DOU 20/01/2026 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152026012000111
111
Nº 13, terça-feira, 20 de janeiro de 2026
ISSN 1677-7042
Seção 1
ANEXO II
MODELO DE RESUMO EXECUTIVO DO INCIDENTE
[INSTRUÇÃO - REMOVER ANTES DO USO]
Este modelo destina-se ao registro
interno de resumo executivo de
incidente.
Preencha todos os campos entre colchetes [ ] e apague todas as linhas
iniciadas por "[INSTRUÇÃO - REMOVER ANTES DO
USO]" antes de finalizar o documento.
1. Identificação do
¸ Incidente:
[TÍTULO CURTO - EX.: "Acesso não autorizado ao sistema X"]
¸ Processo interno (SEI/MPOR):
[NÚMERO DO PROCESSO SEI]
¸ Data da ocorrência (se conhecida):
[DD/MM/AAAA]
¸ Data do conhecimento pelo MPOR:
[DD/MM/AAAA]
[INSTRUÇÃO - REMOVER ANTES DO USO]
Se a data da ocorrência não for conhecida, manter algo como: "não
identificada até o momento". A data do conhecimento é a data em que o MPOR teve
ciência de que o incidente afetou dados pessoais.
2. Síntese do incidente
[TEXTO CORRIDO - 2 A 4 LINHAS]
Descrever de forma objetiva:
¸ o que ocorreu;
¸ onde ocorreu (sistema, base de dados ou processo de trabalho);
¸ como foi identificado (ex.: alerta de monitoramento, reporte de usuário,
fornecedor, etc.).
[INSTRUÇÃO - REMOVER ANTES DO USO]
Exemplo de redação:
"Em [data], foi identificado acesso não autorizado ao sistema [nome],
utilizado para [finalidade]. O incidente foi detectado a partir de [alerta de segurança
/ reclamação de
usuário / reporte do fornecedor],
indicando possíveis acessos
indevidos a registros contendo dados pessoais."
3. Escopo e impacto
¸ Sistemas/bases afetados:
[LISTAR EM UMA LINHA - EX.: "Sistema X; base de cadastros Y"]
¸ Tipos de dados pessoais envolvidos (em linhas gerais):
[EX.: cadastrais, contato, autenticação, financeiros, sensíveis etc.]
¸ Estimativa de titulares afetados:
[NÚMERO APROXIMADO]
[INDICAR, SE RELEVANTE: presença de crianças, adolescentes, idosos ou
dados sensíveis]
[INSTRUÇÃO - REMOVER ANTES DO USO]
Não listar dados individuais, apenas categorias (tipo de dado) e estimativa
de quantidade.
Se ainda não houver estimativa, utilizar formulações como "estimativa em
apuração" ou "estimativa preliminar de aproximadamente [n] titulares".
4. Avaliação de risco (visão resumida)
[1 A 3 LINHAS]
Informar:
¸ classificação do risco para os titulares (baixo / médio / alto);
¸ justificativa breve (ex.: tipo de dado, combinação de dados, presença de
dados sensíveis, volume, possibilidade de fraude etc.).
[INSTRUÇÃO - REMOVER ANTES DO USO]
Exemplo de texto: "Risco considerado alto para os titulares, em razão da
combinação de dados de identificação pessoal (nome, CPF) com dados de contato, o
que pode facilitar tentativas de fraude e golpes direcionados."
5. Medidas adotadas
¸ Contenção imediata:
[DESCREVER AS PRINCIPAIS AÇÕES INICIAIS - EX.: bloqueio de acessos,
isolamento de serviço, suspensão de funcionalidade, revogação de credenciais]
¸ Medidas corretivas e de mitigação em andamento:
[DESCREVER, EM LINHAS GERAIS - EX.: ajuste de controles, revisão de
configurações, correção de vulnerabilidades, monitoramento reforçado, revisão de
procedimentos]
[INSTRUÇÃO - REMOVER ANTES DO USO]
Manter 
o 
nível
descritivo, 
sem 
expor 
detalhes
técnicos 
sensíveis
(configurações detalhadas, endereços internos, tecnologias específicas).
