RESOLUÇÃO REI-CONSUP/REITORIA/IFG Nº 205, DE 28 DE AGOSTO DE 2024 (parte 1 de 2)

RESOLUÇÃO REI-CONSUP/REITORIA/IFG Nº 205, DE 28 DE AGOSTO DE 2024
Dispõe sobre Política de Proteção, Uso e Tratamento
de Dados Pessoais no âmbito do Instituto Federal de
Educação, Ciência e Tecnologia de Goiás.
A PRESIDENTE DO CONSELHO SUPERIOR DO INSTITUTO FEDERAL DE
EDUCAÇÃO, CIÊNCIA E TECNOLOGIA DE GOIÁS, no uso de suas atribuições legais e
regimentais, e considerando a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de
Proteção de Dados Pessoais); a Lei nº 12.527, de 18 de novembro de 2011, que regula o
acesso a informações previsto no inciso XXXIII do art. 5º, no inciso II do § 3º do art. 37 e
no § 2º do art. 216 da Constituição Federal considerando as decisões exaradas na 89ª
Reunião, realizada em 19 de agosto de 2024, resolve:
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Art. 1º Esta Resolução regulamenta a Política de Proteção, Uso e Tratamento de
Dados Pessoais no âmbito do Instituto Federal de Educação, Ciência e Tecnologia de Goiás - IFG.
Art. 2º A Política de Proteção, Uso e Tratamento de Dados Pessoais estabelece
as diretrizes, as competências, as responsabilidades e os compromissos do IFG para o
tratamento e a proteção dos dados pessoais, contidos em quaisquer meios, físicos ou
digitais, de sua propriedade e sob sua guarda, em consonância com a Lei nº 13.709, de 14
de agosto de 2018, a Lei Geral de Proteção de Dados - LGPD, legislações correlatas
aplicáveis e as normas exaradas pela Autoridade Nacional de Proteção de Dados e demais
autoridades competentes.
§ 1º A Política de Proteção, Uso e Tratamento de Dados Pessoais, bem como
documentos norteadores complementares existentes ou que venham a ser publicados,
deve ser cumprida por todas as unidades que integram o IFG.
§ 2º Os representantes dos setores que compõem as unidades do IFG deverão
fornecer todo o apoio necessário, incluindo recursos humanos e materiais, para a
persecução dos objetivos desta Política de Proteção, Uso e Tratamento de Dados Pessoais,
visando à melhor adequabilidade e implementação da Lei nº 13.709, de 2018, na
Instituição.
§ 3º A Política de Proteção, Uso e Tratamento de Dados Pessoais não se aplica
ao tratamento de dados pessoais:
I - realizado por pessoa natural para fins exclusivamente particulares e não
econômicos; II - realizado para fins exclusivamente:
jornalísticos e artísticos; ou
acadêmicos;
- realizado para fins exclusivos de:
segurança pública;
defesa nacional;
segurança do Estado;
atividades de investigação e repressão de infrações penais; ou
- proveniente de fora do território nacional e que não sejam objeto de
comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou
objeto de transferência internacional de dados com outro país que não o de proveniência,
desde que o país de proveniência proporcione grau de proteção de dados pessoais
adequado ao previsto nesta Lei.
Art. 3º As atividades de tratamento de dados pessoais realizadas pelo IFG
devem observar o princípio da boa-fé e:
- da finalidade;
- da adequação; III - da necessidade; IV - do livre acesso;
V - do qualidade dos dados; VI - da transparência;
VII - da segurança; VIII - da prevenção;
- da não discriminação; e
- da responsabilização e da prestação de contas.
Art. 4º A Política de Proteção, Uso e Tratamento de Dados Pessoais aplica-se:
I - aos servidores do IFG;
- aos estagiários;
- a todos os terceiros, sejam eles pessoas físicas ou jurídicas, que atuam para
ou em nome do IFG em operações que envolvam tratamento de dados pessoais que sejam
realizadas no escopo das atividades conduzidas pela Instituição;
- aos agentes de tratamento de dados pessoais externos ao IFG que, de
qualquer forma, se relacionem com a Instituição; e
- aos titulares de dados pessoais, cujos dados são tratados pelo IFG.
