações da Portaria SEMA nº 47, de 2026, observarão seu procedimento e o § 7º.
§ 7º É vedada a utilização de contas pessoais de correio eletrônico, armazenamento em nuvem ou aplicativos de mensagem para tratamento institucional de dados pessoais. Serão utilizadas soluções institucionais compatíveis com a Política de Segurança da Informação e Comunicação aprovada pela Resolução CGTIC-DF nº 1, de 29 de abril de 2024, ou norma que a suceda. As notificações eletrônicas serão realizadas por conta institucional e número ou terminal sob controle da unidade notificante.
§ 8º A avaliação técnica de soluções de comunicação, armazenamento e segurança compete à unidade de TI, sem autorização para afastar restrições normativas vigentes.
§ 9º A TI manterá rotina documentada de identificação, classificação, priorização, correção e verificação de vulnerabilidades. Novos sistemas e alterações relevantes serão precedidos de avaliação de privacidade, na forma do art. 24, § 4º, com registro técnico.
§ 10. Esta Portaria não institui Comitê de Segurança, Gestor de Segurança ou Grupo de Resposta a Incidentes previstos na política central. A autoridade máxima, ouvida a TI, verificará sua existência ou a atribuição alternativa admitida pela norma central e promoverá a formalização pendente, com responsáveis identificados.
§ 11. A TI identificará, por sistema ou serviço relevante, hospedagem ou custódia, responsável, estratégia de backup, frequência, retenção e testes de restauração, distinguindo a execução própria e a de terceiros, sem excluir a incidência da Política de Backup e Recuperação aprovada pela Resolução CGTIC-DF nº 2, de 29 de abril de 2024, ou norma sucessora, inclusive sobre dados abrangidos hospedados fora do CeTIC-DF.
§ 12. Os padrões técnicos do art. 20, inciso III, do Decreto Distrital nº 45.771, de 2024, serão os estabelecidos nas normas centrais aplicáveis e os complementares documentados pela TI dentro de sua competência, observados os controles C07 a C09 do Anexo III.
Art. 34. O agente público ou contratado que identificar ou suspeitar de incidente envolvendo dados pessoais comunicará prontamente o fato aos canais do § 10.
§ 1º A comunicação interna não dependerá de confirmação prévia da extensão ou do dano.
§ 2º A resposta abrangerá, conforme o caso:
IV - preservação de evidências;
V - avaliação das operações e dados afetados;
VI - avaliação dos riscos aos titulares;
VII - decisão competente sobre comunicações obrigatórias;
VIII - recuperação e correção; e
IX - encerramento documentado, lições aprendidas e prevenção de recorrência.
§ 3º A TI realizará análises e contenção sob sua responsabilidade.
§ 4º A unidade do tratamento informará finalidade, categorias de dados e titulares potencialmente afetados.
§ 5º O encarregado exercerá interlocução, orientação e encaminhamento, inclusive apresentação da comunicação à ANPD pelo formulário disponibilizado, com comprovação de vínculo, na forma do art. 6º, §§ 4º a 6º, do Regulamento aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, sem prejuízo da apresentação por representante devidamente constituído, quando cabível nos termos regulamentares.
§ 6º A decisão sobre providências e comunicações caberá à autoridade competente e, no âmbito da representação do controlador, ao Secretário ou delegado válido, na forma do art. 1º, § 3º, da Portaria SEMA nº 32, de 2021, preservadas atribuições próprias de outras autoridades e os prazos legais.
§ 7º Comunicações à ANPD e aos titulares observarão a LGPD e os arts. 4º a 9º do Regulamento aprovado pela Resolução CD/ANPD nº 15, de 2024, inclusive os critérios de risco ou dano relevante, o prazo de três dias úteis nas hipóteses obrigatórias e as ressalvas regulamentares.
§ 8º A suspeita de exposição não comprova, isoladamente, incidente confirmado, número de titulares ou dano individual; a avaliação será motivada e apoiada nas evidências disponíveis.
§ 9º A resposta observará os fluxos distritais e as atribuições competentes, sem prejuízo dos deveres federais, inclusive o reporte ao encarregado governamental das comunicações recebidas da ANPD, nos termos do art. 13, parágrafo único, do Decreto Distrital nº 45.771, de 2024.
