DOU 28/09/2026 - Diario Oficial da Uniao - Brasil extra_C

TEXTO OFICIAL · ÍNTEGRA

ISSN 1677-7042 Seção 1 - Edição Extra Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 06022026092800009 9 Nº 183-C, segunda-feira, 28 de setembro de 2026 III - da Secretaria Nacional de Segurança Pública, especialmente na coordenação federativa, na articulação da Rede Nacional de Enfrentamento aos Crimes Cibernéticos - Rede Ciber e no apoio técnico-operacional à atividade de inteligência policial; IV - do Ministério Público da União e dos Ministérios Públicos dos Estados, no exercício de suas funções constitucionais e legais; V - da Defensoria Pública da União, das Defensorias Públicas dos Estados e dos órgãos de assistência jurídica, no âmbito de suas atribuições; VI - dos órgãos e das entidades integrantes do Sistema de Garantia dos Direitos da Criança e do Adolescente, no âmbito de suas atribuições; e VII - da Agência Nacional de Proteção de Dados - ANPD, no exercício de suas atribuições legais, especialmente quanto à regulação, à fiscalização do cumprimento das obrigações previstas na Lei nº 15.211, de 17 de setembro de 2025, e na legislação de proteção de dados pessoais, e à aplicação das sanções administrativas cabíveis. § 2º Os fluxos deverão favorecer a atuação coordenada das instituições competentes, a prevenção de duplicidade de providências, a preservação da cadeia de custódia, o resguardo do sigilo e a proteção de crianças e adolescentes contra revitimização. § 3º A coordenação, a organização interna e o funcionamento do Centro Nacional de Proteção à Criança e ao Adolescente observarão as diretrizes estabelecidas em ato do Diretor-Geral da Polícia Federal. Art. 4º São atribuições do Centro Nacional de Proteção à Criança e ao Adolescente: I - receber os relatórios de notificação obrigatória previstos no art. 27 da Lei nº 15.211, de 17 de setembro de 2025, e nos arts. 36, 37, 39 e 42 do Decreto nº 12.880, de 18 de março de 2026; II - receber os relatórios de notificação facultativa previstos no art. 39, § 3º, do Decreto nº 12.880, de 18 de março de 2026; III - realizar o tratamento dos relatórios de notificação de conteúdo, nos termos desta Portaria; IV - encaminhar os relatórios NIDUS ou disponibilizar acesso às autoridades competentes, observadas as atribuições constitucionais e legais; V - solicitar aos fornecedores de produtos ou serviços de tecnologia da informação, quando entender pertinente, a retirada de conteúdo que viole direitos de crianças e de adolescentes, bem como a sua preservação, em caráter operacional e de articulação, sem prejuízo das competências regulatórias e fiscalizatórias previstas em lei, nos termos do art. 29 da Lei nº 15.211, de 17 de setembro de 2025, e do art. 43, inciso III, do Decreto nº 12.880, de 18 de março de 2026; VI - desenvolver, manter e aprimorar o Sistema NIDUS; VII - articular-se com fornecedores para o aprimoramento técnico dos relatórios, dos fluxos de comunicação e dos mecanismos próprios de prevenção, detecção, classificação, preservação, restrição de circulação e comunicação de conteúdo ou conduta que viole direitos de crianças e adolescentes em ambiente digital; VIII - estabelecer cooperação com autoridades policiais e centrais de triagem de denúncias de outros países que tenham atuação semelhante; e IX - publicar, anualmente, relatórios estatísticos periódicos, nos termos do art. 37, inciso V, do Decreto nº 12.880, de 18 de março de 2026, observados o sigilo legal, a privacidade, a proteção de dados pessoais e a segurança operacional. Art. 5º O disposto nesta Portaria não autoriza monitoramento geral, permanente ou indiscriminado de usuários, conteúdos, comunicações ou serviços digitais, nem amplia hipóteses legais de acesso estatal a dados protegidos por sigilo, privacidade ou proteção de dados pessoais. Parágrafo único. Esta Portaria disciplina exclusivamente os aspectos operacionais e procedimentais relativos ao funcionamento do Centro Nacional de Proteção à Criança e ao Adolescente e ao recebimento e tratamento dos relatórios de notificação de conteúdo, nos termos do art. 39, § 1º, do Decreto nº 12.880, de 18 de março de 2026, sem prejuízo das competências regulatórias, fiscalizatórias e sancionatórias atribuídas à ANPD pelo art. 34 da Lei nº 15.211, de 17 de setembro de 2025. CAPÍTULO II DOS RELATÓRIOS DE NOTIFICAÇÃO DE CONTEÚDO Seção I Do Envio e do Cadastro Art. 6º A notificação ao Centro Nacional de Proteção à Criança e ao Adolescente será realizada por meio do Sistema NIDUS, observadas as hipóteses legais e os requisitos desta Portaria. § 1º O Sistema NIDUS disponibilizará os seguintes meios técnicos de envio: I - integração programática, por meio de interface de aplicação, observados os padrões técnicos definidos pela Polícia Federal por meio de regulamento técnico; II - portal web autenticado, como alternativa à integração programática; ou III - outros meios técnicos admitidos pelo Centro Nacional de Proteção à Criança e ao Adolescente, em caráter excepcional e devidamente justificado. § 2º Fica dispensado do encaminhamento de notificação diretamente ao Centro Nacional de Proteção à Criança e ao Adolescente o fornecedor de produto ou serviço de tecnologia da informação que encaminhar comunicação relativa aos mesmos fatos a central de triagem de notificações situada no exterior, destinada ao recebimento, ao tratamento do relatório e ao encaminhamento de comunicações referentes às violações previstas no art. 27 da Lei nº 15.211, de 17 de setembro de 2025, e no art. 39 do Decreto nº 12.880, de 18 de março de 2026, desde que as informações correspondentes estejam acessíveis às autoridades brasileiras, na forma do art. 37, § 2º, do referido Decreto. Art. 7º O acesso ao Sistema NIDUS dependerá de cadastro prévio, com indicação de, no mínimo: I - razão social, nome empresarial ou identificação equivalente; II - número de inscrição no Cadastro Nacional da Pessoa Jurídica - CNPJ ou número de registro internacional, quando aplicável; III - produtos ou serviços de tecnologia da informação disponibilizados no território nacional e domínios, aplicações ou plataformas abrangidas pelo cadastro; IV - representante legal do provedor ou procurador por ele constituído; V - ponto de contato técnico para o envio das notificações; e VI - ponto de contato institucional com as forças da lei, para comunicações ordinárias e de emergência. § 1º A indicação de pessoas naturais no cadastro destina-se à habilitação de acesso ao sistema e à interlocução com a Polícia Federal e não implica, por si só, a atribuição de responsabilidade pessoal pelo conteúdo das notificações ou pelas obrigações legais do provedor, ressalvada a decorrente de atos praticados pelo indicado, na forma da legislação aplicável. § 2º As funções de representante legal, de ponto de contato técnico para o envio das notificações e de ponto de contato institucional com as forças da lei poderão ser exercidas cumulativamente pela mesma pessoa física. § 3º Aprovado o cadastro pelo Centro Nacional de Proteção à Criança e ao Adolescente, serão fornecidas credenciais de acesso observados os requisitos técnicos e de segurança aplicáveis. § 4º O fornecedor deverá manter as informações cadastrais atualizadas e comunicar imediatamente qualquer comprometimento, uso indevido ou suspeita de uso indevido das credenciais de acesso. Seção II Dos Prazos de Envio Art. 8º A notificação deverá ser realizada para o Centro Nacional de Proteção à Criança e ao Adolescente nos seguintes prazos, contados da confirmação da detecção do conteúdo ou da conduta pelo fornecedor: I - em até doze horas, nas situações de risco crível, iminente ou em curso, nos termos do art. 2º, caput, inciso XI; II - em até setenta e duas horas, nos casos não abrangidos pelo inciso I que apresentem indícios da presença de material de violência sexual contra crianças e adolescentes: a) produzido recentemente; b) ainda não previamente identificado; ou c) produzido mediante ferramenta de captura disponibilizada pelo próprio fornecedor; e III - em até sete dias, nos demais casos abrangidos por esta Portaria. § 1º Considera-se confirmada a detecção no momento em que o fornecedor, por meio automatizado ou mediante revisão humana, constatar a existência de indícios de que o conteúdo ou a conduta se enquadra nas hipóteses desta Portaria. § 2º A revisão humana eventualmente adotada pelo fornecedor deverá ser concluída sem demora injustificada, em tempo compatível com a urgência das hipóteses previstas neste artigo, e não poderá ser utilizada como meio de postergar a notificação. § 3º Os prazos previstos neste artigo são contados de forma corrida, incluídos sábados, domingos e feriados. § 4º Sem prejuízo do cumprimento dos prazos estabelecidos neste artigo, o fornecedor poderá encaminhar nova notificação com informações ou elementos complementares relacionados ao incidente, inclusive para correção de dados ou reclassificação do caso, devendo a comunicação complementar ser vinculada ao número de protocolo da notificação original. Seção III Do Conteúdo do Relatório de Notificação Art. 9º O relatório de notificação de conteúdo deverá conter as informações úteis à compreensão e à apuração do conteúdo ou da conduta a que se refere, disponíveis na arquitetura tecnológica do fornecedor, notadamente: I - tipo do incidente; II - data e hora do incidente, com indicação do fuso horário; III - identificação do produto ou serviço em que o conteúdo ou a conduta foi detectado; IV - identificadores dos usuários envolvidos, inclusive da vítima, do suspeito, do destinatário ou de outro perfil relevante; V - informações cadastrais dos usuários envolvidos; VI - identificadores internos do serviço relacionados à notificação, inclusive de conta, perfil, página, canal, grupo, comunidade, publicação, mensagem ou outro recurso; VII - identificadores de dispositivo, incluindo IMEI, número de série, Apple ID, Android ID ou equivalentes; VIII - informações de geolocalização relacionadas ao incidente; IX - URL, link ou outro elemento que permita localizar o conteúdo ou a conduta notificada; X - endereços IP, com data, hora, fuso horário, tipo de evento de captura e porta lógica de origem; XI - as mídias diretamente relacionadas ao incidente, bem como os respectivos metadados, inclusive os dados EXIF; XII - outras mídias, publicamente disponíveis, relacionadas à conta ou ao perfil dos usuários envolvidos, e os respectivos metadados, limitadas àquelas estritamente necessárias ao esclarecimento dos fatos; XIII - histórico de mensagens, publicações, comentários, interações ou solicitações relacionadas ao conteúdo ou à conduta notificada; XIV - hashes criptográficos dos arquivos, calculados sobre o arquivo original, conforme padrões técnicos definidos pela Polícia Federal em regulamento técnico e operacionalizados pelo Sistema NIDUS; XV - indicação de risco crível, iminente ou em curso; XVI - dados de pagamento relacionados aos usuários envolvidos; XVII - operações financeiras associadas à conduta notificada que envolvam recursos provenientes da prática criminosa; XVIII - dados de contato da pessoa física ou da unidade técnica responsável pelo envio das notificações. § 1º As informações previstas nos incisos I, II e XVIII do caput constituem requisitos para o envio da notificação e para a sua validação pelo Centro Nacional de Proteção à Criança e ao Adolescente. § 2º A indisponibilidade de determinada informação prevista neste artigo não impede o envio da notificação ou sua validação, desde que o fornecedor não disponha da informação nem possa obtê-la por meios ordinariamente disponíveis em sua arquitetura tecnológica, podendo as informações pertinentes ser encaminhadas posteriormente como complementação ao relatório. § 3º O fornecimento das informações previstas neste artigo, em cumprimento ao dever legal de comunicação estabelecido no art. 27 da Lei nº 15.211, de 17 de setembro de 2025, não caracteriza requisição de dados por autoridade pública. Art. 10. O relatório de notificação de conteúdo poderá conter informações adicionais relacionadas ao incidente, como: I - indicação da fonte de detecção, inclusive ferramenta automatizada, correspondência por hash, revisão humana, denúncia de usuário, comunicação de entidade, autoridade pública ou outro meio; II - indicação de que há discrepância na idade informada pelo usuário envolvido; III - providências já adotadas, inclusive remoção, preservação, suspensão ou bloqueio de conta, comunicação a central estrangeira ou outras medidas. Seção IV Do Recebimento e das Providências Subsequentes à Notificação Art. 11. Recebida a notificação, o Sistema NIDUS emitirá comprovante eletrônico de recebimento ao notificante, contendo: I - número de protocolo único; II - data e hora do recebimento; III - identificação do fornecedor notificante; e IV - relação dos arquivos recebidos, com seus respectivos hashes, quando aplicável. § 1º O comprovante eletrônico de recebimento comprova o envio da notificação ao Centro Nacional de Proteção à Criança e ao Adolescente e não implica a validação do relatório. § 2º A emissão do comprovante eletrônico de recebimento não constitui juízo quanto à regularidade formal da notificação, à sua validação técnica, à tipicidade penal, à materialidade, à autoria, à responsabilidade do fornecedor, à suficiência das informações ou ao cumprimento integral das obrigações legais aplicáveis. Art. 12. O Centro Nacional de Proteção à Criança e ao Adolescente manterá comunicação com os fornecedores cadastrados para: I - informar a validação ou a necessidade de saneamento do relatório; II - solicitar a complementação de informações ou os esclarecimentos necessários ao tratamento do relatório; e III - fornecer informações, individuais ou agregadas, sobre os relatórios encaminhados e os fluxos de comunicação, com vistas ao aprimoramento das notificações. Parágrafo único. As comunicações de que trata este artigo observarão o sigilo legal, a proteção de dados pessoais, a segurança operacional, a preservação de investigações em curso e a proteção de crianças e adolescentes contra revitimização. CAPÍTULO III DA VALIDAÇÃO, TRIAGEM E PRIORIZAÇÃO OPERACIONAL DOS RELATÓRIOS DE NOTIFICAÇÃO DE CONTEÚDO Seção I Da Operação Ininterrupta e da Validação Art. 13. O Centro Nacional de Proteção à Criança e ao Adolescente operará em regime ininterrupto para o recebimento dos relatórios de notificação de conteúdo e o tratamento prioritário das situações que indiquem risco crível, iminente ou em curso. Parágrafo único. A operação ininterrupta poderá ser realizada mediante plantão presencial, remoto ou regime de sobreaviso, observada a organização interna da Polícia Fe d e r a l . Art. 14. Recebido o relatório de notificação de conteúdo, o Centro Nacional de Proteção à Criança e ao Adolescente procederá à validação técnica, destinada a verificar: I - a identificação do fornecedor notificante e a regularidade do canal de envio; II - a completude dos campos mínimos exigidos nesta Portaria e em regulamentos técnicos elaborados pela Polícia Federal;