CAPÍTULO II
DOS CONCEITOS E DEFINIÇÕES
Art. 5º Para fins desta Política de Proteção, Uso e Tratamento de Dados
Pessoais, considera-se:
- dados pessoais: aqueles que permitem a identificação, direta ou indireta, da
pessoa à qual o dado se refere como, por exemplo, nome, sobrenome, data de
nascimento, CPF, RG, CNH, carteira de trabalho, passaporte, título de eleitor, endereço
residencial ou comercial, telefone pessoal, cookies, matrícula, e-mail institucional e e-mail
pessoal;
- dados pessoais sensíveis: aqueles relacionados à origem étnica ou racial,
convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter
religioso, filosófico ou político, dado referente à saúde ou à vida sexual e dado genético ou
biométrico;
- titular de dados pessoais: pessoa natural a quem se referem os dados
pessoais que são objeto de tratamento;
- controlador: pessoa natural ou jurídica, de direito público ou privado, a quem
competem as decisões referentes ao tratamento de dados pessoais;
- operador: pessoa natural ou jurídica, de direito público ou privado, que realiza
o tratamento de dados pessoais em nome do controlador;
- agentes de tratamento: o operador e o controlador;
- encarregado de dados: pessoa física ou jurídica indicada pelo controlador para
atuar como canal de comunicação entre o controlador, os titulares de dados pessoais e a
Autoridade Nacional de Proteção de Dados;
- tratamento de dados pessoais: qualquer operação que envolva acesso,
armazenamento, arquivamento, avaliação, classificação, coleta, comunicação, controle,
difusão, distribuição, eliminação, extração, modificação, processamento, produção,
recepção, reprodução, transferência, transmissão e utilização;
- ciclo de vida do tratamento de dados pessoais: são as fases do tratamento
que contemplam a coleta, a retenção, o processamento, o compartilhamento e a
eliminação;
- consentimento: expressão individual, clara e legítima para uma finalidade
específica determinada, de autorização de coleta de dados pessoais;
- anonimização: utilização de meios técnicos, razoáveis e disponíveis no
momento do tratamento de dados pessoais, por meio dos quais um dado perde a
possibilidade de associação, direta ou indireta, a um indivíduo.
§ 1º O controlador, no IFG, é representado por sua autoridade máxima, a quem
compete as decisões sobre o tratamento e administração dos dados pessoais no âmbito da
Instituição.
§ 2º Os operadores de dados pessoais no IFG são representados pelos
servidores em exercício, técnico-administrativos e docentes, que fazem tratamento de
dados pessoais, devido à atribuição de suas atividades.
§ 3º Colaboradores terceirizados, estagiários, aprendizes e voluntários cujas
atividades englobam o tratamento de dados pessoais.
§ 4º O dado anonimizado não é considerado dado pessoal para os fins da Lei
nº 13.709, de 2018.
- Relatório de Impacto de Proteção de Dados: documentação do controlador
que contém a descrição dos processos de tratamento de dados pessoais que podem gerar
riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e
mecanismos de mitigação de risco;
- Autoridade Nacional de Proteção de Dados: órgão da administração pública
responsável por zelar, implementar e fiscalizar o cumprimento da Lei nº 13.709, de 2018,
em todo o território nacional;
- Inventário de Dados Pessoais: registro das operações de tratamento dos
dados pessoais realizados pela Instituição;
- Comissão Permanente de Gestão da Proteção de Dados Institucionais do IFG:
comissão responsável por avaliar o processo de abertura de dados públicos e de monitorar
as ações de tratamento de dados pessoais do IFG quanto à adequação à Lei nº 13.709, de
2018;
- bloqueio: suspensão temporária de qualquer operação de tratamento,
mediante guarda de dados pessoais ou banco de dados; e
- unidades: componentes da macroestrutura organizacional do IFG,
correspondendo aos quatorze câmpus, Reitoria e Embrapii.
