DOU 19/10/2023 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152023101900090 90 Nº 199, quinta-feira, 19 de outubro de 2023 ISSN 1677-7042 Seção 1 VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais; IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. CAPÍTULO IV DIRETRIZES GERAIS Art. 4º O titular dos dados deverá ter acesso às informações sobre o tratamento de seus dados, de forma simplificada e gratuita. Art. 5º A Agência deverá limitar o tratamento de dados dos processos e atividades existentes ao mínimo necessário para realização de suas finalidades. Art. 6º Quando a base legal do tratamento for o consentimento, os aplicativos e sistemas da Anvisa deverão obter a concordância do titular para o tratamento de dados pessoais, inicialmente, pelo conhecimento de seus termos de uso, através de meios que permitam a coleta transparente e explícita deste consentimento. Art. 7º Deverá ser garantida a proteção no acesso aos dados nos sistemas informatizados, incluindo autenticação, cadastro e informações correlacionadas ao titular, além de mecanismos de proteção contra o uso indevido, tentativas de acesso não autorizados, fraudes, danos, sabotagens e roubos de dados. Art. 8º As medidas e os investimentos em segurança e proteção de dados pessoais deverão ser priorizados para minimização dos riscos inerentes às atividades de tratamento de dados pessoais. Art. 9º Os contratos, convênios e congêneres relacionados a atividades que envolvam tratamento de dados pessoais deverão ser adequados à lei específica. Art. 10. O compartilhamento de dados dar-se-á nos termos da legislação e normativos vigentes e deverá constar do inventário de dados pessoais, bem como dos contratos, convênios e congêneres, inclusive nos casos de transferência internacional de dados pessoais, considerando o nível de proteção de dados do país estrangeiro ou organismo internacional do qual o país seja membro. Art. 11. Os procedimentos e o plano de resposta a incidentes relacionados à privacidade dos titulares dos dados deverão ser elaborados a partir de critérios de controle e registros de vazamentos e contemplar o fluxo de comunicação aos envolvidos e à ANPD. O processo de gestão de incidentes de dados é iterativo, contínuo e tem por objetivo interromper e/ou minimizar os impactos decorrentes dos incidentes de vazamento ou uso indevido dos dados dos titulares. Art. 12. O inventário de dados pessoais deverá ser mantido permanentemente atualizado. Art. 13. Os regulamentos, serviços, sistemas e aplicativos da Anvisa que envolvam tratamento de dados pessoais e forem desenvolvidos ou adquiridos deverão seguir os conceitos de privacidade e proteção dos dados pessoais desde a concepção (privacy by design), limitando a coleta de dados pessoais apenas àqueles itens necessários para os propósitos da atuação institucional. Art. 14. A Anvisa deverá promover a conscientização dos colaboradores acerca das diretrizes e procedimentos de proteção de dados pessoais implementados. As boas práticas adotadas de proteção de dados pessoais e a governança implantada deverão ser objeto de capacitações e campanhas informativas na esfera interna da agência, visando- se a disseminação da cultura protetiva, com a sensibilização dos interessados. CAPÍTULO V TRATAMENTO DE DADOS PESSOAIS Art. 15. Na Anvisa, os dados pessoais são tratados para o cumprimento de obrigação legal ou regulatória, para a execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, para a tutela da saúde em procedimentos realizados pela Agência, bem como para a realização de pesquisas, observadas as disposições da lei específica. Parágrafo único. Os dados pessoais deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado em cumprimento ao disposto no art. 25 da Lei nº 13.709, de 14 de agosto de 2018, e no art. 8º, § 3º, da Lei nº 12.527, de 18 de novembro de 2011, de forma a facilitar seu uso quando necessário. Art. 16. O tratamento de dados, no exercício da atividade regulatória, dar-se- á, dentre outras, das seguintes formas: I - processamento de pagamentos de multas e tributos recolhidos pela Agência; II - processamento dos requerimentos de obtenção, alteração e renovação dos registros de produtos e serviços submetidos à vigilância sanitária; III - processamento dos requerimentos de obtenção de autorizações e certificados de serviços submetidos à vigilância sanitária; IV - processamento das notificações de queixas técnicas e eventos adversos, além de ações que se desdobrarem em consequência da análise destas notificações; V - processamento de requerimentos para inspeção e fiscalização sanitária, no âmbito da Agência, além das ações administrativas decorrentes destes