RESOLUÇÃO CONTER Nº 8, DE 24 DE JULHO DE 2026 (parte 1 de 3)

RESOLUÇÃO CONTER Nº 8, DE 24 DE JULHO DE 2026
(Aprovada ad referendum da Plenária, nos termos do art. 12 e seu § 2º do Regimento Interno)
Institui a Política de Segurança da Informação - PSI
no Âmbito do Conselho Nacional de Técnicos em
Radiologia - CONTER e dá outras providências.
A Diretoria Executiva do CONSELHO NACIONAL DE TÉCNICOS EM
RADIOLOGIA - CONTER, autarquia federal criada pela Lei nº 7.394, de 29 de outubro
de 1985, regulamentada pelo Decreto nº 92.790, de 17 de junho de 1986, no uso das
atribuições que lhe confere o Regimento Interno, ad referendum do Plenário;
CONSIDERANDO o disposto na Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral
de Proteção de Dados Pessoais ("LGPD"), em especial o Capítulo IV e os Artigos 46 a 51;
CONSIDERANDO o Decreto nº 9.637, de 26 de dezembro de 2018, que
institui a Política Nacional de Segurança da Informação ("PNSI") e determina aos órgãos
e às entidades da administração pública federal a instituição de sua própria Política de
Segurança da Informação ("PSI");
CONSIDERANDO o Decreto nº 10.222, de 5 de fevereiro de 2020, que aprova
a Estratégia Nacional de Segurança Cibernética ("ENSC");
CONSIDERANDO a Lei nº 12.527, de 18 de novembro de 2011 - Lei de Acesso à
Informação, a Lei nº 8.159, de 8 de janeiro de 1991, e a Lei nº 14.129, de 29 de março de 2021;
CONSIDERANDO as Instruções Normativas do Gabinete de Segurança
Institucional da Presidência da República, notadamente a IN GSI/PR nº 1, de 27 de
maio de 2020, a IN GSI/PR nº 3, de 28 de maio de 2021, a IN GSI/PR nº 5, de 30 de
agosto de 2021, e a IN GSI/PR nº 8, de 26 de agosto de 2020, adotadas por esta
autarquia como referencial normativo de observância obrigatória; e as normas ABNT
NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27002 como referencial técnico;
CONSIDERANDO a necessidade de assegurar a confidencialidade, a
integridade, a disponibilidade e a autenticidade das informações custodiadas pelo
CONTER, bem como a proteção dos dados pessoais de seus profissionais registrados,
empregados públicos, membros honoríficos e voluntários, funcionários terceirizados,
cidadãos titulares dos dados pessoais por aquele controlados e de pessoas jurídicas
prestadores de serviços;
CONSIDERANDO a Portaria CONTER nº 60/2026, que empossou o atual
Encarregado pelo Tratamento de Dados Pessoais ("DPO"), e a Portaria CONTER nº
61/2026, que reformulou a Comissão de Privacidade de Proteção de Dados,
posteriormente denominada Comissão de Tratamento e Proteção de Dados ("CTPD")
pela Portaria 0097/2026;
CONSIDERANDO a decisão da Reunião de Diretoria Executiva do CONTER,
AD-REFERENDUM da Plenária, realizada no dia 23 de julho de 2026, concernente à
instituição da Política de Segurança da Informação (PSI) no âmbito do CONTER;
resolve:
instituir a Política de Segurança da Informação (PSI) no âmbito do
CONTER.
TÍTULO I
DAS DISPOSIÇÕES PRELIMINARES
CAPÍTULO I - DO OBJETO E DA FINALIDADE
Art. 1º Fica instituída a Política de Segurança da Informação - PSI ("Política")
do Conselho Nacional de Técnicos em Radiologia - CONTER ("Autarquia", "Conselho" ou
"Controlador"), com o objetivo de estabelecer princípios, diretrizes, responsabilidades e
estrutura de governança destinados à proteção das informações e dos ativos de
informação sob custódia da autarquia.