CAPÍTULO III
DO TRATAMENTO DE DADOS
Seção I Disposições gerais
Art. 6º No IFG, deve ser realizado o tratamento mínimo dos dados pessoais,
necessário e imprescindível à garantia do interesse público e à execução das funções e
atividades da Instituição, em conformidade com a legislação vigente.
Art. 7º O IFG assume, como compromisso institucional, a avaliação periódica
das finalidades de suas operações de tratamento, considerando o contexto em que essas
operações se inserem, os riscos e benefícios que podem ser gerados ao titular dos dados
pessoais, e o legítimo interesse da Instituição.
Seção II
Da coleta dos dados
Art. 8º A coleta de dados pessoais pode ocorrer por meio de sistemas de
informação ligados a páginas na Internet e aplicativos, pelo recebimento de arquivos, bem
como em meio físico, mediante preenchimento de formulários, listas ou registro de
interação presencial.
§ 1º Quando da necessidade de coleta de dados individuais, principalmente por
meio de formulários ou de serviços públicos digitalizados, deve haver registro do termo de
consentimento, contendo o objetivo do tratamento dos dados e o período de custódia.
§ 2º O titular dos dados pessoais deve ser informado a respeito da finalidade
do tratamento no momento da coleta dos dados.
Seção III
Da Base legal para o Tratamento de dados pessoais
Art. 9º Todas as operações de tratamento de dados pessoais no âmbito do IFG
devem ter uma base legal que legitime sua realização, com a estipulação da finalidade e
designação dos responsáveis pelo tratamento.
Art. 10. O tratamento de dados pessoais somente pode ser realizado nas
seguintes hipóteses: I - mediante o fornecimento de consentimento pelo titular;
- para o cumprimento de obrigação legal ou regulatória pelo controlador;
- pela administração pública, para o tratamento e uso compartilhado de dados
necessários à execução de políticas públicas previstas em leis e regulamentos ou
respaldadas em contratos, convênios ou instrumentos congêneres, observadas as
disposições da Lei nº 13.709, de 2018;
- para a realização de estudos por órgão de pesquisa, garantida, sempre que
possível, a anonimização dos dados pessoais;
- quando necessário para a execução de contrato ou de procedimentos
preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos
dados;
- para o exercício regular de direitos em processo judicial, administrativo ou
arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996;
- para a proteção da vida ou da incolumidade física do titular ou de
terceiro;
- para a tutela da saúde, exclusivamente, em procedimento realizado por
profissionais de saúde, serviços de saúde ou autoridade sanitária;
- quando necessário para atender aos interesses legítimos do controlador ou de
terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que
exijam a proteção dos dados pessoais; ou
- para a proteção do crédito, inclusive quanto ao disposto na legislação
pertinente.
§ 1º O tratamento de dados pessoais cujo acesso é público deve considerar a
finalidade, a boa-fé e o interesse público que justificaram sua disponibilização.
§ 2º É dispensada a exigência do consentimento previsto no caput deste artigo
para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do
titular e os princípios previstos em Lei.
§ 3º O controlador que obteve o consentimento referido no inciso I do caput
deste artigo que necessitar comunicar ou compartilhar dados pessoais com outros
controladores deverá obter consentimento específico do titular para esse fim, ressalvadas
as hipóteses de dispensa do consentimento previstas em Lei.
§ 4º A eventual dispensa da exigência do consentimento não desobriga os
agentes de tratamento
das demais obrigações previstas em Lei, especialmente da observância dos
princípios gerais e da garantia dos direitos do titular.
§ 5º O tratamento posterior dos dados pessoais a que se referem os §§ 3º e
4º deste artigo poderá ser realizado para novas finalidades, desde que observados os
propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do
titular, assim como os fundamentos e os princípios previstos na Lei nº 13.709, de 2018.
Art. 11. O consentimento previsto no inciso I do art. 10º desta Lei deverá ser
fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do
titular.
§ 1º Caso o consentimento seja fornecido por escrito, esse deverá constar de
cláusula destacada das demais cláusulas contratuais.
§ 2º Cabe ao controlador o ônus da prova de que o consentimento foi obtido
em conformidade com o disposto na Lei nº 13.709, de 2018.
§ 3º É vedado o tratamento de dados pessoais mediante vício de
consentimento.
