PORTARIA NORMATIVA AGU Nº 226, DE 15 DE JUNHO DE 2026 (parte 2 de 2)

§ 2º Nos casos em que for necessário o consentimento do titular, a comunicação e
o uso compartilhado só serão possíveis caso haja consentimento específico e claro em termo
de consentimento.
§ 3º Poderá haver compartilhamento de dados pessoais para fins acadêmicos,
cabendo ao controlador providenciar, sempre que possível, a sua anonimização.
§ 4º Em qualquer caso, a comunicação e o uso compartilhado guardarão nexo com
a finalidade original do acesso aos dados pessoais e com a legítima expectativa do titular.
Art. 18. A transferência internacional de dados pessoais somente ocorrerá nas
hipóteses previstas no art. 33 da Lei nº 13.709, de 14 de agosto de 2018, notadamente para a
cooperação jurídica internacional.
Seção V
Da gestão de riscos
Art. 19. Compete ao controlador definir a metodologia para a gestão de riscos no
tratamento de dados pessoais, que deverá:
I - estabelecer critérios objetivos para identificação, avaliação e implementação das
medidas técnicas e organizacionais necessárias à mitigação ou eliminação dos riscos à proteção
de dados pessoais;
II - considerar o contexto, a escala, o escopo, as hipóteses, a base legal e as
finalidades do tratamento;
III - abranger todos os sistemas, serviços e processos em que há tratamento de
dados pessoais;
IV - considerar, no mínimo, o seguinte:
a) a natureza, a sensibilidade e o volume dos dados pessoais tratados;
b) o estado da técnica e os custos de implementação;
c) a probabilidade e a gravidade dos riscos a direitos e liberdades dos titulares;
d) a adoção de medidas técnicas e organizacionais que garantam a privacidade
desde a concepção e por padrão; e
e) os mecanismos de auditoria, controle e transparência;
V - ser revisada periodicamente ou sempre que houver mudanças significativas nos
processos de tratamento; e
VI - seguir, no que couber, a Política de Gestão de Riscos da Advocacia-Geral da
União, a ser estabelecida em ato específico do Advogado-Geral da União.
Art. 20. Os órgãos previstos no art. 1º, § 1º, desta Portaria Normativa são
responsáveis pela implementação e execução da metodologia de gestão de riscos no tratamento
de dados pessoais referida no art. 19, devendo atuar em conjunto com o controlador:
I - no levantamento dos riscos; e
II - na definição e efetivação das medidas mitigadoras.
Art. 21. Os resultados do processo de gestão de riscos no tratamento de dados
pessoais devem ser utilizados para orientar a tomada de decisões gerenciais, incluindo:
I - alocação de recursos; e
II - atribuição de responsabilidades.
Art. 22. A gestão de riscos deve constituir parte integrante e obrigatória do RIPD,
previsto no art. 13 desta Portaria Normativa.
Art. 23. A Secretaria de Governança e Gestão Estratégica disponibilizará repositório
de conhecimento na rede interna da Advocacia-Geral da União com condutas, recomendações
e boas práticas destinadas a:
I - aprimorar o gerenciamento de risco; e
II - orientar as ações adequadas em caso de comprometimento de dados pessoais.
Seção VI
Do tratamento de violações de dados pessoais
Art. 24. Na hipótese de ocorrência de incidente de segurança que resulte em
violação de dados pessoais, o controlador deverá:
I - comunicar à Agência Nacional de Proteção de Dados, por intermédio do
encarregado, a ocorrência de incidente de segurança que possa acarretar risco ou dano
relevante ao titular dos dados pessoais, conforme procedimento e prazo determinado na
Resolução CD/ANPD nº 15, de 24 de abril de 2024;
II - informar aos titulares a ocorrência de incidente de segurança que possa
acarretar risco ou dano relevante, conforme procedimento e prazo determinado na Resolução
CD/ANPD nº 15, de 24 de abril de 2024; e
III - manter registro de todas as ocorrências de incidente de segurança, inclusive
daqueles não comunicados à Agência Nacional de Proteção de Dados e aos titulares.
