PORTARIA FUNAG Nº 97, DE 17 DE DEZEMBRO DE 2025

PORTARIA FUNAG Nº 97, DE 17 DE DEZEMBRO DE 2025
Estabelece, no âmbito da Fundação Alexandre de
Gusmão, o processo de comunicação à Autoridade
Nacional de Proteção de Dados e aos titulares de dados
da ocorrência de incidentes de segurança que possam
acarretar risco ou dano relevante aos titulares.
O PRESIDENTE DA FUNDAÇÃO ALEXANDRE DE GUSMÃO - FUNAG, no uso das
atribuições que lhe confere inciso V do artigo 15 do anexo I do Decreto nº 10.943, de 24 de
janeiro de 2022, e em atendimento ao disposto na Lei nº 13.709, de 14 de agosto de 2018, na
Resolução CD/ANPD nº 15, de 24 de abril de 2024 e o constante dos autos do processo nº
09100.000340/2025-43, resolve:
CAPÍTULO I
DISPOSIÇÕES PRELIMINARES
Art. 1º Fica estabelecido, no âmbito da Fundação Alexandre de Gusmão - FUNAG,
o processo de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares de
dados da ocorrência de incidentes de segurança que possam acarretar risco ou dano
relevante aos titulares, nos termos do art. 48 da Lei nº 13.709, de 14 de agosto de 2018.
Art. 2º Considera-se incidente de segurança qualquer evento adverso confirmado,
relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e
autenticidade da segurança de dados pessoais.
§ 1º O incidente de segurança que possa afetar significativamente interesses e
direitos fundamentais será caracterizado, dentre outras situações, nos casos em que:
I - a atividade de tratamento puder impedir o exercício de direitos ou a utilização de
um serviço; e
II - ocasionar danos materiais ou morais aos titulares, tais como:
a) discriminação;
b) violação à integridade física, ao direito à imagem e à reputação;
c) fraudes financeiras; ou
d) roubo de identidade.
§ 2º Considera-se incidente com dados em larga escala aquele que abranger
número significativo de titulares, considerando:
I - o volume de dados envolvidos;
II - a duração;
III - a frequência; e
IV - a extensão geográfica de localização dos titulares.
Art. 3º Qualquer servidor efetivo ou comissionado, contratado temporário,
terceirizado, estagiário e colaborador, em exercício na FUNAG, que tomar conhecimento da
ocorrência de incidente de segurança deverá comunicar o evento ao Coordenador-Geral de
Administração, Orçamento e Finanças.
Parágrafo único. O Coordenador-Geral de Administração, Orçamento e Finanças
deverá comunicar o incidente de segurança ao Encarregado pelo Tratamento de Dados
Pessoais designado no âmbito da FUNAG.
CAPÍTULO II
COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA
Seção I
Critérios para Comunicação de Incidente de Segurança
Art. 4º O Encarregado pelo Tratamento de Dados Pessoais deverá comunicar à
Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de segurança
que possa acarretar risco ou dano relevante aos titulares.
Art. 5º Considera-se que um incidente de segurança pode acarretar risco ou dano
relevante aos titulares quando puder afetar significativamente seus interesses e direitos
fundamentais e, cumulativamente, envolver, pelo menos, um dos seguintes critérios:
I - dados pessoais sensíveis;
II - dados de crianças, de adolescentes ou de idosos;
III - dados financeiros;
IV - dados de autenticação em sistemas;
V - dados protegidos por sigilo legal, judicial ou profissional; ou
VI - dados em larga escala
Seção II
Comunicação de Incidente de Segurança à Autoridade Nacional de Proteção de Dados
Art. 6º A comunicação de incidente de segurança à Autoridade Nacional de
Proteção de Dados deverá ser realizada por meio do Encarregado pelo Tratamento de Dados
Pessoais no prazo de três dias úteis, ressalvada a existência de prazo para comunicação
previsto em legislação específica.
§ 1º O prazo previsto no caput conta-se da ciência, pelo Encarregado, de que o
incidente envolveu dados pessoais.
§ 2º A comunicação de incidente de segurança deverá conter as seguintes
informações:
I - a descrição da natureza e da categoria de dados pessoais afetados;
II - o número de titulares afetados, discriminando, quando aplicável, o número de
crianças, de adolescentes ou de idosos;
III - as medidas técnicas e de segurança utilizadas para a proteção dos dados
pessoais, adotadas antes e após o incidente, observados os segredos comercial e industrial;
IV - os riscos relacionados ao incidente com identificação dos possíveis impactos
aos titulares;
V - os motivos da demora, no caso de a comunicação não ter sido realizada no
prazo previsto no caput deste artigo;
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os
efeitos do incidente sobre os titulares;
VII - a data da ocorrência do incidente, quando possível determiná-la, e a de seu
conhecimento pelo Encarregado pelo Tratamento de Dados Pessoais;
VIII - os dados do Encarregado pelo Tratamento de Dados Pessoais;
IX - a identificação da Fundação Alexandre de Gusmão;
X - a identificação do operador, quando aplicável;
XI - descrição sucinta do incidente, incluída a causa principal, se identificada; e
XII - o total de titulares cujos dados são tratados nas atividades de tratamento
afetadas pelo incidente.