6. Comunicação
¸ Comunicação à ANPD:
- Tipo: [Preliminar / Completa / Complementar]
- Data de envio do CIS: [DD/MM/AAAA]
¸ Comunicação aos titulares:
- Situação: [não se aplica / planejada / em andamento / concluída em
DD/MM/AAAA]
- Meios: [ex.: e-mail, carta, mensagem em sistema, aviso em sítio eletrônico,
outros meios utilizados]
[INSTRUÇÃO - REMOVER ANTES DO USO]
Se a comunicação aos titulares não for aplicável (ex.: incidente sem risco ou
dano relevante), deixar claro o motivo no processo principal, se necessário. Aqui basta
registrar o status e os meios usados ou planejados.
[Local], [data]
[Nome do(a) Encarregado(a)]
Encarregado(a) pelo Tratamento de Dados Pessoais
Ministério de Portos e Aeroportos
ANEXO III
MODELO DE COMUNICAÇÃO AOS TITULARES DE DADOS PESSOAIS
(incidente de segurança com dados pessoais)
[INSTRUÇÃO - REMOVER ANTES DO ENVIO]
Preencha todos os campos entre colchetes. Apague todos os textos iniciados
por "[INSTRUÇÃO - REMOVER ANTES DO ENVIO]" antes de enviar ao titular.
Assunto:
Informação sobre
incidente de
segurança envolvendo
dados
pessoais
Prezado(a) Sr.(a). [NOME COMPLETO DO TITULAR],
O Ministério de Portos e Aeroportos (MPOR) informa a Vossa Senhoria a
ocorrência de incidente de segurança envolvendo dados pessoais tratados por este
Ministério.
1. Síntese do incidente
Em [DATA DA OCORRÊNCIA, SE CONHECIDA], foi identificado incidente de
segurança que afetou [DESCREVER, DE FORMA OBJETIVA, O SISTEMA, BASE DE DADOS
OU PROCESSO - EX.: "o sistema utilizado para cadastro de [G]"].
Em [DATA DO CONHECIMENTO PELO CONTROLADOR], o Ministério confirmou
que o incidente envolveu dados pessoais.
[INSTRUÇÃO - REMOVER ANTES DO ENVIO]
Se for relevante e já conhecido, incluir, em uma frase simples, a causa
resumida (ex.: falha de configuração, uso indevido de credenciais, ataque externo etc.).
Se ainda estiver em apuração, usar expressão como: "As causas do incidente ainda
estão em apuração."
2. Dados pessoais possivelmente afetados
Com base nas apurações realizadas até o momento, podem ter sido
afetados os seguintes tipos de dados pessoais:
¸ [EX.: nome completo]
¸ [EX.: CPF]
¸ [EX.: endereço de e-mail]
¸ [EX.: telefone de contato]
¸ [OUTROS DADOS RELEVANTES, DE FORMA GENÉRICA]
[INSTRUÇÃO - REMOVER ANTES DO ENVIO]
Descrever apenas o tipo de dado, sem trazer o dado específico do titular.
Se houver dados pessoais sensíveis e/ou dados de crianças, adolescentes ou idosos,
incluir texto claro, por exemplo: "Entre os dados afetados, há dados pessoais sensíveis
relacionados a [descrever em nível genérico]." OU "Foram identificados dados de
crianças/adolescentes/idosos entre os registros afetados."
3. Medidas de segurança e providências adotadas
Após a identificação do incidente,
foram adotadas, entre outras, as
seguintes providências para conter o evento e reduzir seus efeitos:
¸ [EX.: bloqueio de credenciais ou acessos relacionados ao incidente];
¸ [EX.: isolamento temporário de sistemas ou serviços afetados];
¸ [EX.: análise
técnica
para identificação
de
causas
e extensão
do
incidente];
¸ [EX.: aplicação de correções e reforço de controles de segurança];
¸ [EX.: comunicação do incidente à Agência Nacional de Proteção de Dados
- ANPD].
