DECISÃO NORMATIVA Nº 124, DE 26 DE FEVEREIRO DE 2026 (parte 1 de 2)

DECISÃO NORMATIVA Nº 124, DE 26 DE FEVEREIRO DE 2026
Institui a Política de Privacidade e Proteção de
Dados Pessoais do Sistema Confea/Crea e Mútua.
O CONSELHO FEDERAL DE ENGENHARIA E AGRONOMIA - CONFEA, no uso das
atribuições que lhe confere o art. 3º, inciso I, do Regimento do Confea, aprovado pela
Resolução nº 1.015, de 30 de junho de 2006, decide:, decide:
Art. 1º Instituir a Política de Privacidade e Proteção de Dados Pessoais do
Sistema Confea/Crea e Mútua.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art. 2º A presente Política adota definições uniformes para garantir coerência
interpretativa em todo o Sistema Confea/Crea e Mútua, considerando a Lei nº 12.527, de
18 de novembro de 2011 (Lei de Acesso à Informação - LAI), a Lei nº 13.709, de 14 de
agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), as normas da Agência
Nacional de Proteção de Dados (ANPD) e as melhores práticas de governança de dados.
Art. 3º A presente Política estabelece princípios, diretrizes, responsabilidades,
estruturas de governança e instrumentos operacionais para o tratamento de dados
pessoais no âmbito do Sistema Confea/Crea e Mútua.
Parágrafo único. Os termos e princípios utilizados nesta Política são definidos
no glossário constante do Anexo desta Decisão Normativa.
Art. 4º As disposições desta Política aplicam-se ao Conselho Federal de Engenharia
e Agronomia (Confea), aos Conselhos Regionais de Engenharia e Agronomia (Creas), à Mútua,
às entidades vinculadas e a todos os agentes públicos, visitantes, consultores externos,
estagiários, menores aprendizes, prestadores de serviços e demais terceiros que, de qualquer
modo, realizem tratamento de dados pessoais em nome ou sob orientação do Sistema
Confea/Crea e Mútua, independentemente do nível hierárquico ou da função exercida.
Art. 5º O tratamento de dados pessoais no âmbito do Sistema Confea/Crea e
Mútua observará as competências legais das entidades, as responsabilidades definidas
nesta Política e as disposições da legislação aplicável.
§ 1º O Confea, os Creas e a Mútua, no âmbito de suas competências legais,
atuam como controladores de dados pessoais, por definirem as finalidades e os meios de
tratamento, enquanto terceiros contratados para execução de atividades em nome dessas
entidades atuam como operadores.
§ 2º Dados públicos não se confundem com dados pessoais tornados públicos,
os quais permanecem protegidos pela LGPD e normas específicas, devendo ser observadas
para fins de tratamento.
§3º Esta política se aplica a todo tratamento de dados pessoais e dados
pessoais sensíveis realizados nas atividades administrativas, fiscalizatórias, normativas,
regulatórias, de transparência e prestação de serviços.
CAPÍTULO II
DOS PRINCÍPIOS E DIRETRIZES
Art. 6º O tratamento de dados pessoais realizado no âmbito do Confea, Creas
e Mútua, deverá observar:
I - os princípios do art. 6º da LGPD (finalidade, adequação, necessidade, livre
acesso, qualidade, transparência, segurança, prevenção, não discriminação e
responsabilização);
II - o princípio da privacidade desde a concepção e por padrão (privacy by
design e privacy by default), nos termos das diretrizes adotadas pela ANPD; e
III - a harmonização entre transparência pública e proteção de dados pessoais,
tal como previsto no Plano de Dados Abertos do Sistema Confea/Crea, e o princípio da
prevalência da proteção de dados pessoais em caso de conflito direto com a transparência
pública, mediante análise de ponderação.
