Art. 49. O CNPq deverá indicar encarregado pelo tratamento de dados pessoais.

Parágrafo único. A identidade e as informações de contato do encarregado pelo tratamento de dados pessoais deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do CNPq.

Art. 50. São atribuições do encarregado de proteção de dados:

I - receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações e requisições da ANPD e adotar providências; e

III - orientar os servidores e colaboradores do CNPq a respeito das práticas a serem adotadas em relação à proteção de dados pessoais.

Seção IV

Do Subcomitê de Proteção de Dados Pessoais

Art. 51. Compete ao Subcomitê de Proteção de Dados Pessoais (SPDP), prover, orientar e acompanhar quando necessário às ações de privacidade e proteção de dados pessoais do CNPq, de acordo com os objetivos estratégicos e com as leis e regulamentos pertinentes, além de:

I - assessorar a implementação da proteção de dados pessoais;

II - constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre proteção de dados pessoais;

III - participar da elaboração de normas internas de privacidade e proteção de dados pessoais e propor atualizações e alterações nestes dispositivos;

IV - incentivar a conscientização, capacitação e sensibilização das pessoas que desempenham qualquer atividade de tratamento de dados pessoais dentro do CNPq;

V - analisar os relatórios de conformidade emitidos pelas Diretorias; e

VI - emitir Avisos de Privacidade.

Art. 52. O Subcomitê de Proteção de Dados Pessoais de terá a seguinte composição:

I - o Coordenador do Comitê de Segurança da Informação;

II - o encarregado pelo tratamento de dados pessoais;

III - um representante da Assessoria de Gestão Estratégica e Governança - AEG;

IV - um representante da Coordenação-Geral de Tecnologia da Informação - CGETI;

V - um representante da Auditoria Interna;

VI - um representante da Ouvidoria;

VII - um representante da Gerência de Plataformas e Serviços Digitais - GPLAT/DASD;

VIII - um representante da Diretoria de Cooperação Institucional - DCOI;

IX - um representante da Diretoria Científica - DCTI; e

X - um representante da Diretoria de Gestão Administrativa - DADM.

Art. 53. A coordenação do SPDP será exercida pelo(a) Coordenador(a) do Comitê de Segurança da Informação e, na sua ausência pelo encarregado(a) pelo tratamento de dados pessoais do CNPq.

CAPÍTULO IX

CONTRATOS, CONVÊNIOS, ACORDOS E INSTRUMENTOS CONGÊNERES

Art. 54. O controlador deve observar rigorosamente se as medidas por ele definidas com o propósito de cumprir os requisitos de privacidade e proteção de dados estão sendo respeitadas por terceiros, que por meio de contratos, convênios ou quaisquer instrumentos afins realizam atividades de tratamento de dados do CNPq.

Art. 55. Os contratos, convênios, acordos e instrumentos similares atualmente em vigor, que de alguma forma envolvam o tratamento de dados pessoais, devem incorporar cláusulas específicas em total conformidade com a presente Política de Proteção de Dados Pessoais e que contemplem:

I - requisitos mínimos de segurança da informação;

II - determinação de que o operador não processe os dados pessoais para finalidades que divergem da finalidade principal informada pelo CNPq;

III - requisitos de proteção de dados pessoais que os operadores de dados pessoais devem atender;

IV - condições sob as quais o operador deve devolver ou descartar com segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma mediante solicitação do controlador; e

V - diretrizes especificas sobre o uso de subcontratados pelo operador para execução contratual que envolva tratamento de dados pessoais.

Art. 56. Devem ser adotadas medidas rigorosas com o propósito de assegurar que os terceiros e processadores de dados pessoais contratados por este Conselho estejam plenamente em conformidade com as cláusulas contratuais estabelecidas no momento da celebração do acordo entre as partes envolvidas.

CAPÍTULO X

DO TÉRMINO DO TRATAMENTO DE DADOS

Art. 57. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:

I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;

II - fim do período de tratamento;

III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, resguardado o interesse público; ou

IV - determinação da autoridade nacional, quando houver violação ao disposto na LGPD.

