PORTARIA ANP Nº 379, DE 7 DE OUTUBRO DE 2026 (parte 2 de 2)

Art. 36. Os dados pessoais deverão ser mantidos em formato interoperável e
estruturado para o uso compartilhado em cumprimento ao disposto no art. 25 da Lei nº
13.709, de 14 de agosto de 2018 - LGPD, de forma a facilitar seu uso quando necessário.
Compartilhamento
Art.37. O compartilhamento de dados pessoais poderá ser realizado quando
estritamente necessário à finalidade pretendida, com órgãos públicos em ações de política
pública ou em ações de órgãos de controle ou judiciais, objetivando a prevenção de
fraudes e irregularidades, para a realização de estudos por órgãos de pesquisa ou,
excepcionalmente, com entidades privadas quando houver previsão legal ou o
compartilhamento for respaldado em contratos, convênios ou instrumentos congêneres,
observados, quando aplicáveis, os requisitos dos arts. 26 e 27 da LGPD.
Parágrafo único. O compartilhamento de dados pessoais para fins acadêmicos e
para a realização de estudos por órgãos de pesquisa deverá ser realizado sempre em
conformidade com a Lei nº 13.709, de 14 de agosto de 2018 - LGPD e com as normas e
diretrizes editadas pela ANPD.
Art.38. O compartilhamento de dados pessoais deverá ser formalizado
mediante registro em instrumento padronizado a ser regulamentado por ato
complementar, que deverá conter a relação dos dados que serão compartilhados, a
finalidade, a base legal e a duração do tratamento.
Parágrafo único. A ANP solicitará à entidade com a qual realizará o
compartilhamento de dados pessoais documento com a relação das medidas de segurança
e proteção de dados pessoais praticadas pela referida entidade.
Eliminação
Art.39. O término do tratamento dos dados ocorre sempre que a finalidade de
tratamento for alcançada, por determinação da ANPD ou por solicitação do titular dos
dados, quando couber.
Art.40. Os contratos firmados com contratadas que atuem como operadoras de
dados pessoais deverão prever a eliminação, devolução ou anonimização dos dados ao
término do tratamento, ressalvada a conservação autorizada por lei ou necessária para o
cumprimento de obrigação legal.
Seção II
Do Inventário de Dados Pessoais - IDP
Art.41. O Inventário de Dados Pessoais - IDP consiste no registro das operações
de tratamento dos dados pessoais realizadas pela ANP, em atendimento ao disposto na Lei
nº 13.709, de 14 de agosto de 2018 - LGPD.
Art.42. O IDP catalogará todos os serviços realizados pela ANP nos quais ocorra
tratamento de dados pessoais.
Art.43. O IDP deverá ser mantido atualizado pelas unidades organizacionais
responsáveis e será objeto de revisão geral, no mínimo, a cada dois anos, sem prejuízo de
atualização sempre que ocorrer alteração relevante nas operações de tratamento ou nos
elementos previstos no art. 44.
Art.44. Os registros mantidos no IDP devem relacionar, no mínimo, as seguintes
informações sobre o tratamento de dados pessoais do serviço inventariado, sem prejuízo
de outras que a Agência entender necessárias:
I - os agentes de tratamento;
II - a hipótese legal que ampara o tratamento do dado pessoal naquele serviço;
III - a finalidade do tratamento do dado pessoal;
IV - as etapas do ciclo de vida de tratamento dos dados pessoais;
V - a relação dos dados pessoais que são tratados no serviço, categoria, tempo
de retenção e seus locais de armazenamento;
VI - o fluxo de tratamento dos dados pessoais, incluindo sua origem, se do
próprio titular ou a partir de integração com outros sistemas; e
VII - as instituições com as quais há compartilhamento dos dados pessoais e as
respectivas finalidades.
Seção III
Do Relatório de Impacto à Proteção de Dados Pessoais - RIPD
Art.45. O Relatório de Impacto à Proteção de Dados Pessoais - RIPD consiste no
documento que contém a descrição do processo de tratamento que pode gerar riscos às
liberdades civis e aos direitos fundamentais.
Art.46. A ANP elaborará o RIPD para os serviços apoiados por sistemas que
apresentem fatores de risco que comprometam a garantia dos princípios gerais de
proteção de dados pessoais previstos na Lei nº 13.709, de 14 de agosto de 2018 - LGPD ou
as liberdades civis e os direitos fundamentais do titular dos dados.
Parágrafo único. A elaboração de um RIPD para mais de um serviço e/ou
sistema será avaliada discricionariamente pela Agência, conforme os processos internos de
trabalho, o volume de dados pessoais tratados, a infraestrutura de tecnologia que apoia os
sistemas que suportam os serviços e os riscos envolvidos.
Art.47. As informações do RIPD serão subsidiadas pelo conteúdo do IDP e da
análise de riscos do tratamento de dados pessoais dos sistemas, e contarão ainda com a
descrição das medidas, salvaguardas e mecanismos de mitigação dos riscos identificados.
Art.48. O RIPD será revisto sempre que houver alteração relevante nas operações
de tratamento, nos sistemas utilizados, na sensibilidade dos dados, nas medidas de mitigação ou
na legislação aplicável, sem prejuízo de revisão periódica definida no Plano de Ação do PGP.
Art.49. Os sistemas em desuso e sistemas desligados que tratem dados pessoais e
que venham a ser reativados por qualquer motivo, deverão passar por avaliação de risco e
elaboração do RIPD, para eventual adequação à Lei nº 13.709, de 14 de agosto de 2018 - LGPD.
Seção IV
Das Medidas de Proteção dos Dados Pessoais
Art.50. A ANP adotará medidas técnicas, administrativas e organizacionais aptas
a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou
ilícitas de destruição, perda, alteração, comunicação ou difusão, em conformidade com a
sua Política de Segurança da Informação e Comunicações - POSIC.
§ 1º As salvaguardas e especificações técnicas de segurança aplicadas aos
sistemas da Agência serão definidas e revisadas periodicamente pela Superintendência de
Tecnologia da Informação (STI).
§ 2º A anonimização de dados pessoais será priorizada sempre que o objetivo
do tratamento puder ser alcançado sem a identificação do titular, visando mitigar os riscos
de violação de privacidade.
Art.51. Os processos e documentos físicos arquivados e os processos eletrônicos
concluídos deverão ser analisados pelas unidades organizacionais responsáveis por eles,
quanto à restrição de acesso, conforme a Lei nº 12.527, de 18 de novembro de 2011 (Lei de
Acesso à Informação), e a LGPD, nos casos de desarquivamento ou reabertura por solicitação
da unidade organizacional interessada ou para atendimento de pedido de vista.
Seção V
Da Gestão de Incidentes
Art.52. A ANP comunicará à ANPD e ao titular dos dados pessoais a ocorrência
de incidente de segurança da informação envolvendo dados pessoais, em conformidade
com a POSIC e com os normativos expedidos pela ANPD.
Art. 53. As informações e evidências coletadas e as ações adotadas no processo
de tratamento do incidente de segurança deverão ser documentadas de modo a
possibilitar a elaboração de relatório final do incidente, em conformidade com a POSIC da
ANP e com os normativos expedidos pela ANPD.
CAPÍTULO IV
DISPOSIÇÕES FINAIS
Art.54. Os casos omissos serão resolvidos pelo Comitê de Transparência e de
Segurança da Informação e Comunicações, em primeira instância, e pela Diretoria
Colegiada, em segunda instância.
Art.55. A implementação do Programa de Governança em Privacidade - PGP da
ANP ocorrerá de forma progressiva e integrada à gestão de mudanças da Agência,
observados os seguintes prazos iniciais, contados a partir da publicação desta Portaria:
I - até 30 (trinta) dias: ratificação ou alteração da indicação formal dos
interlocutores de privacidade pelas unidades organizacionais (art. 26, inciso XIII);
II - até 90 (noventa) dias: revisão do Programa de Governança em Privacidade
- PGP da ANP, com a apresentação de relatório das atividades já implementadas e de
proposta de novo cronograma para as demais atividades;
III - até 180 (cento e oitenta) dias: início do ciclo de campanhas de
conscientização interna e capacitação básica para os interlocutores, sob coordenação da
SGP e do Encarregado; e
IV - até 360 (trezentos e sessenta) dias: revisão da primeira versão do
Inventário de Dados Pessoais (IDP).
Art.56. Esta Portaria entra em vigor na data de sua publicação.
ARTUR WATT NETO
Diretor-Geral