PORTARIA GM - MPOR No 25, DE 13 DE JANEIRO DE 2026 (*) Dispõe sobre o procedimento de comunicação de incidente de segurança com dados pessoais à Agência Nacional de Proteção de Dados - ANPD e aos titulares de dados pessoais, no âmbito do Ministério de Portos e Aeroportos. O MINISTRO DE ESTADO DE PORTOS E AEROPORTOS, no uso das atribuições que lhe confere o art. 87, parágrafo único, inciso II, da Constituição Federal, e tendo em vista o disposto no art. 48 da Lei no 13.709, de 14 de agosto de 2018, bem como na Resolução CD/ANPD no 15, de 24 de abril de 2024, resolve: Art. 1o Fica instituído, no âmbito do Ministério de Portos e Aeroportos, o procedimento a ser observado para a comunicação de incidente de segurança com dados pessoais à Agência Nacional de Proteção de Dados - ANPD e aos titulares de dados pessoais, nos termos desta Portaria. Art. 2o Esta Portaria aplica-se aos incidentes de segurança envolvendo dados pessoais tratados pelo Ministério de Portos e Aeroportos na condição de controlador, em quaisquer sistemas, bases de dados, processos de trabalho ou soluções contratadas, próprios ou de terceiros. Art. 3o O tratamento técnico do incidente, incluindo investigação, contenção e recuperação, seguirá a Política de Segurança da Informação, o Plano de Resposta a Incidentes de Segurança da Informação e demais normas correlatas deste Ministério. Art. 4o Para os fins desta Portaria, aplicam-se as definições constantes da Lei Geral de Proteção de Dados - LGPD e do Regulamento de Comunicação de Incidente de Segurança - RCIS, aprovado pela Resolução CD/ANPD no 15, de 24 de abril de 2024, especialmente as seguintes: I - controlador: pessoa jurídica de direito público que toma decisões referentes ao tratamento de dados pessoais; II - incidente de segurança: qualquer evento adverso confirmado relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais; III - comunicação de incidente de segurança: ato pelo qual o controlador comunica à Agência Nacional de Proteção de Dados - ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante; DO FLUXO INTERNO E DAS RESPONSABILIDADES Art. 5o Compete às unidades do Ministério de Portos e Aeroportos responsáveis por sistemas, bases de dados ou processos de trabalho que envolvam o tratamento de dados pessoais, bem como às pessoas naturais ou jurídicas, internas ou externas, que atuem como operadoras de dados pessoais em nome deste Ministério, detectar e registrar a ocorrência de incidente de segurança que envolva ou possa envolver dados pessoais. Art. 6o As pessoas naturais ou jurídicas, internas ou externas, referidas no art. 5o, deverão comunicar ao Encarregado pelo Tratamento de Dados Pessoais, no prazo máximo de 1 (um) dia útil, informações preliminares que permitam a adequada compreensão inicial do incidente, contendo, no mínimo: I - descrição sucinta do incidente de segurança; II - identificação dos sistemas, bases de dados ou processos de trabalho afetados; III - a indicação preliminar das categorias de dados pessoais possivelmente envolvidas; IV - estimativa, ainda que aproximada, do número de titulares potencialmente afetados; e V - a indicação das medidas emergenciais eventualmente adotadas. Parágrafo único. As informações inicialmente comunicadas ao Encarregado pelo Tratamento de Dados Pessoais devem ser complementadas, conforme a evolução da apuração, fornecendo dados técnicos, esclarecimentos e evidências adicionais sobre o incidente, de modo a viabilizar a adequada avaliação do risco ou dano relevante e o atendimento das exigências de comunicação à ANPD e aos titulares de dados pessoais. Art. 7o Compete ao Encarregado pelo Tratamento de Dados Pessoais ou ao representante legalmente constituído pelo controlador receber e analisar as comunicações encaminhadas nos termos do art. 6o, avaliando, em conformidade com a legislação aplicável e com as orientações da Agência Nacional de Proteção de Dados, se o incidente de segurança: I - está devidamente confirmado; II - envolve dados pessoais; III - pode acarretar risco ou dano relevante aos titulares de dados pessoais. § 1o A análise deve apurar, ainda, as categorias de dados afetados, o número de titulares e a possibilidade de impactos materiais, morais ou reputacionais. § 2o Concluída a avaliação prevista no caput, caberá ao Encarregado pelo Tratamento de Dados Pessoais realizar, em nome do controlador, a comunicação do incidente de segurança à ANPD, no prazo de 3 (três) dias úteis, a contar da ciência pelo controlador do incidente de segurança que tenha afetado dados pessoais, nos termos do art. 6o da Resolução CD/ANPD no 15, de 24 de abril de 2024. § 3o Na hipótese de não ser possível a conclusão integral da apuração do incidente no prazo regulamentar, a comunicação poderá ser realizada com as informações disponíveis, em caráter preliminar, com posterior complementação das informações relevantes. Art. 8o A comunicação de incidente de segurança aos titulares de dados pessoais deverá ser realizada pelo controlador, quando verificada a possibilidade de risco ou dano relevante, nos termos da legislação aplicável e do Regulamento de Comunicação de Incidente de Segurança - RCIS, e deverá conter, no mínimo: I - a descrição da natureza e da categoria de dados pessoais afetados; II - as medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial; III - os riscos relacionados ao incidente, com identificação dos possíveis impactos aos titulares; IV - as medidas que foram ou que serão adotadas para mitigar os efeitos do incidente, quando cabíveis; V - a data do conhecimento do incidente de segurança; e VI - o contato para obtenção de informações e, quando aplicável, os dados de contato do encarregado. Parágrafo único. A comunicação do incidente aos titulares de dados deverá ser redigida em linguagem clara e acessível, sendo realizada, sempre que viável, de forma direta e individualizada. DO PADRÃO DE COMUNICAÇÃO À ANPD Art. 9o A comunicação de incidente de segurança à Agência Nacional de Proteção de Dados - ANPD e aos titulares de dados pessoais afetados será realizada pelo Encarregado pelo Tratamento de Dados Pessoais ou por representante legalmente constituído pelo controlador, em estrita observância aos instrumentos, padrões e modelos definidos pela ANPD, bem como ao modelo institucional aprovado no âmbito do Ministério de Portos e Aeroportos. Parágrafo único. A realização da comunicação não exime as unidades responsáveis por sistemas, bases de dados ou processos de trabalho que envolvam o tratamento de dados pessoais do dever de continuar prestando ao Encarregado pelo Tratamento de Dados Pessoais informações adicionais e atualizadas, sempre que necessárias ao esclarecimento do incidente ou ao atendimento de solicitações da ANPD. Art. 10. O Encarregado pelo Tratamento de Dados Pessoais deverá manter registros atualizados dos incidentes de segurança com dados pessoais analisados, abrangendo as comunicações realizadas e as decisões adotadas. § 1o Os registros de que trata o caput deverão conter, sempre que aplicável, informações essenciais relativas à descrição do incidente, à avaliação de risco, à decisão quanto à necessidade de comunicação e à comprovação da comunicação à ANPD, quando realizada, com referência ao processo administrativo correspondente. § 2o As decisões de não comunicação deverão ser devidamente motivadas e registradas, de modo a demonstrar a conformidade com a legislação aplicável, com o Regulamento de Comunicação de Incidente de Segurança - RCIS e com as orientações da Agência Nacional de Proteção de Dados. Art. 11. O padrão de comunicação de incidente de segurança à ANPD, a ser obrigatoriamente observado pelo Ministério de Portos e Aeroportos, consistirá em: I - abertura de novo processo no sistema SEI da ANPD, com o tipo "ANPD - Comunicados de Incidentes à Agência Nacional de Proteção de Dados"; II - utilização do Formulário de Comunicação de Incidente de Segurança - CIS, disponibilizado pela ANPD, como documento principal do processo, conforme espelho constante do Anexo I desta Portaria; III - inclusão, como documento complementar, do Resumo Executivo do Incidente, elaborado de acordo com o modelo constante do Anexo II, destinado a apresentar, de forma sintética, as principais informações sobre o incidente; IV - anexação de eventuais evidências técnicas e documentos adicionais necessários à adequada descrição do incidente e das medidas adotadas. Art. 12. O Formulário de Comunicação de Incidente de Segurança - CIS, quando devidamente preenchido, deverá contemplar as informações mínimas exigidas pela LGPD e pelo RCIS para a comunicação de incidente de segurança à ANPD, conforme a Resolução CD/ANPD no 15, de 24 de abril de 2024: I - a descrição da natureza e da categoria de dados pessoais afetados; II - o número de titulares afetados, discriminando, quando aplicável, o número de crianças, de adolescentes ou de idosos; III - as medidas técnicas e de segurança utilizadas para a proteção dos dados