§ 4º O consentimento deverá referir-se a finalidades determinadas e a
autorizações genéricas para o tratamento de dados pessoais serão nulas.
§ 5º O consentimento pode ser revogado a qualquer momento mediante
manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os
tratamentos realizados sob amparo do consentimento anteriormente manifestado
enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do
art. 18 da Lei nº 13.709, de 2018.
§ 6º Em caso de alteração de informação referida nos incisos I, II, III ou V do
art. 9º da Lei nº 13.709, de 2018, o controlador deverá informar ao titular, com destaque
de forma específica do teor das alterações, podendo o titular, nos casos em que o seu
consentimento é exigido, revogá-lo caso discorde da alteração.
Seção IV
Do Tratamento de Dados Pessoais de Crianças e Adolescentes
Art. 12. O tratamento de dados pessoais de crianças e adolescentes somente
deve ser realizado em seu melhor interesse, com o consentimento específico por, pelo
menos, um dos pais ou responsável legal.
Art. 13. Os dados pessoais de crianças e adolescentes devem ser tratados com
o mesmo nível de cuidado exigido e oferecido aos dados pessoais sensíveis, mas também
devem estar sujeitos às disposições próprias estabelecidas no capítulo II seção III da Lei nº
13.709, de 2018, e outras normas específicas aplicáveis.
Art. 14. O tratamento de dados pessoais de crianças e adolescentes pode ser
realizado com base nas hipóteses legais previstas no art. 7º ou no art. 11 da Lei nº 13.709,
de 2018, desde que observado e prevalecente o seu melhor interesse, a ser avaliado no
caso concreto, nos termos do art. 14 da Lei.
Seção V
Do Tratamento de Dados Pessoais Sensíveis
Art. 15. O tratamento de dados pessoais sensíveis ocorrerá quando o titular ou
responsável legal consentir, de forma expressa, para finalidades específicas, sendo vedado
o tratamento com o intuito de interesses econômicos ou obtenção de vantagens.
Art. 16. Os documentos que contenham dados pessoais sensíveis devem
receber o tratamento previsto em lei e sua divulgação em quaisquer meios deverá ser
autorizada expressamente pelo controlador.
Parágrafo único. Considerando o que estabelece o art. 4º da Lei nº 13.709, de
2018, não se aplica o previsto no caput para os dados pessoais obtidos exclusivamente
para fins jornalísticos, artísticos, de segurança pública, defesa nacional, ou atividades de
investigação e repressão de infrações penais.
Art. 17. O tratamento de qualquer dado sensível, que não expresso na lei já
vigente, ou em termo de consentimento prévio ou não atrelado à atividade fim do IFG, fica
vedado a partir da publicação desta Resolução.
Parágrafo único. A exceção relacionada ao caput se aplica ao interesse da
Administração que,
atentando-se à legalidade e aos controles necessários, autoriza formalmente
seu tratamento em documento assinado pela autoridade máxima da Instituição.
Seção VI
Da base legal para o tratamento de dados pessoais sensíveis
Art. 18. O tratamento de dados sensíveis só poderá ocorrer nas seguintes
hipóteses:
- consentimento pelo titular, de forma expressa e destacada, para finalidades
específicas;
- sem fornecimento de consentimento do titular, nas hipóteses em que for
indispensável para:
cumprimento de obrigação legal ou regulatória pelo controlador;
tratamento compartilhado de dados necessários à execução, pela
Administração, de políticas públicas previstas em leis ou regulamentos;
realização de estudos por órgão de pesquisa, considerando as regulamentações
legais e infralegais que regem o tema;
exercício regular de direitos, inclusive em contrato e em processo judicial,
administrativo e arbitral;
proteção da vida ou da incolumidade física do titular ou de terceiro;
tutela da saúde, exclusivamente, em procedimento realizado por profissionais
de saúde, serviços de saúde ou autoridade sanitária; ou
garantia da prevenção à fraude e à segurança do titular, nos processos de
identificação e autenticação de cadastro em sistemas eletrônicos, exceto no caso de
prevalecerem direitos e liberdades fundamentais do titular, que exijam a proteção dos
dados pessoais.
