DOU 30/08/2024 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152024083000156 156 Nº 168, sexta-feira, 30 de agosto de 2024 ISSN 1677-7042 Seção 1 INSTITUTO FEDERAL DE EDUCAÇÃO, CIÊNCIA E TECNOLOGIA DE GOIÁS CONSELHO SUPERIOR RESOLUÇÃO REI-CONSUP/REITORIA/IFG Nº 205, DE 28 DE AGOSTO DE 2024 Dispõe sobre Política de Proteção, Uso e Tratamento de Dados Pessoais no âmbito do Instituto Federal de Educação, Ciência e Tecnologia de Goiás. A PRESIDENTE DO CONSELHO SUPERIOR DO INSTITUTO FEDERAL DE EDUCAÇÃO, CIÊNCIA E TECNOLOGIA DE GOIÁS, no uso de suas atribuições legais e regimentais, e considerando a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais); a Lei nº 12.527, de 18 de novembro de 2011, que regula o acesso a informações previsto no inciso XXXIII do art. 5º, no inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição Federal considerando as decisões exaradas na 89ª Reunião, realizada em 19 de agosto de 2024, resolve: CAPÍTULO I DAS DISPOSIÇÕES PRELIMINARES Art. 1º Esta Resolução regulamenta a Política de Proteção, Uso e Tratamento de Dados Pessoais no âmbito do Instituto Federal de Educação, Ciência e Tecnologia de Goiás - IFG. Art. 2º A Política de Proteção, Uso e Tratamento de Dados Pessoais estabelece as diretrizes, as competências, as responsabilidades e os compromissos do IFG para o tratamento e a proteção dos dados pessoais, contidos em quaisquer meios, físicos ou digitais, de sua propriedade e sob sua guarda, em consonância com a Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados - LGPD, legislações correlatas aplicáveis e as normas exaradas pela Autoridade Nacional de Proteção de Dados e demais autoridades competentes. § 1º A Política de Proteção, Uso e Tratamento de Dados Pessoais, bem como documentos norteadores complementares existentes ou que venham a ser publicados, deve ser cumprida por todas as unidades que integram o IFG. § 2º Os representantes dos setores que compõem as unidades do IFG deverão fornecer todo o apoio necessário, incluindo recursos humanos e materiais, para a persecução dos objetivos desta Política de Proteção, Uso e Tratamento de Dados Pessoais, visando à melhor adequabilidade e implementação da Lei nº 13.709, de 2018, na Instituição. § 3º A Política de Proteção, Uso e Tratamento de Dados Pessoais não se aplica ao tratamento de dados pessoais: I - realizado por pessoa natural para fins exclusivamente particulares e não econômicos; II - realizado para fins exclusivamente: jornalísticos e artísticos; ou acadêmicos; - realizado para fins exclusivos de: segurança pública; defesa nacional; segurança do Estado; atividades de investigação e repressão de infrações penais; ou - proveniente de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei. Art. 3º As atividades de tratamento de dados pessoais realizadas pelo IFG devem observar o princípio da boa-fé e: - da finalidade; - da adequação; III - da necessidade; IV - do livre acesso; V - do qualidade dos dados; VI - da transparência; VII - da segurança; VIII - da prevenção; - da não discriminação; e - da responsabilização e da prestação de contas. Art. 4º A Política de Proteção, Uso e Tratamento de Dados Pessoais aplica-se: I - aos servidores do IFG; - aos estagiários; - a todos os terceiros, sejam eles pessoas físicas ou jurídicas, que atuam para ou em nome do IFG em operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pela Instituição; - aos agentes de tratamento de dados pessoais externos ao IFG que, de qualquer forma, se relacionem com a Instituição; e - aos titulares de dados pessoais, cujos dados são tratados pelo IFG. CAPÍTULO II DOS CONCEITOS E DEFINIÇÕES Art. 5º Para fins desta Política de Proteção, Uso e Tratamento de Dados Pessoais, considera-se: - dados pessoais: aqueles que permitem a identificação, direta ou indireta, da pessoa à qual o dado se refere como, por exemplo, nome, sobrenome, data de nascimento, CPF, RG, CNH, carteira de trabalho, passaporte, título de eleitor, endereço residencial ou comercial, telefone pessoal, cookies, matrícula, e-mail institucional e e-mail pessoal; - dados pessoais sensíveis: aqueles relacionados à origem étnica ou racial, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual e dado genético ou biométrico; - titular de dados pessoais: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento; - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais; - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador; - agentes de tratamento: o operador e o controlador; - encarregado de dados: pessoa física ou jurídica indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares de dados pessoais e a Autoridade Nacional de Proteção de Dados; - tratamento de dados pessoais: qualquer operação que envolva acesso, armazenamento, arquivamento, avaliação, classificação, coleta, comunicação, controle, difusão, distribuição, eliminação, extração, modificação, processamento, produção, recepção, reprodução, transferência, transmissão e utilização; - ciclo de vida do tratamento de dados pessoais: são as fases do tratamento que contemplam a coleta, a retenção, o processamento, o compartilhamento e a eliminação; - consentimento: expressão individual, clara e legítima para uma finalidade específica determinada, de autorização de coleta de dados pessoais; - anonimização: utilização de meios técnicos, razoáveis e disponíveis no momento do tratamento de dados pessoais, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. § 1º O controlador, no IFG, é representado por sua autoridade máxima, a quem compete as decisões sobre o tratamento e administração dos dados pessoais no âmbito da Instituição. § 2º Os operadores de dados pessoais no IFG são representados pelos servidores em exercício, técnico-administrativos e docentes, que fazem tratamento de dados pessoais, devido à atribuição de suas atividades. § 3º Colaboradores terceirizados, estagiários, aprendizes e voluntários cujas atividades englobam o tratamento de dados pessoais. § 4º O dado anonimizado não é considerado dado pessoal para os fins da Lei nº 13.709, de 2018. - Relatório de Impacto de Proteção de Dados: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco; - Autoridade Nacional de Proteção de Dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei nº 13.709, de 2018, em todo o território nacional; - Inventário de Dados Pessoais: registro das operações de tratamento dos dados pessoais realizados pela Instituição; - Comissão Permanente de Gestão da Proteção de Dados Institucionais do IFG: comissão responsável por avaliar o processo de abertura de dados públicos e de monitorar as ações de tratamento de dados pessoais do IFG quanto à adequação à Lei nº 13.709, de 2018; - bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda de dados pessoais ou banco de dados; e - unidades: componentes da macroestrutura organizacional do IFG, correspondendo aos quatorze câmpus, Reitoria e Embrapii. CAPÍTULO III DO TRATAMENTO DE DADOS Seção I Disposições gerais Art. 6º No IFG, deve ser realizado o tratamento mínimo dos dados pessoais, necessário e imprescindível à garantia do interesse público e à execução das funções e atividades da Instituição, em conformidade com a legislação vigente. Art. 7º O IFG assume, como compromisso institucional, a avaliação periódica das finalidades de suas operações de tratamento, considerando o contexto em que essas operações se inserem, os riscos e benefícios que podem ser gerados ao titular dos dados pessoais, e o legítimo interesse da Instituição. Seção II Da coleta dos dados Art. 8º A coleta de dados pessoais pode ocorrer por meio de sistemas de informação ligados a páginas na Internet e aplicativos, pelo recebimento de arquivos, bem como em meio físico, mediante preenchimento de formulários, listas ou registro de interação presencial. § 1º Quando da necessidade de coleta de dados individuais, principalmente por meio de formulários ou de serviços públicos digitalizados, deve haver registro do termo de consentimento, contendo o objetivo do tratamento dos dados e o período de custódia. § 2º O titular dos dados pessoais deve ser informado a respeito da finalidade do tratamento no momento da coleta dos dados. Seção III Da Base legal para o Tratamento de dados pessoais Art. 9º Todas as operações de tratamento de dados pessoais no âmbito do IFG devem ter uma base legal que legitime sua realização, com a estipulação da finalidade e designação dos responsáveis pelo tratamento. Art. 10. O tratamento de dados pessoais somente pode ser realizado nas seguintes hipóteses: I - mediante o fornecimento de consentimento pelo titular; - para o cumprimento de obrigação legal ou regulatória pelo controlador; - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições da Lei nº 13.709, de 2018; - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996; - para a proteção da vida ou da incolumidade física do titular ou de terceiro; - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente. § 1º O tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização. § 2º É dispensada a exigência do consentimento previsto no caput deste artigo para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos em Lei. § 3º O controlador que obteve o consentimento referido no inciso I do caput deste artigo que necessitar comunicar ou compartilhar dados pessoais com outros controladores deverá obter consentimento específico do titular para esse fim, ressalvadas as hipóteses de dispensa do consentimento previstas em Lei. § 4º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas em Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular. § 5º O tratamento posterior dos dados pessoais a que se referem os §§ 3º e 4º deste artigo poderá ser realizado para novas finalidades, desde que observados os propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos na Lei nº 13.709, de 2018. Art. 11. O consentimento previsto no inciso I do art. 10º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. § 1º Caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais cláusulas contratuais. § 2º Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto na Lei nº 13.709, de 2018. § 3º É vedado o tratamento de dados pessoais mediante vício de consentimento. § 4º O consentimento deverá referir-se a finalidades determinadas e a autorizações genéricas para o tratamento de dados pessoais serão nulas. § 5º O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do art. 18 da Lei nº 13.709, de 2018. § 6º Em caso de alteração de informação referida nos incisos I, II, III ou V do art. 9º da Lei nº 13.709, de 2018, o controlador deverá informar ao titular, com destaque de forma específica do teor das alterações, podendo o titular, nos casos em que o seu consentimento é exigido, revogá-lo caso discorde da alteração. Seção IV Do Tratamento de Dados Pessoais de Crianças e Adolescentes Art. 12. O tratamento de dados pessoais de crianças e adolescentes somente deve ser realizado em seu melhor interesse, com o consentimento específico por, pelo menos, um dos pais ou responsável legal. Art. 13. Os dados pessoais de crianças e adolescentes devem ser tratados com o mesmo nível de cuidado exigido e oferecido aos dados pessoais sensíveis, mas também devem estar sujeitos às disposições próprias estabelecidas no capítulo II seção III da Lei nº 13.709, de 2018, e outras normas específicas aplicáveis. Art. 14. O tratamento de dados pessoais de crianças e adolescentes pode ser realizado com base nas hipóteses legais previstas no art. 7º ou no art. 11 da Lei nº 13.709, de 2018, desde que observado e prevalecente o seu melhor interesse, a ser avaliado no caso concreto, nos termos do art. 14 da Lei.