pessoais, adotadas antes e após o incidente, observados os segredos comercial e industrial; IV - os riscos relacionados ao incidente com identificação dos possíveis impactos aos titulares; V - os motivos da demora, no caso de a comunicação não ter sido realizada no prazo previsto no artigo 7o; VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do incidente sobre os titulares; VII - a data da ocorrência do incidente, quando possível determiná-la, e a de seu conhecimento pelo controlador; VIII - os dados do encarregado ou de quem represente o controlador; IX - a identificação do controlador e, se for o caso, declaração de que se trata de agente de tratamento de pequeno porte; X - a identificação do operador, quando aplicável; XI - a descrição do incidente, incluindo a causa principal, caso seja possível identificá-la; e XII - o total de titulares cujos dados são tratados nas atividades de tratamento afetadas pelo incidente. Art. 13. O Resumo Executivo do Incidente terá caráter complementar e sintético, com a finalidade de: I - apresentar, em poucas linhas, a identificação básica do incidente, a linha do tempo principal, o escopo afetado e a avaliação resumida de risco; II - fornecer à ANPD uma visão geral imediata do evento, sem reproduzir de forma exaustiva as informações já detalhadas no Formulário CIS e nos documentos técnicos anexos. DO PADRÃO DE COMUNICAÇÃO AOS TITULARES DE DADOS PESSOAIS Art. 14. Confirmada a necessidade de comunicação aos titulares, na forma do art. 48 da Lei no 13.709, de 14 de agosto de 2018 e do art. 9o do Regulamento de Comunicação de Incidente de Segurança - RCIS, o Encarregado coordenará o envio de comunicado aos titulares afetados, preferencialmente por meio dos canais já utilizados pelo Ministério para contato com esses titulares. Parágrafo único. Para fins de padronização, deverá ser utilizado como referência o Modelo de Comunicação aos Titulares constante do Anexo III desta Portaria, admitidas as adaptações necessárias ao caso concreto. Art. 15. O Modelo de Comunicação aos Titulares previsto no Anexo III para a comunicação ao titular de dados pessoais deverá conter, no mínimo: I - a descrição da natureza e da categoria de dados pessoais afetados; II - as medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial; III - os riscos relacionados ao incidente com identificação dos possíveis impactos aos titulares; IV - os motivos da demora, no caso de a comunicação não ter sido feita no prazo previsto no artigo 7o; V - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do incidente, quando cabíveis; VI - a data do conhecimento do incidente de segurança; e VII - o contato para obtenção de informações e, quando aplicável, os dados de contato do Encarregado. Art. 16. Quando a comunicação individual não for viável, o Encarregado poderá, observados os parâmetros do RCIS, propor o uso de meios alternativos, como aviso em destaque no sítio eletrônico do Ministério, mantendo, sempre que possível, a estrutura informativa do Anexo III. DO REGISTRO E DA GUARDA DAS INFORMAÇÕES Art. 17. O Encarregado deverá manter registro dos incidentes de segurança avaliados, comunicados ou não à ANPD, pelo prazo mínimo previsto no RCIS e nas normas de gestão documental aplicáveis, contendo, no mínimo: I - descrição do incidente; II - avaliação de risco e decisão quanto à necessidade de comunicação; e comprovação da comunicação à ANPD, quando realizada, com referência ao processo SEI correspondente; III - comprovação da comunicação aos titulares, quando realizada, com indicação dos meios utilizados e das datas de envio. Parágrafo único. Os registros referidos no caput poderão ser solicitados pela ANPD ou por órgãos de controle a qualquer tempo, devendo ser apresentados pelo Encarregado. DAS DISPOSIÇÕES FINAIS Art. 18. As unidades do Ministério de Portos e Aeroportos deverão prestar ao Encarregado pelo Tratamento de Dados Pessoais, de forma completa e à medida que se tornarem disponíveis, as informações e os elementos técnicos que lhes forem solicitados para fins de análise e de comunicação de incidentes de segurança com dados pessoais. Art. 19. As disposições desta Portaria deverão ser interpretadas e aplicadas em conformidade com a Lei no 13.709, de 14 de agosto de 2018, com o Regulamento de Comunicação de Incidente de Segurança - RCIS e com as orientações expedidas pela Agência Nacional de Proteção de Dados. Art. 20. Esta Portaria entra em vigor na data de sua publicação. SILVIO SERAFIM COSTA FILHO ANEXO I