§ 1º A solicitação de consentimento para tratamento de dados pessoais deve
ser clara, devendo descrever o objetivo e destacar outras solicitações, conforme art. 8º da
Lei nº 13.709, de 2018.
§ 2º O não consentimento individual ou revogação do consentimento torna-se
impeditivo para a realização da política pública ou ação individual, podendo gerar a
negativa, por parte do IFG, da adesão do titular à Política de Proteção, Uso e Tratamento
de Dados Pessoais ou a execução da ação específica individual.
§ 3º Na hipótese de revogação do consentimento, deve ser garantido que ela
ocorra por procedimento gratuito e facilitado.
Seção VII
Do Compartilhamento e da Transferência internacional de Dados
Art. 19. O compartilhamento de dados pessoais pelo IFG somente será
permitido para o cumprimento de suas obrigações legais ou para atendimento de políticas
públicas aplicáveis, observado o princípio da necessidade e dos procedimentos de
segurança, ficando o tratamento de dados pessoais sempre contíguo ao desenvolvimento
de atividades autorizadas pela Instituição.
Art. 20. A transferência internacional de dados pessoais no âmbito do IFG será
realizada de acordo com o estabelecido na Lei nº 13.709, de 2018, e nos termos das
demais legislações vigentes.
Seção VIII
Dos Registro de operações de tratamento
Art. 21. O IFG realizará registros de suas operações de tratamento de dados
pessoais a partir de categorias, cada uma delas descritas a partir de sua finalidade,
servindo de auxílio e suporte para a avaliação periódica da conformidade com o quadro
regulatório da proteção de dados pessoais.
Art. 22. O registro das operações de tratamento dos dados pessoais realizados
pelo IFG, acontecerá por meio do Inventário de Dados Pessoais, documento que registra as
seguintes informações:
- agentes de tratamento, com identificação do operador;
- finalidade da coleta, especificando o uso que o IFG faz do dado pessoal; III -
dados pessoais tratados e categorias dos titulares dos dados pessoais; IV -
compartilhamento dos dados pessoais;
V - transferência internacional; VI - hipótese e previsão legal; e VII - tempo de
retenção.
§ 1º Os registros a que se referem o caput poderão ser consultados pelo titular
dos dados pessoais, bem como por autoridades públicas competentes para o acesso e
retenção dos dados em seu nome, resguardados os direitos do titular.
§ 2º O registro de tratamento criado a partir do Inventário de Dados Pessoais
será disponibilizado de forma facilitada, clara, adequada e ostensiva.
Art. 23. No desenvolvimento da ação de tratamento de dados pessoais a que
se refere o Inventário de Dados Pessoais, todos os setores das unidades que integram o
IFG deverão seguir o fluxo descrito neste dispositivo, elencando:
- o objetivo do tratamento;
- o responsável e os operadores;
- o método de anonimização (quando couber);
- o período de processamento (desde a coleta até a finalização, inclusive com
publicação); V - a finalização do tratamento; e
VI - o método de eliminação de dados.
Seção IX
Do Fim do Tratamento dos Dados
Art. 24. O término do tratamento de dados pessoais pelo IFG ocorrerá nas
seguintes hipóteses:
- verificação de que a finalidade foi alcançada ou de que os dados deixaram de
ser necessários ou pertinentes ao alcance da finalidade específica almejada;
- fim do período de tratamento;
- comunicação do titular quanto à revogação do seu consentimento, sendo
resguardado o interesse
público; ou
- determinação pela Autoridade Nacional de Proteção de Dados, quando
houver violação à proteção dos dados pessoais.
§ 1º Após atingido o fim específico a que se destina o dado pessoal, caberá ao
operador do dado a sua eliminação, ressalvada a necessidade de mantê-lo para fins da
legislação específica, seguindo a tabela de temporalidade de manutenção de dados de
áreas-meio, editadas pelo Conselho Nacional de Arquivos (Conarq), e das áreas-fim
editados pelas Instituições Federais de Ensino.
§ 2º No âmbito do IFG, somente a Comissão Permanente de Avaliação de
Documentos pode proceder a eliminação de documentos/dados, mediante a autorização
do controlador.
