DOU 08/10/2026 - Diario Oficial da Uniao - Brasil

TEXTO OFICIAL · ÍNTEGRA

Seção 1

Nº 191, quinta-feira, 8 de outubro de 2026

ISSN 1677-7042

II - participação simultânea em áreas responsáveis pela definição das finalidades do tratamento ou pela gestão operacional de sistemas que tratem dados pessoais.

§ 2º O Encarregado informará imediatamente à Diretoria Colegiada qualquer situação que configure ou possa configurar conflito de interesse, cabendo à Agência adotar as medidas necessárias para sua mitigação ou afastamento do indicado.

Art.16. O Encarregado poderá acumular outras funções na ANP, desde que não haja conflito de interesses e que lhe sejam garantidos os recursos e a autonomia necessários ao pleno exercício das atribuições previstas nesta Política e na legislação aplicável.

Art.17. A identidade do Encarregado e as informações de contato institucional serão divulgadas e mantidas atualizadas de forma clara, objetiva e de fácil acesso no sítio eletrônico oficial da ANP, abrangendo, no mínimo:

I - nome completo (pessoa natural) ou denominação (pessoa jurídica, se for o caso); II - canal de comunicação exclusivo para titulares de dados e ANPD. Seção III

Das Competências e Responsabilidades

Art.18. Compete ao Comitê de Transparência e de Segurança da Informação e Comunicações - CTSI:

I - demandar as unidades gestoras dos dados da ANP, o estabelecimento das categorizações relacionadas ao compartilhamento de dados, em conformidade com o Decreto nº 10.046, de 9 de outubro de 2019;

II - aprovar os Relatórios de Impacto à Proteção de Dados Pessoais - RIPD;

III - propor à Diretoria Colegiada a priorização e a implementação de medidas de privacidade e de segurança que permitam ampliar o nível de proteção dos dados pessoais custodiados pela ANP; IV - acompanhar a implementação das medidas de segurança e privacidade priorizadas pela ANP pelas unidades responsáveis por sistemas, aplicativos e formulários de coleta de informações; V - aprovar as alterações na Política de Governança em Privacidade e Proteção de Dados da ANP.

Art.19. Compete à Comissão Permanente de Avaliação de Documentos - CPAD orientar as unidades quanto à aplicação do Código de Classificação de Documentos e da Tabela de Temporalidade e Destinação de Documentos, bem como quanto à análise, à avaliação e à seleção do conjunto de documentos, com vistas ao encaminhamento à guarda permanente ou à eliminação daqueles destituídos de valor. Art.20. Compete ao Encarregado pelo tratamento de dados pessoais:

I - receber reclamações e comunicações dos titulares de dados pessoais, prestar os esclarecimentos e adotar as providências junto às unidades organizacionais competentes;

II - receber comunicações da ANPD e orientar as áreas internas quanto às providências necessárias;

III - orientar e capacitar os servidores e os contratados da Agência a respeito das práticas de proteção de dados pessoais;

IV - apoiar as unidades organizacionais na adequação de processos de trabalho, sistemas, contratos e convênios, emitindo recomendações ou pareceres técnicos quando solicitado;

V - atuar ativamente no processo de gestão de incidentes de segurança da informação relacionados a dados pessoais, em estreita colaboração com a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR da ANP, em conformidade com a POSIC;

VI - promover a cultura de proteção de dados na Agência, inclusive por meio da elaboração, em conjunto com a SGP, do Plano de Conscientização e Capacitação interna; VII - dar suporte à Superintendência de Comunicação e Relações Institucionais - SCI em manifestações públicas e junto à mídia sobre temas de privacidade da Agência; VIII - propor ações, sugestões e melhorias regulatórias ao CTSI; IX - apresentar ao CTSI relatório anual de atividades, consolidando as ações realizadas, os incidentes tratados e o diagnóstico de maturidade de proteção de dados da Agência; e

X - informar semestralmente ao CTSI, ou em periodicidade definida pelo comitê, sobre sua participação, presencial ou remota, em eventos na qualidade de Encarregado pelo tratamento de dados pessoais da ANP.

Art.21. Compete à Superintendência de Governança e Estratégia - SGE:

I - coordenar a implementação e o monitoramento do Programa de Governança em Privacidade da ANP - PGP;

II - monitorar o nível de maturidade da ANP em privacidade e proteção de dados pessoais e outros indicadores de desempenho para o acompanhamento da evolução da privacidade e proteção de dados na ANP;

III - orientar e apoiar as unidades organizacionais sobre o conceito de privacidade desde a concepção na elaboração de normativos e resoluções;

IV - dar suporte à elaboração de procedimentos e protocolos internos para ações relacionadas ao tratamento de dados pessoais e proteção à privacidade;

V - incorporar o risco à privacidade na estrutura de gerenciamento de riscos corporativos e controles internos;

VI - elaborar Relatório de Impacto à Proteção de Dados Pessoais - RIPD; e VII - submeter à análise do Encarregado pelo tratamento de dados pessoais da ANP minutas de documentos, relatórios e ações elaborados para fins da implementação e monitoramento do Programa de Governança em Privacidade - PGP.