[INSTRUÇÃO - REMOVER ANTES DO ENVIO]
Listar apenas as medidas que de fato foram adotadas, em nível descritivo,
sem
expor
detalhes
sensíveis de
segurança
(configurações,
endereços
internos,
tecnologias específicas etc.).
4. Riscos e possíveis impactos
A depender do uso indevido das informações por terceiros não autorizados,
o incidente pode expor os titulares a riscos como, por exemplo:
¸ tentativas de fraude ou golpes por meio de e-mail, telefone ou aplicativos
de mensagem;
¸ utilização indevida de dados
pessoais para cadastros, contatos ou
abordagens não autorizadas;
¸ [OUTROS RISCOS ESPECÍFICOS IDENTIFICADOS NO CASO CONCRETO, SE
HOUVER].
Até o momento, [INDICAR, DE FORMA OBJETIVA, SE HÁ OU NÃO INDÍCIOS
DE USO INDEVIDO DOS DADOS - EX.: "não foram identificados indícios de uso indevido
dos dados pessoais", ou "foram identificados indícios de utilização indevida dos dados
em [descrever de forma genérica]"].
5. Medidas recomendadas ao titular
Para reduzir eventuais riscos, recomenda-se a Vossa Senhoria que:
¸ desconsidere e não responda a mensagens suspeitas que solicitem dados
pessoais, bancários ou códigos de autenticação;
¸ não compartilhe senhas ou códigos recebidos por SMS, e-mail ou
aplicativos de mensagem;
¸ acompanhe com atenção eventuais movimentações ou comunicações que
possam indicar uso indevido de seus dados;
¸ em caso de dúvida, utilize apenas canais oficiais de atendimento para
confirmação de contatos ou solicitações;
¸ [OUTRAS
MEDIDAS
ESPECÍFICAS, SE
COUBER
-
EX.:
ACOMPANHAR
EXTRATOS, REGISTROS DE SERVIÇOS, ETC.].
6. Canais de contato
Para esclarecimentos adicionais ou para comunicar fatos que possam estar
relacionados a este incidente, Vossa Senhoria poderá contatar:
Encarregado pelo Tratamento de Dados Pessoais - Ministério de Portos e
Aeroportos
E-mail: [E-MAIL PARA CONTATO]
Telefone: [TELEFONE PARA CONTATO]
Endereço: [ENDEREÇO INSTITUCIONAL, SE APLICÁVEL]
7. Prazo e fundamento da comunicação
Esta comunicação é realizada em atendimento à Lei nº 13.709/2018 (Lei
Geral de Proteção de Dados Pessoais) e ao Regulamento de Comunicação de Incidente
de Segurança da Agência Nacional de Proteção de Dados (Resolução CD/ANPD nº
15/2024), que estabelecem o dever de informar à autoridade nacional e aos titulares
a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante
aos titulares.
[INSTRUÇÃO - REMOVER ANTES DO ENVIO]
Utilizar o parágrafo abaixo apenas se a comunicação estiver sendo enviada
fora do prazo regulamentar.
(Usar somente em caso de atraso)
A presente comunicação é enviada nesta data em razão de [DESCREVER, DE
FORMA OBJETIVA, OS MOTIVOS DA DEMORA - EX.: necessidade de confirmar a
extensão dos dados afetados, necessidade de estabilizar o ambiente para evitar novos
riscos, indisponibilidade temporária de sistemas de apuração].
O Ministério de Portos e Aeroportos lamenta o ocorrido e reafirma seu
compromisso com a proteção dos dados pessoais sob sua responsabilidade,
permanecendo à disposição para os esclarecimentos que se fizerem necessários.
At e n c i o s a m e n t e ,
[NOME DO(A) ENCARREGADO(A)]
Encarregado(a) pelo Tratamento de Dados Pessoais
Ministério de Portos e Aeroportos
(*) Republicada por ter saído, no DOU de 16-01-2026, nº 11, Seção 1, págs. 70-71, com
incorreção no original.