Parágrafo único. O registro das ocorrências de incidentes de segurança deve ser
mantido pelo prazo mínimo de cinco anos, contado da data do registro, exceto se constatadas
obrigações adicionais que demandem prazo maior de manutenção, sob decisão do
controlador.
Art. 25. Para mitigar a ocorrência de incidente de segurança com dados
pessoais, o controlador e os operadores devem atuar para adoção dos seguintes requisitos
de proteção, sem prejuízo da adoção de outras medidas que considerarem necessárias:
I - adotar padrões compatíveis com os princípios previstos na Lei nº 13.709, de 14
de agosto de 2018, na concepção e no desenvolvimento de processos, produtos e serviços,
incluindo:
a) a privacidade por padrão; e
b) a limitação da coleta de dados pessoais ao mínimo necessário para a realização
de suas finalidades;
II - implementar mecanismos:
a) de controle de acesso aplicáveis a todos os usuários, com níveis de permissão
definidos conforme a necessidade de utilização do sistema e de acesso a dados pessoais; e
b) que dificultem a transferência de dados pessoais de estações de trabalho para
dispositivos de armazenamento externo, como unidades de armazenamento portáteis;
III - utilizar autenticação multifator para acessar sistemas ou base de dados que
contenham dados pessoais;
IV - implementar soluções de pseudonimização e anonimização, como a
criptografia, para cifrar dados pessoais;
V - permitir somente o uso dos sistemas e aplicativos institucionais para tratamento
de dados pessoais, evitando a utilização de aplicações de uso pessoal para este fim;
VI - buscar instituir acordos de confidencialidade ou sigilo com os operadores dos
dados pessoais; e
VII - armazenar documentos físicos ou digitais que contenham dados pessoais em
ambiente seguro, de modo que terceiros não autorizados não possam acessá-los.
Art. 26. A resposta aos eventos e incidentes de segurança da informação que
envolvam dados pessoais deve seguir:
I - as orientações da Agência Nacional de Proteção de Dados; e
II - o plano de resposta a incidentes de segurança da informação, previsto no art.
21, § 2º, da Portaria Normativa AGU nº 166, de 12 de março de 2025.
Art. 27. As violações das regras de proteção de dados pessoais serão registradas,
analisadas e tratadas por meio da coleta de evidências, e de investigação e intermediação da
comunicação entre a Advocacia-Geral da União, a Agência Nacional de Proteção de Dados e os
titulares dos dados pessoais violados.
Parágrafo único. O controlador deverá comunicar à Polícia Federal ou ao Ministério
Público os eventos ou incidentes de segurança da informação que envolvam dados pessoais quando
identificados indícios de ocorrência de conduta que possa ensejar responsabilização criminal.
Art. 28. A Política de Proteção de Dados Pessoais da Advocacia-Geral da União
deverá respeitar, no que couber, a Política de Segurança da Informação da Advocacia-Geral
da União, instituída pela Portaria Normativa AGU nº 166, de 12 de março de 2025.
Seção VII
Dos contratos, convênios, acordos e instrumentos congêneres
Art. 29. Os contratos, convênios, acordos e instrumentos congêneres, que, de
alguma forma, envolvam o tratamento de dados pessoais, deverão dispor de cláusulas
específicas disciplinando as regras e os procedimentos para o tratamento, prevendo, no
mínimo:
I - requisitos mínimos de segurança da informação e proteção de dados pessoais,
especialmente os previstos no art. 25 desta Portaria Normativa;
II - obrigação do operador de não processar os dados pessoais para finalidades
diversas das determinadas pelo controlador;
III - orientações para o operador sobre o armazenamento, a devolução ou o
descarte seguro de dados pessoais após conclusão de serviço ou rescisão de qualquer contrato,
mediante solicitação do controlador;
IV - diretrizes específicas sobre o uso de subcontratados pelo operador para
execução contratual que envolva tratamento de dados pessoais;
V - obrigatoriedade de notificação entre as partes em caso de suspeita de
incidentes que envolvam os dados pessoais compartilhados;
VI - restrição da transferência internacional de dados pessoais às hipóteses
previstas no art. 33 da Lei nº 13.709, de 14 de agosto de 2018 com a obrigatoriedade de
notificação entre as partes;
VII - previsão de penalidades em caso de descumprimento das cláusulas estabelecidas; e
VIII - necessidade de cumprimento desta Portaria Normativa, especialmente do
disposto no art. 10.
§ 1º Nos casos de contratação de fornecedores por contratos de adesão, poderão
ser elaborados termos de responsabilidade ou acordos de processamento de dados específicos
para os serviços da Advocacia-Geral da União, contendo orientações de como deve ocorrer o
tratamento dos dados pessoais.
§ 2º Eventuais alterações nos contratos, convênios, acordos e instrumentos
congêneres serão implementadas nos contratos em vigor por meio de termo aditivo e, como
padrão, nos novos contratos.
§ 3º A Consultoria-Geral da União deve atualizar os modelos de contratos,
convênios, acordos e instrumentos congêneres conforme o disposto no caput.
Seção VIII
Do monitoramento contínuo
Art. 30. O cumprimento da Política de Proteção de Dados Pessoais da Advocacia-
Geral da União deverá ser monitorado continuamente pela Secretaria de Governança e Gestão
Estratégica.
§ 1º O monitoramento incluirá:
I - verificações de conformidade e certificação dos requisitos de proteção de dados
pessoais; e
II - avaliação das cláusulas de responsabilidade e sigilo constantes de termos de
responsabilidade, contratos, convênios, acordos e instrumentos congêneres.
§ 2º A Secretaria de Governança e Gestão Estratégica apresentará resultado do
monitoramento da Política de Proteção de Dados Pessoais da Advocacia-Geral da União ao
encarregado e ao Comitê de Governança Digital da Advocacia-Geral da União, a cada dois anos.
Seção IX
Da transparência e do acesso à informação
Art. 31. O titular dos dados pessoais poderá apresentar solicitações, reclamações e
pedidos de esclarecimentos e informações por meio:
I - da Plataforma Integrada de Ouvidoria e Acesso à Informação - Fala.BR;
II - do endereço de correio eletrônico [email protected]; e
III - da apresentação de manifestação verbal, que será reduzida a termo pela
Ouvidoria, diretamente nos endereços da Advocacia-Geral da União.
Subseção I
Do Portal de Tratamento de Dados Pessoais
Art. 32. Fica instituído o Portal do Tratamento de Dados Pessoais, que deverá
conter, de forma clara, simples e acessível, as seguintes informações:
I - identificação da estrutura administrativa que exerce as funções do controlador e
informações de contato deste;
II - identidade e informações de contato do encarregado;
III - avisos, orientações e consolidações de boas práticas;
IV - situações de tratamento de dados pessoais pela Advocacia-Geral da União, com
informações claras e atualizadas sobre sua previsão legal e finalidade, apresentando de forma
destacada as seguintes situações:
a) tratamento de dados fundamentados no legítimo interesse;
b) tratamento de dados pessoais:
1. sensíveis; e
2. de crianças e adolescentes;
c) comunicação e uso compartilhado de dados pessoais; e
d) transferência internacional de dados pessoais;
V - acesso à Plataforma Integrada de Ouvidoria e Acesso à Informação - Fala.Br,
com orientações para o seu uso;
VI - orientações sobre os direitos dos titulares;
VII - delegações de competências do controlador e do encarregado com a:
a) especificação dos poderes transferidos; e
b) identificação e informações de contato do delegado;
VIII - normas complementares à Política de Proteção de Dados Pessoais;
IX - ocorrência de incidentes de segurança que possam acarretar risco ou dano
relevante aos dados pessoais custodiados pela Advocacia-Geral da União quando:
a) a divulgação for determinada pela Agência Nacional de Proteção de Dados; ou
b) não for possível identificar individualmente os titulares de dados pessoais
afetados pelo incidente e sua comunicação seja essencial para redução dos danos;
X - resultado de monitoramento da Política de Proteção de Dados Pessoais da
Advocacia-Geral da União previsto no art. 30, § 2º, desta Portaria Normativa;
XI - modelos de cláusulas relacionadas à Política de Proteção de Dados Pessoais da
Advocacia-Geral da União para contratos, convênios, acordos e instrumentos congêneres;
XII - metodologia de avaliação de impacto à proteção de dados pessoais; e
XIII - outras informações definidas pelo controlador.
