PORTARIA FBN Nº 83, DE 21 DE NOVEMBRO DE 2024

O PRESIDENTE DA FUNDAÇÃO BIBLIOTECA NACIONAL, no uso das atribuições que lhe são conferidas pelo Estatuto da Entidade, aprovado pelo Decreto nº 11.233 de 10 de outubro de 2022, publicado no Diário Oficial da União em 11 de outubro de 2022 e CONSIDERANDO o registro em Ata da 1ª Reunião Extraordinária do COMITÊ DE GOVERNANÇA DIGITAL DA FUNDAÇÃO BIBLIOTECA NACIONAL (FBN), realizada em 06 de setembro de 2024, resolve:

Art. 1º Aprovar a Política de Privacidade e Proteção de Dados Pessoais (PPDP) da Fundação Biblioteca Nacional.

Art. Esta Portaria entra em vigor na data de sua assinatura.

Marco Lucchesi

ANEXO

Política de Proteção de Dados Pessoais

(PPDP)

Versão 1.0

Rio de Janeiro, Setembro de 2024

Presidência da República

Luiz Inácio Lula da Silva

Ministério da Cultura

Margareth Menezes da Purificação Costa

Presidência

Marco Américo Lucchesi

Diretoria Executiva

Suely Dias

Chefia de Gabinete

Oscar Manuel da Costa Gonçalves

Encarregado pelo Tratamento de Dados Pessoais

Wellington da Silva

Controle de Revisão

Revisão 1.0 - 2024

Histórico de Versões

Data

Versão

Descrição

Autor

06/09/2024

1.0

Política de Proteção de Dados Pessoais

Wellington da Silva

Introdução

A LGPD foi promulgada em 2018 e tem como objetivo regulamentar o tratamento de dados pessoais para garantir o livre desenvolvimento da personalidade e a dignidade da pessoa humana. Para isso, a lei estabelece uma série de regras a serem seguidas pelos agentes de tratamento, incluindo o Poder Público (ANPD, 2021).

O presente documento serve como um modelo prático a ser utilizado na implementação do controle 22 do Guia do Framework de Privacidade e Segurança da Informação1 v1 e respectivas evoluções desta versão (1.1, 1.2 etc.) elaborado e publicado pela SGD. A medida do controle 22 que está contemplada por este modelo é a 22.2.

O Controle 22 do Guia do Framework de Privacidade e Segurança da Informação (p. 62) estabelece que:

Controle 22: Políticas, Processos e Procedimentos - Definir, desenvolver, divulgar, implementar e atualizar políticas, processos e procedimentos operacionais, internos e externos que regem as ações relativas à proteção de dados pessoais e privacidade, e controles para programas, sistemas de informação ou tecnologias que envolvam o tratamento de dados pessoais.

Política de Proteção de Dados Pessoais

A LGPD se aplica a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados. A Fundação Biblioteca Nacional (FBN) observará as normas contidas na lei para: coletar, armazenar, usar e divulgar informações pessoais, bem como o direito dos titulares em acessar corrigir, anonimizar, bloquear ou excluir informações pessoais que a FBN possua. Com base na LGPD a FBN tomará medidas razoáveis para implementar práticas, procedimentos e sistemas para proteger informações pessoais de seus leitores, visitantes, servidores, terceirizados, estagiários, pesquisadores e bolsistas.

Propósito

Esta política tem o propósito de estabelece como a Fundação Biblioteca Nacional (FBN) aplica as normas gerais contidas na Lei Geral de Proteção de Dados - LGPD (13.709/2018), que são de interesse nacional, sendo assim devem ser observadas por esta fundação. A proteção de dados pessoais tem como fundamentos: o respeito à privacidade, a inviolabilidade da intimidade, da honra e da imagem, os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais, entre outros.

Escopo

Instituir a Política de Proteção de Dados Pessoais (PPDP), no âmbito da Fundação Biblioteca Nacional (FBN) com a finalidade de estabelecer princípios e diretrizes para a implementação de ações que garantam a proteção de dados pessoais, e no que couber, no relacionamento com outras entidades públicas ou privadas.

