DOU 08/10/2026 - Diario Oficial da Uniao - Brasil

TEXTO OFICIAL · ÍNTEGRA

Seção 1

Nº 191, quinta-feira, 8 de outubro de 2026

ISSN 1677-7042

Coleta

Art.31. A ANP realizará o tratamento de dados pessoais estritamente necessários para o cumprimento de suas atribuições legais e institucionais, classificados nas seguintes categorias gerais:

I - dados de identificação e qualificação: informações necessárias para identificar o titular e garantir a segurança dos acessos, tais como dados cadastrais e identificadores oficiais, incluindo, mas não se limitando a atributos biográficos, caracterizados como dados da pessoa natural como nome civil ou social, data do nascimento, filiação, naturalidade, nacionalidade, sexo, estado civil, endereço, vínculo empregatício, número da Carteira de Identidade ou Registro Geral - RG, número de inscrição no Cadastro de Pessoas Físicas - CPF, número de Identificação Social - NIS, número de inscrição no Programa de Integração Social (PIS) e número do Título de Eleitor; II - dados de contato: informações que viabilizem a comunicação com o titular, em meios físicos ou digitais, tais como endereços de correio eletrônico e números de telefone; III - dados de navegação e interação: informações coletadas de forma automática para o funcionamento e a segurança dos portais e sistemas eletrônicos da Agência; e IV - dados públicos: informações disponibilizadas e publicizadas pelo próprio titular. Parágrafo único. A relação detalhada de cada atributo coletado por serviço estará disponível de forma transparente no Termo de Uso e Política de Privacidade - TUPP e registrada no respectivo Inventário de Dados Pessoais - IDP da Agência.

Art.32. Quaisquer aplicativos e formulários para coleta de informações disponibilizados pela ANP, que realizem tratamento de dados pessoais, deverão ser configurados por suas respectivas unidades responsáveis para que apresentem link de acesso direto ao Termo de Uso e Política de Privacidade da ANP - TUPP e ao Aviso de Privacidade, com a finalidade de dar conhecimento do seu conteúdo ao usuário externo que desejar utilizar os serviços aos quais dão suporte.

Art.33. O tratamento de dados pessoais observará o nível de apetite ao risco definido na Metodologia de Gestão de Riscos da ANP.

Art.34. As unidades organizacionais deverão realizar revisão periódica da necessidade, qualidade e quantidade dos dados pessoais tratados nos serviços e processos sob sua responsabilidade.

Retenção

Art.35. Os dados pessoais devem ser retidos apenas durante o tempo estritamente necessário para a realização da finalidade do seu respectivo tratamento. Art. 36. Os dados pessoais deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado em cumprimento ao disposto no art. 25 da Lei nº

13.709, de 14 de agosto de 2018 - LGPD, de forma a facilitar seu uso quando necessário. Compartilhamento

Art.37. O compartilhamento de dados pessoais poderá ser realizado quando estritamente necessário à finalidade pretendida, com órgãos públicos em ações de política pública ou em ações de órgãos de controle ou judiciais, objetivando a prevenção de fraudes e irregularidades, para a realização de estudos por órgãos de pesquisa ou, excepcionalmente, com entidades privadas quando houver previsão legal ou o compartilhamento for respaldado em contratos, convênios ou instrumentos congêneres, observados, quando aplicáveis, os requisitos dos arts. 26 e 27 da LGPD.

Parágrafo único. O compartilhamento de dados pessoais para fins acadêmicos e para a realização de estudos por órgãos de pesquisa deverá ser realizado sempre em conformidade com a Lei nº 13.709, de 14 de agosto de 2018 - LGPD e com as normas e diretrizes editadas pela ANPD.

Art.38. O compartilhamento de dados pessoais deverá ser formalizado mediante registro em instrumento padronizado a ser regulamentado por ato complementar, que deverá conter a relação dos dados que serão compartilhados, a finalidade, a base legal e a duração do tratamento.

Parágrafo único. A ANP solicitará à entidade com a qual realizará o compartilhamento de dados pessoais documento com a relação das medidas de segurança e proteção de dados pessoais praticadas pela referida entidade. Eliminação

Art.39. O término do tratamento dos dados ocorre sempre que a finalidade de tratamento for alcançada, por determinação da ANPD ou por solicitação do titular dos dados, quando couber.

Art.40. Os contratos firmados com contratadas que atuem como operadoras de dados pessoais deverão prever a eliminação, devolução ou anonimização dos dados ao término do tratamento, ressalvada a conservação autorizada por lei ou necessária para o cumprimento de obrigação legal.

Seção II

Do Inventário de Dados Pessoais - IDP

Art.41. O Inventário de Dados Pessoais - IDP consiste no registro das operações de tratamento dos dados pessoais realizadas pela ANP, em atendimento ao disposto na Lei nº 13.709, de 14 de agosto de 2018 - LGPD. Art.42. O IDP catalogará todos os serviços realizados pela ANP nos quais ocorra tratamento de dados pessoais.

