RESOLUÇÃO CEGOV/INSS Nº 47, DE 21 DE JANEIRO DE 2025 (parte 2 de 2)

XII - promover formações de boas práticas para a proteção de dados; e
XIII - adotar medidas de segurança, técnicas e administrativas, aptas a proteger
os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de
destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado
ou ilícito.
Parágrafo único. É vedado qualquer tratamento de dados pessoais para fins não
relacionados com as atividades desenvolvidas pela organização ou por pessoa não
autorizada formalmente pelo INSS.
Art. 40. Em consonância com o previsto no art. 38 do Regimento Interno,
aprovado pela Portaria PRES/INSS nº 1.678, de 29 de abril de 2024, compete à
Coordenação de Proteção de Dados Pessoais, entre outras atribuições:
I - implementar e avaliar a Política Institucional de Proteção de Dados Pessoais
e da Privacidade, nos termos da legislação vigente;
II - prover orientação relacionada às boas práticas de proteção de dados
pessoais no INSS, de acordo com os objetivos estratégicos e com as leis e regulamentos
pertinentes;
III - propor a constituição de grupos de trabalho para tratar de temas, além de
soluções específicas sobre proteção de dados pessoais;
IV - participar da elaboração de normas internas de privacidade e proteção de
dados pessoais, além de propor atualizações e alterações nestes dispositivos; e
V - incentivar a conscientização, capacitação e sensibilização das pessoas que
desempenham qualquer atividade de tratamento de dados pessoais no âmbito do INSS.
Art. 41. Ao encarregado de dados pessoais compete:
I - receber:
a) reclamações e comunicações dos titulares, prestar esclarecimentos e adotar
providências; e
b) comunicações e requisições da ANPD e adotar providências;
II - orientar os colaboradores da organização a respeito das práticas a serem
adotadas em relação à proteção de dados pessoais; e
III - executar as demais atribuições determinadas pelo controlador ou
estabelecidas em normas complementares.
Parágrafo único. Além das disposições constantes no caput, o encarregado
deverá prestar assistência e orientação ao agente de tratamento, nos casos previstos no art.
16 da Resolução CD/ANPD Nº 18, de 16 de julho de 2024, ou ato que venha a substituí-la.
Art. 42. Observado o disposto no art. 36, cabe ao operador realizar o
tratamento de dados pessoais seguindo as diretrizes estabelecidas e nos moldes definidos
pelo INSS e de forma aderente a esta Política, bem como:
I - realizar o tratamento de dados em nome do controlador;
II - observar os princípios estabelecidos no art. 6º da LGPD, ao realizar
tratamento de dados pessoais;
III - manter registro das operações de tratamento de dados pessoais que
realizarem, especialmente quando baseado no legítimo interesse; e
IV - antes de efetuar o tratamento, verificar se as diretrizes estabelecidas pelo
controlador cumprem os requisitos legais presentes nos arts. 7º, 11 e 23 da LGPD.
Parágrafo único. É proibida a decisão unilateral do operador quanto aos meios
e finalidades utilizados para o tratamento de dados pessoais.
Art. 43. Todas as pessoas, exceto os titulares dos dados pessoais, que atuem
em qualquer fase do ciclo de vida das informações protegidas, utilizadas ou fornecidas pelo
INSS, têm a obrigação de garantir a privacidade e a proteção dos dados, inclusive após o
término do tratamento.
CAPÍTULO XII
Da Segurança e das Boas Práticas
Art. 44. O INSS implementará medidas de segurança técnicas e administrativas,
aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou
ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento
inadequado ou ilícito, nos termos do Capítulo VII da LGPD.
Art. 45. Com o objetivo de reduzir ou mitigar a existência de incidentes com os
dados pessoais do titular, o INSS adotará, no mínimo, as seguintes medidas técnicas e
organizacionais de privacidade e proteção de dados:
I - o acesso aos dados pessoais deverá ser limitado às pessoas que realizam o
tratamento e revisado, periodicamente, de acordo com os critérios estabelecidos em
normativos da instituição, independente da existência de processos automáticos para tanto;
II - as funções e responsabilidades dos colaboradores envolvidos nos
tratamentos de dados pessoais deverão ser claramente estabelecidas e comunicadas;
III - deverão ser estabelecidos acordos de confidencialidade, termos de
responsabilidade ou termos de sigilo com operadores de dados pessoais;
IV - todos os dados pessoais deverão ser mantidos ou armazenados em
ambiente seguro, de modo que terceiros não autorizados não possam acessá-los;
V - as medidas de segurança técnicas e administrativas, para proteção de dados
pessoais, deverão ser observadas desde a fase de concepção do produto ou do serviço até
a sua execução, de acordo com o conceito denominado Privacidade desde a Concepção;
VI - deverão ser planejadas e estabelecidas ações voltadas ao mapeamento e
análise dos processos organizacionais, com intuito de identificar os ativos organizacionais e
as medidas técnicas de segurança a serem implementadas nestes ativos, com vistas a
prover a adequada proteção dos dados pessoais; e
VII - deverá ser mantida uma base de conhecimento com documentos que
apresentem condutas e recomendações que melhorem o gerenciamento de risco e que
orientem na tomada de ações adequadas em caso de comprometimento de dados pessoais.
§ 1º Quanto às medidas ainda não implementadas, deverão ser adotadas as
ações possíveis, como medidas de contingência, para proteger os dados, buscando mitigar
os eventuais riscos.
§ 2º Outras medidas poderão ser adotadas observando-se o contido na Política
de Segurança da Informação do INSS - POSIN-INSS, de que trata a Resolução nº 9
/CEGOV/INSS, de 31 de agosto de 2020, ou outro normativo que possoa vim a substituí-la.
Art. 46. Qualquer ocorrência de incidente de segurança que possa acarretar
risco ou dano relevante aos dados pessoais dos titulares deverá ser comunicada à ANPD,
pelo encarregado de dados pessoais, dentro do prazo previsto pela LGPD.
CAPÍTULO XIII
Da Conscientização, Capacitação e Sensibilização
Art. 47. Os colaboradores que possuem acesso aos dados pessoais no INSS
deverão participar de programas de conscientização, capacitação e sensibilização, em
matérias de privacidade e proteção de dados pessoais, a serem ofertados ou promovidos
pela instituição.
§ 1º A conscientização, capacitação e sensibilização em privacidade e proteção
de dados pessoais deverá ser adequada aos papéis e responsabilidades dos
colaboradores.
§ 2º Os planos de conscientização, capacitação e sensibilização deverão
contemplar a consolidação de material atualizado periodicamente, com instruções e
normas de boas práticas envolvendo segurança da informação, a ser disponibilizado a
todos os colaboradores, além de medidas que visem a internalização da cultura de
proteção de dados pessoais nas unidades do INSS.
§ 3º Os cursos deverão ser destinados a todos os colaboradores, com
abordagem e metodologia que respeite as especificidades e características institucionais.
§ 4º As unidades do INSS deverão ser capacitadas de maneira planejada e com
objetivos específicos, a fim proporcionar maior aderência aos temas a elas direcionados.
CAPÍTULO XIV
Dos Contratos, Convênios, Acordos e Instrumentos Congêneres
Art. 48. Os contratos, convênios, acordos e instrumentos congêneres deverão
ser celebrados prezando pelo respeito aos princípios da finalidade, adequação,
necessidade, transparência, livre acesso, qualidade dos dados, segurança, prevenção, não
discriminação e responsabilização.
