PORTARIA FBN Nº 83, DE 21 DE NOVEMBRO DE 2024 (parte 2 de 3)

ANEXO
Política de Proteção de Dados Pessoais
(PPDP)
Versão 1.0
Rio de Janeiro, Setembro de 2024
Presidência da República
Luiz Inácio Lula da Silva
Ministério da Cultura
Margareth Menezes da Purificação Costa
Presidência
Marco Américo Lucchesi
Diretoria Executiva
Suely Dias
Chefia de Gabinete
Oscar Manuel da Costa Gonçalves
Encarregado pelo Tratamento de Dados Pessoais
Wellington da Silva
Controle de Revisão
Revisão 1.0 - 2024
Histórico de Versões
. .Data . Versão . Descrição .Autor
. .06/09/2024 .1.0 .Política de Proteção de Dados Pessoais .Wellington da
Silva
Introdução
A LGPD foi promulgada em 2018 e tem como objetivo regulamentar o
tratamento de dados pessoais para garantir o livre desenvolvimento da personalidade
e a dignidade da pessoa humana. Para isso, a lei estabelece uma série de regras a
serem seguidas pelos agentes de tratamento, incluindo o Poder Público (ANPD,
2021).
O presente documento serve como um modelo prático a ser utilizado na
implementação do controle 22 do Guia do Framework de Privacidade e Segurança da
Informação1 v1 e respectivas evoluções desta versão (1.1, 1.2 etc.) elaborado e
publicado pela SGD. A medida do controle 22 que está contemplada por este modelo
é a 22.2.
O Controle 22 do Guia do Framework de Privacidade e Segurança da
Informação (p. 62) estabelece que:
Controle 22: Políticas, Processos e Procedimentos - Definir, desenvolver,
divulgar, implementar e atualizar políticas, processos e procedimentos operacionais,
internos e externos que regem as ações relativas à proteção de dados pessoais e
privacidade, e controles para programas, sistemas de informação ou tecnologias que
envolvam o tratamento de dados pessoais.
Política de Proteção de Dados Pessoais
A LGPD se aplica a qualquer operação de tratamento realizada por pessoa
natural ou por pessoa jurídica de direito público ou privado, independentemente do
meio, do país de sua sede ou do país onde estejam localizados os dados. A Fundação
Biblioteca Nacional (FBN) observará as normas contidas na lei para: coletar, armazenar,
usar e divulgar informações pessoais, bem como o direito dos titulares em acessar
corrigir, anonimizar, bloquear ou excluir informações pessoais que a FBN possua. Com
base na LGPD a FBN tomará medidas razoáveis para implementar práticas,
procedimentos e sistemas para proteger informações pessoais de seus leitores,
visitantes, servidores, terceirizados, estagiários, pesquisadores e bolsistas.
Propósito
Esta política tem o propósito de estabelece como a Fundação Biblioteca
Nacional (FBN) aplica as normas gerais contidas na Lei Geral de Proteção de Dados -
LGPD (13.709/2018), que são de interesse nacional, sendo assim devem ser observadas
por esta fundação. A proteção de dados pessoais tem como fundamentos: o respeito
à privacidade, a inviolabilidade da intimidade, da honra e da imagem, os direitos
humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da
cidadania pelas pessoas naturais, entre outros.
Escopo
Instituir a Política de Proteção de Dados Pessoais (PPDP), no âmbito da
Fundação Biblioteca Nacional (FBN) com a finalidade de estabelecer princípios e
diretrizes para a implementação de ações que garantam a proteção de dados pessoais,
e no que couber, no relacionamento com outras entidades públicas ou privadas.
Esta Política regula a proteção de dados pessoais, na qual Fundação
Biblioteca Nacional é o agente de tratamento, bem como o meio utilizado para este
tratamento, seja digital ou físico, além de qualquer pessoa que realize operações de
tratamento de dados pessoais em seu nome ou em suas dependências.