Esta Política regula a proteção de dados pessoais, na qual Fundação Biblioteca Nacional é o agente de tratamento, bem como o meio utilizado para este tratamento, seja digital ou físico, além de qualquer pessoa que realize operações de tratamento de dados pessoais em seu nome ou em suas dependências.

Glossário

Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

Encarregado: pessoa indicada pelo controlador, para atuar como canal de comunicação entre o controlador, os titulares dos dados pessoais e a Autoridade Nacional de Proteção de Dados (ANPD);

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.

Declarações da política

Todas as ações existentes ou ações futuras relacionadas ao Tratamento de Dados Pessoais e ao Titular de Dados Pessoais, obrigatoriamente seguirão os princípios dispostos na LGPD que são:

I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

A Fundação Biblioteca Nacional respeita a pessoa natural titular de dados pessoais e se compromete a executar todos os controles necessários, considerando a razoabilidade da tecnologia existente, para Proteger os Dados Pessoais sob sua responsabilidade e possibilitar a Privacidade do Titular de Dados Pessoais.

CAPÍTULO I

Das Diretrizes Gerais

Art. 1º A Fundação Biblioteca Nacional adotará medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais.

Art. 2º Será estabelecida revisões de processos com o objetivo de aferir a diminuição ou aumento de riscos que envolvem o tratamento de dados pessoais.

Art. 3º Os dados pessoais que forem coletados e tratados no site e BNDigital mantidos pela Fundação Biblioteca Nacional também serão administrados de acordo com as diretrizes desta política. Normativos específicos poderão ser elaborados para a gestão destes dados coletados a partir de sites e aplicativos.

Art. 4º A Fundação Biblioteca Nacional poderá utilizar arquivos (cookies) para registrar e gravar no computador do usuário as preferencias e navegações realizadas nas respectivas páginas para fins estatísticos e de melhoria dos serviços ofertados, respeitando o consentimento do titular.

Art. 5º É competência do Comitê de Governança Digital (CGD) gerenciar a implementação da LGPD dentro da Fundação Biblioteca Nacional e a administração da Política de Proteção de Dados Pessoais.

Art. 6º O CGD manterá o registro das operações de tratamento de dados pessoais realizadas pela Fundação Biblioteca Nacional

Art. 7º Poderá ser elaborado o Relatório de Impacto de Proteção de Dados Pessoais (RIPD) relacionados às operações de tratamento, e atualizá-lo quando necessário.

Art. 8º O CGD deverá desenvolver e manter atualizados as políticas/avisos de privacidade, que fornecerão informações sobre o processamento de dados pessoais em cada ambiente físico ou virtual, bem como detalhar as medidas de proteção de dados adotadas para salvaguardar esses dados pessoais.

Art. 9º Será estabelecido o programa de treinamento e conscientização para que os colaboradores entendam suas responsabilidades e procedimentos na proteção de dados pessoais.

Art. 10º A Política de Segurança da Informação (POSIN) da FBN, será utilizada como regra de segurança, de boas práticas e de governança que definam procedimentos referentes a privacidade e proteção de dados pessoais.

CAPÍTULO II

Tratamento de Dados Pessoais

Art. 11. A aplicação desta Política será pautada pelo dever de boa-fé e pela observância dos princípios previstos no art. 6º da LGPD. Qualquer tratamento de dados pessoais no âmbito da FBN será realizado considerando as melhores práticas administrativas, os cuidados necessários para o atendimento da finalidade legal, bem como os direitos dos titulares.

Art. 12. O tratamento de dados pessoais deverá ser realizado para o atendimento de sua finalidade pública, conforme o interesse público, com o objetivo de executar competências legais e de cumprir as atribuições legais do serviço público.

Art. 13. O encarregado adotará mecanismos para que o titular do dado pessoal usufrua dos direitos assegurados pela LGPD e normativos correlatos.

Art. 14. Será realizado o tratamento de dados pessoais sensíveis somente nos termos da seção II do capítulo II da LGPD e serão estabelecidos procedimentos de segurança no tratamento destes dados conforme a LGPD e demais normativos.