Art.43. O IDP deverá ser mantido atualizado pelas unidades organizacionais responsáveis e será objeto de revisão geral, no mínimo, a cada dois anos, sem prejuízo de atualização sempre que ocorrer alteração relevante nas operações de tratamento ou nos elementos previstos no art. 44. Art.44. Os registros mantidos no IDP devem relacionar, no mínimo, as seguintes informações sobre o tratamento de dados pessoais do serviço inventariado, sem prejuízo de outras que a Agência entender necessárias:

I - os agentes de tratamento;

II - a hipótese legal que ampara o tratamento do dado pessoal naquele serviço;

III - a finalidade do tratamento do dado pessoal;

IV - as etapas do ciclo de vida de tratamento dos dados pessoais;

V - a relação dos dados pessoais que são tratados no serviço, categoria, tempo de retenção e seus locais de armazenamento;

VI - o fluxo de tratamento dos dados pessoais, incluindo sua origem, se do próprio titular ou a partir de integração com outros sistemas; e VII - as instituições com as quais há compartilhamento dos dados pessoais e as respectivas finalidades. Seção III

Do Relatório de Impacto à Proteção de Dados Pessoais - RIPD

Art.45. O Relatório de Impacto à Proteção de Dados Pessoais - RIPD consiste no documento que contém a descrição do processo de tratamento que pode gerar riscos às liberdades civis e aos direitos fundamentais.

Art.46. A ANP elaborará o RIPD para os serviços apoiados por sistemas que apresentem fatores de risco que comprometam a garantia dos princípios gerais de proteção de dados pessoais previstos na Lei nº 13.709, de 14 de agosto de 2018 - LGPD ou as liberdades civis e os direitos fundamentais do titular dos dados.

Parágrafo único. A elaboração de um RIPD para mais de um serviço e/ou sistema será avaliada discricionariamente pela Agência, conforme os processos internos de trabalho, o volume de dados pessoais tratados, a infraestrutura de tecnologia que apoia os sistemas que suportam os serviços e os riscos envolvidos.

Art.47. As informações do RIPD serão subsidiadas pelo conteúdo do IDP e da análise de riscos do tratamento de dados pessoais dos sistemas, e contarão ainda com a descrição das medidas, salvaguardas e mecanismos de mitigação dos riscos identificados.

Art.48. O RIPD será revisto sempre que houver alteração relevante nas operações de tratamento, nos sistemas utilizados, na sensibilidade dos dados, nas medidas de mitigação ou na legislação aplicável, sem prejuízo de revisão periódica definida no Plano de Ação do PGP. Art.49. Os sistemas em desuso e sistemas desligados que tratem dados pessoais e que venham a ser reativados por qualquer motivo, deverão passar por avaliação de risco e elaboração do RIPD, para eventual adequação à Lei nº 13.709, de 14 de agosto de 2018 - LGPD.

Das Medidas de Proteção dos Dados Pessoais

Art.50. A ANP adotará medidas técnicas, administrativas e organizacionais aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, em conformidade com a sua Política de Segurança da Informação e Comunicações - POSIC.

§ 1º As salvaguardas e especificações técnicas de segurança aplicadas aos sistemas da Agência serão definidas e revisadas periodicamente pela Superintendência de Tecnologia da Informação (STI).

§ 2º A anonimização de dados pessoais será priorizada sempre que o objetivo do tratamento puder ser alcançado sem a identificação do titular, visando mitigar os riscos de violação de privacidade.

Art.51. Os processos e documentos físicos arquivados e os processos eletrônicos concluídos deverão ser analisados pelas unidades organizacionais responsáveis por eles, quanto à restrição de acesso, conforme a Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), e a LGPD, nos casos de desarquivamento ou reabertura por solicitação da unidade organizacional interessada ou para atendimento de pedido de vista. Seção V Da Gestão de Incidentes

Art.52. A ANP comunicará à ANPD e ao titular dos dados pessoais a ocorrência de incidente de segurança da informação envolvendo dados pessoais, em conformidade com a POSIC e com os normativos expedidos pela ANPD.

Art. 53. As informações e evidências coletadas e as ações adotadas no processo de tratamento do incidente de segurança deverão ser documentadas de modo a possibilitar a elaboração de relatório final do incidente, em conformidade com a POSIC da ANP e com os normativos expedidos pela ANPD.

CAPÍTULO IV

DISPOSIÇÕES FINAIS

Art.54. Os casos omissos serão resolvidos pelo Comitê de Transparência e de Segurança da Informação e Comunicações, em primeira instância, e pela Diretoria Colegiada, em segunda instância.

