PORTARIA MPA Nº 593, DE 9 DE DEZEMBRO DE 2025

PORTARIA MPA Nº 593, DE 9 DE DEZEMBRO DE 2025
Estabelece, no âmbito do Ministério da Pesca e
Aquicultura, o processo de comunicação à
Autoridade Nacional de Proteção de Dados e aos
titulares de dados da ocorrência de incidentes de
segurança que possam acarretar risco ou dano
relevante aos titulares.
O MINISTRO DE ESTADO DA PESCA E AQUICULTURA, no uso das atribuições
que lhe confere o art. 87, parágrafo único, inciso II, da Constituição, e em vista do
disposto no art. 48 da Lei nº 13.709, de 14 de agosto de 2018, e no Decreto nº
11.624, de 1º de agosto de 2023, resolve:
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1º Fica estabelecido, no âmbito do Ministério da Pesca e Aquicultura,
o processo de comunicação à Autoridade Nacional de Proteção de Dados e aos
titulares de dados da ocorrência de incidentes de segurança que possam acarretar risco
ou dano relevante aos titulares, nos termos do art. 48 da Lei nº 13.709, de 14 de
agosto de 2018.
Art. 2º Considera-se incidente de segurança qualquer evento adverso
confirmado, relacionado à violação das propriedades de confidencialidade, integridade,
disponibilidade e autenticidade da segurança de dados pessoais.
§ 1º O incidente de segurança que possa afetar significativamente interesses
e direitos fundamentais será caracterizado, dentre outras situações, nos casos em
que:
I - a atividade de tratamento puder impedir o exercício de direitos ou a
utilização de um serviço; e
II - ocasionar danos materiais ou morais aos titulares, tais como:
a) discriminação;
b) violação à integridade física, ao direito à imagem e à reputação;
c) fraudes financeiras; ou
d) roubo de identidade.
§ 2º Considera-se incidente com dados em larga escala aquele que abranger
número significativo de titulares, considerando:
I - o volume de dados envolvidos;
II - a duração;
III - a frequência; e
IV - a extensão geográfica de localização dos titulares.
Art. 3º Qualquer servidor efetivo ou comissionado, contratado temporário,
terceirizado, estagiário e colaborador, com exercício em órgão ou unidade integrante
da estrutura organizacional do Ministério da Pesca e Aquicultura, que tomar
conhecimento da ocorrência de incidente de segurança deverá comunicar o evento ao
respectivo dirigente do órgão ou unidade.
Parágrafo único. O dirigente do órgão ou unidade deverá comunicar o
incidente de segurança ao Encarregado pelo Tratamento de Dados Pessoais designado
no âmbito do Ministério da Pesca e Aquicultura.
CAPÍTULO II
COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA
Seção I
Critérios para Comunicação de Incidente de Segurança
Art. 4º O Encarregado pelo Tratamento de Dados Pessoais deverá comunicar
à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de
segurança que possa acarretar risco ou dano relevante aos titulares.
Art. 5º Considera-se que um incidente de segurança pode acarretar risco ou
dano relevante aos titulares quando puder afetar significativamente seus interesses e
direitos fundamentais e, cumulativamente, envolver, pelo menos, um dos seguintes
critérios:
I - dados pessoais sensíveis;
II - dados de crianças, de adolescentes ou de idosos;
III - dados financeiros;
IV - dados de autenticação em sistemas;
V - dados protegidos por sigilo legal, judicial ou profissional; ou
VI - dados em larga escala.
Seção II
Comunicação de Incidente de Segurança à Autoridade Nacional de Proteção
de Dados
Art. 6º A comunicação de incidente de segurança à Autoridade Nacional de
Proteção de Dados deverá ser realizada por meio do Encarregado pelo Tratamento de
Dados Pessoais no prazo de três dias úteis, ressalvada a existência de prazo para
comunicação previsto em legislação específica.
§ 1º O prazo previsto no caput conta-se da ciência, pelo Encarregado, de
que o incidente envolveu dados pessoais.
§ 2º A comunicação de incidente de segurança deverá conter as seguintes
informações:
I - a descrição da natureza e da categoria de dados pessoais afetados;
II - o número de titulares afetados, discriminando, quando aplicável, o
número de crianças, de adolescentes ou de idosos;
III - as medidas técnicas e de segurança utilizadas para a proteção dos
dados pessoais, adotadas antes e após o incidente, observados os segredos comercial
e industrial;
IV - os riscos relacionados ao incidente com identificação dos possíveis
impactos aos titulares;
V - os motivos da demora, no caso de a comunicação não ter sido realizada
no prazo previsto no caput deste artigo;
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar
os efeitos do incidente sobre os titulares;
VII - a data da ocorrência do incidente, quando possível determiná-la, e a
de seu conhecimento pelo Encarregado pelo Tratamento de Dados Pessoais;
VIII - os dados do Encarregado pelo Tratamento de Dados Pessoais;
IX - a identificação do Ministério da Pesca e Aquicultura;
X - a identificação do operador, quando aplicável;
XI - descrição sucinta do incidente, incluída a causa principal, se
identificada; e
XII - o total de titulares cujos dados são tratados nas atividades de
tratamento afetadas pelo incidente.
§ 3º As informações podem ser complementadas, de maneira
fundamentada, no prazo de vinte dias úteis, a contar da data da comunicação.
§ 4º A comunicação deverá ser realizada por meio de formulário eletrônico
e de canal específico, conforme orientação publicada no sítio eletrônico da Autoridade
Nacional de Proteção de Dados.
Seção III
Comunicação de Incidente de Segurança ao Titular
Art. 7º A comunicação de incidente de segurança ao titular deverá ser
realizada por meio do Encarregado pelo Tratamento de Dados Pessoais no prazo de
três dias úteis contados do conhecimento do Encarregado de que o incidente afetou
dados pessoais, e deverá conter as seguintes informações:
I - a descrição da natureza e da categoria de dados pessoais afetados;
II - as medidas técnicas e de segurança utilizadas para a proteção dos
dados, observados os segredos comercial e industrial;
III - os riscos relacionados ao incidente com identificação dos possíveis
impactos aos titulares;
IV - os motivos da demora, no caso de a comunicação não ter sido feita no
prazo do caput deste artigo;
V - as medidas que foram ou que serão adotadas para reverter ou mitigar
os efeitos do incidente, quando cabíveis;
VI - a data do conhecimento do incidente de segurança; e
VII - o contato para obtenção de informações e, quando aplicável, os dados
de contato do Encarregado pelo Tratamento de Dados Pessoais.
§ 1º A comunicação do incidente aos titulares de dados deverá atender aos
seguintes critérios:
I - fazer uso de linguagem simples e de fácil entendimento; e
II - ocorrer de forma direta e individualizada, caso seja possível identificá-
los.
§ 2º Considera-se comunicação de forma direta e individualizada aquela
realizada pelos meios usualmente utilizados pelo Ministério da Pesca e Aquicultura
para contatar o titular, tais como telefone, e-mail, mensagem eletrônica ou carta.
§ 3º Caso a comunicação direta e individualizada mostre-se inviável ou não
seja possível identificar, parcial ou integralmente, os titulares afetados, o Encarregado
pelo Tratamento de Dados Pessoais deverá comunicar a ocorrência do incidente, no
prazo e com as informações definidas no caput, pelos meios de divulgação disponíveis,
tais como seu sítio eletrônico, aplicativos, suas mídias sociais e canais de atendimento
ao titular, de modo que a comunicação permita o conhecimento amplo, com direta e
fácil visualização, pelo período de, no mínimo, três meses.
§ 4º O Encarregado pelo Tratamento de Dados Pessoais deverá juntar ao
processo de comunicação de incidente uma declaração de que foi realizada a
comunicação aos titulares, constando os meios de comunicação ou divulgação
utilizados, em até três dias úteis, contados do término do prazo de que trata o caput
deste artigo.
CAPÍTULO III
REGISTRO DO INCIDENTE DE SEGURANÇA
Art. 8º O Encarregado pelo Tratamento de Dados Pessoais efetuará o
registro do incidente de segurança e o Ministério da Pesca e Aquicultura deverá
manter o registro do incidente de segurança, inclusive daquele não comunicado à
Autoridade Nacional de Proteção de Dados e aos titulares, pelo prazo mínimo de cinco
anos, contado a partir da data do registro, exceto se constatadas obrigações adicionais
que demandem maior prazo de manutenção.
Parágrafo único. O registro do incidente deverá conter, no mínimo:
I - a data de conhecimento do incidente;
II - a descrição geral das circunstâncias em que o incidente ocorreu;
III - a natureza e a categoria de dados afetados;
IV - o número de titulares afetados;
V - a avaliação do risco e os possíveis danos aos titulares;
VI - as medidas de correção e mitigação dos efeitos do incidente, quando
aplicável;
VII - a forma e o conteúdo da comunicação, se o incidente tiver sido
comunicado à Autoridade Nacional de Proteção de Dados e aos titulares; e
VIII - os motivos da ausência de comunicação, quando for o caso.
CAPÍTULO IV
DISPOSIÇÕES FINAIS
Art. 9º O Encarregado pelo Tratamento de Dados Pessoais deverá adotar as
providências necessárias, no âmbito dos órgãos e unidades integrantes da estrutura
organizacional do Ministério da Pesca e Aquicultura, a fim de atender às demandas da
Autoridade Nacional de Proteção de Dados.
Parágrafo único. Os órgãos e unidades integrantes da estrutura
organizacional do Ministério da Pesca e Aquicultura deverão atender, com prioridade,
as demandas do Encarregado pelo Tratamento de Dados Pessoais relacionadas a
incidentes de segurança.
Art. 10. Além das diretrizes estabelecidas nesta Portaria, o Encarregado pelo
Tratamento de Dados Pessoais deverá observar o Regulamento de Comunicação de
Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de
2024, do Conselho Diretor da Autoridade Nacional de Proteção de Dados, bem como
outras orientações expedidas com o objetivo de auxiliar na avaliação do incidente de
segurança que possa acarretar risco ou dano relevante aos titulares.
Art. 11. O Encarregado pelo Tratamento de Dados Pessoais deverá manter
a Secretaria-Executiva informada das providências e conclusões relacionadas aos
incidentes de segurança ocorridos no âmbito do Ministério da Pesca e Aquicultura.
Art. 12. Esta Portaria entra em vigor na data da sua publicação.
ANDRÉ DE PAULA