DOU 04/03/2026 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152026030400146 146 Nº 42, quarta-feira, 4 de março de 2026 ISSN 1677-7042 Seção 1 Art. 5º O tratamento de dados pessoais no âmbito do Sistema Confea/Crea e Mútua observará as competências legais das entidades, as responsabilidades definidas nesta Política e as disposições da legislação aplicável. § 1º O Confea, os Creas e a Mútua, no âmbito de suas competências legais, atuam como controladores de dados pessoais, por definirem as finalidades e os meios de tratamento, enquanto terceiros contratados para execução de atividades em nome dessas entidades atuam como operadores. § 2º Dados públicos não se confundem com dados pessoais tornados públicos, os quais permanecem protegidos pela LGPD e normas específicas, devendo ser observadas para fins de tratamento. §3º Esta política se aplica a todo tratamento de dados pessoais e dados pessoais sensíveis realizados nas atividades administrativas, fiscalizatórias, normativas, regulatórias, de transparência e prestação de serviços. CAPÍTULO II DOS PRINCÍPIOS E DIRETRIZES Art. 6º O tratamento de dados pessoais realizado no âmbito do Confea, Creas e Mútua, deverá observar: I - os princípios do art. 6º da LGPD (finalidade, adequação, necessidade, livre acesso, qualidade, transparência, segurança, prevenção, não discriminação e responsabilização); II - o princípio da privacidade desde a concepção e por padrão (privacy by design e privacy by default), nos termos das diretrizes adotadas pela ANPD; e III - a harmonização entre transparência pública e proteção de dados pessoais, tal como previsto no Plano de Dados Abertos do Sistema Confea/Crea, e o princípio da prevalência da proteção de dados pessoais em caso de conflito direto com a transparência pública, mediante análise de ponderação. Parágrafo único. A aplicação da LGPD não autoriza a supressão da publicidade de atos administrativos nem a anonimização automática de interessados em processos administrativos sancionadores quando houver obrigação legal de divulgação. CAPÍTULO III DO TRATAMENTO DE DADOS PESSOAIS Art. 7º O tratamento de dados pessoais no Sistema Confea/Crea e Mútua será realizado para finalidades legítimas, vinculadas ao exercício de suas competências legais, como: I - normatização, registro e fiscalização do exercício profissional; II - gestão administrativa, financeira e de pessoal; III - atendimento ao cidadão e aos profissionais registrados; IV - transparência ativa e passiva; V - execução do Plano de Dados Abertos, observados os limites da LGPD; e VI - promoção de eventos, relacionamento e treinamentos entre profissionais, empresas e administração pública. Art. 8º O tratamento se baseará nas hipóteses legais previstas na LGPD, com destaque para o seu art. 23. Parágrafo único. O uso de legítimo interesse deverá ser excepcional, devidamente justificado e registrado em documento de Avaliação de Legítimo Interesse (LIA - Legitimate Interest Assessment), conforme orientações da ANPD. Art. 9º Todos os tratamentos deverão ser registrados em Registro das Operações de Tratamento de Dados (ROPA). Art. 10. O compartilhamento de dados pessoais pelo Sistema Confea/Crea e Mútua deverá observar: I - a finalidade específica e compatível; II - a base legal aplicável; III - o registro em ROPA; IV - a avaliação de risco; e V - o contrato, convênio ou instrumento formal que defina responsabilidades. Art. 11. A transferência internacional de dados somente ocorrerá nas hipóteses legais, mediante avaliação prévia do DPO e observância das diretrizes da ANP D. Art. 12. O Sistema Confea/Crea e Mútua adotará diretrizes para a retenção, o arquivamento e a eliminação de documentos e dados, em conformidade com as normas do Arquivo Nacional, os Regulamentos de Gestão Documental, a LGPD, bem como as demais exigências legais aplicáveis. Parágrafo único. Para fins de cumprimento do disposto no caput, deverão ser observadas as disposições da Portaria do Arquivo Nacional nº 398, de 25 de novembro de 2019, ou outra que venha a substituí-la. Art. 13. Contratos com fornecedores, prestadores de serviços, desenvolvedores ou consultorias deverão conter cláusulas específicas de proteção de dados pessoais. Art. 14. O tratamento de cookies, metadados e dados de navegação será disciplinado em Aviso de Privacidade próprio, disponibilizado no portal institucional. CAPÍTULO IV DOS DADOS ABERTOS E PROTEÇÃO DE DADOS PESSOAIS Art. 15. A abertura de dados no Sistema Confea/Crea e Mútua deverá observar: I - a avaliação prévia de riscos à privacidade; II - a anonimização ou pseudonimização sempre que possível; III - a redução de dados pessoais divulgados; e IV - o alinhamento com o Plano de Dados Abertos do Sistema Confea/Crea, de modo a prever a compatibilização entre transparência e proteção de dados pessoais. Parágrafo único. Bases massivas ou sensíveis deverão possuir Relatório de Impacto à Proteção de Dados (RIPD). Art. 16. É vedada a divulgação de dados pessoais, sejam eles sensíveis ou não, ou de informações que comprometam direitos fundamentais dos titulares, salvo nas hipóteses legais expressas. CAPÍTULO V DOS DIREITOS DOS TITULARES Art. 17. O Sistema Confea/Crea e Mútua garantirá aos titulares o exercício dos direitos previstos no art. 18 da LGPD, observadas as hipóteses legais, a finalidade pública do tratamento, o interesse público, o dever de publicidade e o devido processo legal, tais como: I - a confirmação da existência do tratamento; II - o acesso aos dados; III - a correção; IV - a anonimização, bloqueio ou eliminação; V - a informação sobre compartilhamentos; e VI - a revogação do consentimento, quando aplicável. Art. 18. Os pedidos apresentados pelos titulares de dados deverão ser direcionados ao Encarregado pelo Tratamento Dados Pessoais por meio do canal oficial de comunicação disponibilizado para o exercício de seus direitos, assegurando-se atendimento gratuito, em conformidade com as diretrizes da ANPD. CAPÍTULO VI DA SEGURANÇA DA INFORMAÇÃO E INCIDENTES Art. 19. O Relatório de Impacto à Proteção de Dados - RIPD deverá ser elaborado sempre que o tratamento puder gerar alto risco aos direitos dos titulares, inspirado no modelo adotado pela própria ANPD em sua Política Interna. Art. 20. O Sistema Confea/Crea e Mútua adotará medidas técnicas e administrativas para proteger os dados pessoais contra acessos não autorizados, incidentes de segurança da informação com dados pessoais, destruição ou perda. Art. 21. Em caso de incidente de segurança, o fato deverá ser comunicado imediatamente ao Encarregado pelo Tratamento de Dados Pessoais, que avaliará a necessidade de comunicação à ANPD e aos titulares, conforme a LGPD e regulamentações específicas. Art. 22. Todo e qualquer incidente de dados que envolva risco relevante ou danos a eventual titular de dados deverá ser comunicado ao Confea, no mesmo prazo estabelecido na LGPD e eventual regulamentação da ANPD. CAPÍTULO VII DA GOVERNANÇA E DAS RESPONSABILIDADES Art. 23. Ficam estabelecidas as seguintes responsabilidades mínimas: I - Apoiar e promover o apoio institucional necessário ao fortalecimento contínuo do Programa de Governança em Privacidade e Proteção de Dados Pessoais; II - Responder e monitorar as requisições de titulares de dados e da ANPD; III - Assegurar que as operações de tratamento de dados estejam em conformidade; e IV - Cumprir integralmente esta Política e reportar incidentes. Art. 24. O Sistema Confea/Crea e Mútua deverá adotar, implementar, manter e continuamente aprimorar medidas técnicas e administrativas compatíveis com o grau de risco das operações e com as exigências da LGPD e das normas da ANPD, visando à segurança dos dados pessoais e das informações institucionais e à prevenção de acessos não autorizados, incidentes de segurança da informação com dados pessoais, modificação indevida, destruição acidental ou qualquer forma de uso inadequado. § 1º Observados a abordagem baseada em risco, a proporcionalidade, a capacidade institucional e o planejamento orçamentário de cada ente, recomenda-se, como referência mínima, a adoção de medidas técnicas que contemplem soluções tecnológicas destinadas a: I - detecção, prevenção e resposta a incidentes de segurança; II - proteção avançada de endpoints, servidores, redes e ativos críticos; III - gerenciamento de identidades, credenciais e acessos privilegiados; IV - análise de vulnerabilidades, correções, atualizações e hardening; V - criptografia, tokenização ou pseudonimização de dados em repouso e em trânsito; VI - monitoramento contínuo, registro de logs e observabilidade de segurança; VII - proteção de aplicações, bancos de dados e ambientes em nuvem; e VIII - prevenção contra perda, vazamento ou exfiltração de dados. § 2º Cada ente do Sistema Confea/Crea e Mútua deve adotar as medidas necessárias para garantir a proteção de dados pessoais. § 3º O Confea poderá estabelecer diretrizes e referenciais mínimos de segurança, bem como recomendar ou apoiar a adoção de boas práticas e padrões técnicos, visando à uniformidade e redução dos riscos no Sistema Confea/Crea e Mútua. Art. 25. O Confea poderá promover ações de capacitação, treinamento e conscientização em proteção de dados, privacidade e segurança da informação. § 1º As ações compreenderão: I - programas permanentes de conscientização em segurança da informação; II - campanhas educativas regulares sobre boas