§ 10. Os canais serão formalmente definidos e divulgados aos agentes e, quando pertinente, aos contratados, com identificação dos responsáveis pelo recebimento e pelo encaminhamento e das condições de resposta tempestiva.
§ 11. As unidades gestoras de contratos encaminharão prontamente as comunicações recebidas aos canais institucionais, sem prejuízo da gestão e fiscalização contratual.
§ 12. Até a definição dos canais, as comunicações serão dirigidas simultaneamente ao encarregado e à TI, com registro na unidade eletrônica da UGLGPD e envio aos contatos institucionais pertinentes. A indisponibilidade do SEI ou de canal específico não dispensará comunicação imediata por outro meio institucional disponível, seguida de formalização.
§ 13. Incidentes envolvendo IA serão também comunicados ao Responsável de IA, para encaminhamento à SGDI pelo SEI, nos termos dos arts. 10, inciso IV, e 30 do Decreto Distrital nº 48.901, de 2026, sem substituir comunicações obrigatórias à ANPD e aos titulares.
Art. 35. Os incidentes serão documentados em registro institucional com controle de acesso compatível.
§ 1º O registro conterá, conforme o caso e sem prejuízo dos elementos obrigatórios do regulamento:
I - identificação da ocorrência, data de conhecimento e circunstâncias relevantes;
III - sistemas, operações e natureza dos dados afetados;
IV - categorias de titulares e número de titulares afetados, com indicação de estimativa e limitações quando ainda não conhecido com precisão;
V - contenção e preservação de evidências;
VI - avaliação do risco e possíveis danos;
VII - decisões, fundamentos e autoridades;
VIII - comunicações, formas, datas e conteúdo informado;
IX - razões de eventual ausência de comunicação à ANPD ou aos titulares; e
X - medidas de reversão, mitigação, correção e prevenção.
§ 2º A conservação observará o art. 10 do Regulamento aprovado pela Resolução CD/ANPD nº 15, de 2024, inclusive sua disciplina para as entidades do art. 23 da LGPD, e as normas de gestão documental e preservação pertinentes.
§ 3º A documentação evitará reprodução desnecessária de dados expostos e observará os requisitos de preservação de evidências digitais.
DO PLANO DE ADEQUAÇÃO, DO MONITORAMENTO E DA CAPACITAÇÃO
Art. 36. O Programa compreenderá o Plano de Adequação à LGPD, elaborado e atualizado conforme o modelo implementado pela Casa Civil e as diretrizes do Secretário de Estado-Chefe da Casa Civil, observado o art. 23, inciso III e parágrafo único, do Decreto Distrital nº 45.771, de 2024.
§ 1º O Plano constituirá instrumento próprio e contemplará, observadas as exigências distritais:
I - diagnóstico das operações e fluxos;
II - unidades, responsáveis e operadores;
III - finalidades e hipóteses legais;
V - segurança administrativa e técnica;
VI - atendimento aos titulares;
VII - conservação, compartilhamento e publicidade;
IX - capacitação e conscientização;
X - correções, responsáveis e prazos; e
XI - acompanhamento e verificação da execução.
§ 2º As unidades fornecerão informações e executarão medidas de sua responsabilidade; a UGLGPD articulará a consolidação; o encarregado exercerá suas atribuições regulamentares; e a autoridade competente deliberará sobre as medidas dependentes de aprovação.
§ 3º O Plano identificará a situação de execução e, quando aplicável, de verificação de cada medida, conforme o item 2 das Disposições de Aplicação do Anexo III, com evidências e limitações.
§ 4º A UGLGPD apresentará à autoridade máxima relatório ao menos semestral, com ciência ao Comitê Interno de Governança de que trata o art. 6º da Portaria SEMA nº 100, de 2025, sem prejuízo da comunicação imediata de situações urgentes.
§ 5º O relatório compreenderá, no mínimo:
III - atendimento aos titulares;
V - contratos e compartilhamentos;
VI - medidas implementadas e verificadas;
VIII - pendências, dependências externas e correções.
§ 6º Indicadores informarão período, universo, método, fontes e limitações, inclusive numerador e denominador quando necessários.
§ 7º As unidades responderão pela execução de suas medidas e consistência das informações.
§ 8º A UGLGPD não registrará como comprovada implementação sem evidência suficiente, observados os critérios do Anexo III.
§ 9º Os relatórios distinguirão controles previstos, implementados, testados e de eficácia verificada no período.