Art.55. A implementação do Programa de Governança em Privacidade - PGP da ANP ocorrerá de forma progressiva e integrada à gestão de mudanças da Agência, observados os seguintes prazos iniciais, contados a partir da publicação desta Portaria: I - até 30 (trinta) dias: ratificação ou alteração da indicação formal dos interlocutores de privacidade pelas unidades organizacionais (art. 26, inciso XIII);

II - até 90 (noventa) dias: revisão do Programa de Governança em Privacidade - PGP da ANP, com a apresentação de relatório das atividades já implementadas e de proposta de novo cronograma para as demais atividades;

III - até 180 (cento e oitenta) dias: início do ciclo de campanhas de conscientização interna e capacitação básica para os interlocutores, sob coordenação da SGP e do Encarregado; e IV - até 360 (trezentos e sessenta) dias: revisão da primeira versão do Inventário de Dados Pessoais (IDP).

Art.56. Esta Portaria entra em vigor na data de sua publicação.

ARTUR WATT NETO Diretor-Geral

Altera o Anexo I da Portaria ANP nº 265, de 10 de setembro de 2020, que estabelece o Regimento Interno da Agência Nacional do Petróleo, Gás Natural e Biocombustíveis.

A DIRETORIA DA AGÊNCIA NACIONAL DO PETRÓLEO, GÁS NATURAL E BIOCOMBUSTÍVEIS - ANP, no exercício das atribuições conferidas pelo art. 65 do Regimento Interno, aprovado pela Portaria ANP nº 265, de 10 de setembro de 2020, e pelo art. 7º do Anexo I do Decreto nº 2.455, de 14 de janeiro de 1998, tendo em vista o disposto na Lei nº 9.478, de 6 de agosto de 1997, considerando o que consta do Processo nº 48610.223612/2026-64 e com base na Decisão de Diretoria nº 742, de 5 de outubro de 2026, resolve: Art. 1º O Anexo I da Portaria ANP nº 265, de 10 de setembro de 2020, passa a vigorar com as seguintes alterações: "Art. 114-A ....................................................................

.................................................................................

I - propor a regulamentação e executar a fiscalização da segurança operacional, com foco na proteção da vida humana, do meio ambiente e dos ativos públicos e de terceiros e na manutenção da licença social para operar, das atividades de:

• a) exploração e produção de petróleo e gás natural; b) refino de petróleo;

c) processamento de gás natural;

d) formulação de combustíveis;

e) produção de biocombustíveis, solventes e combustíveis em centrais petroquímicas; f) armazenamento em distribuidor, transportador-revendedor-retalhista, produtor de óleos lubrificantes acabados, coletor de óleo lubrificante usado ou contaminado; e rerrefinador de óleo lubrificante usado ou contaminado; e

g) movimentação e armazenamento de petróleo, seus derivados, gás natural e biocombustíveis em terminais e no modal dutoviário.

II - analisar as informações sobre incidentes ocorridos durante as atividades listadas no inciso I e promover a investigação de acidentes relevantes, de forma a evitar a recorrência de eventos indesejáveis, encaminhando os respectivos resultados à Diretoria Colegiada para ciência e providências;

III - manifestar-se acerca da inclusão das melhores práticas de segurança operacional nas propostas de regulamentação afetas ao tema, quando demandado pelas unidades integrantes da estrutura organizacional da ANP;

IV - propor a adoção de instrumentos de cooperação com outras entidades públicas ou privadas, nacionais ou estrangeiras, quanto à segurança operacional nas atividades listadas no inciso I; V - analisar o desempenho de segurança das atividades listadas no inciso I, encaminhando os respectivos resultados à Diretoria Colegiada para ciência e providências; e VI - deliberar, em primeira instância, sobre os documentos de segurança operacional das instalações que executam atividades listadas no inciso I e os programas e relatórios de descomissionamento das instalações na fase de produção de petróleo e gás natural." (NR) "Art. 116 ....................................................................

.................................................................................

IV - avaliar os aspectos de segurança operacional, inclusive mediante vistoria, para fins de outorga de autorização de operação das instalações, e disseminar as melhores práticas operacionais para o exercício das atividades reguladas, tendo como vetor de atuação a proteção da vida humana e do meio ambiente;" (NR) "Art. 117 ....................................................................

.................................................................................

XXIV - avaliar os aspectos de segurança operacional, inclusive mediante vistoria, para fins de outorga de autorização de operação das instalações, e disseminar as melhores práticas operacionais para o exercício das atividades reguladas, tendo como vetor de atuação a proteção da vida humana e do meio ambiente;" (NR) Art.2º Fica revogado o inciso V-C do art. 117 do Anexo I da Portaria ANP nº 265, de 10 de setembro de 2020.

Art.3º Esta Portaria entra em vigor em 20 de outubro de 2026.

ARTUR WATT NETO Diretor-Geral

48

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152026100800048