Art. 33. O controlador disponibilizará as informações referentes ao tratamento de
dados pessoais à Assessoria de Comunicação para publicação no Portal do Tratamento de
Dados Pessoais, constante do sítio eletrônico da Advocacia-Geral da União.
CAPÍTULO III
DA GOVERNANÇA DA PROTEÇÃO DE DADOS PESSOAIS
Seção I
Disposições gerais
Art. 34. A estrutura de governança da Política de Proteção de Dados Pessoais da
Advocacia-Geral da União será composta por:
I - Comitê de Governança da Advocacia-Geral da União;
II - Equipe Técnica de Privacidade e Proteção de Dados Pessoais; e
III - Líderes de Privacidade.
Seção II
Do Comitê de Governança da Advocacia-Geral da União
Art. 35. Compete ao Comitê de Governança da Advocacia-Geral da União instituído
pela Portaria Normativa AGU nº 165, de 12 de março de 2025:
I - aprovar:
a) as normas complementares à Política de Proteção de Dados Pessoais da
Advocacia-Geral da União;
b) o Programa de Governança em Privacidade;
c) o Plano de Atendimento às Demandas dos Titulares de Dados Pessoais; e
d) os relatórios de acompanhamento da Política de Proteção de Dados Pessoais,
previstos no art. 30, § 2º, desta Portaria Normativa; e
II - manifestar-se sobre outras questões relevantes para o tratamento de dados
pessoais pela Advocacia-Geral da União, a critério do controlador e do encarregado.
Seção III
Da Equipe Técnica de Privacidade e Proteção de Dados Pessoais
Art. 36. Fica instituída a Equipe Técnica de Privacidade e Proteção de Dados
Pessoais, vinculada à Secretaria de Governança e Gestão Estratégica.
§ 1º Os integrantes da Equipe Técnica de Privacidade e Proteção de Dados Pessoais
serão designados em ato do Secretário de Governança e Gestão Estratégica, incluindo seu
coordenador.
§ 2º Compete à Equipe Técnica de Privacidade e Proteção de Dados Pessoais,
dentre outras atribuições determinadas pelo controlador:
I - coordenar a implementação de medidas para efetivação desta Portaria Normativa;
II - estabelecer processo de gestão de riscos de privacidade com vistas a:
a) minimizar possíveis impactos associados aos dados pessoais;
b) reduzir as vulnerabilidades; e
c) evitar ameaças;
III - analisar e responder as notificações e demandas relacionadas ao tratamento de
dados pessoais, oferecendo suporte ao controlador e ao encarregado;
IV - participar das atividades da Equipe de Tratamento e Resposta a Incidentes
Cibernéticos - ETIR, prevista no art. 50 da Portaria Normativa AGU nº 166, de 12 de março de
2025, sempre que o incidente envolver dados pessoais;
V - auxiliar o controlador na elaboração das minutas dos atos referidos no art. 8º,
caput, inciso XX, desta Portaria Normativa;
VI - executar a análise de conformidade sobre os registros elaborados pelos líderes
de privacidade;
VII - executar avaliações de impacto à privacidade e elaborar relatórios de impacto
à proteção de dados pessoais, nos casos previstos no art. 13 desta Portaria Normativa;
VIII - promover a cooperação com outros órgãos e entidades públicas, bem como
participar de fóruns e redes nacionais e internacionais relativos à privacidade e proteção de
dados pessoais;
IX - receber comunicações de descumprimento da Política de Proteção de Dados
Pessoais da Advocacia-Geral da União e adotar as providências necessárias; e
X - orientar o Departamento de Tecnologia da Informação quanto ao cumprimento
das regras de proteção de dados pessoais na contratação e no uso de soluções de tecnologia da
informação.
