RESOLUÇÃO Nº 4, DE 13 DE JULHO DE 2026 (parte 2 de 2)

CAPÍTULO V
DOS DIREITOS DOS TITULARES
Art. 36. O Ministério da Educação adotará as medidas necessárias para garantir o
exercício pleno dos direitos dos titulares de dados pessoais, conforme estabelecido na LGPD e
em eventuais normas complementares.
Art. 37. O exercício dos direitos dos titulares poderá ser realizado mediante
requerimento expresso do titular ou de seu representante legalmente constituído, direcionado
ao encarregado pelo tratamento de dados pessoais.
§ 1º Caso o requerimento seja recebido por canais distintos do previsto no art. 38,
a unidade responsável deverá encaminhá-lo ao encarregado, para que as providências cabíveis
sejam adotadas.
§ 2º Os requerimentos serão atendidos observadas as exceções previstas na
legislação, como impossibilidade jurídica, informações de acesso restrito e situações que
envolvam sigilo, conforme disposto na Lei nº 12.527, de 18 de novembro de 2011, e outras
normas correlatas.
§ 3º Para os requerimentos de acesso aos dados pessoais, aplicam-se os mesmos
prazos e procedimentos definidos na Lei nº 12.527, de 18 de novembro de 2011, sendo que o
encarregado poderá definir prazos razoáveis para o fornecimento das informações ou para a
tomada de providências por outras unidades do Ministério da Educação, quando necessário.
§ 4º O atendimento a requerimentos que impliquem o acesso a dados pessoais
sob controle do Ministério da Educação será condicionado ao cumprimento, pelo requerente,
dos requisitos exigidos para a confirmação de sua identidade como titular das informações.
§ 5º O titular não será onerado para o exercício de seus direitos.
Art. 38. O Ministério da Educação manterá em seu sítio eletrônico informações
claras e acessíveis sobre os direitos dos titulares, os procedimentos necessários para o seu
exercício e o canal de comunicação para atendimento de demandas relacionadas à proteção de
dados pessoais, por meio da plataforma Fala.BR.
CAPÍTULO VI
DAS OBRIGAÇÕES DE TRANSPARÊNCIA ATIVA
Art. 39. O Ministério da Educação divulgará, em seção específica de seu sítio
eletrônico, informações detalhadas e atualizadas relacionadas ao tratamento de dados
pessoais, conforme disposto no art. 23 da Lei nº 13.709, de 14 de agosto de 2018,
incluindo:
I - as bases legais que fundamentam as operações de tratamento de dados pessoais
realizadas pelo órgão;
II - as finalidades específicas das operações de tratamento e uso compartilhado de
dados pessoais;
III - a identificação dos órgãos, entidades públicas e privadas com os quais ocorre o
uso compartilhado de dados pessoais - incluindo casos de transferência internacional - e os
respectivos destinatários;
IV - a relação de operadores contratados para realizar o tratamento de dados
pessoais em nome do Ministério da Educação;
V - os direitos garantidos aos titulares de dados pessoais e a forma como eles
poderão ser exercidos no âmbito do órgão;
VI - a Política Interna de Proteção de Dados Pessoais do MEC - PPDP-MEC; e
VII - os Termos de Uso aplicáveis aos serviços públicos disponibilizados.
Art. 40. A divulgação de dados pessoais pelo Ministério da Educação, para fins de
comunicação social, publicidade ou cumprimento de normas de transparência e acesso à
informação, deverá ser compatibilizada com o direito à privacidade e à proteção de dados
pessoais, nos termos da Lei nº 12.527, de 18 de novembro de 2011.
CAPÍTULO VII
DA CONSCIENTIZAÇÃO E CAPACITAÇÃO
Art. 41. O Ministério da Educação promoverá ações contínuas de conscientização e
capacitação direcionadas aos agentes públicos, colaboradores e demais partes interessadas,
com o objetivo de fortalecer a cultura de privacidade e proteção de dados pessoais.
Art. 42. O programa de conscientização e capacitação será realizado de forma
contínua e poderá incluir:
I - treinamentos, cursos, palestras, oficinas e seminários, nas modalidades
presencial e virtual;
II - publicação de guias, cartilhas, manuais e outros materiais educativos;
III - campanhas informativas sobre privacidade e proteção de dados pessoais; e
IV - avaliações periódicas para medir o nível de conhecimento adquirido e a eficácia
das ações implementadas.
Art. 43. Para garantir a disseminação do conhecimento sobre proteção de dados pessoais e
privacidade, o encarregado pelo tratamento de dados pessoais, em conjunto com o SPPD-MEC, deverá:
I - propor e apoiar campanhas de conscientização que promovam a cultura da
proteção de dados pessoais e da privacidade no âmbito do Ministério da Educação; e
II - fornecer orientações aos servidores e colaboradores do Ministério da Educação
sobre práticas de conformidade em proteção de dados pessoais e privacidade, que devem ser
implementadas por todos os integrantes da instituição.
Art. 44. As atividades de capacitação relacionadas à proteção de dados pessoais
serão promovidas pela unidade responsável pela coordenação, planejamento e
desenvolvimento de ações de formação no Ministério da Educação, em articulação com o
encarregado pelo tratamento de dados pessoais.
§ 1º Os servidores, colaboradores e demais partes envolvidas no tratamento de
dados pessoais, no âmbito do Ministério da Educação, devem participar de programas relativos
à privacidade e à proteção de dados pessoais, objetivando adequar o tema aos seus papéis e
responsabilidades.
§ 2º O Ministério da Educação poderá firmar parcerias estratégicas com
entidades públicas e privadas, com o propósito de ampliar o alcance das ações institucionais
e promover o fortalecimento da cultura de privacidade e proteção de dados.
CAPÍTULO VIII
DA SEGURANÇA E BOAS PRÁTICAS
Art. 45. As normas de segurança da informação e de prevenção contra incidentes
relacionados aos dados pessoais tratados pelo Ministério da Educação estarão contidas na
Política Corporativa de Segurança da Informação e Proteção de Dados do Ministério da
Educação - PSI-MEC, bem como nas normativas internas e nos documentos técnicos correlatos,
que asseguram a proteção e a privacidade dos dados pessoais.
Art. 46. A prevenção de violações de dados pessoais é de responsabilidade de todos
os servidores, colaboradores e terceiros que possuam vínculo funcional com o Ministério da
Educação, ainda que transitoriamente ou sem remuneração.
Parágrafo único. Cada servidor, colaborador e responsável pelas atividades de
tratamento de dados deve adotar práticas que garantam a integridade, confidencialidade e
disponibilidade das informações, contribuindo para a segurança de dados pessoais no
Ministério da Educação.
Art. 47. Todos os servidores e colaboradores do Ministério da Educação têm o
dever de comunicar imediatamente ao encarregado pelo tratamento de dados pessoais
qualquer suspeita de irregularidade no tratamento de dados pessoais ou a ocorrência de
condutas que possam configurar violação à legislação de proteção de dados pessoais,
incluindo, mas não se limitando a:
I - tratamento de dados pessoais sem a devida autorização ou base legal
apropriada, conforme a LGPD;
II - realização de atividades de tratamento em desacordo com a PSI-MEC;
III - ato não autorizado de eliminação, alteração ou destruição de dados pessoais
em ambientes físicos ou digitais; e
IV - qualquer outra prática que infrinja as disposições da PPDP-MEC ou os princípios
de proteção de dados pessoais estabelecidos na LGPD.
Art. 48. O Ministério da Educação deve adotar medidas técnicas e administrativas
aptas a proteger os dados pessoais.
§ 1º O Ministério da Educação deverá utilizar tecnologias que, por padrão,
atendam às boas práticas de segurança da informação e proteção de dados pessoais desde a
concepção de seus sistemas e processos, alinhando-se às diretrizes estabelecidas na LGPD.
§ 2º Os sistemas e processos em uso no momento da publicação desta Resolução
devem ser gradualmente ajustados para atender aos seus requisitos, considerada a prioridade
da área responsável e os riscos associados ao tratamento de dados pessoais, sempre buscando
mitigar potenciais danos.
Art. 49. Ao coletarem dados pessoais por meio de cookies ou outras tecnologias de
rastreamento, os portais e sistemas on-line do Ministério da Educação devem assegurar que o
seu tratamento esteja em conformidade com as normas de proteção de dados pessoais previstas
na LGPD, oferecendo aos usuários a transparência e o controle sobre suas informações.
CAPÍTULO IX
DO INVENTÁRIO DE DADOS PESSOAIS
Art. 50. O Ministério da Educação assegurará a adoção de medidas eficazes para a
realização do Inventário de Dados Pessoais, que deve identificar as operações de tratamento
de dados pessoais realizadas no âmbito das atividades de competência do Ministério da
Educação, com especial atenção para os dados pessoais sensíveis, conforme definidos pela
LGPD.
§ 1º O inventário abrangerá todas as fases do ciclo de vida dos dados pessoais
dentro do órgão.
§ 2º O Inventário de Dados Pessoais deverá ser realizado em cada unidade
administrativa do Ministério da Educação, com o apoio do encarregado pelo tratamento de dados
pessoais, e deverá identificar as operações de tratamento de dados realizadas no âmbito de suas
atividades, levando em consideração as particularidades e especificidades de cada setor.
§ 3º As operações de tratamento de dados pessoais e as informações relacionadas
serão catalogadas e identificadas pelas unidades responsáveis, em conformidade com o ciclo
de vida dos dados sob sua custódia.
Art. 51. O Inventário de Dados Pessoais será periodicamente revisado e atualizado,
com intervalos máximos de doze meses, ou sempre que houver mudanças significativas nas
operações de tratamento de dados.
Art. 52. O Inventário de Dados Pessoais servirá como ferramenta de gestão para:
I - monitorar a conformidade do Ministério da Educação com as disposições da
LGPD e outras regulamentações pertinentes;
II - subsidiar a elaboração de RIPDs, sempre que necessário; e
III - identificar e mitigar riscos relativos ao tratamento de dados pessoais,
garantindo a proteção dos direitos dos titulares de dados.
Art. 53. O Inventário de Dados Pessoais será disponibilizado à ANPD, quando solicitado.
CAPÍTULO X
DO RELATÓRIO DE IMPACTO À PROTEÇÃO DE DADOS PESSOAIS - RIPD
Art. 54. O Ministério da Educação elaborará o RIPD nos casos em que as
operações de tratamento possam gerar alto risco à garantia dos princípios gerais de
proteção de dados pessoais, às liberdades civis e aos direitos fundamentais dos titulares.
§ 1º O RIPD deverá ser elaborado antes do início de qualquer operação de
tratamento que possa causar risco elevado aos direitos dos titulares, considerando as
especificidades do tratamento e as medidas de mitigação de risco.
§ 2º Para a elaboração do RIPD, deverão ser observados os parâmetros e diretrizes
estabelecidos pela ANPD, conforme os documentos normativos e orientações publicadas por
essa autoridade.
§ 3º O RIPD deverá:
I - ser elaborado pela unidade organizacional responsável pelo tratamento de
dados que possa gerar risco ao titular, com o apoio e a orientação do SPPD-MEC;
II - incluir a descrição detalhada das operações de tratamento, bases legais,
duração do tratamento e transferências de dados, identificando os riscos potenciais aos
direitos dos titulares e sugerindo ou fornecendo as ações corretivas necessárias para evitar ou
mitigar esses riscos; e
III - considerar a implementação de salvaguardas, medidas de segurança e controles
técnicos para minimizar os riscos identificados, incluindo a avaliação de novos tratamentos,
tecnologias ou mudanças de contexto que possam impactar a proteção dos dados pessoais.
§ 4º A revisão do RIPD deverá ocorrer periodicamente, ou quando novos riscos
forem identificados.
§ 5º A unidade responsável pela elaboração do RIPD deverá manter um processo
contínuo de monitoramento dos tratamentos de dados e de suas consequências para os
titulares, garantindo que quaisquer novos riscos sejam prontamente identificados e mitigados.
§ 6º Serão consideradas suscetíveis de causar elevado risco aos direitos e às
garantias fundamentais dos titulares de dados pessoais as operações de tratamento que,
dentre outros fatores, envolvam:
I - limitação no exercício dos direitos dos titulares de dados pessoais;
II - dados pessoais sensíveis de terceiras pessoas;
III - dados pessoais de crianças e adolescentes;
IV - dados biométricos e genéticos;
V - dados que possam colocar em risco a vida, a saúde ou a segurança dos titulares
de dados pessoais;
VI - o tratamento massivo de dados pessoais acessíveis publicamente ou tornados
manifestamente públicos pelos próprios titulares;
VII - a combinação de dados ou conjunto de dados de fontes diferentes; e
VIII - decisões automatizadas que envolvam dados pessoais.
Art. 55. Os RIPDs serão publicados em transparência ativa, observadas eventuais
restrições de acesso à informação dispostas na Lei nº 12.527, de 18 de novembro de 2011.
CAPÍTULO XI
DA FISCALIZAÇÃO E DO DESCUMPRIMENTO
Art. 56. Qualquer incidente de segurança que possa acarretar risco ou dano
relevante aos titulares deve ser comunicado ao encarregado pelo tratamento de dados
pessoais, que, apoiado pelo SPPD-MEC, tomará as seguintes providências:
I - notificar a ANPD;
II - notificar a autoridade máxima do Ministério da Educação;
III - notificar o titular do dado;
IV - notificar o órgão correcional, para abertura de processo de sindicância;
V - identificar o impacto do dano ou da violação à legislação de proteção de dados
pessoais; e
VI - aplicar medidas técnicas para a proteção dos dados pessoais.
Art. 57. É vedado a qualquer indivíduo ou entidade que atue em nome do
Ministério da Educação utilizar dados pessoais para fins próprios, transferir tais dados a
terceiros não autorizados ou permitir o acesso indevido a dados por pessoas não autorizadas,
sob qualquer circunstância.
Parágrafo único. A inobservância da presente PPDP-MEC acarretará a apuração das
responsabilidades previstas nas normas internas do Ministério da Educação e na legislação em
vigor, podendo haver responsabilização penal, civil e administrativa.
CAPÍTULO XII
DAS DISPOSIÇÕES FINAIS
Art. 58. Aplica-se a esta Resolução o disposto na Política de Governança de
Dados do Ministério da Educação, quanto às competências das unidades gestoras da
informação.
Art. 59. Os integrantes do SPPD-MEC poderão expedir instruções
complementares no âmbito de suas competências, as quais detalharão suas particularidades
e procedimentos relativos à proteção de dados alinhados às diretrizes emanadas pelo
CGDados e aos projetos estratégicos e institucionais do Ministério da Educação.
Art. 60. Esta Política e suas instruções normativas serão revisadas a cada dois anos,
a partir do início de sua vigência, ou quando houver alteração da legislação.
Art. 61. Esta Resolução entra em vigor na data de sua publicação.
RODOLFO DE CARVALHO CABRAL
Presidente do Comitê