procedimentos; VI - recebimento e processamento de comentários e sugestões às Consultas Públicas e demais instrumentos de participação social; VII - processamento de solicitações feitas à Agência pelo usuário. Art. 17. Em atendimento às suas competências legais, a Anvisa poderá, no estrito limite de sua missão institucional, tratar dados pessoais com dispensa de obtenção de consentimento pelos respectivos titulares; sendo que eventuais atividades que transcendam o escopo das obrigações legais, regulatórias e fiscalizatórias estarão sujeitas à obtenção de consentimento dos titulares. § 1º Quando o consentimento for a base legal adequada, a Anvisa deverá garantir que este se dê a partir de clara explicitação da finalidade de uso dos dados concedidos. § 2º Nos casos de surgimento de finalidade diversa, deverá ser obtido novo consentimento, mediante adequada e explícita informação da nova finalidade ao titular. Art. 18. As áreas responsáveis pelas atividades de tratamento de dados pessoais devem manter registro das operações de tratamento de dados pessoais que realizarem. § 1º Toda e qualquer atividade de tratamento de dados pessoais deve ser registrada, desde a sua coleta até a sua exclusão, indicando as informações a serem contempladas no inventário de dados pessoais. § 2º O Encarregado apoiará as unidades organizacionais nos procedimentos de elaboração e atualização do inventário de dados pessoais e ficará responsável por sua consolidação e armazenamento. CAPÍTULO VI DIREITOS DO TITULAR DE DADOS PESSOAIS Art. 19. O titular tem direito a obter da Anvisa, em relação aos seus dados pessoais, a qualquer momento e mediante requisição: I - confirmação da existência de tratamento; II - acesso aos dados; III - correção de dados incompletos, inexatos ou desatualizados; IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto em legislação específica; V - eliminação dos dados pessoais tratados com o consentimento do titular; VI - informação das entidades públicas e privadas com as quais a Anvisa realizou uso compartilhado de dados; VII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; VIII - revogação do consentimento. CAPÍTULO VII ATENDIMENTO AOS TITULARES DE DADOS PESSOAIS Art. 20. A Anvisa deverá manter mecanismos para atendimento aos direitos dos titulares de dados previstos na legislação específica, sempre observando os impactos e os direitos do controlador. Parágrafo único. Em caso de requisição de exclusão, quando couber, será respeitado o prazo de armazenamento mínimo de informações determinado pela legislação. Art. 21. O Fala.BR - Plataforma Integrada de Ouvidoria e Acesso à Informação será o canal oficial de recebimento dos requerimentos dos titulares de dados pessoais. Art. 22. Os prazos e procedimentos para exercício dos direitos do titular perante a Anvisa observarão o disposto em legislação específica, em especial as disposições constantes da Lei nº 9.507, de 12 de novembro de 1997 (Lei do Habeas Data), da Lei nº 9.784, de 29 de janeiro de 1999 (Lei Geral do Processo Administrativo), e da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação). CAPÍTULO VIII AGENTES DE TRATAMENTO Art. 23. A Anvisa, controladora de dados pessoais, e o operador deverão manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. Art. 24. O operador deverá realizar o tratamento segundo as instruções fornecidas pela Anvisa, que verificará a observância das próprias instruções e das normas sobre a matéria. CAPÍTULO IX MEDIDAS DE PROTEÇÃO DOS DADOS PESSOAIS Art. 25. Para proteger os dados do titular a Anvisa deverá adotar, dentre outras, uma série de medidas, adequadas aos casos e com base em critérios de risco, tais como: I - criptografia; II - anonimização e pseudonimização; III - proteção contra acesso não autorizado a sistemas; IV - proteção contra acesso físico e lógico; V - auditoria e log; VI - monitoramento e detecção; VII - compromisso de manutenção do sigilo; VIII - manutenção do inventário de dados pessoais; IX - limitação do acesso aos dados pessoais conforme a finalidade da atividade a ser desenvolvida; X - plano de resposta a incidentes de privacidade; XI - inclusão de cláusulas de confidencialidade em contratos e aplicação de sanções decorrentes de incidentes; XII - proteção de dados desde a concepção e por padrão; e XIII - capacitação dos servidores que tratam dados para atualização permanente sobre medidas de proteção. Parágrafo único. A quebra do sigilo acarretará a responsabilização do autor nos termos da legislação. Art. 26. Os dados pessoais anonimizados não serão considerados dados pessoais, salvo quando o processo de anonimização ao qual foram submetidos for passível de ser revertido. Parágrafo único. A anonimização definitiva de dado pessoal será sempre irreversível, sendo aplicada nos casos em que o tratamento do dado pessoal não é mais necessário para atendimento de finalidade pública e o registro não possa ser descartado definitivamente sem comprometer a consistência do sistema ou de outros dados dependentes. Art. 27. A anonimização de dados pessoais deve ser realizada com o propósito de mitigar os riscos de violação de dados. Art. 28. Antes de realizar a anonimização de dados pessoais, será verificado se, no ciclo devido de tratamento dos dados, são observados os princípios da finalidade, adequação, necessidade e qualidade dos dados. CAPÍTULO X GERENCIAMENTO DE INCIDENTES Art. 29. Os procedimentos e o plano de resposta a incidentes relacionados à privacidade dos titulares dos dados deverão: I - ser elaborados a partir de critérios de controle; II - considerar os registros de vazamentos e sua criticidade; III - contemplar o fluxo de comunicação aos envolvidos e à ANPD. Parágrafo único. O gerenciamento de incidentes com dados pessoais deve ter como objetivo principal a cessação ou minimização dos impactos e do uso indevido, decorrentes dos incidentes de vazamento. Art. 30. Os fornecedores de serviços de Tecnologia da Informação e Comunicação (TIC), na qualidade de operadores de tratamento de dados pessoais, deverão: I - apresentar evidências e garantias suficientes de que aplica adequado conjunto de medidas técnicas e administrativas de segurança, para a proteção dos dados pessoais, segundo a legislação, os instrumentos contratuais e de compromissos; II - manter os registros de tratamento de dados pessoais que realizar, com condições de rastreabilidade e de prova eletrônica a qualquer tempo; III - comunicar formalmente e de imediato à Anvisa a ocorrência de qualquer risco, ameaça ou incidente de segurança que possa acarretar comprometimento ou dano potencial ou efetivo a titular de dados pessoais, evitando atrasos por conta de verificações ou inspeções; IV - descartar de forma irrecuperável, ou devolver para Anvisa, todos os dados pessoais e as cópias existentes, após a satisfação da finalidade respectiva ou o encerramento do tratamento por decurso de prazo ou por extinção de vínculo legal ou contratual. Art. 31. A Anvisa estabelecerá, em normativo próprio, o procedimento relativo ao gerenciamento de incidentes de dados pessoais, em consonância com outros procedimentos relacionados à segurança da informação e privacidade. CAPÍTULO XI SEGURANÇA E BOAS PRÁTICAS Art. 32. As medidas técnicas e administrativas de segurança para a proteção de dados pessoais contra acessos não autorizados, situações acidentais, incidentes culposos ou dolosos de destruição, perda, adulteração, compartilhamento indevido ou qualquer forma de tratamento inadequado ou ilícito, deverão seguir o disposto na Política de Segurança da Informação e Comunicação da Anvisa (POSIC). Art. 33. A Anvisa deve adotar boas práticas de governança em segurança da informação visando orientar comportamentos adequados e mitigar os riscos de comprometimento dos dados pessoais tratados em suas atividades finalísticas e administrativas. § 1º A Anvisa deve utilizar ferramentas de tecnologia da informação que sejam aderentes, por padrão e desde a concepção, às boas práticas em segurança da informação e privacidade. § 2º Os sistemas de informação em uso na data da publicação desta norma devem ser gradativamente adaptados ao disposto nesta Política, conforme a priorização do Comitê de Governança Digital, observando a conveniência e oportunidade para o órgão e os riscos potenciais e efetivos para a proteção dos dados pessoais envolvidos. § 3º As boas práticas adotadas de proteção de dados pessoais e a governança implantada deverão ser objeto de campanhas informativas na esfera interna da Anvisa e em seu sítio eletrônico, visando a disseminar cultura protetiva, com conscientização e sensibilização dos interessados. CAPÍTULO XII CO M P E T Ê N C I A S Art. 34. Compete ao Diretor-Presidente da Anvisa: I - assegurar que as diretrizes, prioridades e ações específicas de proteção de dados pessoais sejam implementadas na Anvisa; II - garantir os recursos necessários para a execução da Política de Proteção de Dados Pessoais da Anvisa; e III - designar o Encarregado pelo Tratamento de Dados Pessoais da Anvisa. Art. 35. Compete ao Comitê de Governança Digital da Anvisa: I - aprovar as alterações na Política de Proteção de Dados Pessoais da Anvisa; e II - aprovar o plano de trabalho do Comitê de Governança Digital referente às atividades de proteção de dados pessoais. Art. 36. Compete ao Encarregado pelo tratamento de dados pessoais da Anvisa: