DECISÃO NORMATIVA Nº 124, DE 26 DE FEVEREIRO DE 2026 (parte 2 de 2)

ANEXO
GLOSSÁRIO
Anonimização: Processo que remove a possibilidade de identificação do titular,
de forma irreversível, nos termos da ANPD.
Agência Nacional de Proteção de Dados - ANPD: Agência reguladora integrante
da administração pública federal responsável por assegurar a proteção de dados pessoais
no país. Compete à ANPD regulamentar, fiscalizar e supervisionar a aplicação da LGPD;
editar normas, guias e diretrizes; orientar agentes de tratamento e titulares; promover a
cultura de privacidade; além de instaurar processos administrativos e aplicar sanções em
caso de infrações.
Base Legal ou Hipótese de Tratamento: Fundamento jurídico previsto na LGPD
que autoriza o tratamento de dados pessoais pelo agente de tratamento que figura como
"Controlador", no caso, o Sistema Confea/Crea e Mútua, especialmente nos termos dos
arts. 7, 11 e 23 da lei.
Controlador do dado: Agente responsável pelas decisões referentes ao
tratamento dos dados. Cada órgão do Sistema Confea/Crea e Mútua figura como
controlador independente, no exercício de suas competências legais.
Operador: Agente que realiza o tratamento de dados pessoais em nome do
controlador.
Dados Pessoais: Informação relativa à pessoa natural identificada ou identificável.
Dados Pessoais Sensíveis: Informações sobre origem racial ou étnica, convicção
religiosa, opinião política, filiação sindical, dados de saúde, dados genéticos ou
biométricos, vida sexual ou qualquer dado que possa gerar discriminação.
Dado Pessoal de Acesso Público: Informação pessoal cuja publicidade decorre
de previsão legal, decisão judicial ou determinação específica, não eliminando a
necessidade de tratamento proporcional e compatível com a finalidade.
Dado Pessoal Tornado Público pelo Titular: Informação que se refere ao titular
e que foi disponibilizada por ele mesmo de forma voluntária, mas que permanece sujeita
à LGPD quanto às demais operações de tratamento.
Data Driven: abordagem de tomada de decisão fundamentada na coleta, análise
e interpretação de dados relevantes e quantificáveis, permitindo identificar tendências,
prever cenários futuros e adotar respostas proativas diante das mudanças do mercado.
Encarregado pelo Tratamento de Dados Pessoais - DPO (Data Protection Officer):
Pessoa indicada pelo Confea, pelo Crea, pela Mútua, ou por entidade vinculada para atuar
como canal de comunicação entre o Sistema e os titulares dos dados, o Sistema e a ANPD
e o Sistema e demais agentes de tratamento. Compete ao DPO orientar, recomendar,
monitorar e supervisionar o cumprimento da LGPD e das diretrizes desta Política.
Entidades vinculadas: Organizações, entidades de classe, fundações ou demais
instituições que mantenham relação institucional com o Sistema Confea/Crea e Mútua e
tratem dados pessoais no exercício de suas atividades.
Incidente de Segurança com Dados Pessoais: Qualquer evento adverso,
confirmado ou sob suspeita, que resulte em acesso não autorizado, vazamento, destruição,
perda, alteração indevida ou qualquer forma de uso inadequado de dados pessoais.
Medidas Técnicas e Administrativas: Conjunto de controles, políticas,
procedimentos, ferramentas e práticas organizacionais adotadas para garantir a proteção
dos dados pessoais, incluindo controle de acesso, criptografia, gestão de perfis, logs,
backups, classificação da informação e treinamento.
Plano de Dados Abertos (PDA): Documento que orienta a política de
disponibilização de dados pelo Sistema Confea/Crea e Mútua, alinhando transparência,
governança de dados e proteção de dados pessoais.
Prestador de Serviços / Fornecedores: Pessoa física ou jurídica contratada ou
conveniada que realize atividades, operações ou suporte técnico que envolvam o acesso, a
coleta, o armazenamento, a transmissão, o compartilhamento ou qualquer forma de
tratamento de dados pessoais em nome do Confea, dos Creas, da Mútua ou de entidades
vinculadas. Abrange operadores, suboperadores, desenvolvedores de sistemas e consultorias.
