PORTARIA SUFRAMA Nº 2.631, DE 14 DE JULHO DE 2026 (parte 2 de 2)

ANEXO I
PROCEDIMENTO INSTITUCIONAL DE GESTÃO E COMUNICAÇÃO DE INCIDENTES DE SEGURANÇA ENVOLVENDO DADOS PESSOAIS À AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS
- ANPD
CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
Seção I
Do Objeto
Art. 1º Este Procedimento institui o fluxo institucional para identificação, registro, análise, tratamento e comunicação de incidentes de segurança envolvendo dados pessoais, no
âmbito da Superintendência da Zona Franca de Manaus - SUFRAMA.
Seção II
Dos Objetivos
Art. 2º O procedimento estabelecido neste Anexo tem por objetivos
I - estabelecer fluxo institucional padronizado para gestão de incidentes de segurança envolvendo dados pessoais;
II - definir responsabilidades das unidades organizacionais envolvidas;
III - assegurar a comunicação tempestiva à Autoridade Nacional de Proteção de Dados - ANPD;
IV - mitigar riscos aos direitos e liberdades fundamentais dos titulares de dados pessoais; e
V - fortalecer a governança institucional em proteção de dados pessoais.
CAPÍTULO II
DAS Definições
Art. 3º Para fins desta Portaria, adotam-se as seguintes definições:
I - Incidente de Segurança envolvendo Dados Pessoais: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade,
disponibilidade e autenticidade da segurança de dados pessoais;
II - Encarregado pelo Tratamento de Dados Pessoais: pessoa indicada pela SUFRAMA para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD,
responsável por orientar os funcionários e os contratados e apoiar a conformidade institucional quanto às práticas de proteção de dados pessoais, nos termos do art. 41 da Lei nº 13.709, de 2018;
III - Controlador: Pessoa jurídica de direito público ou privado, ou pessoa natural, a quem competem as decisões referentes ao tratamento de dados pessoais;
IV - Risco ou Dano Relevante: possibilidade de prejuízo significativo ao titular dos dados, envolvendo danos morais, materiais, patrimoniais, discriminação, violação de direitos
fundamentais, exposição de dados sensíveis ou financeiros, ou qualquer outra situação que possa gerar consequências negativas para o titular;
V - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR: unidade responsável pela detecção e análise técnica especializada de incidentes de segurança
da informação no âmbito da SUFRAMA, nos termos da Portaria SUFRAMA nº 733, de 21 de março de 2023;
VI - Integridade: propriedade pela qual se assegura que o dado pessoal não foi modificado ou destruído de maneira não autorizada ou acidental;
VII - Confidencialidade: propriedade pela qual se assegura que o dado pessoal não esteja disponível ou não seja revelado a pessoas, empresas, sistemas, órgãos ou entidades não
autorizados;
VIII - Disponibilidade: propriedade pela qual se assegura que o dado pessoal esteja acessível e utilizável, sob demanda, por uma pessoa natural ou determinado sistema, órgão
ou entidade devidamente autorizados;
IX - Comunicação de incidente de segurança: ato do controlador que comunica à ANPD e ao titular de dados a ocorrência de incidente de segurança que possa acarretar risco
ou dano relevante aos titulares;
X - Autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa física, equipamento,
sistema, órgão ou entidade;
XI - Área responsável: unidades organizacionais da SUFRAMA;
XII - Titulares em situação de vulnerabilidade: pessoas naturais que, em razão de idade, condição socioeconômica ou outras circunstâncias, demandem maior proteção, incluindo
crianças, adolescentes e idosos; e
XIII - Relatório de tratamento de incidente: documento fornecido pelo controlador que contém cópias, em meio físico ou digital, de dados e informações relevantes para descrever
o incidente e as providências adotadas para reverter ou mitigar os seus efeitos.
XIV - ANPD: Autoridade Nacional de Proteção de Dados.
CAPÍTULO III
DA governança institucional
Seção I
Do Controlador
Art. 4º Compete ao Superintendente da SUFRAMA, na qualidade de autoridade máxima do controlador:
I - deliberar sobre a necessidade de comunicação do incidente à ANPD e aos titulares afetados;
II - determinar a adoção de medidas administrativas e técnicas para mitigação dos efeitos do incidente; e
III - assegurar os recursos institucionais necessários à resposta a incidentes.
Seção II
Do Encarregado pelo Tratamento de Dados
Art. 5º Compete ao Encarregado pelo Tratamento de Dados Pessoais:
I - coordenar o processo institucional de comunicação de incidentes à ANPD;
II - atuar como ponto de contato institucional junto à ANPD;
III - orientar as unidades administrativas quanto às obrigações decorrentes da legislação de proteção de dados; e
IV - consolidar as informações necessárias à comunicação institucional de incidentes.