Parágrafo único. A aplicação da LGPD não autoriza a supressão da publicidade
de atos administrativos nem a anonimização automática de interessados em processos
administrativos sancionadores quando houver obrigação legal de divulgação.
CAPÍTULO III
DO TRATAMENTO DE DADOS PESSOAIS
Art. 7º O tratamento de dados pessoais no Sistema Confea/Crea e Mútua será
realizado para finalidades legítimas, vinculadas ao exercício de suas competências legais,
como:
I - normatização, registro e fiscalização do exercício profissional;
II - gestão administrativa, financeira e de pessoal;
III - atendimento ao cidadão e aos profissionais registrados;
IV - transparência ativa e passiva;
V - execução do Plano de Dados Abertos, observados os limites da LGPD; e
VI - promoção de eventos, relacionamento e treinamentos entre profissionais,
empresas e administração pública.
Art. 8º O tratamento se baseará nas hipóteses legais previstas na LGPD, com
destaque para o seu art. 23.
Parágrafo único. O uso de legítimo interesse deverá ser excepcional,
devidamente justificado e registrado em documento de Avaliação de Legítimo Interesse
(LIA - Legitimate Interest Assessment), conforme orientações da ANPD.
Art. 9º Todos os tratamentos deverão ser registrados em Registro das
Operações de Tratamento de Dados (ROPA).
Art. 10. O compartilhamento de dados pessoais pelo Sistema Confea/Crea e
Mútua deverá observar:
I - a finalidade específica e compatível;
II - a base legal aplicável;
III - o registro em ROPA;
IV - a avaliação de risco; e
V - o contrato, convênio ou instrumento formal que defina
responsabilidades.
Art. 11. A transferência internacional de dados somente ocorrerá nas hipóteses
legais, mediante avaliação prévia do DPO e observância das diretrizes da ANPD.
Art. 12. O Sistema Confea/Crea e Mútua adotará diretrizes para a retenção, o
arquivamento e a eliminação de documentos e dados, em conformidade com as normas
do Arquivo Nacional, os Regulamentos de Gestão Documental, a LGPD, bem como as
demais exigências legais aplicáveis.
Parágrafo único. Para fins de cumprimento do disposto no caput, deverão ser
observadas as disposições da Portaria do Arquivo Nacional nº 398, de 25 de novembro de
2019, ou outra que venha a substituí-la.
Art. 13. Contratos com fornecedores, prestadores de serviços, desenvolvedores
ou consultorias deverão conter cláusulas específicas de proteção de dados pessoais.
Art. 14. O tratamento de cookies, metadados e dados de navegação será
disciplinado em Aviso de Privacidade próprio, disponibilizado no portal institucional.
CAPÍTULO IV
DOS DADOS ABERTOS E PROTEÇÃO DE DADOS PESSOAIS
Art. 15. A abertura de dados no Sistema Confea/Crea e Mútua deverá
observar:
I - a avaliação prévia de riscos à privacidade;
II - a anonimização ou pseudonimização sempre que possível;
III - a redução de dados pessoais divulgados; e
IV - o alinhamento com o Plano de Dados Abertos do Sistema Confea/Crea, de
modo a prever a compatibilização entre transparência e proteção de dados pessoais.
Parágrafo único. Bases massivas ou sensíveis deverão possuir Relatório de
Impacto à Proteção de Dados (RIPD).
Art. 16. É vedada a divulgação de dados pessoais, sejam eles sensíveis ou não,
ou de informações que comprometam direitos fundamentais dos titulares, salvo nas
hipóteses legais expressas.
CAPÍTULO V
DOS DIREITOS DOS TITULARES
Art. 17. O Sistema Confea/Crea e Mútua garantirá aos titulares o exercício dos
direitos previstos no art. 18 da LGPD, observadas as hipóteses legais, a finalidade pública
do tratamento, o interesse público, o dever de publicidade e o devido processo legal, tais
como:
I - a confirmação da existência do tratamento;
II - o acesso aos dados;
III - a correção;
IV - a anonimização, bloqueio ou eliminação;
V - a informação sobre compartilhamentos; e
VI - a revogação do consentimento, quando aplicável.