Glossário
Controlador: pessoa natural ou jurídica, de direito público ou privado, a
quem competem as decisões referentes ao tratamento de dados pessoais;
Operador: pessoa natural ou jurídica, de direito público ou privado, que
realiza o tratamento de dados pessoais em nome do controlador;
Encarregado: pessoa indicada pelo controlador, para atuar como canal de
comunicação entre o controlador, os titulares dos dados pessoais e a Autoridade
Nacional de Proteção de Dados (ANPD);
Dado pessoal: informação relacionada a pessoa natural identificada ou
identificável;
Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção
religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso,
filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou
biométrico, quando vinculado a uma pessoa natural;
Titular: pessoa natural a quem se referem os dados pessoais que são objeto
de tratamento;
Transferência internacional de dados: transferência de dados pessoais para
país estrangeiro ou organismo internacional do qual o país seja membro;
Tratamento: toda operação realizada com dados pessoais, como as que se
referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução,
transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação,
avaliação ou controle da informação, modificação, comunicação, transferência, difusão
ou extração;
Uso compartilhado de dados: comunicação, difusão, transferência
internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos
de dados pessoais por órgãos e entidades públicos no cumprimento de suas
competências legais, ou entre esses e entes privados, reciprocamente, com autorização
específica, para uma ou mais modalidades de tratamento permitidas por esses entes
públicos, ou entre entes privados.
Declarações da política
Todas as ações existentes ou ações futuras relacionadas ao Tratamento de
Dados Pessoais e ao Titular de Dados Pessoais, obrigatoriamente seguirão os princípios
dispostos na LGPD que são:
I - finalidade: realização do tratamento para propósitos legítimos, específicos,
explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma
incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas
ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a
realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e
não excessivos em relação às finalidades do tratamento de dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita
sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus
dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza,
relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento
da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e
facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de
tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a
proteger os dados pessoais de acessos não autorizados e de situações acidentais ou
ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em
virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins
discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo agente, da
adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento
das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
A Fundação Biblioteca Nacional respeita a pessoa natural titular de dados
pessoais e se compromete a executar todos os controles necessários, considerando a
razoabilidade da tecnologia existente, para Proteger os Dados Pessoais sob sua
responsabilidade e possibilitar a Privacidade do Titular de Dados Pessoais.
CAPÍTULO I
Das Diretrizes Gerais
Art. 1º A Fundação Biblioteca Nacional adotará medidas eficazes e capazes
de comprovar a observância e o cumprimento das normas de proteção de dados
pessoais.
Art. 2º Será estabelecida revisões de processos com o objetivo de aferir a
diminuição ou aumento de riscos que envolvem o tratamento de dados pessoais.
Art. 3º Os dados pessoais que forem coletados e tratados no site e BNDigital
mantidos pela Fundação Biblioteca Nacional também serão administrados de acordo
com as diretrizes desta política. Normativos específicos poderão ser elaborados para a
gestão destes dados coletados a partir de sites e aplicativos.
Art. 4º A Fundação Biblioteca Nacional poderá utilizar arquivos (cookies) para
registrar e gravar no computador do usuário as preferencias e navegações realizadas
nas respectivas páginas para fins estatísticos e de melhoria dos serviços ofertados,
respeitando o consentimento do titular.
Art. 5º É competência do Comitê de Governança Digital (CGD) gerenciar a
implementação da LGPD dentro da Fundação Biblioteca Nacional e a administração da
Política de Proteção de Dados Pessoais.
Art. 6º O CGD manterá o registro das operações de tratamento de dados
pessoais realizadas pela Fundação Biblioteca Nacional
Art. 7º Poderá ser elaborado o Relatório de Impacto de Proteção de Dados
Pessoais (RIPD) relacionados às operações de tratamento, e atualizá-lo quando
necessário.
Art. 8º O CGD deverá desenvolver e manter atualizados as políticas/avisos de
privacidade, que fornecerão informações sobre o processamento de dados pessoais em
cada ambiente físico ou virtual, bem como detalhar as medidas de proteção de dados
adotadas para salvaguardar esses dados pessoais.
Art. 9º Será estabelecido o programa de treinamento e conscientização para
que os colaboradores entendam suas responsabilidades e procedimentos na proteção de
dados pessoais.
