Decreto Regulamentar RegionalEm vigor

Decreto Regulamentar Regional n.º 10/2024/M

Artigo 1.º

Natureza

1 -O Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança, abreviadamente designado por GCPD, é o serviço da administração direta da Região Autónoma da Madeira, com natureza interdepartamental, integrado na Secretaria Regional das Finanças, a que se refere a alínea j) do n.º 1 do artigo 5.º do Decreto Regulamentar Regional n.º 2/2024/M, de 15 de janeiro.

2 -No domínio das políticas que integram a sua missão, o GCPD é um serviço de coordenação, assegurando ainda funções de controlo e auditoria no âmbito da implementação dessas políticas.

Artigo 2.º

Missão

1 -O GCPD tem por missão apoiar a definição das políticas a adotar em matéria de conformidade digital, proteção de dados e cibersegurança da Administração Pública Regional, tendo por base os quadros jurídicos comunitários e nacionais, boas práticas e códigos de conduta associados à dimensão digital, à proteção de dados e à cibersegurança, bem como, de modo transversal, orientar, auditar e monitorizar a conformidade digital, a proteção de dados pessoais e a segurança do ciberespaço com essas políticas.

2 -No domínio da proteção de dados, o GCPD tem também por missão especial assegurar as funções de Encarregado de Proteção de Dados (EPD) dos organismos e serviços da administração direta e indireta da Região Autónoma da Madeira, assim como do setor empresarial da Região Autónoma da Madeira quando os órgãos de gestão destas últimas solicitem a adesão ao programa de privacidade e proteção de dados do Governo Regional da Madeira e cumpram com os requisitos definidos no referido programa para a sua adesão.

3 -No âmbito da área de cibersegurança, o GCPD tem ainda por missão especial assegurar as funções de Encarregado-Geral de Cibersegurança (EGCiber) dos organismos e serviços da administração direta e indireta da Região Autónoma da Madeira e das empresas públicas regionais.

Artigo 3.º

Atribuições

1 -Na área da proteção de dados, o GCPD prossegue as seguintes atribuições:

a)Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, nos domínios da proteção de dados pessoais e monitorizar a sua aplicação;

b)Emitir pareceres e recomendações;

c)Fomentar uma cultura de proteção de dados pessoais na Administração Pública Regional, através de ações de sensibilização, formação genérica e específica, eventos, workshops e conteúdos informativos a disponibilizar aos diferentes grupos de interesse (stakeholders);

d)Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na aplicação do Regulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, e da Lei n.º 58/2019, de 8 de agosto, a fim de defender os direitos, liberdades e garantias das pessoas singulares no âmbito do tratamento de dados pessoais;

e)Efetuar a coordenação global do projeto «Rumo à Conformidade com o RGPD» e respetivo Programa de Privacidade e Proteção de Dados a implementar pelos diversos responsáveis pelo tratamento de dados pessoais da Administração Pública Regional que tenham como Encarregado de Proteção de Dados (EPD), o Encarregado-Geral de Proteção do Dados (EGPD) do Governo Regional da Madeira;

f)Assegurar a conformidade nas relações das entidades do Governo Regional com os titulares de dados pessoais e ser ponto de contacto com as autoridades de controlo, atendendo ao âmbito do RGPD e demais legislação nacional em matéria de proteção de dados;

g)Coordenar e colaborar com a Rede de Privacidade e Proteção de Dados no cumprimento das disposições relativas à proteção de dados, designadamente no exercício dos direitos dos titulares, reporte de violações de dados pessoais e nas Avaliações de Impacto sobre a Proteção de Dados (AIPD);

h)Emanar orientações e monitorizar a conformidade na aplicação do regime vigente em matéria de proteção de dados pessoais, em articulação com áreas conexas, designadamente os regimes relativos à conformidade digital, cibersegurança e de acesso e reutilização dos documentos administrativos na Administração Pública Regional, atendendo à intrínseca relação entre as matérias envolvidas;

2 -Na área da cibersegurança, o GCPD prossegue as seguintes atribuições:

a)Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, no domínio da cibersegurança e monitorizar a sua aplicação;

b)Emitir pareceres e recomendações;

c)Fomentar uma cultura de cibersegurança na Administração Pública Regional, através de ações de sensibilização, formação genérica e específica, eventos, workshops e conteúdos informativos a disponibilizar aos diferentes grupos de interesse (stakeholders);

d)Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na aplicação do Regime Jurídico de Segurança do Ciberespaço, boas práticas e políticas internas em matéria de cibersegurança na Administração Pública Regional;

e)Criar, desenvolver e coordenar um projeto de conformidade e respetivo programa de cibersegurança transversal à Administração Pública Regional;

f)Assegurar a cooperação da Administração Pública Regional com entidades externas em matéria de cibersegurança, inclusive com a Autoridade Nacional de Cibersegurança e, quando necessário, com o ponto de contacto único internacional para reação a ciberincidentes, no contexto nacional;

g)Coordenar e colaborar com a Rede de gestão de conformidade da Administração Pública Regional no âmbito da cibersegurança.

3 -Na área da conformidade digital, o GCPD prossegue as seguintes atribuições:

a)Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, no domínio da conformidade digital, incluindo a inteligência artificial, e monitorizar a sua aplicação;

b)Emitir pareceres e recomendações;

c)Fomentar uma cultura de conformidade digital na Administração Pública Regional, através de ações de sensibilização, formação genérica e específica, eventos, workshops e conteúdos informativos a disponibilizar aos diferentes grupos de interesse (stakeholders);

d)Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na utilização de tecnologias emergentes na Administração Pública Regional, com os quadros jurídicos europeus e nacionais, boas práticas e políticas internas associados à dimensão digital;

e)Orientar, auditar e monitorizar, de forma interdepartamental, a conformidade na aplicação dos quadros jurídicos europeus e nacionais, boas práticas e políticas internas em matéria de inteligência artificial na Administração Pública Regional;

f)Coordenar e colaborar com a Rede de gestão da conformidade digital da Administração Pública Regional. CAPÍTULO II Órgão, competências e organização

Artigo 4.º

Órgão

1 -O GCPD é dirigido por um diretor, equiparado a cargo de direção superior de 1.º grau.

2 -O diretor do GCPD é coadjuvado por dois diretores adjuntos, equiparados para efeitos remuneratórios a cargos de direção intermédia de 1.º grau.

3 -Para a prossecução da missão prevista no n.º 2 do artigo 2.º, o GCPD dispõe de um Encarregado-Geral e de um Encarregado-Geral Adjunto de Proteção de Dados da Administração Pública Regional, cujas funções são exercidas por inerência, respetivamente, pelo diretor e pelo diretor adjunto designado para o efeito.

4 -No âmbito da missão prevista no n.º 3 do artigo 2.º, o GCPD dispõe ainda de um Encarregado-Geral e de um Encarregado-Geral Adjunto de Cibersegurança da Administração Pública Regional, cujas funções são exercidas respetivamente, por inerência, pelo diretor do GCPD e pelo diretor adjunto designado para o efeito.

5 -O diretor e os diretores adjuntos são designados, por despacho conjunto do Presidente do Governo Regional e do membro do Governo responsável pela área das finanças, nos termos do n.º 1 do artigo 5.º do Decreto Legislativo Regional n.º 5/2004/M, de 22 de abril, na redação atual, de entre licenciados, respetivamente, há, pelo menos, 10 e 8 anos que possuam qualidades profissionais, conhecimentos especializados nas áreas da conformidade digital, de privacidade e proteção de dados e cibersegurança, preferencialmente com experiência e certificações reconhecidas a nível nacional e internacional nas referidas áreas.

6 -O diretor e os diretores adjuntos do GCPD agem com independência na prossecução das suas atribuições e no exercício das suas funções.

Artigo 5.º

Diretor

1 -Sem prejuízo das competências que lhe forem conferidas por lei ou que nele sejam delegadas ou subdelegadas, no desempenho das suas funções, compete, designadamente, ao diretor do GCPD:

a)Dirigir, coordenar e orientar o GCPD, bem como aprovar os regulamentos e normas de execução necessários ao seu bom funcionamento, em consonância com os valores estabelecidos e que regem a sua atividade;

b)Emitir pareceres que, nos termos da lei, sejam da competência do GCPD, nomeadamente nos domínios da conformidade digital, privacidade e proteção de dados pessoais e da cibersegurança;

c)Transmitir orientações transversais sobre matérias da sua competência a todos os serviços da Administração Pública Regional;

d)Representar o GCPD junto de quaisquer organismos nacionais ou internacionais no âmbito das suas atribuições;

e)Garantir a articulação entre o GCPD e os departamentos e organismos do Governo Regional e demais entidades;

f)Representar a RAM nas estruturas nacionais e assinar acordos, protocolos ou contratos programa, relacionadas com as suas atribuições e competências;

g)Assessorar a tutela nos domínios da conformidade digital, da privacidade e proteção de dados pessoais e da cibersegurança;

h)Coordenar as Redes de gestão de conformidade criadas no âmbito das atribuições do GCPD;

j)Apresentar e coordenar a elaboração dos planos e relatórios anuais de atividades do GCPD a submeter à aprovação superior;

k)Dar cumprimento aos planos anuais de atividades do GCPD;

l)Determinar a realização das ações de auditoria constantes do plano de atividades do GCPD e as demais que forem determinadas em função de mudanças de contexto;

m)Propor, superiormente, a realização de ações de auditorias não incluídas no plano anual de atividades do GCPD;

n)Aprovar os relatórios resultantes das ações de auditoria;

o)Assegurar a administração e gestão dos recursos humanos e materiais que lhe estão afetos;

p)Propor à tutela o recrutamento, a nomeação e a mobilidade de trabalhadores a afetar ao GCPD;

q)Exercer as demais competências que decorram da lei ou que lhe sejam cometidas por determinação superior.

2 -No exercício do cargo de Encarregado-Geral de Proteção de Dados da Administração Pública Regional, nos termos mencionados no n.º 2 do artigo 2.º, compete em especial ao diretor:

a)Desempenhar a função de Encarregado de Proteção de Dados (EPD), prevista no Regulamento Geral sobre a Proteção de Dados, com o estatuto identificado no artigo 38.º e as competências identificadas no artigo 39.º do referido Regulamento;

b)Servir de ponto de contacto com a autoridade de controlo nacional (CNPD) e demais autoridades de controlo interessadas em matéria de proteção de dados;

c)Coordenar a Rede de Privacidade e Proteção de Dados (RPPD), na componente de proteção de dados pessoais;

d)Assegurar a Coordenação dos Responsáveis pelo Acesso à Informação (RAI), com vista a acautelar uma aplicação da Lei n.º 26/2016, de 22 de agosto (LADA), na redação atual, em articulação com as normas vigentes em matéria de proteção de dados pessoais, nos termos a definir por despacho dos membros do Governo Regional que tutelam os setores da informática e da Administração Pública.

3 -No exercício do cargo de Encarregado-Geral de Cibersegurança da Administração Pública Regional, compete ainda ao diretor:

a)Servir de ponto de contacto com a autoridade nacional de cibersegurança (CNCS) e, quando necessário, com o ponto de contacto único internacional para reação a ciberincidentes, no contexto nacional (CERT.PT);

b)Assegurar as funções de coordenação dos responsáveis de segurança, que exercem as competências identificadas no artigo 5.º do Decreto-Lei n.º 65/2021, de 30 de julho, nos termos a definir por despacho dos membros do Governo Regional que tutelam os setores da informática e da administração pública.

4 -Os diretores adjuntos exercem funções de planeamento e coordenação nas áreas de atuação que lhes forem atribuídas e, ainda, outras competências que lhes sejam delegadas ou subdelegadas pelo diretor, devendo este identificar a quem compete substituí-lo nas suas faltas e impedimentos.

Artigo 6.º

Organização interna

1 -A organização interna do Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança (GCPD) obedece ao modelo estrutural misto:

a)Nas áreas de missão, o modelo de estrutura matricial;

b)Nas áreas de suporte, o modelo de estrutura hierarquizada.

Artigo 7.º

Estrutura matricial

1 -A estrutura matricial do GCPD integra as seguintes áreas:

a)Proteção de Dados e Acesso à Informação Administrativa;

b)Cibersegurança;

c)Inteligência Artificial;

d)Conformidade Digital.

2 -Podem ser constituídas até ao máximo de quatro equipas multidisciplinares para desenvolvimento de projetos nas áreas acima identificadas, as quais são dirigidas por chefes de equipa.

3 -As equipas multidisciplinares são criadas por despacho do membro do Governo Regional que tutele o GCPD, sob proposta do diretor, que define igualmente as competências a prosseguir e os respetivos chefes de equipa.

Artigo 8.º

Estrutura hierarquizada

a)Administrativa e financeira;

b)Apoio técnico nas áreas de atuação;

c)Gestão e implementação de projetos comunitários.

Artigo 9.º

Redes de gestão de conformidade

1 -Para a prossecução das atribuições previstas no artigo 3.º podem ainda ser criadas redes de gestão de conformidade da Administração Pública Regional que devem integrar representantes das entidades que estejam abrangidas pela área de intervenção do GCPD, que constitui objeto da rede.

2 -As redes a que se refere o número anterior são criadas por despacho do membro do Governo Regional responsável pela área das finanças, mediante proposta do GCPD.

Artigo 10.º

Dotação de cargos de direção

A dotação dos cargos de direção superior e de direção intermédia de 1.º grau consta do mapa anexo ao presente diploma e do qual faz parte integrante.

CAPÍTULO III

Pessoal

Artigo 11.º

Estatuto remuneratório dos chefes de equipa multidisciplinares

Aos chefes das equipas multidisciplinares é atribuído um estatuto remuneratório equiparado ao cargo de direção intermédia de 2.º grau, sendo-lhes aplicável o direito de opção previsto no artigo 9.º do Decreto Legislativo Regional n.º 5/2004/M, de 22 de abril, na sua atual redação.

Artigo 12.º

Sigilo e confidencialidade

1 -Além da sujeição aos deveres gerais inerentes ao exercício da função pública, o pessoal do GCPD, incluindo diretor, diretores adjuntos, trabalhadores e chefes de equipa, está ainda sujeito aos deveres de sigilo profissional e de confidencialidade relativamente a toda a informação de natureza institucional e dados pessoais dos quais tenha conhecimento no âmbito das funções que desempenha.

2 -Os deveres de sigilo e de confidencialidade mantêm-se ainda que o pessoal mencionado no número anterior deixe de exercer funções no GCPD, nomeadamente por cessação do vínculo contratual.

Artigo 13.º

Prerrogativas do GCPD e dever de cooperação e de colaboração

1 -O diretor e os diretores adjuntos do GCPD, bem como o restante pessoal, desde que devidamente identificados, têm direito a aceder, sempre que necessário para o desempenho das suas funções, às instalações, infraestruturas tecnológicas e equipamentos, suportes de dados, incluindo dados pessoais, assim como aos registos e respetivas atividades de tratamento das entidades abrangidas pelas competências daquele Gabinete.

2 -Os titulares dos órgãos das entidades sujeitas à intervenção do GCPD estão, no âmbito das suas funções, obrigados a prestar ou a fazer prestar as informações e os esclarecimentos, a facultar documentos e a colaborar da forma que lhes for solicitada.

3 -A recusa da colaboração devida e a oposição à atuação do GCPD podem fazer incorrer em responsabilidade disciplinar, nos termos da legislação em vigor. CAPÍTULO IV Disposições finais e transitórias

Artigo 14.º

Extinção da estrutura de missão

1 -Nos termos dos n.os 1 e 2 do artigo 25.º do Decreto Regulamentar Regional n.º 2/2024/M, de 15 de janeiro, com a entrada em vigor do presente diploma, é extinta a estrutura de missão Gabinete para a Conformidade Digital e Proteção de Dados (GCPD), criada pela Resolução n.º 72/2020, de 21 de fevereiro, alterada pelas Resoluções n.os 38/2023, de 30 de janeiro, e 164/2023, de 14 de março.

2 -O GCPD prossegue as atividades da estrutura de missão a que se refere o número anterior, nomeadamente no âmbito do projeto «Rumo à Conformidade com o RGPD» e respetivo Programa de Privacidade e Proteção de Dados, pelo que todas as referências efetuadas ao Gabinete para a Conformidade Digital e Proteção de Dados (GCPD) e ao então Gabinete do Encarregado-Geral de Proteção de Dados (GEGPD) consideram-se reportadas ao Gabinete Regional para a Conformidade Digital, Proteção de Dados e Cibersegurança (GCPD).

3 -O pessoal que à data da entrada em vigor do presente diploma se encontre a exercer funções na estrutura de missão a que se refere o n.º 1, nomeadamente em mobilidade ou com vínculo de emprego público constituído a termo resolutivo, transita para o GCPD, nos exatos termos, independentemente de quaisquer formalidades, sem prejuízo da conformação à nova estrutura que deva ter lugar.

Artigo 15.º

Avaliação

1 -A atividade desenvolvida pelo GCPD é objeto de avaliação até dois anos após a entrada em vigor do presente decreto regulamentar regional, tendo em vista o eventual alargamento da missão, âmbito de atuação ou da dotação máxima de chefes de equipas multidisciplinares e a sua composição.

2 -A avaliação carece de validação do membro do Governo Regional que tutela o GCPD.

Artigo 16.º

Norma transitória

Sem prejuízo da restruturação que possa ter lugar, a Rede de Privacidade e Proteção de Dados (RPPD), criada no âmbito do Plano de Ação para aplicação do RGPD, aprovado pela Resolução n.º 52/2018, de 5 de fevereiro, mantém as suas funções como estrutura de apoio técnico do EGPD, funcionando sob a sua coordenação.

Artigo 17.º

Entrada em vigor

O presente diploma entra em vigor no dia seguinte ao da sua publicação.

Aprovado em Conselho do Governo Regional em 25 de janeiro de 2024.

O Presidente do Governo Regional, Miguel Filipe Machado de Albuquerque.

Assinado em 9 de fevereiro de 2024.

Publique-se.

O Representante da República para a Região Autónoma da Madeira, Ireneu Cabral Barreto.

ANEXO

(a que se refere o artigo 10.º)

Designação dos cargos dirigentesQualificação dos cargos dirigentesGrauNúmero de lugares Diretor ...Direção superior...1.º1 Diretor adjunto...Direção intermédia ...1.º2

117352293

Artigo 3.º

Atribuições

1 -Na área da proteção de dados, o GCPD prossegue as seguintes atribuições:

b)Emitir pareceres e recomendações;

2 -Na área da cibersegurança, o GCPD prossegue as seguintes atribuições:

a)Definir políticas, orientações, procedimentos e metodologias comuns às diversas entidades da Administração Pública Regional, no domínio da cibersegurança e monitorizar a sua aplicação;

b)Emitir pareceres e recomendações;

e)Criar, desenvolver e coordenar um projeto de conformidade e respetivo programa de cibersegurança transversal à Administração Pública Regional;

g)Coordenar e colaborar com a Rede de gestão de conformidade da Administração Pública Regional no âmbito da cibersegurança.

3 -Na área da conformidade digital, o GCPD prossegue as seguintes atribuições:

b)Emitir pareceres e recomendações;

f)Coordenar e colaborar com a Rede de gestão da conformidade digital da Administração Pública Regional. CAPÍTULO II Órgão, competências e organização