Seção III
Da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos
Art. 6º A Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR, regulamentada pela Portaria SUFRAMA nº 733, de 21 de março de 2023, atua em dois
momentos distintos no fluxo institucional de gestão de incidentes:
I - na detecção e identificação de incidentes de segurança da informação com potencial envolvimento de dados pessoais, reportando imediatamente ao Gestor de Segurança da
Informação e à Autoridade Máxima da área de TIC, nos termos do art. 1º, §3º, II, da Portaria SUFRAMA nº 733, de 2023; e
II - na análise técnica especializada de incidentes cibernéticos, quando acionada pela Coordenação-Geral de Tecnologia da Informação e Comunicação - CGTIC, para subsidiar a
avaliação de impacto sobre dados pessoais pelo Encarregado pelo Tratamento de Dados Pessoais.
CAPÍTULO IV
DA IDENTIFICAÇÃO E REGISTRO DE INCIDENTES
Art. 7º As áreas responsáveis da SUFRAMA deverão monitorar continuamente sinais de possível incidente de segurança com dados pessoais.
Art. 8º Identificado um incidente ou suspeita, a área responsável deverá:
I - acionar imediatamente o Encarregado pelo Tratamento de Dados Pessoais;
II - iniciar medidas de contenção e isolamento para evitar a propagação do incidente;
III - preservar evidências digitais e físicas relacionadas ao incidente para fins de investigação e auditoria; e
IV - registrar detalhadamente todas as ações executadas, horários e responsáveis.
Art 9º Na hipótese de o incidente de segurança envolver violação das propriedades de segurança de sistemas de informação e dados, o Encarregado pelo Tratamento de Dados
Pessoais comunicará o fato à Coordenação-Geral de Tecnologia da Informação e Comunicação - CGTIC, para que a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos
- ETIR realize análise técnica da ocorrência no âmbito de suas competências.
Parágrafo único: Os resultados da análise técnica serão reportados pela ETIR ao Gestor de Segurança da Informação e à Autoridade Máxima da área de TIC, nos termos da Portaria
SUFRAMA nº 733, de 2023, e encaminhados ao Encarregado pelo Tratamento de Dados Pessoais para subsidiar a avaliação de impacto sobre os titulares.
CAPÍTULO V
Da avaliação de riscos
Art. 10. A avaliação do incidente deverá considerar, de forma prioritária, os seguintes aspectos para determinar o nível de riscos aos titulares:
I - impacto potencial aos titulares dos dados, incluindo a probabilidade e a gravidade do dano;
II - natureza e sensibilidade dos dados envolvidos;
III - exposição de danos financeiros;
IV - exposição de dados de titulares em situação de vulnerabilidade, incluindo crianças, adolescentes e idosos; e
V - possibilidade de danos morais, materiais ou reputacionais aos titulares.
Parágrafo único. Todos os fatos relacionados ao incidente deverão ser registrados em sistema próprio da instituição, incluindo data, hora, unidade responsável, descrição dos
eventos, medidas adotadas, resultados da avaliação de risco e decisões tomadas, independentemente da obrigatoriedade de comunicação à ANPD. Devendo ser mantidos pelo prazo mínimo
definido na política de gestão documental e disponibilizados para fins de auditoria, controle e eventual requisição por órgãos de controle.
CAPÍTULO VI
da comunicação de incidentes
Seção I
Comunicação à ANPD
Art. 11. A comunicação formal de incidente de segurança à Autoridade Nacional de Proteção de Dados - ANPD será realizada exclusivamente pelo Encarregado pelo Tratamento
de Dados Pessoais ou, na sua ausência, pelo representante legal do controlador, devidamente designado para tal finalidade.
§1º A comunicação deverá ser feita obrigatoriamente por meio de peticionamento eletrônico no sistema eletrônico disponibilizado pela ANPD para esse fim, seguindo as
orientações e formulários divulgados pela Autoridade Nacional de Proteção de Dados.
§2º A comunicação observará os prazos e procedimentos estabelecidos na regulamentação da ANPD, especialmente os previstos na Resolução CD/ANPD nº 15, de 24 de abril de 2024.
Seção II
Da obrigatoriedade da Comunicação ANPD
Art. 12. A comunicação do incidente de segurança à ANPD será obrigatória quando houver risco ou dano relevante aos titulares, caracterizado, mas não limitado, pelos seguintes critérios:
I - afetação de dados sensíveis, conforme definição da Lei nº 13.709, de 2018;
II - exposição de dados financeiros que possam gerar perdas econômicas aos titulares;
III - envolvimento de dados de titulares em situação de vulnerabilidade, incluindo crianças, adolescentes e idosos;
IV - grande volume de titulares atingidos, indicando impacto em larga escala; e
V - riscos significativos aos direitos e liberdades fundamentais dos titulares.
Seção III
Conteúdo da Comunicação
Art. 13. A comunicação deverá conter, no mínimo:
I - descrição detalhada da natureza do incidente, incluindo a data e hora aproximadas de sua ocorrência e detecção, bem como a data da ciência do incidente pelo controlador;
II - categorias de dados pessoais afetados e volume estimado de titulares atingidos;
III - indicação de titulares em situação de vulnerabilidade potencialmente afetados, quando cabível;
IV - causa conhecida ou provável do incidente;
V - medidas de segurança técnicas e administrativas existentes antes do incidente, que visavam proteger os dados pessoais;
VI - ações emergenciais e medidas de contenção adotadas imediatamente após a identificação do incidente;
VII - avaliação preliminar dos riscos decorrentes do incidente para os direitos e liberdades dos titulares;
VIII - medidas de mitigação planejadas ou implementadas para reverter ou atenuar os efeitos do incidente;
IX - informações de contato do Encarregado pelo Tratamento de Dados Pessoais; e
X - quando a comunicação não ocorrer imediatamente após a ciência do incidente, motivação para o atraso.
Seção IV
Dos Formulários de Comunicação à ANPD
Art. 14. A comunicação deverá utilizar o formulário correspondente disponibilizado pela ANPD no sistema eletrônico por ela mantido para esse fim, que poderá ser a Comunicação
Preliminar (para informações iniciais) ou a Comunicação Completa (para informações detalhadas e consolidadas), conforme a fase de apuração do incidente.
Parágrafo único. Quando não for possível reunir todas as informações exigidas no prazo previsto, deverá ser enviada comunicação parcial à ANPD, contendo os dados disponíveis.
As informações complementares deverão ser apresentadas assim que estiverem disponíveis, em comunicação suplementar.
Seção V
Comunicação aos Titulares
Art. 15. Quando o incidente puder acarretar risco ou dano relevante aos titulares, a SUFRAMA deverá promover a comunicação aos titulares afetados, nos termos do art. 48 da
Lei nº 13.709/2018 e regulamentação da ANPD.
Parágrafo único. A comunicação deverá indicar, no mínimo, a natureza do incidente, os dados pessoais envolvidos, as medidas de contenção e mitigação adotadas, e as medidas
preventivas recomendadas aos titulares.
CAPÍTULO VII
Do fluxo institucional de gestão de incidentes
Art. 16. Sempre que houver identificação, suspeita ou indício de incidente com dados pessoais, a área responsável deverá realizar comunicação imediata ao Encarregado pelo
Tratamento de Dados Pessoais, por meio do Modelo de Registro constante do Anexo III desta Portaria.
§1º O Encarregado pelo Tratamento de Dados Pessoais realizará avaliação de impacto do evento sobre os dados pessoais envolvidos, identificando as categorias de dados
afetados, o universo de titulares e o nível de risco aos seus direitos e liberdades, com base nas evidências coletadas pela área responsável e, quando aplicável, nos resultados da análise
técnica da ETIR.
§2º As informações produzidas constituirão subsídio essencial ao Superintendente da SUFRAMA, para fins de adoção de decisão fundamentada sobre o caso concreto, incluindo
a necessidade de comunicação à ANPD e aos titulares afetados.
§3º Esta comunicação imediata constitui etapa obrigatória do fluxo institucional de gestão de incidentes e sua omissão caracteriza descumprimento procedimental.
§4º Concluídas as medidas de resposta, o Encarregado pelo Tratamento de Dados Pessoais elaborará o Relatório de Tratamento de Incidente, conforme modelo constante do
Anexo IV desta Portaria.
CAPÍTULO VIII
DA CAPACITAÇÃO E MELHORIA CONTÍNUA
Art. 17. Todas as áreas responsáveis deverão receber capacitação periódica em:
I - proteção de dados pessoais; e
II - segurança da informação.
Art. 18. Os procedimentos estabelecidos nesta Portaria deverão ser revisados periodicamente, no mínimo uma vez ao ano.
CAPÍTULO IX
DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS
Art. 19. Os casos omissos serão decididos pelo Controlador, ouvido o Encarregado pelo Tratamento de Dados Pessoais, buscando sempre a melhor proteção aos dados pessoais
e a conformidade com a legislação vigente.
Art. 20. Esta Portaria possui caráter organizacional e procedimental, não implicando inovação na ordem jurídica, limitando-se à regulamentação interna das disposições legais vigentes.
Art. 21. Este Procedimento entra em vigor na data de publicação da Portaria que o institui.
ANEXO II
FLUXOGRAMA INSTITUCIONAL DE RESPOSTA A INCIDENTES (imagem)
1_MDICS_20_001
ANEXO III
MODELO DE REGISTRO DE NCIDENTE
. .REGISTRO DE INCIDENTE DE SEGURANÇA .Base legal:
LGPD, art. 48
Res. CD/ANPD nº 15/2024
. .1. IDENTIFICAÇÃO
. .Data e hora da detecção .
. .Protocolo / Número do Registro .
. .Unidade responsável pela detecção .
. .Sistema ou base de dados afetada .
. . .
. .Responsável pelo preenchimento .
. .2. DESCRIÇÃO DO INCIDENTE
. .Tipo de incidente .
. .Forma de detecção .
. .Data estimada de ocorrência .
. .Descrição detalhada do incidente .
. .3. DADOS AFETADOS
. .Tipo(s) de dado pessoal envolvido(s) .
. .Volume estimado de titulares afetados .
. .Categoria de titular (ex.: servidor, cidadão,
fornecedor)
.
. .Dados sensíveis envolvidos? (art. 5º, II, LGPD) .( ) Sim ( ) Não ( ) Não identificado
. .4. AVALIAÇÃO PRELIMINAR DE RISCO
. .Nível de impacto .( ) Baixo ( ) Médio ( ) Alto ( ) Crítico
. .Probabilidade de dano aos titulares .( ) Remota ( ) Possível ( ) Provável ( ) Certa
. .Comunicação à ANPD necessária?(Res. CD/ANPD nº
15/2024, art. 5º, §1º)
.( ) Sim (prazo: 3 dias úteis) ( ) Não ( ) Em avaliação
. .5. MEDIDAS ADOTADAS
. .Contenção .
. .Mitigação .
. .Comunicação institucional .
. .6. RESPONSÁVEIS PELO TRATAMENTO
. .Área / Gestor da ocorrência .
. .Encarregado pelo Tratamento de Dados Pessoais .
. .Área de Tecnologia da Informação .
ANEXO IV
RELATÓRIO DE TREINAMENTO DE INCIDENTE:
. .RELATÓRIO DE TRATAMENTO DE INCIDENTE DE SEGURANÇA .Base legal:
LGPD, art. 48
Res. CD/ANPD nº 15/2024
. .1. IDENTIFICAÇÃO DA INSTITUIÇÃO
. .Órgão / Entidade .
. .Responsável pelo
envio
.
. .Cargo .
. .Contato
institucional (e-mail
/ telefone)
.
. .2. INFORMAÇÕES GERAIS DO INCIDENTE
. .Data da
ocorrência
. .Data da detecção .
. .Data da
comunicação à
ANPD
. .Prazo Legal (Res. nº 15/2024, art, 6º) .3 dias úteis a partir da ciência
. .Sistema ou base
de dados afetada
.
. .Descrição do incidente
. .
. .3. DADOS PESSOAIS ENVOLVIDOS
. .Categoria de dados
afetados
.( ) Dados cadastrais (nome, CPF, endereço, contato)
( ) Dados financeiros (conta, cartão, renda)
( ) Dados sensíveis (saúde, biometria, origem racial, etc.)
( ) Outros: _________________________________
. .Quantidade
estimada de
titulares afetados
.
. .4. CIRCUNSTÂNCIAS DO INCIDENTE
. .Forma de
detecção
.
. .Possível causa do
incidente
.( ) Falha técnica (sistema, infraestrutura, software)
( ) Erro humano (acesso indevido, envio incorreto, extravio)
( ) Ataque externo (invasão, phishing, ransomware)
( ) Outros: _________________________________
. .Descrição da causa identificada
. .
. .5. AVALIAÇÃO DE IMPACTO
. .Risco aos titulares .( ) Baixo - sem expectativa de dano significativo
( ) Moderado - possibilidade de transtorno ou dano limitado
( ) Alto - probabilidade de dano grave (financeiro, físico, reputacional)
( ) Crítico - dano severo e irreversível a grande número de titulares
. .Possíveis
consequências
.( ) Fraude ou estelionato
( ) Discriminação ou preconceito
( ) Danos financeiros
( ) Exposição pública / dano à reputação
( ) Outros: _________________________________
. .6. MEDIDAS ADOTADAS
. .Medidas imediatas de contenção
. .
. .Medidas corretivas implementadas
. .
. .Medidas preventivas futuras
. .
. .7. COMUNICAÇÃO AOS TITULARES
. .Situação da
comunicação
.( ) Comunicação realizada aos titulares afetados
( ) Não aplicável - risco classificado como baixo
. .Forma / canal de comunicação utilizado
. .