Art. 15. Será realizado o tratamento de dados pessoais de crianças e de adolescentes nos termos da seção III do capítulo II da LGPD, bem como, poderá ser realizado com base nas hipóteses legais previstas no art. 7º ou no art. 11 da Lei Geral de Proteção de Dados Pessoais (LGPD), desde que observado e prevalecente o seu melhor interesse, a ser avaliado no caso concreto, nos termos do art. 14 da Lei.

Art. 16. O uso compartilhado de dados, quando houver, observará o art. 26 da LGPD bem como sua comunicação estará sujeita ao que consta no art. 27 da mesma lei.

Art. 17. Quando houver transferência internacional de dados pessoais será observado o que consta no Capítulo V da LGPD.

CAPÍTULO III

Conscientização, Capacitação e Sensibilização

Art. 18. As pessoas que possuem acesso aos dados pessoais na Fundação Biblioteca Nacional integrarão os programas de conscientização, capacitação e sensibilização em matérias de privacidade e proteção de dados pessoais.

I. A conscientização, capacitação e sensibilização em privacidade e proteção de dados pessoais será adequada aos papéis e responsabilidades das pessoas.

CAPÍTULO IV

Segurança e Boas Práticas

Art. 19. A Fundação Biblioteca Nacional disponibilizará na base de conhecimento do SEI (Sistema Eletrônico de Informações) documentos que apresentam condutas e recomendações que melhoram o gerenciamento de risco e que orientam na tomada de ações adequadas em caso de comprometimento de dados pessoais.

Art. 20. Qualquer ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos dados pessoais dos titulares seguirá as regras dispostas na POSIN e comunicada à Autoridade Nacional de Proteção de Dados (ANPD) dentro do prazo previsto pela LGPD.

Art. 21. Serão adotadas medidas técnicas e organizacionais de privacidade e proteção de dados, dispostas a seguir, com o objetivo diminuir ou mitigar a existência incidentes com os dados pessoais do titular:

I. o acesso aos dados pessoais é limitado as pessoas que realizam o tratamento.

II. as funções e responsabilidades dos colaboradores envolvidos nos tratamentos de dados pessoais são claramente estabelecidas e comunicadas;

III. são estabelecidos acordos de confidencialidade, termos de responsabilidade ou termos de sigilo com operadores de dados pessoais;

IV. todos os dados pessoais são armazenados em ambiente seguro, de modo que terceiros não autorizados não possam acessá-los.

CAPÍTULO V

Auditoria e Conformidade

Art. 22. O cumprimento desta Política, bem como dos normativos que a complementarão serão avaliados periodicamente por meio de verificações de conformidade, buscando a certificação do cumprimento dos requisitos de privacidade e proteção de dados pessoais e da garantia de cláusula de responsabilidade e sigilo constantes de termos de responsabilidade, contratos, convênios, acordos e instrumentos congêneres.

Art. 23. As atividades, produtos e serviços desenvolvidos na FBN estarão em conformidade com requisitos de privacidade e proteção de dados pessoais constantes de leis, regulamentos, resoluções, normas, estatutos e contratos jurídicos vigentes.

Art. 24. Os resultados de cada ação de verificação de conformidade serão documentados em relatório de avaliação de conformidade.

CAPÍTULO VI

Funções e Responsabilidades

Art. 25. Qualquer pessoa natural ou jurídica de direito público ou privado que tenha interação em qualquer fase do tratamento de dados pessoais garantirá a privacidade e a proteção de dados pessoais, mesmo após o término do tratamento, observando as medidas técnicas e administrativas determinadas pela FBN.

Art. 26. Compete ao CGD prover orientação e o patrocínio necessários às ações de privacidade e proteção de dados pessoais na FBN, de acordo com os objetivos estratégicos e com as leis e regulamentos pertinentes.

I. assessorar a implementação da proteção de dados pessoais;

II. constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre proteção de dados pessoais;

III. participar da elaboração da Política de Proteção de Dados Pessoais e das demais normas internas de privacidade e proteção de dados pessoais, além de propor atualizações e alterações nestes dispositivos;

IV. incentivar a conscientização, capacitação e sensibilização das pessoas que desempenham qualquer atividade de tratamento de dados pessoais dentro da FBN.