Princípio da Adequação: As operações de tratamento devem ser compatíveis
com as finalidades informadas ao titular e alinhadas às expectativas legítimas decorrentes
da relação do cidadão ou profissional com o Sistema Confea/Crea e Mútua.
Princípio da Finalidade: O tratamento de dados pessoais no âmbito do Sistema
Confea/Crea e Mútua deve sempre ocorrer para propósitos legítimos, claros e previamente
informados, vinculados ao desempenho das funções institucionais e legais do Sistema.
Princípio da Necessidade: A coleta, o uso, o armazenamento e o
compartilhamento de dados pessoais devem se limitar ao mínimo indispensável para o
cumprimento das atividades institucionais, evitando excessos ou tratamentos
desproporcionais.
Princípio da Não Discriminação: É vedado o uso de dados pessoais para
finalidades discriminatórias, ilícitas ou abusivas, devendo o tratamento respeitar a
igualdade, a dignidade e os direitos fundamentais dos titulares.
Princípio da Prevenção: O Sistema deve atuar de forma proativa, adotando
ações e controles preventivos para reduzir riscos e impedir a ocorrência de incidentes ou
danos relacionados ao tratamento de dados pessoais.
Princípio da Qualidade dos Dados: Os dados pessoais tratados devem ser
exatos, íntegros, atualizados e relevantes, assegurando que as informações mantidas pelo
Sistema Confea/Crea e Mútua representem adequadamente a realidade do titular.
Princípio da Responsabilização e Prestação de Contas (Accountability): O
Sistema Confea/Crea e Mútua deve ser capaz de demonstrar, de forma objetiva e
documentada, que adota medidas de governança, segurança e proteção de dados pessoais
compatíveis com a LGPD e com as melhores práticas do setor público.
Princípio da Segurança: Devem ser adotadas medidas técnicas e administrativas
adequadas para proteger os dados pessoais contra acessos não autorizados, perda,
destruição ou qualquer forma de uso indevido, considerando o contexto das atividades
desenvolvidas pelo Sistema.
Princípio da Transparência: O titular deve receber informações claras e
acessíveis sobre as atividades de tratamento, inclusive quanto às bases legais, práticas
adotadas e direitos assegurados pela LGPD.
Princípio do Livre Acesso: O Sistema Confea/Crea e Mútua deve garantir que os
titulares possam acessar de forma fácil, clara e gratuita informações sobre o tratamento
de seus dados pessoais, inclusive quanto à origem, finalidade e forma de utilização.
Privacy by Default (Privacidade como Padrão): Implantação de configurações e
práticas que assegurem o nível mais alto de proteção aos dados pessoais por padrão,
independentemente de ação do titular.
Privacy by Design (Privacidade desde a Concepção): Abordagem que exige que os
requisitos de privacidade, segurança, minimização de dados e transparência sejam incorporados
desde o início de projetos, sistemas, fluxos, contratações e processos administrativos.
Pseudonimização: Processo que substitui identificadores diretos por códigos ou
chaves, reduzindo riscos, mas sem tornar a reidentificação impossível.
Registro das Operações (ROPA): Inventário contínuo de todas as operações de
tratamento realizadas pelo Sistema Confea/Crea e Mútua, incluindo bases legais,
finalidades, categorias de dados e riscos.
Relatório de Impacto à Proteção de Dados Pessoais (RIPD): Documento exigido
pela LGPD e pela ANPD para registrar a avaliação dos riscos, hipóteses de tratamento,
medidas de mitigação e impactos à privacidade.
Suboperador: Terceiro contratado pelo operador para execução de parte da
operação de tratamento.
Titular de Dados Pessoais: Pessoa natural a quem se referem os dados tratados pelo
Sistema Confea/Crea e Mútua, incluindo profissionais registrados, empresas, artífices, cidadãos,
participantes de processos administrativos, visitantes, fornecedores e agentes públicos.