Art. 10º A Política de Segurança da Informação (POSIN) da FBN, será
utilizada como regra de segurança, de boas práticas e de governança que definam
procedimentos referentes a privacidade e proteção de dados pessoais.
CAPÍTULO II
Tratamento de Dados Pessoais
Art. 11. A aplicação desta Política será pautada pelo dever de boa-fé e pela
observância dos princípios previstos no art. 6º da LGPD. Qualquer tratamento de dados
pessoais no âmbito da FBN será realizado considerando as melhores práticas
administrativas, os cuidados necessários para o atendimento da finalidade legal, bem
como os direitos dos titulares.
Art. 12. O tratamento de dados pessoais deverá ser realizado para o
atendimento de sua finalidade pública, conforme o interesse público, com o objetivo de
executar competências legais e de cumprir as atribuições legais do serviço público.
Art. 13. O encarregado adotará mecanismos para que o titular do dado
pessoal usufrua dos direitos assegurados pela LGPD e normativos correlatos.
Art. 14. Será realizado o tratamento de dados pessoais sensíveis somente
nos termos da seção II do capítulo II da LGPD e serão estabelecidos procedimentos de
segurança no tratamento destes dados conforme a LGPD e demais normativos.
Art. 15. Será realizado o tratamento de dados pessoais de crianças e de
adolescentes nos termos da seção III do capítulo II da LGPD, bem como, poderá ser
realizado com base nas hipóteses legais previstas no art. 7º ou no art. 11 da Lei Geral
de Proteção de Dados Pessoais (LGPD), desde que observado e prevalecente o seu
melhor interesse, a ser avaliado no caso concreto, nos termos do art. 14 da Lei.
Art. 16. O uso compartilhado de dados, quando houver, observará o art. 26 da
LGPD bem como sua comunicação estará sujeita ao que consta no art. 27 da mesma lei.
Art. 17. Quando houver transferência internacional de dados pessoais será
observado o que consta no Capítulo V da LGPD.
CAPÍTULO III
Conscientização, Capacitação e Sensibilização
Art. 18. As pessoas que possuem acesso aos dados pessoais na Fundação
Biblioteca Nacional integrarão os programas de conscientização, capacitação e
sensibilização em matérias de privacidade e proteção de dados pessoais.
I. A conscientização, capacitação e sensibilização em privacidade e proteção
de dados pessoais será adequada aos papéis e responsabilidades das pessoas.
CAPÍTULO IV
Segurança e Boas Práticas
Art. 19. A Fundação Biblioteca Nacional disponibilizará na base de
conhecimento do SEI (Sistema Eletrônico de Informações) documentos que apresentam
condutas e recomendações que melhoram o gerenciamento de risco e que orientam na
tomada de ações adequadas em caso de comprometimento de dados pessoais.
Art. 20. Qualquer ocorrência de incidente de segurança que possa acarretar
risco ou dano relevante aos dados pessoais dos titulares seguirá as regras dispostas na
POSIN e comunicada à Autoridade Nacional de Proteção de Dados (ANPD) dentro do
prazo previsto pela LGPD.
Art. 21. Serão adotadas medidas técnicas e organizacionais de privacidade e
proteção de dados, dispostas a seguir, com o objetivo diminuir ou mitigar a existência
incidentes com os dados pessoais do titular:
I. o acesso aos dados pessoais é limitado as pessoas que realizam o
tratamento.
II. as funções e responsabilidades dos colaboradores envolvidos nos
tratamentos de dados pessoais são claramente estabelecidas e comunicadas;
III. são estabelecidos acordos de confidencialidade, termos de
responsabilidade ou termos de sigilo com operadores de dados pessoais;
IV. todos os dados pessoais são armazenados em ambiente seguro, de modo
que terceiros não autorizados não possam acessá-los.
CAPÍTULO V
Auditoria e Conformidade
Art. 22. O cumprimento desta Política, bem como dos normativos que a
complementarão serão avaliados periodicamente por meio de verificações de
conformidade, buscando a certificação do cumprimento dos requisitos de privacidade e
proteção de dados pessoais e da garantia de cláusula de responsabilidade e sigilo
constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos
congêneres.