Art. 49. Respeitadas as normas e regulamentações conjuntas ou específicas, os
contratos, convênios, acordos e instrumentos congêneres, que de alguma forma envolvam
o tratamento de dados pessoais, deverão incorporar cláusulas específicas em total
conformidade com a presente Política de Proteção de Dados Pessoais e que
contemplem:
I - requisitos:
a) indispensáveis de segurança da informação, observados os padrões operacionais
necessários à luz da POSIN-INSS, ou outro normativo que possa vim a substituí-la; e
b) de proteção de dados pessoais, que os operadores de dados pessoais devem atender;
II - determinação de que o operador não processe os dados pessoais para
finalidades que divergem da finalidade principal informada pelo controlador;
III - dispositivo:
a) para que os dados coletados e seu processamento sejam limitados ao
mínimo necessário para atendimento da finalidade do tratamento;
b) que defina a obrigação do operador de dados pessoais notificar o
controlador em caso de ocorrência de violação de dados pessoais;
c) que defina que os dados pessoais armazenados ou retidos possuam controles
de integridade, permitindo identificar se foram alterados sem permissão;
d) que defina que as operações de processamento realizadas com dados
pessoais sejam registradas de modo a identificar a operação realizada, quem realizou, data
e hora (auditoria de log); e
e) que estipule sanções administrativas pelo descumprimento de cada um dos
requisitos de segurança da informação e de privacidade especificados;
IV - o uso e arquivamento somente pelo tempo necessário para a execução dos
serviços acordados, contratados ou conveniados. E, ao seu fim, a eliminação dos dados
coletados, excetuando-se os que se enquadrarem no disposto no art. 16, inciso I da LGPD;
V - condições sob as quais o operador deve devolver ou descartar com
segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou
de outra forma mediante solicitação do controlador;
VI - diretrizes específicas sobre o uso de subcontratados pelo operador para
execução contratual, que envolva tratamento de dados pessoais; e
VII - quando da transferência ou compartilhamento de dados, dispositivo que deixe
claro que, uma vez transferidos ou compartilhados os dados pessoais, a responsabilidade por
garantir a privacidade e a proteção dos dados recepcionados será do receptor.
Art. 50. O INSS verificará se os terceiros e os processadores de dados pessoais
contratados atendem aos requisitos exigidos pelas cláusulas contratuais estabelecidas, no
momento da celebração do acordo.
Art. 51. Outros requisitos poderão ser verificados no Guia de Requisitos e
Obrigações quanto à Privacidade e Segurança da Informação, da Secretaria de Governo
Digital - SGD, que orienta a adequação do processo de contratação de Soluções de
Tecnologia da Informação e Comunicação - TIC para contemplar os requisitos mais
importantes de privacidade e segurança dos dados.
CAPÍTULO XV
Das Penalidades
Art. 52. Ações que violem a Política de Proteção de Dados Pessoais poderão
acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções
administrativas, civis e penais, assegurados aos envolvidos o contraditório e a ampla defesa.
Art. 53. Casos de descumprimento desta Resolução deverão ser registrados e
comunicados ao superior imediato para ciência e envio ao encarregado de dados pessoais
para tomada de providências cabíveis.
CAPÍTULO XVI
Da Avaliação de Conformidade
Art. 54. O cumprimento desta Política, bem como dos normativos que a
complementam, deverão ser avaliados, periodicamente, por meio de verificações de
conformidade, buscando a certificação do cumprimento dos requisitos de privacidade e
proteção de dados pessoais e da garantia de cláusula de responsabilidade e sigilo
constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos
congêneres.
Art. 55. O INSS atuará no sentido de que as atividades, produtos e serviços por
ele desenvolvidos estejam em conformidade com requisitos de privacidade e proteção de
dados pessoais constantes de leis, regulamentos, resoluções, normas, estatutos e contratos
jurídicos vigentes.
Art. 56. Os resultados de cada ação de verificação de conformidade deverão ser
documentados em relatório de avaliação de conformidade, a ser regulamentado.
CAPÍTULO XVII
Disposições Finais
Art. 57. O INSS poderá expedir instruções complementares, que detalharão suas
particularidades e procedimentos relativos à Proteção de Dados Pessoais alinhados às diretrizes
emanadas por esta Resolução e aos respectivos Planos Estratégicos Institucionais do INSS.
Art. 58. Esta Resolução deverá ser revisada ordinariamente no período de 3
(três) anos, a partir do início de sua vigência, ou, extraordinariamente, sempre que houver
motivação para tanto.
Art. 59. Os casos omissos serão resolvidos pela autoridade máxima da organização.
Art. 60. Esta Resolução entra em vigor na data de sua publicação.
ALESSANDRO ANTONIO STEFANUTTO
Presidente do Instituto
VANDERLEI BARBOSA DOS SANTOS
Diretor de Benefícios e Relacionamento com o Cidadão
DÉBORA APARECIDA ANDRADE FLORIANO
Diretora de Orçamento, Finanças e Logística
ROBERTO CARNEIRO DA SILVA
Diretor de Gestão de Pessoas
ISMÊNIO BEZERRA
Diretor de Governança, Planejamento e Inovação
MARCELO GENU BESERRA
Diretor de Tecnologia da Informação
Substituto