DOU 15/02/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023021500064 64 Nº 33, quarta-feira, 15 de fevereiro de 2023 ISSN 1677-7042 Seção 1 RESOLUÇÃO CRCES Nº 452, DE 15 DE DEZEMBRO DE 2022 Institui a Política de Notificação de Incidentes de Segurança com Dados Pessoais no âmbito do Conselho Regional de Contabilidade do Espírito Santo - CRCES. O PLENÁRIO DO CONSELHO REGIONAL DE CONTABILIDADE DO ESPÍRITO SANTO, no uso de suas atribuições legais e regimentais, nos termos do inciso XVIII, art. 11, da Resolução n.º 342/2014; CONSIDERANDO a necessária conformidade do CRCES aos termos da Lei Geral de Proteção de Dados Pessoais, Lei n.º 13.709, de 14 de agosto de 2018; CONSIDERANDO a Portaria CRCES n.º 59, de 17 de maio de 2022, que criou o Comitê de Segurança da Informação (CSI) no âmbito do Conselho Regional de Contabilidade do Espírito Santo; CONSIDERANDO que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito; CONSIDERANDO que os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a segurança da informação prevista nesta política em relação aos dados pessoais, mesmo após o seu término; resolve: Art. 1º. Instituir a Política de Notificação de Incidentes de Segurança com Dados Pessoais por meio do Manual de Notificação de Incidentes de Segurança com Dados Pessoais, nos termos do Anexo desta Resolução. Art. 2º. Esta Resolução entra em vigor na data de sua assinatura. CARLA CRISTINA TASSO Presidente do Conselho ANEXO MANUAL DE NOTIFICAÇÃO DE INCIDENTES DE SEGURANÇA COM DADOS P ES S OA I S 1. INTRODUÇÃO O Conselho Regional de Contabilidade do Espírito Santo resolveu instituir a presente Política tendo em vista o mandamento legal contido na Lei n.º 13.709, de 14 de agosto de 2018, que trata da Lei Geral de Proteção de Dados Pessoais (LGPD); É certo que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito e que estes agentes ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a segurança da informação prevista na LGPD em relação aos dados pessoais, mesmo após o seu término. Sendo assim, se faz necessário tal manual que objetiva para orientar os colaboradores do CRCES e principalmente os membros do Comitê Comissão de Segurança da Informação. 2. TERMINOLOGIA Além das terminologias já especificadas no art. 5º da Lei Geral de Proteção de Dados Pessoais - LGPD, destaca-se ainda alguns outros termos, quais sejam: 1 - Comitê de Segurança da Informação (CSI): comissão responsável pela avaliação dos mecanismos de tratamento, privacidade e proteção de dados existentes e pela proposição de ações voltadas ao seu aperfeiçoamento com vistas ao cumprimento das disposições da Lei n.º 13.709, de 14 de agosto de 2018, no âmbito do CRCES; 2 - Notificação: ato ou efeito de informar ou de dar a conhecer sobre uma ocorrência e/ou incidente de segurança com dados pessoais; 3 - Incidente de segurança com dados pessoais: qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou, ainda, qualquer forma de tratamento de dados inadequada ou ilícita, que possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais. 3. OBJETIVO A Política de Notificação de Incidentes de Segurança com Dados Pessoais do CRCES tem por objetivo descrever os procedimentos necessários para a identificação, comunicação e notificação do incidente de segurança com dados pessoais. 4. COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS A identificação do incidente pode ocorrer das seguintes formas: I - denúncia por parte de titular ou terceiro; II - reporte por parte do operador; III - pelo emprego de ferramentas automatizadas que detectam vazamentos de dados. Todas as violações de dados pessoais devem ser comunicadas ao Encarregado pelo Tratamento de Dados Pessoais do CRCES, sem demora injustificada, para registro e avaliação das medidas a tomar. Em caso de um incidente de segurança com dados pessoais, o operador deverá encaminhar a comunicação ao Encarregado pelo Tratamento de Dados Pessoais do CRCES, pelo e-mail [email protected], no prazo de 24 (vinte e quatro) horas, contadas da data do conhecimento do incidente. No caso do titular ou terceiro, a comunicação de um incidente de segurança com dados pessoais poderá ser enviada ao Encarregado pelo Tratamento de Dados Pessoais do CRCES, pelo e-mail [email protected], preferencialmente, em até 48 (quarenta e oito) horas, contadas da data do conhecimento do incidente. Na comunicação, o operador, o terceiro ou o titular dos dados pessoais deverão descrever sucintamente o incidente ocorrido, atentando para informações, tais como: I - descrever a natureza da violação dos dados pessoais incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registros de dados pessoais em causa; II - descrever as consequências prováveis da violação de dados pessoais; III - descrever as medidas adotadas ou propostas para conduzir o caso, o que pode incluir medidas para mitigar os possíveis efeitos adversos da violação dos dados pessoais. O Encarregado pelo Tratamento de Dados Pessoais do CRCES será responsável pelo registro e análise inicial do incidente e pela resposta sobre o incidente relatado. Após o registro e a análise inicial do incidente, o Encarregado pelo Tratamento de Dados Pessoais do CRCES compartilhará a comunicação com o Comitê de Segurança da Informação (CSI), que fará a avaliação das medidas a tomar e caso necessário, poderá acionar o Setor de TI e o Setor Jurídico. O Comitê de Segurança da Informação não realiza procedimentos de investigação criminal, e eventuais desdobramentos relacionados aos incidentes deverão ser encaminhados às autoridades policiais competentes. As partes envolvidas devem seguir as orientações do Encarregado pelo Tratamento de Dados Pessoais do CRCES, pois a adoção de medidas por conta própria pode agravar o problema ou danificar evidências do incidente com dados pessoais. Devem ainda manter sigilo sobre a comunicação recebida, pois tornar a informação pública pode prejudicar a investigação do suposto incidente com dados pessoais e a identificação do autor do incidente. 5. DA NOTIFICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS O CRCES deverá notificar a Agência Nacional de Proteção de Dados e o titular da ocorrência de incidente de segurança com dados pessoais que possa acarretar risco ou dano relevante aos titulares. Antes de se fazer a notificação, será avaliado internamente se a relevância do risco ou dano do incidente de segurança foram severos e graves o suficiente para se determinar a necessidade de tal notificação. Sendo que, para a avaliação interna, deverão ser analisados os incidentes que envolvam especialmente: I - descrever a natureza da violação dos dados pessoais incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registros de dados pessoais em causa; II - descrever as consequências prováveis da violação de dados pessoais. Tal notificação não será necessária se o responsável pelo tratamento puder demonstrar, de forma irrefutável, que a violação da segurança dos dados pessoais não constitui um risco relevante para os direitos e liberdades do titular dos dados. Caso necessária, a notificação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo: I - a descrição da natureza dos dados pessoais afetados; II - as informações sobre os titulares envolvidos; III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial; IV - os riscos relacionados ao incidente; V - os motivos da demora, no caso de a comunicação não ter sido imediata; VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo. Caso não seja possível fornecer todas as informações no momento da notificação preliminar, informações adicionais poderão ser fornecidas posteriormente, sendo que no momento da notificação preliminar deverá ser informado à ANPD se serão fornecidas mais informações posteriormente, bem como quais meios estão sendo utilizados para obtê-las. A notificação à ANPD será feita por intermédio do Encarregado pelo Tratamento de Dados Pessoais do CRCES que comunicará o incidente com dados pessoais à ANPD, com base nas análises técnicas e jurídicas realizadas pelo Comitê de Segurança da Informação. O Encarregado pelo Tratamento de Dados Pessoais do CRCES ainda tem como responsabilidade: I - aprovar e autorizar a divulgação de comunicado aos titulares envolvidos no incidente com dados pessoais; II - validar quaisquer comunicados ao público, imprensa e usuários; III - orientar e/ou informar as equipes interessadas a respeito das práticas a serem adotadas com relação ao incidente com dados pessoais; IV - coordenar todas as ações decorrentes do incidente com dados, com o intuito de mitigar os impactos percebidos; V - atuar como porta-voz do CRCES perante a ANPD, demais autoridades competentes e os usuários, supervisionando os contatos e comunicações com o público, decorrentes do incidente com dados pessoais, dentre outras atividades. RESOLUÇÃO CRCES Nº 453, DE 15 DE DEZEMBRO DE 2022 Institui a Política de Armazenamento de Dados, Documentos e Arquivos no âmbito do Conselho Regional de Contabilidade do Espírito Santo - C R C ES . O PLENÁRIO DO CONSELHO REGIONAL DE CONTABILIDADE DO ESPÍRITO SANTO, no uso de suas atribuições legais e regimentais, nos termos do inciso XVIII, art. 11, da Resolução n.º 342/2014; CONSIDERANDO a necessária conformidade do CRCES aos termos da Lei Geral de Proteção de Dados Pessoais, Lei n.º 13.709, de 14 de agosto de 2018, que "dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural"; CONSIDERANDO a Portaria CRCES n.