§ 3º As informações podem ser complementadas, de maneira fundamentada, no
prazo de vinte dias úteis, a contar da data da comunicação.
§ 4º A comunicação deverá ser realizada por meio de formulário eletrônico e de
canal específico, conforme orientação publicada no sítio eletrônico da Autoridade Nacional de
Proteção de Dados.
Seção III
Comunicação de Incidente de Segurança ao Titular
Art. 7º A comunicação de incidente de segurança ao titular deverá ser realizada por
meio do Encarregado pelo Tratamento de Dados Pessoais no prazo de três dias úteis contados
do conhecimento do Encarregado de que o incidente afetou dados pessoais, e deverá conter as
seguintes informações:
I - a descrição da natureza e da categoria de dados pessoais afetados;
II - as medidas técnicas e de segurança utilizadas para a proteção dos dados,
observados os segredos comercial e industrial;
III - os riscos relacionados ao incidente com identificação dos possíveis impactos
aos titulares;
IV - os motivos da demora, no caso de a comunicação não ter sido feita no prazo do
caput deste artigo;
V - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos
do incidente, quando cabíveis;
VI - a data do conhecimento do incidente de segurança; e
VII - o contato para obtenção de informações e, quando aplicável, os dados de
contato do Encarregado pelo Tratamento de Dados Pessoais.
§ 1º A comunicação do incidente aos titulares de dados deverá atender aos
seguintes critérios:
I - fazer uso de linguagem simples e de fácil entendimento; e
II - ocorrer de forma direta e individualizada, caso seja possível identificá-los.
§ 2º Considera-se comunicação de forma direta e individualizada aquela realizada
pelos meios usualmente utilizados pela FUNAG para contatar o titular, tais como telefone, e-
mail, mensagem eletrônica ou carta.
§ 3º Caso a comunicação direta e individualizada mostre-se inviável ou não seja
possível identificar, parcial ou integralmente, os titulares afetados, o Encarregado pelo
Tratamento de Dados Pessoais deverá comunicar a ocorrência do incidente, no prazo e com as
informações definidas no caput, pelos meios de divulgação disponíveis, tais como seu sítio
eletrônico, aplicativos, suas mídias sociais e canais de atendimento ao titular, de modo que a
comunicação permita o conhecimento amplo, com direta e fácil visualização, pelo período de,
no mínimo, três meses.
§ 4º O Encarregado pelo Tratamento de Dados Pessoais deverá juntar ao processo
de comunicação de incidente uma declaração de que foi realizada a comunicação aos titulares,
constando os meios de comunicação ou divulgação utilizados, em até três dias úteis, contados
do término do prazo de que trata o caput deste artigo.
CAPÍTULO III
REGISTRO DO INCIDENTE DE SEGURANÇA
Art. 8º O Encarregado pelo Tratamento de Dados Pessoais efetuará o registro do
incidente de segurança e a FUNAG deverá manter o registro do incidente de segurança,
inclusive daquele não comunicado à Autoridade Nacional de Proteção de Dados e aos titulares,
pelo prazo mínimo de cinco anos, contado a partir da data do registro, exceto se constatadas
obrigações adicionais que demandem maior prazo de manutenção.
Parágrafo único. O registro do incidente deverá conter, no mínimo:
I - a data de conhecimento do incidente;
II - a descrição geral das circunstâncias em que o incidente ocorreu;
III - a natureza e a categoria de dados afetados;
IV - o número de titulares afetados;
V - a avaliação do risco e os possíveis danos aos titulares;
VI - as medidas de correção e mitigação dos efeitos do incidente, quando aplicável;
VII - a forma e o conteúdo da comunicação, se o incidente tiver sido comunicado à
Autoridade Nacional de Proteção de Dados e aos titulares; e
VIII - os motivos da ausência de comunicação, quando for o caso.
CAPÍTULO IV
DISPOSIÇÕES FINAIS
Art. 9º O Encarregado pelo Tratamento de Dados Pessoais deverá adotar as
providências necessárias, no âmbito da FUNAG, a fim de atender às demandas da Autoridade
Nacional de Proteção de Dados.
Parágrafo único. As unidades da FUNAG deverão atender, com prioridade, as
demandas do Encarregado pelo Tratamento de Dados Pessoais relacionadas a incidentes de
segurança.
Art. 10. Além das diretrizes estabelecidas nesta Portaria, o Encarregado pelo
Tratamento de Dados Pessoais deverá observar o Regulamento de Comunicação de Incidente
de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, do Conselho
Diretor da Autoridade Nacional de Proteção de Dados, bem como outras orientações expedidas
com o objetivo de auxiliar na avaliação do incidente de segurança que possa acarretar risco ou
dano relevante aos titulares.
Art. 11. O Encarregado pelo Tratamento de Dados Pessoais deverá manter a
Coordenação-Geral de Administração, Orçamento e Finanças informada das providências e
conclusões relacionadas aos incidentes de segurança ocorridos no âmbito da FUNAG.
Art. 12. Esta Portaria entra em vigor na data de sua publicação.
JOSÉ RAPHAEL LOPES MENDES DE AZEREDO