Art. 58. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:

I - cumprimento de obrigação legal pelo CNPq;

II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta política; ou

IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

CAPÍTULO XI

DOS DIREITOS DO TITULAR

Art. 59. Toda pessoa natural tem assegurada a titularidade de seus dados pessoais informados ao CNPq e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Política.

Art. 60. O titular dos dados pessoais tem direito a obter do CNPq, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:

I - confirmação da existência de tratamento;

II - acesso aos dados;

III - correção de dados incompletos, inexatos ou desatualizados;

IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;

V - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses de interesse público;

VI - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

VII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

VIII- revogação do consentimento, a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação.

§ 1º O titular dos dados pessoais tem o direito de peticionar em relação aos seus dados contra o CNPq perante a autoridade nacional.

§ 2º O titular pode opor-se ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Política.

§ 3º Os direitos previstos neste artigo serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído e encaminhado ao CNPq em formato digital por meio da Ouvidoria, da Central de Atendimento ou por intermédio do encarregado de dados, devidamente informados em seu sítio eletrônico.

§ 4º Em caso de impossibilidade de adoção imediata da providência de que trata o § 3º deste artigo, o CNPq enviará ao titular resposta em que poderá:

I - comunicar que não é o agente de tratamento dos dados e indicar, sempre que possível, o agente ou operador; ou

II - indicar as razões de fato ou de direito que impedem a adoção imediata da providência.

§ 5º O requerimento referido no § 2º deste artigo será atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento.

§ 6º O CNPq deverá informar, de maneira imediata, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional, procedimentos que deverão ser registrados nos respectivos processos.

§ 7º O direito a que se refere o § 1º deste artigo também poderá ser exercido perante os organismos de defesa do consumidor.

CAPÍTULO XII

PENALIDADES

Art. 61. Ações que violem a Política de Proteção de Dados Pessoais do CNPq poderão acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e penais, assegurados aos envolvidos o contraditório e a ampla defesa.

Art. 62. Casos de descumprimento desta Política deverão ser registrados e comunicados ao Encarregado de dados para ciência e tomada das providências cabíveis a depender da análise concreta de cada caso e dos riscos à proteção dos dados pessoais:

I - comunicar a Autoridade Nacional (ANPD);

II - cientificar o Presidente do CNPq;

III - apurar os possíveis impactos do dano ao titular do dado;

IV - cientificar o órgão correcional, nas hipóteses de indícios de infração disciplinar;

V - indicar as possíveis medidas de proteção;

VI - comunicar o titular do dado pessoal; e

VII - recomendar ajustes e melhorias para aprimorar as medidas de proteção de dados pessoais.

Parágrafo único. Os casos de descumprimento desta Política deverão ser levados à ciência do Subcomitê de Proteção de Dados Pessoais (SPDP) para acompanhamento.

CAPÍTULO XIII

DISPOSIÇÕES FINAIS

Art. 63. O Subcomitê de Proteção de Dados Pessoais poderá expedir instruções complementares, no âmbito de suas competências, que detalharão suas particularidades e procedimentos relativos à Proteção de Dados Pessoais alinhados às diretrizes emanadas desta Política e aos respectivos Planos Estratégicos Institucionais do CNPq, desde que devidamente informados e autorizados pelo Comitê de Segurança da Informação (CSI).

Art. 64. As dúvidas sobre a Política de Proteção de Dados Pessoais e seus documentos devem ser submetidas ao encarregado de dados, que caso julgue necessário encaminhará ao Subcomitê de Proteção de Dados Pessoais.

Art. 65. A Política de Proteção de Dados Pessoais e todos os normativos relacionados à matéria deverão ser amplamente divulgados a todos servidores e colaboradores do CNPq, quando da admissão e disponibilizados em repositórios eletrônicos de fácil acesso, permitindo sua consulta a qualquer tempo.

Art. 66. Esta Política deverá ser revisada sempre que necessária, não excedendo o período de três anos, contados a partir do início de sua vigência.

Art. 67. Os casos omissos serão resolvidos pelo Comitê de Segurança da Informação, ouvido o Subcomitê de Proteção de Dados Pessoais e homologados pelo Presidente do CNPq.

Art. 68. Esta Política entra em vigor 30 (trinta) dias após sua publicação.

RICARDO MAGNUS OSÓRIO GALVÃO