Art. 18. Os pedidos apresentados pelos titulares de dados deverão ser
direcionados ao Encarregado pelo Tratamento Dados Pessoais por meio do canal oficial de
comunicação disponibilizado para o exercício de seus direitos, assegurando-se
atendimento gratuito, em conformidade com as diretrizes da ANPD.
CAPÍTULO VI
DA SEGURANÇA DA INFORMAÇÃO E INCIDENTES
Art. 19. O Relatório de Impacto à Proteção de Dados - RIPD deverá ser
elaborado sempre que o tratamento puder gerar alto risco aos direitos dos titulares,
inspirado no modelo adotado pela própria ANPD em sua Política Interna.
Art. 20. O Sistema Confea/Crea e Mútua adotará medidas técnicas e
administrativas para proteger os dados pessoais contra acessos não autorizados, incidentes
de segurança da informação com dados pessoais, destruição ou perda.
Art. 21. Em caso de incidente de segurança, o fato deverá ser comunicado
imediatamente ao Encarregado pelo Tratamento de Dados Pessoais, que avaliará a
necessidade de comunicação à ANPD e aos titulares, conforme a LGPD e regulamentações
específicas.
Art. 22. Todo e qualquer incidente de dados que envolva risco relevante ou
danos a eventual titular de dados deverá ser comunicado ao Confea, no mesmo prazo
estabelecido na LGPD e eventual regulamentação da ANPD.
CAPÍTULO VII
DA GOVERNANÇA E DAS RESPONSABILIDADES
Art. 23. Ficam estabelecidas as seguintes responsabilidades mínimas:
I - Apoiar e promover o apoio institucional necessário ao fortalecimento
contínuo do Programa de Governança em Privacidade e Proteção de Dados Pessoais;
II - Responder e monitorar as requisições de titulares de dados e da ANPD;
III - Assegurar que as operações de tratamento de dados estejam em
conformidade; e
IV - Cumprir integralmente esta Política e reportar incidentes.
Art. 24. O Sistema Confea/Crea e Mútua deverá adotar, implementar, manter
e continuamente aprimorar medidas técnicas e administrativas compatíveis com o grau de
risco das operações e com as exigências da LGPD e das normas da ANPD, visando à
segurança dos dados pessoais e das informações institucionais e à prevenção de acessos
não autorizados, incidentes de segurança da informação com dados pessoais, modificação
indevida, destruição acidental ou qualquer forma de uso inadequado.
§ 1º Observados a abordagem baseada em risco, a proporcionalidade, a
capacidade institucional e o planejamento orçamentário de cada ente, recomenda-se,
como referência mínima, a adoção de medidas técnicas que contemplem soluções
tecnológicas destinadas a:
I - detecção, prevenção e resposta a incidentes de segurança;
II - proteção avançada de endpoints, servidores, redes e ativos críticos;
III - gerenciamento de identidades, credenciais e acessos privilegiados;
IV - análise de vulnerabilidades, correções, atualizações e hardening;
V - criptografia, tokenização ou pseudonimização de dados em repouso e em
trânsito;
VI - monitoramento contínuo, registro de logs e observabilidade de
segurança;
VII - proteção de aplicações, bancos de dados e ambientes em nuvem; e
VIII - prevenção contra perda, vazamento ou exfiltração de dados.
§ 2º Cada ente do Sistema Confea/Crea e Mútua deve adotar as medidas
necessárias para garantir a proteção de dados pessoais.
§ 3º O Confea poderá estabelecer diretrizes e referenciais mínimos de
segurança, bem como recomendar ou apoiar a adoção de boas práticas e padrões
técnicos, visando à uniformidade e redução dos riscos no Sistema Confea/Crea e
Mútua.