Art. 23. As atividades, produtos e serviços desenvolvidos na FBN estarão em
conformidade com requisitos de privacidade e proteção de dados pessoais constantes
de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes.
Art. 24. Os resultados de cada ação de verificação de conformidade serão
documentados em relatório de avaliação de conformidade.
CAPÍTULO VI
Funções e Responsabilidades
Art. 25. Qualquer pessoa natural ou jurídica de direito público ou privado
que tenha interação em qualquer fase do tratamento de dados pessoais garantirá a
privacidade e a proteção de dados pessoais, mesmo após o término do tratamento,
observando as medidas técnicas e administrativas determinadas pela FBN.
Art. 26. Compete ao CGD prover orientação e o patrocínio necessários às
ações de privacidade e proteção de dados pessoais na FBN, de acordo com os objetivos
estratégicos e com as leis e regulamentos pertinentes.
I. assessorar a implementação da proteção de dados pessoais;
II. constituir grupos de trabalho para tratar de temas e propor soluções
específicas sobre proteção de dados pessoais;
III. participar da elaboração da Política de Proteção de Dados Pessoais e das
demais normas internas de privacidade e proteção de dados pessoais, além de propor
atualizações e alterações nestes dispositivos;
IV. incentivar a conscientização, capacitação e sensibilização das pessoas que
desempenham qualquer atividade de tratamento de dados pessoais dentro da FBN.
Art. 27. O Comitê de Governança Digital (CGD) tem a seguinte composição:
I. o (a) coordenador (a) de Segurança da Informação;
II. o encarregado pelo tratamento de dados pessoais;
III. o (a) Diretor (a) Executiva (o);
IV. o (a) coordenador (a) do Centro de Coleções e Serviços ao Leitor;
V. o (a) coordenador (a) da Coordenação-Geral de Planejamento e Administração;
VI. o (a) coordenador (a) do Centro de Processamento e Preservação;
VII. o (a) coordenador (a) do Centro de Cooperação e Difusão;
VIII. o (a) coordenador (a) do Centro de Pesquisa e Editoração.
Parágrafo único. Os suplentes serão os substitutos
Art. 28. A presidência do CGD será exercida pelo titular da Diretoria-Executiva da
FBN.
Art. 29. A responsabilidade pelas decisões relacionadas ao tratamento de dados
pessoais é da FBN que no exercício das atribuições típicas de controlador determina as medidas
necessárias para executar a Política de Proteção de Dados Pessoais dentro de sua estrutura
organizacional.
Art. 30. São atribuições do controlador:
I. observar os fundamentos, princípios da privacidade e proteção de dados pessoais
e os deveres impostos pela LGPD e por normativos correlatos no momento de decidir sobre um
futuro tratamento ou realizá-lo;
II. considerar o preconizado pelos art. 7º, art. 11 e art. 23 antes de realizar o
tratamento de dados pessoais;
III. cumprir o previsto pelos art. 46 e art. 50 da LGPD buscando à proteção de dados
pessoais e sua governança;
IV. indicar um encarregado pelo tratamento de dados pessoais, divulgando a
identidade e as informações de contato do encarregado de forma clara e objetiva, no sítio
institucional.
V. elaborar o inventário de dados pessoais a fim de manter registros das operações
de tratamento de dados pessoais;
VI. reter dados pessoais somente pelo período necessário para o cumprimento da
hipótese legal e finalidade utilizadas como justificativa para o tratamento de dados pessoais;
VII. criar e manter atualizados os avisos ou políticas de privacidade, que informarão
sobre os tratamentos de dados pessoais realizados em cada ambiente físico ou virtual, e como
os dados pessoais neles tratados são protegidos;
VIII. requerer do titular a ciência com o termo de uso para cada serviço ofertado,
informatizado ou não, que trate dados pessoais.
§ 1º É vedado qualquer tratamento de dados pessoais para fins não relacionados
com as atividades desenvolvidas pela organização ou por pessoa não autorizada formalmente
por esta Fundação.
Art. 31. São considerados operadores de dados pessoais as pessoas naturais ou
jurídicas de direito público ou privado, que realizam operações de tratamento de dados
pessoais em nome do controlador.
Parágrafo único. Qualquer fornecedor de produtos ou serviços, que por algum
motivo, realiza o tratamento de dados pessoais a eles confiados, são considerados operadores
e devem seguir as diretrizes estabelecidas nesta política, em especial o capítulo VII.
Art. 32. São atribuições do operador:
I. observar os princípios estabelecidos no Art. 6º da LGPD, ao realizar tratamento de
dados pessoais.
II. seguir as diretrizes estabelecidas pelo controlador;
III. antes de efetuar o tratamento, verificar se as diretrizes estabelecidas pelo
controlador cumprem os requisitos legais presentes nos art. 7º, art. 11 e art. 23 da LGPD;
Parágrafo único. É proibida a decisão unilateral do operador quanto aos meios e
finalidades utilizados para o tratamento de dados pessoais.
Art. 33. São atribuições do encarregado de proteção de dados:
I. receber reclamações e comunicações dos titulares, prestar esclarecimentos e
adotar providências;
II. receber comunicações e requisições da ANPD e adotar providências; e
III. orientar os colaboradores da organização a respeito das práticas a serem
adotadas em relação à proteção de dados pessoais.
CAPÍTULO VII
Contratos, Convênios, Acordos e Instrumentos Congêneres
Art. 34. Os contratos, convênios, acordos e instrumentos similares atualmente em
vigor, que de alguma forma envolvam o tratamento de dados pessoais, incorporarão cláusulas
específicas em total conformidade com a presente Política de Proteção de Dados Pessoais e
que contemplem:
I. requisitos mínimos de segurança da informação.
II. determinação de que o operador não processe os dados pessoais para
finalidades que divergem da finalidade principal informada pelo controlador.
III. requisitos de proteção de dados pessoais que os operadores de dados pessoais
devem atender.
IV. condições sob as quais o operador deve devolver ou descartar com segurança os
dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma
mediante solicitação do controlador
V. diretrizes especificas sobre o uso de subcontratados pelo operador para
execução contratual que envolva tratamento de dados pessoais.
Art. 35. São adotadas medidas rigorosas com o propósito de assegurar que os
terceiros e processadores de dados pessoais contratados estão plenamente em conformidade
com as cláusulas contratuais estabelecidas no momento da celebração do acordo entre as
partes envolvidas.
CAPÍTULO VIII
Penalidades
Art. 36. Ações que violem a Política de Proteção de Dados Pessoais poderão
acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções
administrativas, civis e penais, assegurados aos envolvidos o contraditório e a ampla defesa.
Art. 37. Casos de descumprimento desta Política deverão ser registrados e
comunicados ao CGD para ciência e tomada das providências cabíveis.
CAPÍTULO IX
Disposições Finais
Art. 38. Os integrantes do CGD poderão expedir instruções complementares, no
âmbito de suas competências, que detalharão suas particularidades e procedimentos relativos
à Proteção de Dados Pessoais alinhados às diretrizes desta Política e aos respectivos Planos
Estratégicos Institucionais da FBN.
Art. 39. As dúvidas sobre a Política de Proteção de Dados Pessoais e seus
documentos devem ser submetidas ao CGD ou ao encarregado pelo tratamento de dados
pessoais.
Art. 40. Esta política será revisada sempre que se fizer necessário, não excedendo o
período máximo de 04 anos, a partir do início de sua vigência.
Art. 41. Os casos omissos serão resolvidos pelo CGD.
Art. 42. Esta política entra em vigor na data de sua publicação.
Referências Bibliográficas
BAHIA (Estado). Tribunal Regional do Trabalho da 5ª Região. ATO TRT5 N. 468, de
17 de outubro de 2022. Institui a Política de Privacidade e Proteção de Dados Pessoais do
Tribunal Regional do Trabalho da 5ª Região. Disponível em:
https://www.trt5.jus.br/sites/default/files/cdp/0468-
2022_institui_a_politica_de_privacidade_e_protecao_de_dados_pessoais.pdf. Acesso em: 11
set. 2023.
BRASIL. Autoridade Nacional de Proteção de Dados. Guia Orientativo para
Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Versão 2.0. Abril
de 2022. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-
publicacoes/Segunda_Versao_do_Guia_de_Agentes_de_Tratamento_retificada.pdf. Acesso
em: 14 set. 2023.
BRASIL. Ministério da Economia. Comitê Estratégico de Privacidade e Proteção de
Dados Pessoais. Resolução CEPPDP/ME Nº 7, de 22 de fevereiro de 2022. Aprova a Política de
Proteção de Dados Pessoais no âmbito do Ministério da Economia. Disponível em:
https://www.gov.br/economia/pt-br/acesso-a-informacao/acoes-e-
programas/integra/governanca/comites-tematicos-de-apoio-a-governanca/comite-tematico-
de-protecao-de-dados-pessoais-ceppdp/documentos-ceppdp/resolucoes-ceppdp/resolucao-
no-7-ceppdp-22-02-22. Acesso em: 11 set. 2023.
BRASIL. Ministério da Economia. Portaria ME Nº 4424, de 20 de abril de 2021.
Institui o Comitê Estratégico de Privacidade e Proteção de Dados Pessoais no âmbito do
Ministério da Economia. Disponível em: https://www.gov.br/economia/pt-br/acesso-a-
informacao/acoes-e-programas/integra/gestao-do-conhecimento/legislacoes/portaria-no-4-
424-20-04-2021. Acesso em: 14 set. 2023.
BRASIL. Ministério da Economia. Gabinete do Ministro. Portaria Nº 218, de 19 de
maio de 2020. Institui a Política de Segurança da Informação do Ministério da Economia. Diário
Oficial da União: seção 1, Brasília, DF, p. 21, 20 de maio de 2020. Disponível em:
https://www.in.gov.br/en/web/dou/-/portaria-n-218-de-19-de-maio-de-2020-257605466.
Acesso em: 11 set. 2023.
BRASIL. Presidência da República. Gabinete de Segurança Institucional. Portaria nº
93, de 26 de setembro de 2019. Aprova o Glossário de Segurança da Informação. Diário Oficial
da União: seção 1, Brasília, DF, p. 3, 01 out. 2019. Disponível em:
https://www.in.gov.br/en/web/dou/-/portaria-n-93-de-26-de-setembro-de-2019-
%20219115663. Acesso em: 04 set. 2020.
BRASIL. Presidência da República. Gabinete de Segurança Institucional. Instrução
Normativa nº 01, maio de 2020. Dispõe sobre a Estrutura de Gestão da Segurança da
Informação nos órgãos e nas entidades da administração pública federal. Disponível em:
https://www.gov.br/gsi/pt-br/dsic/legislacao/copy_of_IN01_consolidada.pdf. Acesso em: 11
set. 2020.
BRASIL. Presidência da República. Secretaria-Geral. Subchefia para Assuntos
Jurídicos. Lei nº 13.709, de 14 de agosto de 2018. Dispõe sobre a proteção de dados pessoais e
altera a Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet). Brasília, DF: 14 ago.
2018. Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2015-
2018/2018/Lei/L13709.htm. Acesso em: 11 set. 2023.
BRASIL. Tribunal de Contas da União. Portaria-SEGECEX Nº 26, de 19 de outubro de
2009. Aprova a segunda revisão do Roteiro de Auditoria de Conformidade e altera a sua
denominação para Padrões de Auditoria de Conformidade. Brasília, DF: Boletim do Tribunal de
Contas da União, 2010. Disponível em: https://portal.tcu.gov.br/contas-e-fiscalizacao/controle-
e-fiscalizacao/auditoria/normas-de-fiscalizacao/auditoria-de-conformidade.htm. Acesso em:
18 set. 2023.
COMPANHIA NACIONAL DE ABASTECIMENTO. Política de Proteção de Dados
Pessoais - 10.013. Aprovada pela Resolução Consad n.º 010/2021. 2021. Disponível em:
https://www.conab.gov.br/institucional/normativos/politicas-planos-e-
cartas/item/download/37247_7d884f3edcf4e911cae38ddd842b28fb. Acesso em 11 set 2023.