º 59, de 17 de maio de 2022, que criou o Comitê de Segurança da Informação (CSI) no âmbito do Conselho Regional de Contabilidade do Espírito Santo; CONSIDERANDO a necessidade de estabelecer diretrizes e padrões para garantir um ambiente digital e não digital controlado, eficiente e seguro, de forma a oferecer todas as informações necessárias com integridade, confidencialidade e disponibilidade; CONSIDERANDO que o CRCES recebe e produz informações de caráter e procedência diversos, as quais devem permanecer íntegras, disponíveis e, nas situações em que a observância for obrigatória, com o sigilo resguardado; CONSIDERANDO que as informações no CRCES são armazenadas em diferentes formas, veiculadas em diferentes meios físicos e eletrônicos, portanto vulneráveis a incidentes como casos fortuitos e de força maior, acessos não autorizados, mau uso, falhas de equipamentos, extravio e furto; CONSIDERANDO o número progressivo de incidentes cibernéticos no ambiente da rede mundial de computadores e a necessidade de processos de trabalho orientados para a boa gestão da segurança a informação; CONSIDERANDO a necessidade de estabelecer responsabilidades internas quanto ao armazenamento de dados, documentos e arquivos; resolve: Art. 1º. Instituir a Política de Armazenamento de Dados, Documentos e Arquivos (PADDA) do Conselho Regional de Contabilidade do Espírito Santo, nos termos do Anexo desta Resolução. Parágrafo único. Todos os instrumentos normativos gerados a partir da Política de Armazenamento de Dados, Documentos e Arquivos (PADDA) do Conselho Regional de Contabilidade do Espírito Santo são parte integrante desta e emanam dos princípios e diretrizes nela estabelecidos. Art. 2º. A Política de Armazenamento de Dados, Documentos e Arquivos (PADDA) do CRCES se aplica a todos os empregados, estagiários, prestadores de serviços e, quando aplicável, a terceiros e a quaisquer outras pessoas que prestam serviços ao CRCES e que tenham acesso a qualquer documento, arquivo e meio de informação e comunicação, obrigando-os ao cumprimento de suas diretrizes para manuseio, tratamento, controle, proteção das informações e conhecimentos produzidos, armazenados ou transmitidos pelos sistemas de informação ou por meio de outros recursos. Art. 3º. Esta Resolução entra em vigor na data de sua assinatura. CARLA CRISTINA TASSO Presidente do Conselho ANEXO POLÍTICA DE ARMAZENAMENTO DE DADOS, DOCUMENTOS E ARQUIVOS (PADDA) - CAPÍTULO I - DAS DISPOSIÇÕES GERAIS - Seção I - DAS PREMISSAS Art. 1º. As normas desta Política aplicam-se aos colaboradores, bem como a quaisquer pessoas que tenham acesso a dados, arquivos e documentos do CRCES. Art. 2º. A Política de Armazenamento de Dados, Documentos e Arquivos (PADDA) tem por objeto: I. garantir condições para que os colaboradores e, quando aplicável, terceiros e quaisquer outras pessoas que prestem serviços ao CRCES sejam orientados sobre a existência e a utilização dos instrumentos normativos, procedimentos e controles de uso e armazenamento adotados pela CRCES. Art. 3º. As diretrizes desta Política visam assegurar que dados, documentos e arquivos digitais e não digitais de uso sensível e/ou sigiloso sejam removidos do espaço de trabalho do usuário e guardados quando não estiverem em uso ou em períodos de ausência do usuário. Art. 4º. As diretrizes desta Política visam assegurar que dados, documentos e arquivos de uso sensível e/ou sigiloso digitais sejam armazenados de modo a garantir a sua recuperação, integridade e autenticidade, para que possam servir de fonte de prova e informação. Seção II - OS OBJETIVOS Art. 5º. Esta Política tem o objetivo de estabelecer as melhores práticas para o manuseio e o armazenamento de documentos não digitais e arquivos digitais do CRCES. Parágrafo único. A PADDA está alinhada às estratégias institucionais, à Política de Segurança da Informação, à Política de Proteção de Dados Pessoais e outros normativos que regem a matéria. Art. 6º. A PADDA trata do uso e do armazenamento de dados, arquivos e documentos no âmbito do CRCES, em todo o seu ciclo de vida, objetivando a continuidade de seus processos, em conformidade com a legislação vigente, normas, requisitos regulamentares e contratuais, valores éticos e as melhores práticas de segurança das informações armazenadas no âmbito do CRCES. Art. 7º. Para a segurança do uso e do armazenamento da informação no CRCES, serão rigorosamente observados o compromisso institucional com a proteção das informações de sua propriedade e/ou sob sua guarda, a participação e o cumprimento, por todos os colaboradores e em todo o processo, do disposto neste normativo, nas disposições constitucionais, legais e regimentais vigentes. Seção III - DOS PRINCÍPIOS BÁSICOS Art. 8º. A PADDA do CRCES orienta-se pelos seguintes princípios básicos: I. o CRCES deve desempenhar o papel de custodiador de confiança; II. o CRCES é responsável pela custódia física e legal dos documentos digitais e não digitais a ele recolhidos e inseridos em seus repositórios como um custodiador de confiança, devendo a PADDA possibilitar que o CRCES possa: