Questão 70828

O Decreto nº 18.608/2024 estabelece um conjunto de deveres para os agentes de tratamento de dados pessoais (controlador e operador) no âmbito da administração pública municipal. O não cumprimento dessas obrigações pode acarretar sanções administrativas, visando proteger os direitos dos titulares e garantir a conformidade com a LGPD. A relação entre o controlador e o operador deve ser cuidadosamente regida por contrato, que deve delimitar claramente as responsabilidades de cada parte, a finalidade do tratamento e as medidas de segurança a serem adotadas. O controle sobre o tratamento de dados é, portanto, uma responsabilidade compartilhada, mas a responsabilidade primária recai sobre o controlador, que é o tomador de decisões. Considere que a Prefeitura de Belo Horizonte contrata uma empresa para gerenciar o sistema de agendamento de consultas médicas em Unidades de Pronto Atendimento (UPAs). O contrato, no entanto, não estabelece de forma clara os limites de atuação da empresa, permitindo que ela utilize os dados de pacientes para fins de pesquisa de mercado sem o consentimento dos titulares. Essa prática, à luz do Decreto, é passível de sanção por: