DOU 23/08/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Seção 1

Nº 161, quarta-feira, 23 de agosto de 2023

ISSN 1677-7042

V - tratamento dos dados e sua finalidade: é realizado pelo INSS para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as suas atribuições do serviço público. Assim, deve restar claro na Política de Privacidade quais dados serão tratados e qual sua finalidade. Os principais tratamentos de dados realizados pelo INSS estão relacionados à atualização de dados cadastrais, atualização e informações relativas aos vínculos de trabalho, remunerações e contribuições e dados de dependentes. O tratamento das informações se destina, como regra, à análise, concessão e manutenção de benefícios. No entanto, outros dados poderão ser tratados e devem ser igualmente informados. Destaca-se nessa seção o atendimento aos princípios estabelecidos no art. 6º da LGPD, especialmente o princípio da necessidade, que estabelece a limitação do tratamento ao mínimo necessário para a realização das finalidades previstas, de forma proporcional e não excessiva;

VI - coleta dos dados: além de especificar quais dados são coletados, é importante esclarecer ao titular como os dados são obtidos. Os dados mais relevantes para o reconhecimento de direitos vêm do CNIS, do Cadastro Único (CadÚnico), do eSocial e do Sistema Nacional de Informações de Registro Civil, que são bases de dados onde estão armazenadas as informações trabalhistas dos cidadãos, registro de nascimento, casamento e óbito. Todavia, outras bases de dados, inclusive de outros órgãos, podem ser utilizadas. Pode, ainda, haver coleta de informações por meio de funcionalidades específicas do dispositivo do usuário como, por exemplo, pela câmera, para dados de biometria;

VII - compartilhamento de dados: para estar em conformidade com a LGPD, o serviço deverá informar ao titular do dado que utiliza o serviço sobre o uso compartilhado de dados pelo controlador e a finalidade de seu compartilhamento. Ao realizar o compartilhamento dos dados, deverá sempre ser observada a inclusão de cláusulas de preservação de sigilo das informações;

VIII - transferência internacional de dados: para os casos que envolvam transferência de dados entre países, deve-se deixar claro para o titular quais os dados serão transferidos internacionalmente, para qual finalidade, quais países estão envolvidos e qual o grau de proteção e privacidade fornecido por eles;

IX - segurança dos dados: é fundamental que sejam apresentadas ao titular dos dados as medidas de segurança que foram implementadas no serviço que trata seus dados pessoais, além de definir meios para que seja comunicado sobre a ocorrência de incidente de segurança que lhe possa acarretar risco ou dano relevante. Também é importante citar qual o canal de comunicação para que o titular reporte possíveis violações, falhas e vulnerabilidades do serviço, que esteja em consonância com o Plano de Gestão de Incidentes Cibernéticos ou outros planos que venham a ser elaborados;

X - cookies: a sua utilização deve considerar a hipótese legal que considere a prévia autorização do usuário ou qualquer outra hipótese que respalde a coleta desses dados, devendo estar claro o aviso sobre sua utilização, consentimento e informar a respeito de quais dados pessoais são coletados, armazenados e para qual finalidade;

XI - tratamento posterior dos dados para outras finalidades: deve ser comunicado ao titular do dado, informando-o a respeito de quais dados poderão ser utilizados para tratamentos posteriores e qual a sua finalidade.; e

XII - mudanças na Política de Privacidade: a política poderá ser alterada a qualquer momento para atender à evolução do serviço oferecido ou à LGPD. Por isso, recomenda-se que seja informada ao usuário a forma de comunicação das mudanças realizadas, sua versão atual e a data da última atualização do documento. Deverão ainda ser mantidas informações das datas de vigor e teor das versões anteriores. 3.3 Monitoramento

3.3.1 O monitoramento objetiva verificar se as medidas implementadas estão de acordo com o instituído no PGP e as recomendações emitidas nos RIPDs, bem como se aquelas medidas foram suficientes para conformidade do tratamento de dados à LGPD e para solucionar a situação apontada nos relatórios como inadequada frente aos critérios adotados.

3.3.2 Indicadores de performance

3.3.2.1 Devem buscar identificar o grau de conformidade do INSS frente à LGPD. Destarte, deve dispor de ferramentas e métodos para aferição das medidas de proteção da privacidade já implementadas, a fim de verificar a evolução das unidades no processo de adequação dos serviços e sistemas, bem como se as medidas adotadas são suficientes e atendem aos requisitos de proteção dos dados.

3.3.2.2 A avaliação deve buscar identificar o grau de aderência e conformidade com a LGPD, podendo ser realizado anualmente, e abranger a avaliação dos índices de: I - maturidade, a ser realizado através do Diagnóstico de Adequação à LGPD; II - internalização institucional referente à LGPD, o qual poderá ser mensurado por meio de formulários elaborados e aplicados nas diversas etapas - implantação, pós campanha de comunicação, pós capacitação; e

III - adequação de acordos, contratos e convênios à LGPD.

3.3.3 Gestão de incidentes

3.3.3.1 Um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, decorrente de ato intencional ou acidental, relacionado à violação na segurança de dados pessoais, que resulte em divulgação, alteração, destruição ou perda indevidas, bem como acessos não autorizados aos dados pessoais, ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, independentemente do meio em que estão armazenados, comprometendo a confidencialidade, integridade ou disponibilidade de dados pessoais.

3.3.3.2 Para a eficiência da gestão de incidente é imprescindível a definição dos atores, papéis e responsabilidades, sejam individuais ou coletivos, além da elaboração e divulgação de fluxos com a descrição das atividades de tratamento de incidentes.

3.3.3.3 Em relação aos incidentes de segurança cibernéticos que dizem respeito ao possível vazamento de dados de servidores (de rede, nuvem ou outros), o INSS conta hoje com um fluxo de tratamento definidos pela DTI e DIGOV, que compreende as respostas e formas de tratamento a serem implementadas no caso de incidentes.

3.3.3.4 Dessa forma, o aprimoramento e as atualizações constantes nesse fluxo são medidas imprescindíveis para o fortalecimento da gestão de incidentes no âmbito do INSS, tendo em vista as evoluções tecnológicas e os graves danos à proteção de dados que os incidentes cibernéticos de vazamento de dados podem causar. 3.3.3.5 Assim, o mapeamento e acompanhamento dos incidentes, já previstos no fluxo de respostas aos incidentes cibernéticos, também devem ser constantemente aprimorados, procurando ferramentas cada vez mais eficientes. Estudos para propostas de ações na esfera de proteção têm potencial para fortalecer cada vez mais todo o sistema de gestão de incidentes.

3.3.3.6 A confecção de normas referentes a gestão de incidentes deve ser pautada na clareza das informações, definições objetivas das responsabilidades dos atores envolvidos, alinhamento técnico com a operadora, bem como a definição do escopo e objetivo da norma deve ser compreensível a todos.

3.3.3.7 Além dos incidentes de natureza cibernética, existem outros que também podem comprometer a privacidade no tratamento dos dados pessoais. O vazamento desses dados é um dos mais conhecidos incidentes de segurança e ocorre quando dados são indevidamente acessados, coletados e divulgados ou repassados a terceiros. O dano ao titular pode ser das mais diversas naturezas, como fraudes, tentativas de golpes, uso indevido dos dados, venda dos dados, etc.

3.3.3.8 Para os casos que representem incidentes de segurança, mas não necessariamente envolvam tecnologia da informação, deverá ser desenvolvido plano de resposta, definindo-se fluxos, papéis e responsabilidades, considerando também as orientações da ANPD e demais normativos de regência.

3.3.3.9 A gestão de incidentes de privacidade deve consistir, portanto, na recepção, tratamento e resposta a esses incidentes, buscando identificar sua causa raiz, documentar e avaliar os riscos que afetem as operações de tratamento de dados pessoais.

3.3.4 Análise e Reporte de Resultados

3.3.4.1 A análise e divulgação da evolução das ações e dos resultados obtidos são essenciais para o fortalecimento da cultura de privacidade dos dados e para demonstrar o valor do PGP. Nesse sentido, o INSS disponibilizará as referidas informações através do Portal do INSS, bem como as reportará para toda a alta administração. REFERÊNCIAS BIBLIOGRÁFICAS BRASIL, Constituição da República Federativa do Brasil de 1988. Brasília, DF: 1988

BRASIL, Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD. Brasília, DF: 2018

BRASIL, Decreto nº 10.046, de 9 de outubro de 2019. Dispõe sobre a governança no compartilhamento de dados no âmbito da administração pública federal e institui o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados. Brasília, DF: 2019

BRASIL, Decreto nº 10.995, de 14 de março de 2022. Aprova a Estrutura Regimental e o Quadro Demonstrativo dos Cargos em Comissão e das Funções de Confiança do Instituto Nacional do Seguro Social - INSS e remaneja e transforma cargos em comissão e funções de confiança. Brasília, DF: 2022 INSS, Instituto Nacional do Seguro Social. Portaria PRES/INSS nº 30, de 15 de fevereiro de 2023. Designa o Encarregado de Dados no INSS

INSS, Instituto Nacional do Seguro Social. Portaria PRES/INSS nº 1.532, de 8 de dezembro de 2022. Aprova o Regimento Interno do INSS.

INSS, Instituto Nacional do Seguro Social. Portaria DTI/INSS Nº 88, de 27 de dezembro de 2022. Estabelece o Plano de Gestão de Incidentes Cibernéticos (PGIC) no âmbito do Instituto Nacional do Seguro Social;

INSS, Instituto Nacional do Seguro Social. Instrução Normativa PRES/INSS nº 128, de 28 de março de 2022. Disciplina as regras, procedimentos e rotinas necessárias à efetiva aplicação das normas de direito previdenciário. CCGD, COMITÊ CENTRAL DE GOVERNANÇA DE DADOS. Guia de Boas Práticas LGPD. SGD, SECRETARIA DE GOVERNO DIGITAL, Guia de Elaboração de Programa de Governança em Privacidade SGD, SECRETARIA DE GOVERNO DIGITAL, Guia de elaboração de Termo de Uso e Política de Privacidade para serviços públicos SGD, SECRETARIA DE GOVERNO DIGITAL, Guia de elaboração de inventário de dados pessoais INSS, Lei Geral de Proteção de Dados Pessoais (LGPD), disponível em https://www.gov.br/inss/pt-br/acesso-a-informacao/lei-geral-de-protecao-dedadospessoais, acessado em 05/04/2023.

INSS, A LGPD e o INSS, disponível em https://www.gov.br/inss/pt-br/centraisdeconteudo/publicacoes/apresentacoes/SaibaMaisLGPDINSS.pdf, acessado em 05/04/2023 INSS, Política de Privacidade do Meu INSS, disponível em https://www.gov.br/inss/ptbr/canais_atendimento/saiba-tudo-sobre-o-meu-inss/politicade-privacidade-do-meu-inss, acessado em 05/04/2023

ANPD, Autoridade Nacional de Proteção de Dados. Comunicação de incidente de segurança, disponível em https://www.gov.br/anpd/ptbr/canais_atendimento/agentede-tratamento/comunicado-de-incidente-de-seguranca-cis, acessado em 06/04/2023

1. Nos Anexos I e IX da Portaria PRES/INSS nº 1.583, de 21 de julho de 2023, publicada no Diário Oficial da União - DOU nº 139, de 24 de julho de 2023, Seção 1, pág. 110, Onde se lê: ANEXO I PORTARIA PRES/INSS Nº 1.494, DE 9 DE SETEMBRO DE 2022 ÓRGÃOS DE ASSISTÊNCIA DIRETA E IMEDIATA AO PRESIDENTE, ÓRGÃOS SECCIONAIS E ÓRGÃO ESPECÍFICO SINGULAR

... .

2 Assistente Técnico FCE 1.05

... ANEXO IX PORTARIA PRES/INSS Nº 1.494, DE 9 DE SETEMBRO DE 2022 CONSOLIDAÇÃO/ATUALIZAÇÃO DO QUADRO "A" DO ANEXO II DO DECRETO Nº 10.995, DE 14 DE MARÇO DE 2022 E PONTOS CCE CORRESPONDENTES

... . 2 Assistente Técnico FCE 1.05 1,20 ... Leia-se: ... ANEXO I PORTARIA PRES/INSS Nº 1.494, DE 9 DE SETEMBRO DE 2022 ÓRGÃOS DE ASSISTÊNCIA DIRETA E IMEDIATA AO PRESIDENTE, ÓRGÃOS SECCIONAIS E ÓRGÃO ESPECÍFICO SINGULAR ...

. 2 Assistente Técnico FCE 2.05 ... ANEXO IX PORTARIA PRES/INSS Nº 1.494, DE 9 DE SETEMBRO DE 2022 CONSOLIDAÇÃO/ATUALIZAÇÃO DO QUADRO "A" DO ANEXO II DO DECRETO Nº 10.995, DE 14 DE MARÇO DE 2022 E PONTOS CCE CORRESPONDENTES . 2 Assistente Técnico FCE 2.05 1,20

.

72

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023082300072