§ 10. O Plano e seus registros serão mantidos em processo próprio ou estrutura documental formalmente vinculada ao processo de governança de dados, observadas a segurança, o controle de acesso e a gestão documental.
Art. 37. A SEMA-DF promoverá capacitação periódica em proteção de dados e segurança, proporcional às atividades e aos riscos.
§ 1º As ações poderão contar com a COGEP, a GECAT, a UGLGPD, a DITEC e as demais unidades competentes.
§ 2º Serão priorizados recursos oficiais, inclusive cursos da Escola de Governo do Distrito Federal - EGOV referidos no art. 22, parágrafo único, do Decreto Distrital nº 45.771, de 2024, observada a disponibilidade administrativa e orçamentária.
§ 3º As ações integrarão o Plano de Desenvolvimento e Capacitação vigente, observado o art. 4º da Portaria SEMA nº 11, de 11 de fevereiro de 2025, enquanto aplicável, ou o instrumento que o substituir.
Art. 38. As providências internas observarão os seguintes prazos, contados da publicação:
I - quinze dias para pontos focais, canais do art. 34, § 10, e levantamento inicial de atos, sistemas e contratos;
II - trinta dias para identificação preliminar das operações e fluxos com maior potencial de risco;
III - sessenta dias para planos setoriais com responsáveis, medidas e prioridades; e
IV - noventa dias para consolidação pela UGLGPD e encaminhamento de proposta de elaboração ou atualização do Plano de Adequação, conforme modelo e diretrizes da Casa Civil.
§ 1º Dependências de recurso, autorização ou sistema de outra autoridade serão registradas e informadas à instância competente, com proposta das medidas possíveis.
§ 2º As entregas identificarão responsáveis, evidências, pendências, riscos materiais e medidas provisórias.
§ 3º Recebida a proposta do inciso IV, a autoridade máxima determinará ajustes e deliberará sobre o Plano, com responsabilidades de execução e acompanhamento, observadas as exigências dos órgãos competentes.
§ 4º A entrega do inciso I incluirá situação inicial dos controles, datas e evidências contemporâneas, sem certificação automática de cumprimento anterior ou de eficácia.
§ 5º Até a definição dos canais, aplica-se o art. 34, § 12. O prazo do inciso I não suspende prazos regulamentares de comunicação.
Art. 39. A Política será revista ordinariamente a cada doze meses e extraordinariamente diante de alteração normativa, estrutural ou operacional materialmente relevante.
§ 1º A revisão considerará sistemas, finalidades, compartilhamentos, recomendações competentes e avaliações de risco.
§ 2º As unidades prestarão as informações necessárias, preservadas as competências da UCI e dos órgãos de supervisão e controle.
Art. 40. Os procedimentos observarão os Anexos I, II e III e os instrumentos dos órgãos centrais competentes.
§ 1º As unidades mencionadas exercerão apenas as atribuições que lhes caibam na estrutura efetivamente vigente, sem criação ou transferência de competência por esta Portaria.
§ 2º A publicação de novo regimento interno ou de ato de reorganização administrativa exigirá a conferência de compatibilidade do Anexo II e, quando necessário, sua atualização pela autoridade competente. Propostas e atos preparatórios sem vigência não alteram competências.
§ 3º Modelos de registro de backups e restaurações, eliminação documental e sanitização de mídias, atendimento aos titulares, cookies, fiscalização de operadores e capacitação serão aprovados pela autoridade máxima, ouvidas a UGLGPD e as unidades técnicas, conforme o Anexo III.
§ 4º O Gabinete, ouvida a Assessoria de Gestão Estratégica e Projetos - AGEP, poderá divulgar quadro declaratório de correspondência demonstrada pelos atos vigentes. O quadro não poderá criar, alterar ou redistribuir competências nem substituir alteração normativa necessária.
DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS
Art. 41. Os atos específicos de governança, riscos, capacitação, avaliação documental, notificações, compartilhamento, integração de sistemas e videomonitoramento permanecerão aplicáveis, observada a legislação superior e a competência das autoridades.
§ 1º A adequação de atos anteriores será feita por alteração, substituição ou revogação expressa pela autoridade competente.
§ 2º Instrumentos conjuntos somente serão alterados ou revogados com observância das competências dos signatários e dos procedimentos aplicáveis.
§ 3º A UGLGPD, com apoio da AJL e das unidades, manterá inventário dos atos relacionados à proteção de dados, com situação normativa, compatibilidade e providências necessárias.
§ 4º A regulamentação vinculante da SGDI ou do CGTIC, expedida no exercício das competências atribuídas pelos atos superiores, será observada nos limites de seu objeto e alcance. Identificada incompatibilidade, a UGLGPD proporá ajuste desta Portaria, com exame jurídico quando necessário.
Art. 42. Ficam mantidas as designações válidas, inclusive as constantes da Portaria SEMA nº 87, de 7 de outubro de 2026, até seu término ou substituição, e as permissões no SEI-GDF concedidas com fundamento no art. 2º da Portaria SEMA nº 32, de 2021, enquanto compatíveis com as designações e funções autorizadas e com o art. 6º, §§ 2º e 3º, desta Portaria.
§ 1º A continuidade não dispensa atualização de atribuições, contatos, registros e procedimentos exigida por norma superveniente.
§ 2º A unidade responsável pelo SEI-GDF adequará as permissões ao art. 2º da Portaria SEMA nº 32, de 2021, na redação dada pelo art. 43, e ao art. 6º, §§ 2º e 3º, desta Portaria, no prazo de trinta dias contado da publicação.
Art. 43. A Portaria SEMA nº 32, de 23 de julho de 2021, passa a vigorar com as seguintes alterações:
“Art. 1º A Unidade Gestora da Lei Geral de Proteção de Dados - UGLGPD, instituída no âmbito da Secretaria de Estado do Meio Ambiente do Distrito Federal - SEMA-DF, constitui instância colegiada permanente de apoio ao controlador e ao encarregado setorial no cumprimento da Lei Federal nº 13.709, de 14 de agosto de 2018, e do Decreto Distrital nº 45.771, de 8 de maio de 2024, vinculada administrativamente ao Gabinete.
§ 1º A composição, o objetivo, as funções e o funcionamento da UGLGPD observarão a Política Institucional de Proteção de Dados Pessoais e Privacidade da SEMA-DF.
§ 2º A UGLGPD não constitui unidade orgânica regimental e não possui competência decisória própria.
§ 3º As atribuições do controlador previstas no art. 6º do Decreto Distrital nº 45.771, de 2024, serão exercidas, no âmbito da SEMA-DF, pelas autoridades competentes, cabendo ao Secretário sua representação e a delegação de atribuições próprias legalmente delegáveis, mediante ato publicado no Diário Oficial do Distrito Federal, nos termos do art. 105, parágrafo único, inciso VII, da Lei Orgânica do Distrito Federal, do art. 42, inciso IX, do Regimento Interno aprovado pelo Decreto Distrital nº 38.510, de 26 de setembro de 2017, e dos arts. 12 a 14 da Lei Federal nº 9.784, de 29 de janeiro de 1999, aplicável por força da Lei Distrital nº 2.834, de 7 de dezembro de 2001. São indelegáveis a edição de atos normativos, a decisão de recursos administrativos e as matérias de competência exclusiva.
§ 4º Ao encarregado setorial, designado na forma do art. 25 do Decreto Distrital nº 45.771, de 2024, competem as atribuições dos arts. 13 e 16 do Decreto e dos arts. 15 e 16 do Regulamento aprovado pela Resolução CD/ANPD nº 18, de 16 de julho de 2024.
§ 5º A atuação da UGLGPD não substitui gestores de sistemas, fiscais de contratos, ordenadores de despesas, responsáveis por tecnologia da informação ou autoridades com competência decisória própria.” (NR)
“Art. 2º Poderão ser habilitados na unidade eletrônica da UGLGPD, no Sistema Eletrônico de Informações do Governo do Distrito Federal - SEI-GDF, o encarregado setorial, seu suplente e os demais agentes públicos formalmente designados pelo Secretário, mediante ato publicado no Diário Oficial do Distrito Federal ou em Boletim Interno quando admitido pela regulamentação do sistema, observadas a necessidade funcional e as regras de cadastramento, habilitação, segurança, controle de acesso e rastreabilidade.” (NR)
Art. 44. Esta Portaria entra em vigor na data de sua publicação.
Secretário de Estado do Meio Ambiente do Distrito Federal
INFORMAÇÕES MÍNIMAS DO REGISTRO DE OPERAÇÕES
O registro conterá, no mínimo e conforme a natureza da atividade:
I - identificação do controlador e da unidade responsável;
II - gestor do processo e ponto focal;
III - descrição da atividade e finalidade específica;
IV - atribuição institucional e hipótese legal;
V - categorias de titulares e dados, com indicação dos dados sensíveis definidos no art. 5º, inciso II, da LGPD;
VI - operações com dados de crianças e adolescentes, separadamente da classificação de dados sensíveis, com avaliação documentada do melhor interesse, nos termos do art. 14 da LGPD;
VII - origem e forma de coleta;
VIII - sistemas, arquivos ou ambientes;
IX - destinatários e compartilhamentos;
X - operadores identificados, quando aplicável, observado o art. 29, § 6º;
XI - posição jurídica da SEMA-DF e dos partícipes em instrumentos conjuntos, observado o art. 30, § 2º;
XIII - prazo e fundamento da conservação;
XIV - publicações, extrações ou integrações automatizadas;
XVI - existência ou necessidade de RIPD;
XVII - datas de elaboração e atualização; e
XVIII - responsável pela validação.
A descrição será proporcional e evitará reprodução desnecessária de dados. As unidades atualizarão os registros conforme orientações da UGLGPD e dos órgãos competentes. As informações subsidiarão o Plano de Adequação, sem substituir campos adicionais exigidos pelo modelo distrital.
RELAÇÃO SETORIAL DE RESPONSABILIDADES E INTERFACES
1. Gabinete e Secretaria Executiva: promover articulação institucional, receber informações consolidadas, acompanhar providências e encaminhar decisões à autoridade competente, conforme suas atribuições e a governança da Portaria SEMA nº 100, de 2025.
2. UGLGPD e encarregado, nos respectivos limites:
a) UGLGPD: apoio administrativo, articulação de demandas, acompanhamento de inventários, riscos e incidentes e consolidação de informações, nos termos dos arts. 6º e 36;
b) encarregado: interlocução, orientação, assistência e organização dos encaminhamentos a titulares, encarregado governamental e autoridades, nos termos do art. 7º.
3. Subsecretaria de Administração Geral - SUAG: supervisionar os controles administrativos de sua competência, preservadas as atribuições da COFIN, da COGI e da COGEP.
4. COFIN e GEORC: identificar e controlar tratamentos de processos orçamentários, créditos, empenhos, registros e demonstrativos, preservadas a transparência e a integridade documental.
5. DIFIN, GELIQ e GEPAG: aplicar controles de execução financeira, liquidação e pagamento, inclusive dados bancários, documentos fiscais e comprovantes.
6. COGEP, DIREF, GECAT, GECAB e DIRFIN: aplicar controles de registros funcionais, cadastros, benefícios, capacitação e registros financeiros de pessoal.
7. COGI, unidade de planejamento de contratações, Gerência de Compras e DICON: observar requisitos nas fases de planejamento, seleção, formalização e acompanhamento, com limitação de dados exigidos e cláusulas adequadas, sem substituir gestores e fiscais.
8. DITEC e GESUP: executar, coordenar ou apoiar controles tecnológicos, inventário de ativos, permissões, atualizações, vulnerabilidades, backups, incidentes técnicos, continuidade e avaliação de soluções, conforme suas competências.
9. Diretoria de Patrimônio e Logística - DIPLOG e Gerência de Documentação e Arquivo - GEDOC: observar classificação, guarda, temporalidade, acesso, preservação e destinação, em articulação com a comissão setorial de avaliação documental.
10. SUGAT e UINFA: coordenar a governança temática ambiental e avaliar bases, atributos, metadados, camadas, geosserviços e publicações do SISDIA, inclusive reidentificação, com as unidades de negócio e responsáveis pela infraestrutura.
11. Unidades finalísticas competentes: identificar os tratamentos em programas, projetos, cadastros, estudos, pesquisas e participação social, inclusive nas áreas de águas, resíduos, biodiversidade, clima e outras que integrem suas competências vigentes, com avisos de transparência e informações acessíveis a crianças e adolescentes.
12. Assessoria Jurídico-Legislativa - AJL: observar proteção de dados nos processos de sua atuação e prestar assessoramento, preservadas as competências da PGDF e das autoridades decisórias.
13. CCOF, DICOL e unidade de apoio ao FUNAM: observar controles de documentos, recursos, pautas, atas, projetos, editais, comunicações e publicações, preservadas as competências dos colegiados e do Fundo.
14. Assessoria de Comunicação - ASCOM, Ouvidoria, Assessoria de Gestão Estratégica e Projetos - AGEP e demais assessorias diretamente vinculadas ao Gabinete, conforme a estrutura vigente: observar requisitos de publicidade, atendimento, comunicação, estratégia, articulação, indicadores e aperfeiçoamento, conforme competências. À Ouvidoria caberão a gestão das manifestações no Participa-DF e o encaminhamento previsto no art. 20, § 5º.
15. UCI: monitorar controles e riscos nos limites do Decreto Distrital nº 45.933, de 2024 e das orientações da CGDF, sem assumir controles primários ou auditoria não autorizada.
As atribuições serão interpretadas conforme a estrutura vigente, nos termos do art. 40, sem criação, transformação ou remanejamento de unidades, cargos ou competências.
Os registros subsidiarão o Plano de Adequação e os instrumentos de acompanhamento.
RELAÇÃO MÍNIMA DE CONTROLES E EVIDÊNCIAS
C01 - GOVERNANÇA INSTITUCIONAL
Responsáveis: Gabinete, UGLGPD e unidades competentes.
Evidências: designações, contatos, matriz de competências, deliberações, articulação com a governança institucional e certificação da estrutura.
Critério: instrumentos válidos, responsáveis identificados e atribuições compatíveis com a legislação.
C02 - INVENTÁRIO DE TRATAMENTOS
Responsáveis: unidades executoras, com consolidação da UGLGPD.
Evidências: operações, finalidades, hipóteses legais, sistemas, dados, destinatários, operadores, responsáveis e datas, com registro separado de crianças e adolescentes e avaliação do melhor interesse.
Critério: cobertura aferida sobre universo conhecido e conciliado, com pendências, conforme art. 14, § 4º.
Responsáveis: unidades de negócio, técnicos e encarregado, conforme competências.
Evidências: riscos integrados ao sistema referido no art. 16, § 5º, metodologia, mitigação, avaliação residual e RIPD quando exigível.
Critério: riscos materiais identificados, responsáveis, medidas e decisões documentadas, compatíveis com a metodologia institucional.
C04 - DIREITOS DOS TITULARES E PORTAL
Responsáveis: unidades detentoras, ASCOM, Ouvidoria e UGLGPD.
Evidências: aviso de privacidade, avisos de coleta, cookies, canais, informações acessíveis, consentimento quando aplicável, atualizações, solicitações, prazos, regime identificado e recursos.
Critério: canais funcionais, conteúdo conforme art. 19 e conformidade amostral dos atendimentos com o regime aplicável, inclusive art. 20, §§ 7º a 9º.
C05 - PUBLICIDADE ADMINISTRATIVA
Responsáveis: unidades documentais, ASCOM e GEDOC quando pertinente.
Evidências: orientação do art. 21, § 5º, Memorando Circular, modelos, revisões, fundamentos de restrição e listas dos arts. 23 e 76 do Decreto Distrital nº 37.506, de 2016.
Critério: publicidade legal preservada, inclusive as listas do Decreto Distrital nº 37.506, de 2016, e proteção proporcional dos dados não necessários à divulgação.
C06 - CONTRATOS E COMPARTILHAMENTOS
Responsáveis: requisitantes, unidade de planejamento de contratações, DICON, gestores e fiscais.
Evidências: cláusulas, prazo de incidentes, limitação de documentos, destinatários, instruções, comunicações exigíveis e fiscalização.
Critério: obrigações compatíveis com objeto, funções das partes e execução demonstrada.
C07 - IDENTIDADES, ACESSOS E COMUNICAÇÕES
Responsáveis: DITEC, GESUP e gestores técnicos.
Evidências: perfis, concessões, revogações, revisões, contas privilegiadas e avaliação das soluções institucionais.
Critério: acesso individual e necessário, com meios institucionais e observância das restrições vigentes.
C08 - VULNERABILIDADES E PRIVACIDADE DESDE A CONCEPÇÃO
Responsáveis: DITEC, GESUP, gestores, fornecedores e unidades de negócio, conforme atribuições.
Evidências: ativos, versões, rotina de vulnerabilidades, correções e avaliações prévias de privacidade.