§ 3º A eliminação de documentos que não constem da Tabela de
Temporalidade de Documentos das atividades-meio, ou das Tabelas de Temporalidade de
Documentos das atividades-fim dos órgãos da Administração Pública Federal, será realizada
mediante autorização do Arquivo Nacional.
CAPÍTULO IV
DA PROTEÇÃO DOS DADOS
Seção I Disposições gerais
Art. 25. As normas de segurança da informação e prevenção contra incidentes
relativos ao uso e tratamento de dados pessoais estão contidas na Política de Segurança
da Informação e das Comunicações vigente no IFG, normativas internas e documentos
correlatos ao tema.
Art. 26. Todos os servidores, temporários, estagiários, terceirizados e indivíduos
que direta ou indiretamente realizam o tratamento de dados pessoais no IFG, são
responsáveis pela proteção dos dados pessoais de propriedade ou custodiados pela
Instituição.
Parágrafo único. Os agentes a que se refere o caput devem estar
comprometidos com o exposto nesta Resolução, devendo afirmar seu entendimento e
compromisso por meio de atestado de Responsabilidade ou Código de Ética do Servidor
Público, o qual deve informar as consequências legais da violação dos princípios gerais
deste documento, podendo haver responsabilização e sanções administrativas.
Art. 27. Durante o período de tratamento dos dados pessoais e dados pessoais
sensíveis, os operadores são responsáveis pela segurança da informação e das ações para
mitigação de riscos relacionadas.
Parágrafo único. Ao utilizar de ferramentas ou estrutura disponibilizada pelo
IFG para o tratamento dos dados pessoais, a responsabilidade do operador é solidária com
a Diretoria de Tecnologia de Informação (DTI), que deve manter rotinas de minimização de
riscos de segurança da informação relacionadas à custódia de dados pessoais e à
permissão de acessos, considerando inclusive o que preconiza a PoSIC.
Art. 28. É dever de todos os operadores de dados pessoais do IFG notificarem
o encarregado de dados sempre que observadas suspeitas de irregularidades em relação às
atividades de tratamento dos dados.
Art. 29. A prevenção da violação de dados pessoais é de responsabilidade de
todos os agentes a que se destina esta Resolução.
Seção II
Da segurança dos dados
Art. 30. Com vistas a mitigar situações de riscos e contribuir com a segurança
dos dados pessoais,
fica vedado:
- realizar o tratamento de dados pessoais por motivos particulares, cuja
finalidade não esteja atribuída às competências do cargo, setor, normativa, contrato ou
lei;
- guardar documentos, físicos ou digitais, que contenham dados pessoais, em
unidade ou local próprio, fora das dependências do IFG, exceto se houver contrato firmado
com o Controlador;
- realizar o tratamento de dados pessoais para terceiros, cuja finalidade não
esteja atribuída às competências do cargo, setor, normativa, contrato ou lei;
- criar e guardar documentos, físicos ou digitais, originais ou cópias, que
contenham dados pessoais, sem que esse conste no Inventário de Dados Pessoais;
- encaminhar documentos que contenham dados pessoais, por meios que não
garantam a confidencialidade, a privacidade, a segurança e a rastreabilidade;
- omitir qualquer situação que possa ferir os fundamentos, princípios e direitos
dos titulares dos dados pessoais, sendo necessário a comunicação imediata ao encarregado
de dados;
- utilizar de aplicativos de comunicação instantânea não licenciados para fazer
tratamento de dados pessoais;
- fornecer a senha de acesso de sistemas do IFG, ou quaisquer outros sistemas
vinculados a atividades institucionais para terceiros, bem como deixar senhas salvas, ou o
acesso de forma automática;
- eliminar documentos públicos, sendo esse procedimento de competência da
Comissão Permanente de Avaliação de Documentos do IFG;
- deixar documentos que contenham dados pessoais expostos a terceiros de
forma permanente ou temporária; e
- realizar tratamento de dados pessoais em desacordo com esta Política de
Proteção, Uso e Tratamento de Dados Pessoais e com a Lei nº 13.709, de 2018.