Seção IV
Dos líderes de privacidade
Art. 37. Os líderes de privacidade são responsáveis pela efetivação dos
procedimentos previstos nesta Portaria Normativa no âmbito das suas respectivas unidades,
devendo:
I - atuar como ponto focal de contato do controlador para prestar informações,
auxiliar a solucionar possíveis incidentes e atender a demandas dos titulares;
II - orientar as pessoas que atuem na unidade quanto aos procedimentos
adequados para o tratamento de dados pessoais;
III - elaborar o inventário de dados pessoais e auxiliar a Equipe Técnica de
Privacidade e Proteção de Dados Pessoais na elaboração dos relatórios de impacto à proteção
de dados pessoais; e
IV - fomentar a cultura de proteção de dados na unidade, fiscalizando e notificando
o controlador sobre a ocorrência de irregularidades e oportunidades de melhoria.
§ 1º As seguintes unidades da Advocacia-Geral da União devem indicar, no mínimo,
um líder de privacidade e seu respectivo suplente:
I - Gabinete do Advogado-Geral da União;
II - Ouvidoria;
III - Assessoria Especial de Comunicação Social;
IV - Secretaria de Controle Interno;
V - Secretaria-Geral de Consultoria;
VI - Secretaria de Governança e Gestão Estratégica;
VII - Secretaria de Gestão Administrativa;
VIII - Secretaria-Geral de Contencioso;
IX - Consultoria-Geral da União;
X - Corregedoria-Geral da Advocacia da União;
XI - Procuradoria-Geral da União;
XII - Procuradoria-Geral Federal; e
XIII - Escola Superior da Advocacia-Geral da União Ministro Victor Nunes Leal.
CAPÍTULO IV
DA DISSEMINAÇÃO DA CULTURA DE PROTEÇÃO DE DADOS PESSOAIS
Seção I
Das medidas de disseminação da cultura de proteção de dados pessoais
Art. 38. A Secretaria de Governança e Gestão Estratégica deve disseminar na
Advocacia-Geral da União a cultura de proteção de dados pessoais por meio de medidas de
conscientização e capacitação, que serão:
I - disponibilizadas para os membros, servidores, estagiários e demais agentes que
possuem acesso a dados pessoais no desempenho de suas funções na Advocacia-Geral da
União, conforme suas atribuições e responsabilidades;
II - implementadas em parceria com:
a) a Escola Superior da Advocacia-Geral da União Ministro Victor Nunes Leal; e
b) a Assessoria Especial de Comunicação Social.
§ 1º Além das medidas referidas no caput, fica facultada à Secretaria de
Governança e Gestão Estratégica:
I - elaborar cartilhas e informativos com conceitos, orientações e exemplos
pertinentes à atuação no tratamento de dados pessoais da Advocacia-Geral da União;
II - realizar capacitações personalizadas com repasse de conhecimento
especializado e saneamento de dúvidas; e
III - criar grupo de estudos e debates sobre proteção de dados pessoais.
Seção II
Da Rede de Privacidade
Art. 39. Fica instituída a Rede de Privacidade, composta pelos líderes de privacidade
referidos no art. 37 desta Portaria Normativa e coordenada pela Equipe Técnica de Privacidade
e Proteção de Dados Pessoais com a função de auxiliar no fomento da cultura de proteção de
dados pessoais por meio da:
I - disseminação das regras de proteção de dados pessoais;
II - participação em grupos de trabalho para aprimoramento da atuação da
Advocacia-Geral da União na proteção de dados pessoais;
III - participação em debates e na elaboração de proposições para alterações da
Política de Proteção de Dados Pessoais da Advocacia-Geral da União e de suas normas
complementares, e
IV - organização de ações de conscientização, capacitação e sensibilização.