Art. 25. O Confea poderá promover ações de capacitação, treinamento e
conscientização em proteção de dados, privacidade e segurança da informação.
§ 1º As ações compreenderão:
I - programas permanentes de conscientização em segurança da informação;
II - campanhas educativas regulares sobre boas práticas, prevenção a fraudes,
golpes e engenharia social;
III - trilhas de capacitação e certificação para diferentes perfis de usuários;
IV - simulações periódicas de phishing, ataques e cenários de resposta a
incidentes;
V - conteúdos e materiais educativos distribuídos em todos os canais
institucionais; e
VI - treinamentos específicos para gestores, operadores de sistemas, equipes
de Tecnologia da Informação, fiscais e encarregados.
§ 2º Cada ente do Sistema Confea/Crea e Mútua deve implementar e manter
programas equivalentes de conscientização e segurança da informação, garantindo
padronização mínima, periodicidade e alinhamento às diretrizes estabelecidas pelo Confea
e às normas da ANPD.
§ 3º O Confea poderá disponibilizar conteúdos, plataformas, campanhas e
materiais institucionais para uso pelos entes do Sistema Confea/Crea e Mútua.
Art. 26. Cada ente do Sistema Confea/Crea e Mútua deverá nomear
formalmente um Encarregado pelo Tratamento de Dados Pessoais e instituir estrutura
administrativa, tecnológica e operacional capaz de garantir a implementação contínua das
medidas de privacidade, segurança da informação e proteção de dados pessoais.
Parágrafo único. A estrutura de que trata o caput deverá contemplar, no
mínimo, mecanismos de gestão de riscos, controles de acesso, ferramentas tecnológicas
de segurança, procedimentos de resposta a incidentes e canais de atendimento aos
titulares de dados.
Art. 27. Compete aos entes do Sistema Confea/Crea e Mútua assegurar a
execução desta Política, adotar e manter as medidas administrativas, processuais e
tecnológicas necessárias, garantir a capacitação contínua de agentes públicos e dirigentes
e implementar tempestivamente as recomendações e orientações emitidas pelo Confea,
em alinhamento com a cultura Data Driven.
Parágrafo único. A implementação de soluções de segurança e proteção de
dados pessoais constitui requisito indispensável ao cumprimento da LGPD e à prevenção
de riscos institucionais.
Art. 28. Os Creas e a Mútua deverão instituir e manter programas de
governança de dados pessoais compatíveis com os princípios, diretrizes e requisitos
mínimos estabelecidos nesta Política, em consonância com a legislação aplicável e com as
normas e orientações da ANPD.
Art. 29. O Confea poderá orientar os Creas e a Mútua para a implementação
e aperfeiçoamento de seus programas de governança de dados pessoais, podendo expedir
normas complementares, modelos referenciais, guias e orientações, a fim de promover a
uniformidade mínima de práticas no Sistema Confea/Crea e Mútua.
Art. 30. Com a finalidade de zelar pela observância desta Política e pelo nível
mínimo de conformidade exigido, o Confea poderá realizar avaliações, auditorias,
inspeções, verificações documentais ou solicitações de informações aos Creas e à Mútua,
especialmente quanto aos procedimentos de tratamento, registro das operações, controles
implementados e mecanismos de mitigação de riscos.
CAPÍTULO VIII
DAS DISPOSIÇÕES FINAIS
Art. 31. Esta Política constitui referência para todo o Sistema Confea/Crea e
Mútua, podendo ser detalhada e adaptada pelos Creas e pela Mútua, desde que não haja
contradição com seus termos.
Art. 32. Esta Política deverá ser revisada periodicamente, sempre que houver
alterações relevantes na legislação ou nas normas da ANPD.
Art. 33. Esta decisão normativa entra em vigor 60 (sessenta) dias após a data
de sua publicação.
VINICIUS MARCHESE MARINELLI
Presidente do Conselho