Art. 2º São finalidades da PSI:
I) assegurar a confidencialidade, a integridade, a disponibilidade e a
autenticidade das informações institucionais, independentemente do meio ou suporte
em que se encontrem;
II) proteger os dados pessoais tratados pelo CONTER, em conformidade com
a Lei nº 13.709/2018;
III) garantir a continuidade das atividades finalísticas e administrativas da
Autarquia;
IV) assegurar a conformidade com o ordenamento jurídico aplicável e com
as determinações dos órgãos de controle;
V) promover a cultura de segurança da informação entre todos os que se
relacionam com a Autarquia;
VI) subsidiar a tomada de decisão institucional mediante gestão estruturada
de riscos de segurança da informação.
CAPÍTULO II - DA ABRANGÊNCIA
Art. 3º A PSI se aplica, no que couber e observadas as respectivas
vinculações jurídicas, a:
I) conselheiros federais efetivos e suplentes;
II) empregados públicos do quadro do CONTER, ativos, cedidos ou em
exercício provisório;
III) ocupantes de cargos e funções de confiança;
IV) estagiários e aprendizes;
V) fiscais e demais agentes investidos em atribuição fiscalizatória;
VI) conselheiros e empregados de Conselhos Regionais de Técnicos em
Radiologia - CRTRs, quando acessarem sistemas, bases de dados ou informações sob
custódia do CONTER;
VII) membros das comissões permanentes e transitórias do CONTER;
VIII) prestadores de serviços, empresas contratadas, consultores, e seus
prepostos e empregados, quando do acesso a informações ou ativos do CONTER;
IX) quaisquer outras pessoas, físicas ou jurídicas, que, a qualquer título,
acessem informações ou ativos de informação da autarquia.
Parágrafo único. A vinculação às disposições desta Política será formalizada
mediante assinatura do Termo de Ciência e Responsabilidade constante do Anexo III, no
caso dos incisos I a VII, e mediante cláusula contratual específica, no caso dos incisos
VII e VIII.
Art. 4º Esta Política abrange todas as informações produzidas, recebidas,
armazenadas, transmitidas ou descartadas pelo CONTER, em qualquer suporte, formato
ou meio, inclusive as processadas por terceiros em nome da autarquia.
CAPÍTULO III - DAS DEFINIÇÕES
Art. 5º Para os efeitos desta Política, adotam-se as definições constantes do
Art. 5º da LGPD, da norma ABNT NBR ISO/IEC 27000 e, complementarmente, as
seguintes:
I) ativo de informação: qualquer elemento que produza, processe, transmita,
armazene ou descarte informação, incluindo sistemas, equipamentos, mídias,
instalações, documentos e pessoas;
II) custodiante da informação: unidade ou agente responsável pela guarda e
pela aplicação dos controles de proteção definidos pelo gestor da informação;
III) gestor da informação: titular da unidade organizacional responsável pela
informação, a quem compete classificá-la e definir seus requisitos de proteção;
IV) usuário: toda pessoa abrangida pelo Art. 3º desta Política;
V) incidente de segurança da informação: evento ou série de eventos,
desejados ou não, que possam comprometer a confidencialidade, a integridade, a
disponibilidade ou a autenticidade da informação;
VI) recursos corporativos: equipamentos, sistemas, redes, contas, licenças e
demais meios disponibilizados pelo CONTER para o exercício das atividades
institucionais;
VII) norma complementar: ato normativo derivado desta Política, destinado
a detalhar tecnicamente eixo específico de segurança da informação.
TÍTULO II
DOS PRINCÍPIOS E DAS DIRETRIZES GERAIS
CAPÍTULO I - DOS PRINCÍPIOS
Art. 6º A segurança da informação no CONTER rege-se pelos seguintes
princípios:
I) confidencialidade: a informação deve ser acessível apenas a quem esteja
autorizado;
II) integridade: a informação deve ser mantida exata e completa,
preservando-se seus atributos originais;
III) disponibilidade: a informação deve estar acessível quando necessária aos
agentes autorizados;
IV) autenticidade: deve ser assegurada a fidedignidade da origem e da
autoria da informação;
V) legalidade: o tratamento da informação deve observar o ordenamento
jurídico vigente;
VI) necessidade e menor privilégio: o acesso à informação deve limitar-se ao
mínimo necessário ao desempenho das atribuições do agente;
VII) transparência ativa: as informações de interesse público serão
disponibilizadas nos termos da Lei nº 12.527/2011, ressalvadas as hipóteses legais de
sigilo;
VIII) responsabilização e prestação de contas: o CONTER deve ser capaz de
demonstrar, mediante evidência documental, a adoção de medidas eficazes de
segurança da informação e de proteção de dados pessoais, nos termos do Art. 6º,
Inciso X, da LGPD;
IX) melhoria contínua: os controles de segurança devem ser periodicamente
avaliados e aprimorados;
X) proporcionalidade: os controles adotados devem ser proporcionais ao
risco e ao valor da informação protegida.
CAPÍTULO II - DAS DIRETRIZES GERAIS
Art. 7º A informação produzida, custodiada ou processada pelo CONTER
constitui ativo institucional, sendo vedado seu uso para finalidade estranha ao interesse
público e às atribuições legais da autarquia.
Art. 8º Os recursos corporativos são disponibilizados para fins institucionais,
admitido o uso pessoal eventual, desde que não comprometa a segurança da
informação, o desempenho dos recursos ou a produtividade, e não configure ilícito.
§ 1º O CONTER poderá monitorar o uso dos recursos corporativos para fins
de segurança da informação, auditoria e apuração de irregularidades.
§ 2º O monitoramento previsto no § 1º observará os princípios da
legalidade, da finalidade, da necessidade, da proporcionalidade e da prévia cientificação
dos usuários, e terá suas hipóteses, seus limites e seu procedimento disciplinados em
norma complementar, vedado o acesso ao conteúdo de comunicações de natureza
estritamente pessoal fora das hipóteses e do procedimento ali previstos.
Art. 9º Toda informação sob custódia do CONTER será classificada quanto ao
grau de sigilo e à criticidade, na forma de norma complementar, observadas a Lei nº
12.527/2011 e a Lei nº 13.709/2018.
Art. 10. A segurança da informação será considerada desde a concepção de
processos, sistemas, contratações e projetos, e ao longo de todo o seu ciclo de
vida.
Art. 11. Nenhum usuário poderá alegar desconhecimento desta Política ou
de suas normas complementares como justificativa para seu descumprimento.
TÍTULO III
DA ESTRUTURA DE GOVERNANÇA
CAPÍTULO I - DA COMPOSIÇÃO DA ESTRUTURA
Art. 12. A estrutura de governança de segurança da informação do CONTER
é composta por:
I) a Plenária;
II) a Diretoria Executiva;
III) a Presidência;
IV) a Comissão de Tratamento e Proteção de Dados - CTPD;
V) o Encarregado pelo Tratamento de Dados Pessoais ("DPO");
VI) o Gestor de Segurança da Informação - GSI;
VII) a Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR;
VIII) os gestores e custodiantes da informação;
IX) os usuários.
CAPÍTULO II - DO PLENÁRIO, DA DIRETORIA EXECUTIVA E DA PRESIDÊNCIA
Art. 13. Compete à Plenária aprovar e revisar esta Política, apreciar o
relatório anual de segurança da informação e deliberar sobre matérias de segurança da
informação que lhe sejam submetidas.
Art. 14. Compete à Presidência, ouvida a Diretoria Executiva:
I) designar os integrantes da Comissão de Tratamento e Proteção de Dados
Pessoais, o Encarregado e o Gestor de Segurança da Informação indicado pelo
Encarregado;
II) assegurar os recursos orçamentários, humanos e tecnológicos necessários
à implementação desta Política;
III) editar as normas complementares derivadas desta Política, mediante
proposta da CTPD;
IV) determinar a apuração de descumprimentos, na forma do Título VII.
CAPÍTULO III - DA COMISSÃO DE TRATAMENTO E PROTEÇÃO DE DADOS -
CTPD
Art. 15. Fica instituída Comissão de Tratamento e Proteção de Dados
Pessoais, órgão colegiado de caráter permanente, deliberativo e consultivo, com a
seguinte composição:
I) o Encarregado pelo Tratamento de Dados Pessoais, que a presidirá, sendo
preferencialmente um representante da unidade Jurídica;
II) o Gestor de Segurança da Informação, da unidade de Tecnologia da
Informação;
III) um representante da unidade de Protocolo;
IV) um representante da unidade de Compras, Licitações e Contratos;
V) um representante da unidade de Arquivo;
VI) um representante da unidade de Gestão de Pessoas;
VII) um representante da unidade Administrativa.
§ 1º Os integrantes e respectivos suplentes serão designados por Portaria da
Presidência, com mandato de 2 (dois) anos, permitida a recondução.
§ 2º A participação na CTPD é considerada serviço relevante e enseja
remuneração adicional conforme as normas do CONTER.
§ 3º A CTPD reunir-se-á ordinariamente a cada 3 (três) meses e,
extraordinariamente, sempre que convocado por sua coordenação ou pela Diretoria
Executiva do Conselho.
§ 4º As reuniões da CTPD serão registradas em ata, que constituirá
evidência de governança para fins de auditoria.
Art. 16. Compete à Comissão de Tratamento e Proteção de Dados
Pessoais:
I) propor à Presidência as normas complementares desta Política e suas
revisões;
II) propor ao Plenário a revisão desta Política;
III) deliberar sobre exceções às normas de segurança da informação,
mediante análise de risco documentada;
IV) acompanhar a implementação do plano de tratamento de riscos de
segurança da informação;
V) analisar os relatórios de incidentes de segurança e determinar medidas
corretivas;
VI) aprovar o plano anual de conscientização e capacitação;
VII) elaborar o relatório anual de segurança da informação, a ser submetido
ao Plenário;
VIII) deliberar sobre casos omissos desta Política.
CAPÍTULO IV - DO GESTOR DE SEGURANÇA DA INFORMAÇÃO
Art. 17. O Gestor de Segurança da Informação - GSI será indicado pelo
Encarregado e nomeado pela Presidência do CONTER, dentre os empregados públicos
da Autarquia e será o responsável pela coordenação da execução desta Política no que
tange à segurança da informação.
Art. 18. Compete ao GSI:
I) coordenar o processo de gestão de riscos de segurança da informação;
II) coordenar a ETIR;
III) propor e acompanhar indicadores de segurança da informação;
IV) promover as ações de conscientização e capacitação;
V) manter atualizado o inventário de ativos de informação;
VI) reportar à Presidência e à CTPD as ocorrências relevantes de segurança
da informação.
CAPÍTULO V - DO ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS
("DPO")
Art. 19. O Encarregado pelo Tratamento de Dados Pessoais ("DPO") será
designado por ato da Presidência, com publicidade de sua identidade e de seus
contatos no sítio eletrônico institucional, nos termos do art. 41, § 1º, da Lei nº
13.709/2018.
Art. 20. Compete ao Encarregado, nos termos do art. 41, § 2º, da Lei nº
13.709, de 2018:
I) receber reclamações e comunicações dos titulares, prestar esclarecimentos
e adotar providências;
II) receber comunicações da Autoridade Nacional de Proteção de Dados -
ANPD e adotar providências;
III) orientar os agentes e os empregados do CONTER a respeito das práticas
a serem tomadas em relação à proteção de dados pessoais;
IV) executar as demais atribuições determinadas pelo controlador ou
estabelecidas em normas complementares;
V) supervisionar a elaboração e a manutenção do registro das operações de
tratamento de dados pessoais de que trata o art. 37 da Lei nº 13.709/2018;
VI) orientar a elaboração de Relatórios de Impacto à Proteção de Dados
Pessoais - RIPD;
VII) atuar como ponto focal do CONTER perante a ANPD;
VIII) supervisionar as atividades do Gestor de Segurança da Informação;
IX) coordenar as atividades da CTPD.
Art. 21. Ao Encarregado são assegurados:
I) autonomia técnica no exercício de suas atribuições, vedada ingerência
sobre suas manifestações técnicas;
II) acesso irrestrito às informações, aos dados, sistemas e às unidades da
autarquia necessários ao exercício de suas competências;
III) canal de reporte direto à Presidência e à Plenária;
IV) recursos materiais e de pessoal para o desempenho das suas atividades
no âmbito da CTPD, bem como para capacitação compatível com a sua função;
V) recursos materiais e de pessoal para capacitação dos membros da CTPD
e dos CONTER.
§ 1º A função de Encarregado não poderá ser acumulada com a de responsável
pela unidade de Tecnologia da Informação, nem com atribuições que configurem conflito
de interesses com o exercício das competências previstas no art. 20.
§ 2º O Encarregado não poderá ser responsabilizado por manifestação
técnica emitida no regular exercício de suas atribuições.
CAPÍTULO VI - DA EQUIPE DE TRATAMENTO E RESPOSTA A INCIDENTES
Art. 22. Fica instituída a Equipe de Tratamento e Resposta a Incidentes
Cibernéticos - ETIR, com atribuições de prevenção, detecção, análise, contenção,
erradicação, recuperação e registro de incidentes de segurança da informação.
§ 1º A ETIR será coordenada pelo GSI e composta por, no mínimo, 2 (dois)
integrantes indicados pelo Encarregado e aprovados por Portaria da Presidência,
admitida a acumulação com outras atribuições.
§ 2º A ETIR atuará em articulação com o Encarregado sempre que o
incidente envolver dados pessoais.
§ 3º O CONTER poderá firmar instrumento de cooperação com equipe de
resposta a incidentes de outro órgão ou entidade, ou contratar serviço especializado,
para suprir capacidade técnica da ETIR.
CAPÍTULO VII - DOS GESTORES, CUSTODIANTES E USUÁRIOS
Art. 23. Compete aos gestores da informação classificar as informações sob
sua responsabilidade, definir os perfis de acesso e revisá-los periodicamente.
Art. 24. Compete aos custodiantes aplicar os controles de proteção definidos
pelo gestor da informação e comunicar imediatamente qualquer suspeita de
incidente.
Art. 25. Compete aos usuários:
I) utilizar as informações e os recursos corporativos exclusivamente para fins
institucionais, ressalvado o disposto no art. 8º;
II) proteger suas credenciais de acesso, vedado o compartilhamento;
III) comunicar imediatamente ao GSI qualquer incidente ou suspeita de
incidente de segurança da informação;
IV) manter sigilo sobre as informações classificadas a que tiver acesso,
inclusive após o encerramento do vínculo;
V) participar das ações de conscientização e capacitação;
VI) devolver, ao término do vínculo, todos os ativos de informação sob sua
posse.
TÍTULO IV
DAS DIRETRIZES ESPECÍFICAS E DAS NORMAS COMPLEMENTARES
Art. 26. As diretrizes específicas de segurança da informação serão
detalhadas nas seguintes normas complementares:
I) NC-01 - Classificação e Tratamento da Informação: critérios de
classificação quanto ao sigilo e à criticidade, rotulagem, regras de manuseio, transporte,
armazenamento e descarte seguro;
II) NC-02 - Gestão de Ativos de Informação: identificação, inventário,
atribuição de responsabilidade e ciclo de vida dos ativos;
III) NC-03 - Controle de Acesso e Gestão de Identidades: concessão,
alteração, revisão periódica e revogação de acessos, política de senhas, autenticação
multifator e gestão de contas privilegiadas;
IV) NC-04 - Gestão de Incidentes de Segurança da Informação: classificação,
registro, escalonamento, tratamento, comunicação e lições aprendidas, incluindo o
procedimento de comunicação à ANPD e aos titulares nos termos do art. 48 da Lei nº
13.709, de 2018, e da regulamentação da autoridade;
V) NC-05 - Uso Aceitável de Recursos Corporativos: regras de uso de
estações de trabalho, dispositivos móveis, correio eletrônico, internet, mídias sociais e
trabalho remoto, bem como as hipóteses, os limites e o procedimento de
monitoramento de que trata o art. 8º;
VI) NC-06 - Cópias de Segurança, Continuidade e Recuperação: política de
backup, testes de restauração, plano de continuidade de negócios e plano de
recuperação de desastres;
VII) NC-07 - Segurança da Informação em Contratações e Relações com
Terceiros: requisitos de segurança em editais e contratos, cláusulas de
confidencialidade, cláusulas de proteção de dados pessoais, avaliação e monitoramento
de fornecedores;
VIII) NC-08 - Segurança em Computação em Nuvem: requisitos mínimos
aplicáveis à contratação e ao uso de soluções em nuvem, observada a IN GSI/PR nº 3,
de 2021;
IX) NC-09 - Segurança Física e do Ambiente: controle de acesso a
instalações, proteção de áreas críticas e segurança de equipamentos;
X) NC-10 - Desenvolvimento Seguro e Gestão de Mudanças: requisitos de
segurança no desenvolvimento e na manutenção de sistemas e no controle de mudanças;
XI) NC-11 - Conscientização e Capacitação em Segurança da Informação:
programa anual, público-alvo, conteúdo mínimo, periodicidade e registro de participação.
§ 1º As normas complementares serão editadas por Portaria da Presidência,
mediante proposta da CTPD.
§ 2º A CTPD poderá propor a edição de normas complementares não
previstas neste artigo.
TÍTULO V
DA PROTEÇÃO DE DADOS PESSOAIS
Art. 27. O tratamento de dados pessoais no âmbito do CONTER observará
os princípios do art. 6º da Lei nº 13.709/2018, e as hipóteses legais de tratamento dos
arts. 7º, 11 e 23 da mesma Lei, em especial a execução de políticas públicas e o
cumprimento de obrigação legal ou regulatória inerentes às competências da
autarquia.
Art. 28. O CONTER manterá registro atualizado das operações de tratamento
de dados pessoais que realizar, nos termos do art. 37 da LGPD, sob supervisão do
Encarregado.
Parágrafo único. O registro de que trata o caput será revisado, no mínimo,
anualmente, e sempre que houver alteração relevante em processo, sistema ou
contrato.
Art. 29. Será elaborado Relatório de Impacto à Proteção de Dados Pessoais
- RIPD para as operações de tratamento que apresentem alto risco aos direitos e às
liberdades dos titulares, especialmente quando envolverem:
I) dados pessoais sensíveis, notadamente dados referentes à saúde e dados
biométricos;
II) tratamento em larga escala;
III) monitoramento sistemático de titulares;
IV) decisões automatizadas com efeitos jurídicos;
V) uso de sistemas de inteligência artificial;
VI) novas tecnologias ou usos inovadores de dados pessoais.
Parágrafo único. Considerando a natureza das atividades do CONTER,
receberão atenção prioritária os tratamentos relativos a processos ético-disciplinares,
dados de saúde coletados em razão de exigências de exercício profissional ou de
acessibilidade, dados biométricos utilizados para controle de acesso, controle de
frequência ou identificação em processos seletivos, e dados constantes dos registros
profissionais.
Art. 30. A proteção de dados pessoais será considerada desde a concepção
e por padrão em todos os processos, sistemas e contratações do CONTER.
Art. 31. Os incidentes de segurança que possam acarretar risco ou dano
relevante aos titulares serão comunicados à ANPD e aos titulares afetados, na forma e nos
prazos da regulamentação vigente, mediante procedimento estabelecido na NC-04.
Art. 32. Os direitos dos titulares previstos no art. 18 da Lei nº 13.709/2018,
serão atendidos por canal específico, divulgado no sítio eletrônico institucional, sob
responsabilidade do Encarregado.
Art. 33. A disciplina detalhada do tratamento de dados pessoais no CONTER
constará de Política de Privacidade e Proteção de Dados Pessoais ("PPDP"), a ser
editada como norma complementar a esta Política.
Art. 34. As operações de tratamento de dados pessoais realizadas por
operadores contratados serão regidas por instrumento contratual que estabeleça a
finalidade, a duração, as medidas de segurança exigidas e as obrigações de reporte de
incidentes.
TÍTULO VI
DA GESTÃO DE RISCOS DE SEGURANÇA DA INFORMAÇÃO
Art. 35. O CONTER manterá processo contínuo de gestão de riscos de
segurança da informação, compreendendo as etapas de identificação, análise, avaliação,
tratamento, monitoramento, análise crítica e comunicação dos riscos.
Art. 36. O processo de gestão de riscos observará a IN GSI/PR nº 5, de
2021, e as normas ABNT NBR ISO/IEC 27005 e ABNT NBR ISO 31000, no que
couber.
Art. 37. Será elaborado, no mínimo anualmente, plano de tratamento de
riscos de segurança da informação, contendo as ações, os responsáveis e os prazos,
submetido à aprovação da CTPD.
Art. 38. Os riscos residuais serão formalmente aceitos pela Presidência,
mediante manifestação prévia da CTPD.