Parágrafo único. A relação dos membros da Rede de Privacidade será consolidada
pelo Secretário de Governança e Gestão Estratégica.
CAPÍTULO V
DISPOSIÇÕES FINAIS
Art. 40. O membro, servidor, estagiário ou terceirizado a serviço da Advocacia-
Geral da União observará Política de Proteção de Dados Pessoais da Advocacia-Geral da União
e, em caso de ciência de descumprimento, comunicará a Equipe Técnica de Privacidade e
Proteção de Dados Pessoais, pelos meios de contato disponibilizados no Portal do Tratamento
de Dados Pessoais.
Art. 41. A Política de Proteção de Dados Pessoais da Advocacia-Geral da União
deverá ser revisada sempre que as alterações de regulamentação e as atualizações
tecnológicas assim determinarem, de forma a manter sua efetividade e atualidade, sob
iniciativa do controlador.
Art. 42. O controlador deverá:
I - avaliar os processos, serviços e sistemas em uso pela Advocacia-Geral da União
quanto ao cumprimento das determinações desta Portaria Normativa e adotar as providências
necessárias para sua adequação; e
II - adaptar às determinações desta Portaria Normativa, no que couber, os
inventários de dados pessoais e os relatórios de impacto à proteção de dados pessoais já
elaborados e ainda em uso.
Art. 43. A Secretaria de Governança e Gestão Estratégica deverá propor minuta de
Plano de Atendimento às Demandas dos Titulares de Dados Pessoais ao Comitê de Governança
da Advocacia-Geral da União no prazo de cento e oitenta dias, contados da vigência desta
Portaria Normativa.
Parágrafo único: O Plano referido no caput será disponibilizado por meio de manual
com informações sobre:
I - os direitos dos titulares de dados pessoais perante a Advocacia-Geral da União;
II - a forma de exercício dos direitos dos titulares de dados pessoais e as etapas e os
prazos para resposta às suas solicitações;
III - competências dos órgãos internos; e
IV - canais de comunicação.
Art. 44. A Portaria Normativa AGU nº 165, de 12 de março de 2025, passa a vigorar
com a seguinte alteração:
"Art. 6º .................................................................................................................
.........................................................................................................................................
II - .........................................................................................................................
.........................................................................................................................................
h) inovação;
i) governança de processos de trabalho; e
j) proteção de dados pessoais;
..........................................................................................................................................
IX - deliberar sobre medidas administrativas de governança corporativa, bem como
sobre ferramentas e instrumentos utilizados para a consecução dos objetivos estratégicos;
X - exercer a função de:
a) Comitê de Governança Digital, nos termos do art. 5º do Decreto nº 12.198, de 24
de setembro de 2024, conforme dispuser portaria normativa específica do Advogado-Geral da
União; e
b) Comitê de Segurança da Informação, nos termos do art. 15, caput, inciso IV, do
Decreto nº 9.637, de 26 de dezembro de 2018, conforme dispuser portaria normativa
específica do Advogado-Geral da União; e
XI - exercer as competências determinadas no art. 35 da Portaria Normativa AGU nº
226, de 15 de junho de 2026.
................................................................................................................................" (NR)
Art. 45. A Portaria Normativa AGU nº 166, de 12 de março de 2025, passa a vigorar
com a seguinte alteração:
"Art. 21-A. A gestão de incidentes de segurança da informação que envolvam dados
pessoais deve seguir o disposto na Portaria Normativa AGU nº 226, de 15 de junho de 2026." (NR)
Art. 46. Esta Portaria Normativa entra em vigor na data de sua publicação.
JORGE RODRIGO ARAÚJO MESSIAS