Art.22. Compete à Superintendência de Tecnologia da Informação - STI:

I - apoiar tecnicamente o CTSI e o Comitê de Tecnologia da Informação - CTI, quando requisitado, na proposição e na implementação de normas de controle de acesso aos dados pessoais em sistemas e aplicativos que garantam a auditoria e a rastreabilidade do fluxo dos dados;

II - solicitar à SGE a elaboração do RIPD previamente à transferência de sistemas que apoiam serviços que realizem tratamento de dados pessoais para um provedor de serviço de nuvem;

III - promover tecnicamente a eliminação dos dados pessoais em formato digital dos sistemas da ANP sob sua responsabilidade, a pedido das unidades gestoras dos dados, após o término de seu tratamento, em conformidade com a Lei nº 13.709, de 14 de agosto de 2018 - LGPD e com o Programa de Avaliação e Destinação de Documentos da ANP; IV - viabilizar tecnicamente a anonimização dos dados pessoais, tanto quando da concepção de novos sistemas, quanto quando for necessária a utilização ou guarda desses dados para além da finalidade original;

V - realizar a avaliação de riscos para os sistemas da ANP, em conformidade com o Guia de Avaliação de Riscos de Segurança e Privacidade e com o Guia de Boas Práticas - LGPD da Secretaria de Governo Digital e com a POSIC da ANP, incluindo os sistemas em desuso e sistemas desligados quando vierem a ser reativados por qualquer motivo; VI - implementar as medidas de segurança e privacidade aprovadas pelo CTSI e priorizadas pela Diretoria Colegiada, nos RIPDs dos sistemas da ANP sob sua responsabilidade; e VII - propor medidas técnicas de segurança cibernética para o tratamento de dados pessoais, em conformidade com a POSIC.

Parágrafo único. As atribuições de que tratam os incisos III, IV, V e VI do caput passam a ser das unidades organizacionais quando estas forem responsáveis pelo desenvolvimento de um sistema ou possuírem gestão direta sobre item de tecnologia de informação, nos termos do art. 6º, do inciso II, da Portaria ANP nº 102, de 1º de fevereiro de 2022 - POSIC.

Art.23. Compete à Superintendência de Gestão de Pessoas e do Conhecimento - SGP:

I - promover a execução do Plano de Conscientização e Capacitação interna em Privacidade e Proteção de Dados Pessoais;

II - apoiar a disseminação da cultura de segurança e proteção de dados e privacidade na ANP sob responsabilidade do Encarregado pelo tratamento de dados pessoais;

III - Implementar, tanto quanto possível, medidas para a anonimização de dados pessoais em seus registros e evitar o armazenamento destes sempre que o registro e a guarda dos dados não seja essencial para atingimento da finalidade pretendida; e

IV - rever e adequar, quando necessário, formulários e procedimentos para admissão de servidores, colaboradores e estagiários para adequação à Lei nº 13.709, de 14 de agosto de 2018 - LGPD.

Art. 24. Compete à Superintendência de Comunicação e Relações Institucionais - SCI: I - apoiar eventos internos de sensibilização sobre proteção de dados pessoais na ANP; II - divulgar informações nos canais próprios da ANP que ampliem o conhecimento de todos os servidores e colaboradores acerca do tema privacidade e proteção dos direitos dos titulares de dados pessoais; e

III - atuar junto à mídia especializada para expor o posicionamento da ANP em questões relacionadas à privacidade e proteção de dados pessoais.

Art.25. Compete à Ouvidoria - OUV:

I - apoiar o Encarregado pelo tratamento de dados pessoais nas atividades de receber, realizar a triagem e responder consultas e reclamações dos titulares de dados; e II - assegurar que os conjuntos de dados destinados à publicação em dados abertos não contenham dados pessoais, cabendo-lhe restituir à unidade de origem, via SEI, os arquivos que demandem saneamento, anonimização ou justificativa fundamentada na LGPD, em conformidade com esta Política e com o Termo de Uso e Política de Privacidade da ANP - TUPP.

Art.26. Compete às unidades organizacionais que realizam tratamento de dados pessoais: I - realizar o tratamento de processos e documentos físicos arquivados e de processos eletrônicos concluídos sob sua responsabilidade, para adequação à Lei nº 13.709, de 14 de agosto de 2018 - LGPD, em conformidade com a legislação e com normativos vigentes da ANP aplicáveis ao tema;

II - manter atualizado o Inventário de Dados Pessoais - IDP, acerca de:

a) operações sobre dados pessoais que possam oferecer risco aos direitos e liberdades dos titulares de dados;

b) contratos em que a ANP venha a coletar, transferir e/ou processar dados pessoais; c) novos serviços que venham a ser prestados pela área, com tratamento de dados pessoais; d) serviços que venham a ser descontinuados pela área;

e) mudanças nos serviços constantes no inventário de dados pessoais, especialmente quanto à mudança de finalidade de uso dos dados pessoais e quanto ao compartilhamento dos dados do serviço; ou

f) demais situações que possam ensejar mudanças no tratamento de dados pessoais do serviço ou processo inventariado.