práticas, prevenção a fraudes, golpes e engenharia social; III - trilhas de capacitação e certificação para diferentes perfis de usuários; IV - simulações periódicas de phishing, ataques e cenários de resposta a incidentes; V - conteúdos e materiais educativos distribuídos em todos os canais institucionais; e VI - treinamentos específicos para gestores, operadores de sistemas, equipes de Tecnologia da Informação, fiscais e encarregados. § 2º Cada ente do Sistema Confea/Crea e Mútua deve implementar e manter programas equivalentes de conscientização e segurança da informação, garantindo padronização mínima, periodicidade e alinhamento às diretrizes estabelecidas pelo Confea e às normas da ANPD. § 3º O Confea poderá disponibilizar conteúdos, plataformas, campanhas e materiais institucionais para uso pelos entes do Sistema Confea/Crea e Mútua. Art. 26. Cada ente do Sistema Confea/Crea e Mútua deverá nomear formalmente um Encarregado pelo Tratamento de Dados Pessoais e instituir estrutura administrativa, tecnológica e operacional capaz de garantir a implementação contínua das medidas de privacidade, segurança da informação e proteção de dados pessoais. Parágrafo único. A estrutura de que trata o caput deverá contemplar, no mínimo, mecanismos de gestão de riscos, controles de acesso, ferramentas tecnológicas de segurança, procedimentos de resposta a incidentes e canais de atendimento aos titulares de dados. Art. 27. Compete aos entes do Sistema Confea/Crea e Mútua assegurar a execução desta Política, adotar e manter as medidas administrativas, processuais e tecnológicas necessárias, garantir a capacitação contínua de agentes públicos e dirigentes e implementar tempestivamente as recomendações e orientações emitidas pelo Confea, em alinhamento com a cultura Data Driven. Parágrafo único. A implementação de soluções de segurança e proteção de dados pessoais constitui requisito indispensável ao cumprimento da LGPD e à prevenção de riscos institucionais. Art. 28. Os Creas e a Mútua deverão instituir e manter programas de governança de dados pessoais compatíveis com os princípios, diretrizes e requisitos mínimos estabelecidos nesta Política, em consonância com a legislação aplicável e com as normas e orientações da ANPD. Art. 29. O Confea poderá orientar os Creas e a Mútua para a implementação e aperfeiçoamento de seus programas de governança de dados pessoais, podendo expedir normas complementares, modelos referenciais, guias e orientações, a fim de promover a uniformidade mínima de práticas no Sistema Confea/Crea e Mútua. Art. 30. Com a finalidade de zelar pela observância desta Política e pelo nível mínimo de conformidade exigido, o Confea poderá realizar avaliações, auditorias, inspeções, verificações documentais ou solicitações de informações aos Creas e à Mútua, especialmente quanto aos procedimentos de tratamento, registro das operações, controles implementados e mecanismos de mitigação de riscos. CAPÍTULO VIII DAS DISPOSIÇÕES FINAIS Art. 31. Esta Política constitui referência para todo o Sistema Confea/Crea e Mútua, podendo ser detalhada e adaptada pelos Creas e pela Mútua, desde que não haja contradição com seus termos. Art. 32. Esta Política deverá ser revisada periodicamente, sempre que houver alterações relevantes na legislação ou nas normas da ANPD. Art. 33. Esta decisão normativa entra em vigor 60 (sessenta) dias após a data de sua publicação. VINICIUS MARCHESE MARINELLI Presidente do Conselho ANEXO G LO S S Á R I O Anonimização: Processo que remove a possibilidade de identificação do titular, de forma irreversível, nos termos da ANPD. Agência Nacional de Proteção de Dados - ANPD: Agência reguladora integrante da administração pública federal responsável por assegurar a proteção de dados pessoais no país. Compete à ANPD regulamentar, fiscalizar e supervisionar a aplicação da LGPD; editar normas, guias e diretrizes; orientar agentes de tratamento e titulares; promover a cultura de privacidade; além de instaurar processos administrativos e aplicar sanções em caso de infrações. Base Legal ou Hipótese de Tratamento: Fundamento jurídico previsto na LGPD que autoriza o tratamento de dados pessoais pelo agente de tratamento que figura como "Controlador", no caso, o Sistema Confea/Crea e Mútua, especialmente nos termos dos arts. 7, 11 e 23 da lei. Controlador do dado: Agente responsável pelas decisões referentes ao tratamento dos dados. Cada órgão do Sistema Confea/Crea e Mútua figura como controlador independente, no exercício de suas competências legais. Operador: Agente que realiza o tratamento de dados pessoais em nome do controlador. Dados Pessoais: Informação relativa à pessoa natural identificada ou identificável.