PORTARIA GM/MMA Nº 1.264, DE 26 DE DEZEMBRO DE 2024

PORTARIA GM/MMA Nº 1.264, DE 26 DE DEZEMBRO DE 2024
Institui a Política de Dados Pessoais e Privacidade do
Ministério do Meio Ambiente e Mudança do Clima.
O MINISTRO DE ESTADO DO MEIO AMBIENTE E MUDANÇA DO CLIMA,
SUBSTITUTO, no uso da atribuição que lhe confere o inciso II do parágrafo único do art. 87
da Constituição, tendo em vista o disposto na Lei nº 13.709, de 14 de agosto de 2018, na
Portaria GM/MMA nº 661, de 24 de agosto de 2023, e tendo em vista o que consta do
Processo nº 02000.008858/2023-42, resolve:
CAPÍTULO I
ESCOPO E ABRANGÊNCIA
Art. 1º Fica instituída, no âmbito do Ministério do Meio Ambiente e Mudança
do Clima, a Política de Dados Pessoais e Privacidade, com o objetivo de definir e divulgar
as regras de tratamento de dados pessoais, em consonância com a legislação aplicável.
Parágrafo único. Esta Política tem por objetivo estabelecer diretrizes, princípios
e conceitos a serem seguidos por todas as pessoas e entidades que se relacionam com o
Ministério do Meio Ambiente e Mudança do Clima e se aplica a qualquer operação de
tratamento de dados pessoais realizada pelas unidades que integram a estrutura do
Ministério do Meio Ambiente e Mudança do Clima, nos termos do artigo 3º da Lei nº
13.709, de 14 de agosto de 2018.
Art. 2º As atividades, produtos e serviços desenvolvidos no Ministério do Meio
Ambiente e Mudança do Clima devem estar em conformidade com requisitos de
privacidade e proteção de dados pessoais constantes de leis, regulamentos, resoluções,
normas, estatutos e contratos jurídicos vigentes.
Art. 3º Esta Política de Privacidade e demais normas e procedimentos
complementares que a compõem se aplicam a todas as unidades da estrutura
organizacional do Ministério, aos servidores e, no que couber, aos colaboradores,
fornecedores, prestadores de serviço, contratados e demais pessoas que tenham acesso a
sistemas de informação do Ministério do Meio Ambiente e Mudança do Clima ou realizem
qualquer tipo de tratamento com dados pessoais no âmbito do Ministério do Meio
Ambiente e Mudança do Clima, bem como aos demais usuários dos recursos de tecnologia
da informação, seja em ambientes virtuais ou físicos, abrangendo:
I - todos os ambientes físicos pertencentes ao patrimônio ou sob a custódia do
Ministério do Meio Ambiente e Mudança do Clima;
II - todos os ambientes computacionais, inclusive computação em nuvem, e
ativos de informação pertencentes ou custodiados pelo Ministério do Meio Ambiente e
Mudança do Clima; e
III - todos os contratos, convênios, acordos, termos e outros instrumentos
congêneres celebrados pelo Ministério do Meio Ambiente e Mudança do Clima.
Parágrafo único. Esta Política também se aplica, no que couber, ao
relacionamento do Ministério do Meio Ambiente e Mudança do Clima com outros órgãos
e entidades públicos ou privados.
CAPÍTULO II
DOS CONCEITOS E DEFINIÇÕES
Art. 4º Para os fins desta Portaria, adotam-se os conceitos e definições
constantes do Glossário de Proteção de Dados Pessoais e Privacidade da Autoridade
Nacional de Proteção de Dados.
CAPÍTULO III
DOS PRINCÍPIOS E DIRETRIZES
Art. 5º A aplicação desta Política será pautada pelo dever de boa-fé e pela
observância dos princípios previstos no art. 6º da Lei nº 13.709, de 14 de agosto de 2018,
bem como das seguintes diretrizes:
I - preservação da imagem do Ministério do Meio Ambiente e Mudança do
Clima e de todos os pertencentes ao seu quadro;
II - proteção dos dados pessoais para a garantia do direito individual e coletivo
das pessoas à privacidade;
III - disseminação e adoção das regras de boas práticas visando ao
estabelecimento de uma cultura de segurança da informação e de privacidade;
IV - supervisão e mitigação de riscos, por meio de medidas de segurança,
técnicas e administrativas, aptas a proteger os dados pessoais de acessos não
autorizados;
V - incorporação efetiva desta Política de Privacidade, desde a concepção e por
todo o seu período de vigência, a todos os sistemas e processos em elaboração e execução
no Ministério do Meio Ambiente e Mudança do Clima;
VI - cooperação entre órgãos e unidades;
VII - estabelecimento de acordos de confidencialidade, termos de
responsabilidade ou termos de sigilo com operadores de dados pessoais;
VIII - armazenamento de dados pessoais em ambiente seguro, de modo que
terceiros não autorizados não possam acessá-los;
IX - alinhamento das ações de privacidade do Ministério do Meio Ambiente e
Mudança do Clima à Política de Continuidade de Negócios do órgão;
X - estabelecimento de relação de confiança com os titulares e eventuais
destinatários dos dados tratados; e
XI - classificação das informações produzidas e custodiadas pelo Controlador de
maneira a permitir o tratamento diferenciado, considerando o grau de importância, a
criticidade, a sensibilidade e os requisitos legais, utilizando critérios definidos e observando
o interesse público na informação.
Parágrafo único. Os sistemas antigos e já em funcionamento no Ministério do
Meio Ambiente e Mudança do Clima seguirão um cronograma de adaptação e migração a
ser elaborado pelas áreas responsáveis pelos sistemas, com o auxílio da Coordenação-Geral
de Tecnologia da Informação, sob orientação e supervisão do Encarregado de Dados,
visando ao atendimento do disposto no inciso V do caput.
Art. 6º Cada sistema e aplicativo do Ministério do Meio Ambiente e Mudança
do Clima que realize o tratamento de dados pessoais manterá, de forma complementar à
presente Política:
I - registro das operações de tratamento de dados pessoais;
II - aviso de privacidade; e
III - termos de uso e de consentimento.
Parágrafo Único. O Ministério do Meio Ambiente e Mudança do Clima poderá
utilizar arquivos (cookies) para registrar e gravar no computador do usuário as preferencias
e navegações realizadas nas respectivas páginas para fins estatísticos e de melhoria dos
serviços ofertados, respeitando o consentimento do titular.
Art. 7º Qualquer pessoa no âmbito do Ministério do Meio Ambiente e Mudança
do Clima que tenha conhecimento ou acesso à informação ou dado pessoal deverá manter
sigilo até a sua divulgação formal às partes interessadas ou quando houver alteração de
sua classificação para público, conforme legislação pertinente.
CAPÍTULO IV
DOS OBJETIVOS E DA TRANSPARÊNCIA
Seção I
Dos objetivos
Art. 8º A Política de Privacidade do Ministério do Meio Ambiente e Mudança do
Clima tem como objetivos:
I - estabelecer diretrizes estratégicas que orientem e apoiem as ações
institucionais em privacidade, com o intuito de preservar, em qualquer meio, a
confidencialidade, a integridade, a disponibilidade e a autenticidade dos dados,
informações e conhecimentos produzidos ou custodiados pelo Ministério do Meio
Ambiente e Mudança do Clima, enquanto houver a sua retenção;
II - promover práticas de privacidade, compatíveis com o uso aceitável das
informações e dos ativos que as suportam, de forma a minimizar riscos e criar um
ambiente seguro para a realização das atividades do órgão;
III - promover o alinhamento das diretrizes de privacidade com os objetivos e
estratégias do órgão; e
IV - garantir que os riscos cibernéticos e de privacidade sejam adequadamente
identificados e mitigados.
Art. 9º O tratamento de dados pessoais pelo Ministério do Meio Ambiente e
Mudança do Clima é realizado para o atendimento de sua finalidade pública e na
persecução do interesse público, com o objetivo de executar suas atribuições legais.
Seção II
Da transparência
Art. 10. O Ministério do Meio Ambiente e Mudança do Clima deve manter
registro das operações de tratamento de dados pessoais que realizar, por meio do
preenchimento do Inventário de Dados Pessoais - IDP.
Art. 11. A partir das informações presentes no Inventário de Dados Pessoais -
IDP, deverá ser elaborado o Relatório de Impacto de Proteção de Dados Pessoais - RIPD,
e atualizá-lo quando necessário.
Parágrafo único. O Relatório de Impacto de Proteção de Dados Pessoais - RIPD
é a documentação que contém a descrição dos processos de tratamento de dados pessoais
que podem gerar alto risco à garantia dos princípios gerais de proteção de dados pessoais
previstos e às liberdades civis e aos direitos fundamentais do titular de dados previsto pela
Lei nº 13.709, de 14 de agosto de 2018.
Art. 12. O Ministério do Meio Ambiente e Mudança do Clima deverá
desenvolver e manter atualizados os Termos de Uso e Avisos de Privacidade, que
fornecerão informações sobre o processamento de dados pessoais em cada ambiente físico
ou virtual, bem como detalhar as medidas de proteção de dados adotadas para
salvaguardar esses dados pessoais.
CAPÍTULO V
DOS REQUERIMENTOS
Art. 13. As manifestações decorrentes do exercício dos direitos dos titulares de
dados pessoais a que se refere a Lei nº 13.709, de 14 de agosto de 2018, serão apresentadas
por meio da Plataforma Integrada de Ouvidoria e Acesso à Informação - Fala.Br.
§ 1º Os requerimentos de titulares previstos no art. 18, caput, incisos I, II, VII
e VIII da Lei nº 13.709, de 14 de agosto de 2018 serão registrados como pedidos de acesso
à informação, e tratados nos procedimentos e prazos da Lei nº 12.527, de 18 de novembro
de 2011.
§ 2º Os requerimentos de titulares previstos no art. 18, caput, incisos III, IV, V,
VI e IX da Lei nº 13.709, de 14 de agosto de 2018, serão registrados como manifestação
de ouvidoria do tipo solicitação e tratados nos procedimentos e prazos da Lei nº 13.460,
de 26 de junho de 2017.
Art. 14. O requerimento deverá apresentar elementos capazes de identificar a
pessoa do interessado ou de quem o represente, conforme disposto no artigo 6º da Lei nº
9.784, de 29 de janeiro de 1999.
Art. 15. Será exigida a certificação de identidade, que ocorrerá:
I - virtualmente, caso o manifestante possua autenticação por meio do "login
único" de acesso "gov.br" ou outro meio de certificação digital; ou
II - presencialmente, por meio de conferência de documento físico apresentado
pelo manifestante junto à unidade de Ouvidoria.
Parágrafo único. Os requerimentos apresentados de forma virtual, por meio do
"login único" de acesso "gov.br", deverão apresentar, no mínimo, o selo de segurança
prata.
Art. 16. Excepcionalmente, poderão ser adotados meios alternativos de
certificação de identidade via cotejamento das informações inseridas em seu cadastro com
informações disponíveis em outras fontes constantes de bases públicas.
CAPÍTULO VI
DA CONSCIENTIZAÇÃO, CAPACITAÇÃO E SENSIBILIZAÇÃO
Art. 17. As pessoas que possuem acesso aos dados pessoais no Ministério do
Meio Ambiente e Mudança do Clima devem fazer parte de programas de conscientização,
capacitação e sensibilização em matérias de privacidade e proteção de dados pessoais.
Parágrafo único. A conscientização, capacitação e sensibilização em privacidade
e proteção de dados pessoais deve ser adequada aos papéis e responsabilidades das
pessoas.
Art. 18. Os membros do Comitê Gestor de Proteção de Dados Pessoais - CGPD
atuarão como pontos focais em matéria de proteção de dados pessoais e privacidade em
suas respectivas unidades administrativas.
Art. 19. Compete aos membros do Comitê Gestor de Proteção de Dados
Pessoais - CGPD apoiar o Encarregado na adequada aplicação da Lei Geral de Proteção de
Dados Pessoais, no âmbito de suas respectivas unidades administrativas, cabendo-lhes,
dentre outras atribuições que se fizerem necessárias:
I - receber e encaminhar ao Encarregado os requerimentos de titulares
previstos na Lei nº 13.709, de 14 de agosto de 2018;
II - disseminar as orientações relativas à Lei nº 13.709, de 14 de agosto de 2018; e
III - reportar ao Encarregado eventuais dúvidas ou problemas relacionados à Lei
nº 13.709, de 14 de agosto de 2018.
CAPÍTULO VII
DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS
Art. 20. A responsabilidade pelas decisões relacionadas ao tratamento de dados
pessoais é do Ministério do Meio Ambiente e Mudança do Clima que, no exercício das
atribuições típicas de controlador, determina as medidas necessárias para executar a
Política de Proteção de Dados Pessoais dentro de sua estrutura organizacional.
Art. 21. São atribuições do controlador:
I - observar os fundamentos, princípios da privacidade e proteção de dados
pessoais e os deveres impostos pela Lei Geral de Proteção de Dados Pessoais - LGPD e por
normativos correlatos no momento de decidir sobre um futuro tratamento ou realizá-lo;
II - considerar o preconizado pelos art. 7º, art. 11 e art. 23 da Lei nº 13.709, de
14 de agosto de 2018 antes de realizar o tratamento de dados pessoais;
III - cumprir o previsto pelos art. 46 e art. 50 da Lei nº 13.709, de 14 de agosto
de 2018 buscando à proteção de dados pessoais e sua governança;
IV - indicar um encarregado pelo tratamento de dados pessoais, divulgando a
identidade e as informações de contato do encarregado de forma clara e objetiva,
preferencialmente no sítio institucional;
V - elaborar o Inventário de Dados Pessoais - IDP a fim de manter registros das
operações de tratamento de dados pessoais;
VI - reter dados pessoais somente pelo período necessário para o cumprimento
da hipótese legal e finalidade utilizadas como justificativa para o tratamento de dados
pessoais;
VII - criar e manter atualizados os avisos ou políticas de privacidade, que
informarão sobre os tratamentos de dados pessoais realizados em cada ambiente físico ou
virtual, e como os dados pessoais neles tratados são protegidos; e
VIII - requerer do titular a ciência com o termo de uso para cada serviço
ofertado, informatizado ou não, que trate dados pessoais.
Parágrafo único. É vedado qualquer tratamento de dados pessoais para fins não
relacionados com as atividades desenvolvidas pela organização ou por pessoa não
autorizada formalmente pelo Ministério do Meio Ambiente e Mudança do Clima.
Art. 22. São considerados operadores de dados pessoais as pessoas naturais ou
jurídicas de direito público ou privado, que realizam operações de tratamento de dados
pessoais em nome do controlador.
Parágrafo único. Fornecedores de produtos ou serviços que, por algum motivo,
realizem o tratamento de dados pessoais a eles confiados, são considerados operadores e
devem seguir as diretrizes estabelecidas nesta política, em especial o capítulo VII.
Art. 23. São atribuições do operador:
I - observar os princípios estabelecidos no Art. 6º da Lei nº 13.709, de 14 de
agosto de 2018, ao realizar tratamento de dados pessoais;
II - seguir as diretrizes estabelecidas pelo controlador; e
III - antes de efetuar o tratamento, verificar se as diretrizes estabelecidas pelo
controlador cumprem os requisitos legais presentes nos art. 7º, art. 11 e art. 23 da Lei nº
13.709, de 14 de agosto de 2018.
Parágrafo único. É proibida a decisão unilateral do operador quanto aos meios
e finalidades utilizados para o tratamento de dados pessoais.
Art. 24. São atribuições do Encarregado pelo Tratamento de Dados Pessoais:
I - receber reclamações e comunicações dos titulares, prestar esclarecimentos e
adotar providências;
II - receber comunicações e requisições da Autoridade Nacional de Proteção de
Dados - ANPD e adotar providências;
III - orientar os colaboradores da organização a respeito das práticas a serem
adotadas em relação à proteção de dados pessoais;
IV - executar as demais atribuições determinadas pelo Controlador ou
estabelecidas em normas complementares;
V - emitir parecer sobre temas suscitados pelas áreas técnicas do Ministério do
Meio Ambiente e Mudança do Clima e relacionados à proteção de dados pessoais;
VI - direcionar as iniciativas de privacidade por toda a organização, além de
garantir que a alta gestão do Ministério do Meio Ambiente e Mudança do Clima receba
informação relevante, permitindo a tomada de decisões pertinentes e oportunas, em apoio
aos objetivos estratégicos do órgão; e
VII - presidir o Comitê Gestor de Proteção de Dados Pessoais - CGPD.
CAPÍTULO VIII
ASPECTOS DE SEGURANÇA E PRIVACIDADE
Art. 25. Deverá ser realizado o tratamento de dados pessoais sensíveis somente
nos termos da Seção II do Capítulo II da LGPD e devem ser estabelecidos procedimentos
de segurança no tratamento destes dados conforme a Lei Geral de Proteção de Dados
Pessoais - LGPD e demais normativos.
Art. 26. O tratamento de dados pessoais de crianças e adolescentes deve estar
em conformidade com o disposto no Capítulo II, Seção III, da Lei nº 13.709, de 14 de
agosto de 2018.
Parágrafo único. O tratamento de dados pessoais de que trata o caput deste
artigo, poderá ser realizado com base nas hipóteses previstas no art. 7º ou no art. 11 da
Lei nº 13.709, de 14 de agosto de 2018, desde que observado e com prevalência do
melhor interesse, a ser avaliado no caso concreto, em conformidade com o art. 14 da Lei
nº 13.709, de 14 de agosto de 2018.
Art. 27. O uso compartilhado de dados deverá observar o art. 26 da Lei nº
13.709, de 14 de agosto de 2018, bem como sua comunicação estará sujeita ao que consta
no art. 27 da mesma lei.
Art. 28. No caso de transferência internacional de dados pessoais, deverá ser
observado o que consta no Capítulo V da Lei nº 13.709, de 14 de agosto de 2018.
Art. 29. Deverão ser realizadas cópias de segurança dos logs pelos operadores,
sempre que tecnicamente possível, de acordo com o estabelecido na Política de Segurança
da Informação - POSIN.
Art. 30. O órgão, por meio dos gestores dos sistemas em uso no Ministério do
Meio Ambiente e Mudança do Clima, deverá realizar uma análise periódica sobre os dados
coletados, verificando se eles continuam limitados ao mínimo necessário para o
atendimento da finalidade para a qual foram coletados.
CAPÍTULO IX
TRATAMENTO E RESPOSTAS A INCIDENTES
Art. 31. Qualquer ocorrência de incidente de segurança que possa acarretar
risco ou dano relevante aos dados pessoais dos titulares deve ser comunicada a Autoridade
Nacional de Proteção de Dados - ANPD, pelo Controlador e sob a orientação e assistência
do Encarregado pelo Tratamento de Dados Pessoais do Ministério do Meio Ambiente e
Mudança do Clima, conforme regulamentação específica.
CAPÍTULO X
DAS CONTRATAÇÕES E INSTRUMENTOS CONGÊNERES
Art. 32. Os contratos, convênios, acordos e instrumentos similares atualmente
em vigor, que de alguma forma envolvam o tratamento de dados pessoais, devem
incorporar cláusulas específicas em total conformidade com a presente Política de Proteção
de Dados Pessoais e que contemplem:
I - requisitos mínimos de segurança da informação;
II - determinação de que o operador não processe os dados pessoais para
finalidades que divergem da finalidade principal informada pelo controlador;
III - requisitos de proteção de dados pessoais que os operadores de dados
pessoais devem atender;
IV - condições sob as quais o operador deve devolver ou descartar com
segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou
de outra forma mediante solicitação do controlador; e
V - diretrizes específicas sobre o uso de subcontratados pelo operador para
execução contratual que envolva tratamento de dados pessoais.
Art. 33. O acesso a dados custodiados deve ser regido pelos instrumentos
contratuais firmados entre o Ministério do Meio Ambiente e Mudança do Clima e os
contratados, sem prejuízo do disposto na legislação vigente.
Art. 34. As contratações que envolvam a utilização de computação em nuvem
devem conter cláusulas que estabeleçam a territorialidade de dados, garantam
interoperabilidade, transferência e migração dos dados após seu encerramento.
Art. 35. Serão adotadas medidas rigorosas com o propósito de assegurar que os
terceiros e processadores de dados pessoais contratados estejam plenamente em
conformidade com as cláusulas contratuais estabelecidas no momento da celebração do
acordo entre as partes envolvidas.
CAPÍTULO XI
AUDITORIA E CONFORMIDADE
Art. 36. O cumprimento desta Política, bem como dos normativos que a
complementam, deve ser avaliado periodicamente por meio de verificações de
conformidade, buscando a certificação do cumprimento dos requisitos de privacidade e
proteção de dados pessoais e da garantia de cláusula de responsabilidade e sigilo
constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos
congêneres.
Art. 37. Os resultados de cada ação de verificação de conformidade devem ser
documentados em relatório de avaliação de conformidade.
CAPÍTULO XII
DISPOSIÇÕES FINAIS
Art. 38. O Comitê Gestor de Proteção de Dados Pessoais - CGPD do Ministério
do Meio Ambiente e Mudança do Clima, instituído por meio da Portaria MMA nº 661, de
24 de agosto de 2023, é a instância colegiada de apoio ao desenvolvimento das disposições
contidas nesta Política de Dados Pessoais e Privacidade e que possui a responsabilidade
por gerenciar a implementação da Lei nº 13.709, de 14 de agosto de 2018 dentro da
organização.
Parágrafo único. Os casos omissos, as situações especiais e as demais diretrizes
necessárias à implantação desta Política devem ser apreciadas pelo Comitê Gestor de
Proteção de Dados Pessoais - CGPD, ou autoridade máxima do órgão.
Art. 39. O Comitê Gestor de Proteção de Dados Pessoais - CGPD revisará
periodicamente, ou quando necessário, esta Política de Dados Pessoais e Privacidade, em
um intervalo não superior a dois anos, em ciclos coincidentes e em consonância com a
revisão do Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC.
Art. 40. Esta Portaria entra em vigor na data de sua publicação.
JOÃO PAULO RIBEIRO CAPOBIANCO