III - realizar a eliminação de documentos em conformidade com o Programa de Avaliação e Destinação de Documentos da ANP e com a legislação vigente; IV - realizar a avaliação de riscos sobre operações de tratamento de dados pessoais no âmbito dos processos de trabalho sob sua responsabilidade, conforme a Metodologia de Gestão de Riscos - MGR da ANP;

V - observar as recomendações do Encarregado pelo tratamento de dados pessoais, acerca da adequação do tratamento de dados pessoais nos serviços e processos que executa, e justificar formalmente o eventual não acolhimento das recomendações;

VI - atender às recomendações do Comitê de Transparência e de Segurança da Informação e Comunicações - CTSI e da Superintendência de Governança e Estratégia - SGE, acerca da adequação do tratamento de dados pessoais nos serviços e processos que executa; VII - analisar a necessidade de compartilhamento dos dados sob sua gestão, seja com outros órgãos da administração pública federal ou com outras unidades organizacionais da ANP, aplicando a anonimização ou pseudonimização, com o apoio da STI quando necessário, ou minimizando a inclusão de dados pessoais, a fim de respeitar os princípios de proteção de dados pessoais especificados na Lei nº 13.709, de 14 de agosto de 2018 - LGPD e na Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação);

VIII - incorporar a proteção de dados pessoais e os conceitos de privacidade desde a concepção na elaboração de novos atos normativos e na adequação dos atos vigentes que vierem a passar por revisão;

IX - assegurar que os requisitos dos sistemas e aplicativos sob sua responsabilidade estabeleçam que a coleta e o tratamento de dados pessoais estejam limitados ao propósito identificado e declarado no inventário de dados pessoais; X - demandar à STI adequações nos sistemas e aplicativos que tratem dados pessoais, caso necessário, para ampliar sua aderência à Lei nº 13.709, de 14 de agosto de 2018 - LGPD; XI - obter o consentimento dos usuários quando for identificada a necessidade de uso dos seus dados pessoais nas bases de dados sob responsabilidade da ANP, para além das finalidades dos serviços prestados pela Agência;

XII - garantir que constem nos contratos firmados com colaboradores, fornecedores, prestadores de serviços, com ou sem mão de obra, cláusulas sobre as obrigações pertinentes à Lei nº 13.709, de 14 de agosto de 2018 - LGPD;

XIII - designar dois interlocutores, um titular e um suplente, para tratarem das questões relativas à privacidade e proteção de dados pessoais no âmbito da unidade organizacional; e

XIV - proceder Com a revogação de uso, eliminação ou anonimização dos dados pessoais em suas bases ou solicitar à STI, no caso de sistemas ANP, quando identificado o término de seu tratamento, em conformidade com a Lei nº 13.709, de 14 de agosto de 2018 - LGPD e com o Programa de Avaliação e Destinação de Documentos da ANP. Seção IV

Dos Direitos dos Titulares de Dados Pessoais

Art.27. A ANP deverá manter mecanismos que garantam o pleno exercício dos direitos dos titulares de dados pessoais, conforme definido na Lei nº 13.709, de 14 de agosto de 2018 - LGPD.

§ 1º O Fala.BR, plataforma integrada de ouvidoria e acesso à informação, será o canal oficial de recebimento dos requerimentos dos titulares de dados pessoais.

§ 2º Qualquer pessoa natural, ou seu representante legal, cujo dado pessoal seja objeto de tratamento pela ANP poderá exercer os direitos mediante requerimento específico, realizado por meio do Fala.BR.

Art.28. O exercício dos direitos dos titulares de dados pessoais tratados pela ANP observará o disposto nos arts. 18 a 22 da Lei nº 13.709, de 14 de agosto de 2018 - LG P D. Parágrafo único. Os prazos e procedimentos para o exercício dos direitos de que trata o caput observarão o disposto em legislação específica, em especial as disposições constantes da Lei nº 9.507, de 12 de novembro de 1997 - Lei do Habeas Data, da Lei nº 9.784, de 29 de janeiro de 1999 - Lei Geral do Processo Administrativo e da Lei nº 12.527, de 18 de novembro de 2011 - Lei de Acesso à Informação.

Art.29. Em caso de requisição de eliminação de dado pessoal, quando couber, será respeitado o prazo de armazenamento mínimo de informações determinado pela legislação correlata.

CAPÍTULO III DOS PROCEDIMENTOS Seção I

Do Tratamento de Dados Pessoais

Art.30. O tratamento de dados pessoais no âmbito da ANP observará exclusivamente as hipóteses legais previstas na Lei nº 13.709, de 14 de agosto de 2018 - LGPD, devendo cada operação estar vinculada à finalidade pública específica.

47

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152026100800047