Critério: vulnerabilidades materiais tratadas de forma documentada e implantação ou alteração relevante precedida de avaliação, conforme art. 33, § 9º.
Responsáveis: DITEC, GESUP e prestadores dos serviços.
Evidências: ambientes e custodiantes, procedimentos, execução, testes de restauração e planos de continuidade.
Critério: teste documentado de recuperação ou identificação da correção necessária, com repartição de responsabilidades.
Responsáveis: unidade afetada, técnicos, encarregado e controlador.
Evidências: cronologia, dados e titulares afetados, contenção, riscos, decisões, comunicações, motivos de não comunicação e lições aprendidas.
Critério: decisão motivada e temporalmente verificável, conforme Regulamento aprovado pela Resolução CD/ANPD nº 15, de 2024, e os fluxos distritais.
C11 - SISDIA, GEOSSERVIÇOS E VIDEOMONITORAMENTO
Responsáveis: UINFA, unidades produtoras, DITEC e gestores de instrumentos conjuntos.
Evidências: bases, camadas, APIs, downloads, avaliações de publicação e reidentificação, técnicas de proteção, classificação, permissões e funções dos partícipes.
Critério: finalidade, responsabilidades e condições de exposição demonstradas em amostra representativa.
Responsáveis: unidades usuárias, Responsável de IA e instâncias de governança.
Evidências: inventário, riscos, homologações, autorizações com alcance identificado, avaliações e registros exigíveis.
Critério: cumprimento dos requisitos de classificação, supervisão, proteção de dados e autorizações, sem presunção de permissão irrestrita por homologação.
C13 - CRIANÇAS, ADOLESCENTES E VULNERABILIDADE
Responsáveis: unidades detentoras, com orientação do encarregado quando pertinente.
Evidências: pressupostos de proteção específica, melhor interesse, informações acessíveis, revisão de publicações e restrições.
Critério: salvaguardas exigíveis demonstradas, conforme art. 14 da LGPD e Enunciado CD/ANPD nº 1, de 2023.
C14 - ORÇAMENTO, FINANÇAS E PESSOAL
Responsáveis: COFIN, GEORC, DIFIN, GELIQ, GEPAG, COGEP e DIRFIN.
Evidências: inventários, acessos, critérios de publicidade e compartilhamentos.
Critério: publicidade legal preservada e dados acessórios protegidos proporcionalmente.
Responsáveis: COGEP, GECAT, UGLGPD, DITEC e demais participantes.
Evidências: plano vigente, material, público, participação e avaliações.
Critério: capacitações realizadas e proporcionais aos riscos, com universo de servidores definido.
C16 - PLANO, MONITORAMENTO E CORREÇÃO
Responsáveis: gestores e unidades executoras, com consolidação da UGLGPD; UCI nos limites de segunda linha; auditoria por órgãos competentes.
Evidências: Plano conforme modelo distrital, implementação, testes, achados, responsáveis, ações e reavaliações.
Critério: compatibilidade com o art. 23 do Decreto Distrital nº 45.771, de 2024 e encerramento de pendências após evidência suficiente, sem atribuição indevida de auditoria à UCI.
DISPOSIÇÕES DE APLICAÇÃO DO ANEXO III
1. A avaliação registrará período, universo, fontes, método e limitações relevantes.
2. Cada controle terá identificadas separadamente:
c) implementada conforme informação da unidade, sem equivaler a comprovação;
d) inaplicável mediante justificativa;
II - a situação de verificação, quando aplicável:
b) informação apresentada, ainda não verificada;
d) controle testado com resultado documentado;
3. A ausência de evidência não será automaticamente equiparada à inexistência do controle.
4. Poderão ser utilizados serviços corporativos dos órgãos centrais, desde que demonstrada a cobertura das exigências aplicáveis à SEMA-DF.
5. Guias, modelos e materiais técnicos da Casa Civil, da ANPD e do Programa de Privacidade e Segurança da Informação - PPSI 2.0 poderão subsidiar a implementação como referências orientativas, sem incorporação automática de competências, prazos ou obrigações não aplicáveis ao Distrito Federal e sem constituírem, por si, prova de conformidade ou implementação.
Este texto não substitui o publicado no DODF nº 208, seção 1, 2 e 3 de 10/11/2026 p. 12, col. 2