Art. 27. O Comitê de Governança Digital (CGD) tem a seguinte composição:

I. o (a) coordenador (a) de Segurança da Informação;

II. o encarregado pelo tratamento de dados pessoais;

III. o (a) Diretor (a) Executiva (o);

IV. o (a) coordenador (a) do Centro de Coleções e Serviços ao Leitor;

V. o (a) coordenador (a) da Coordenação-Geral de Planejamento e Administração;

VI. o (a) coordenador (a) do Centro de Processamento e Preservação;

VII. o (a) coordenador (a) do Centro de Cooperação e Difusão;

VIII. o (a) coordenador (a) do Centro de Pesquisa e Editoração.

Parágrafo único. Os suplentes serão os substitutos

Art. 28. A presidência do CGD será exercida pelo titular da Diretoria-Executiva da FBN.

Art. 29. A responsabilidade pelas decisões relacionadas ao tratamento de dados pessoais é da FBN que no exercício das atribuições típicas de controlador determina as medidas necessárias para executar a Política de Proteção de Dados Pessoais dentro de sua estrutura organizacional.

Art. 30. São atribuições do controlador:

I. observar os fundamentos, princípios da privacidade e proteção de dados pessoais e os deveres impostos pela LGPD e por normativos correlatos no momento de decidir sobre um futuro tratamento ou realizá-lo;

II. considerar o preconizado pelos art. 7º, art. 11 e art. 23 antes de realizar o tratamento de dados pessoais;

III. cumprir o previsto pelos art. 46 e art. 50 da LGPD buscando à proteção de dados pessoais e sua governança;

IV. indicar um encarregado pelo tratamento de dados pessoais, divulgando a identidade e as informações de contato do encarregado de forma clara e objetiva, no sítio institucional.

V. elaborar o inventário de dados pessoais a fim de manter registros das operações de tratamento de dados pessoais;

VI. reter dados pessoais somente pelo período necessário para o cumprimento da hipótese legal e finalidade utilizadas como justificativa para o tratamento de dados pessoais;

VII. criar e manter atualizados os avisos ou políticas de privacidade, que informarão sobre os tratamentos de dados pessoais realizados em cada ambiente físico ou virtual, e como os dados pessoais neles tratados são protegidos;

VIII. requerer do titular a ciência com o termo de uso para cada serviço ofertado, informatizado ou não, que trate dados pessoais.

§ 1º É vedado qualquer tratamento de dados pessoais para fins não relacionados com as atividades desenvolvidas pela organização ou por pessoa não autorizada formalmente por esta Fundação.

Art. 31. São considerados operadores de dados pessoais as pessoas naturais ou jurídicas de direito público ou privado, que realizam operações de tratamento de dados pessoais em nome do controlador.

Parágrafo único. Qualquer fornecedor de produtos ou serviços, que por algum motivo, realiza o tratamento de dados pessoais a eles confiados, são considerados operadores e devem seguir as diretrizes estabelecidas nesta política, em especial o capítulo VII.

Art. 32. São atribuições do operador:

I. observar os princípios estabelecidos no Art. 6º da LGPD, ao realizar tratamento de dados pessoais.

II. seguir as diretrizes estabelecidas pelo controlador;

III. antes de efetuar o tratamento, verificar se as diretrizes estabelecidas pelo controlador cumprem os requisitos legais presentes nos art. 7º, art. 11 e art. 23 da LGPD;

Parágrafo único. É proibida a decisão unilateral do operador quanto aos meios e finalidades utilizados para o tratamento de dados pessoais.

Art. 33. São atribuições do encarregado de proteção de dados:

I. receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II. receber comunicações e requisições da ANPD e adotar providências; e

III. orientar os colaboradores da organização a respeito das práticas a serem adotadas em relação à proteção de dados pessoais.

CAPÍTULO VII

Contratos, Convênios, Acordos e Instrumentos Congêneres

Art. 34. Os contratos, convênios, acordos e instrumentos similares atualmente em vigor, que de alguma forma envolvam o tratamento de dados pessoais, incorporarão cláusulas específicas em total conformidade com a presente Política de Proteção de Dados Pessoais e que contemplem:

I. requisitos mínimos de segurança da informação.

II. determinação de que o operador não processe os dados pessoais para finalidades que divergem da finalidade principal informada pelo controlador.

III. requisitos de proteção de dados pessoais que os operadores de dados pessoais devem atender.

IV. condições sob as quais o operador deve devolver ou descartar com segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma mediante solicitação do controlador

V. diretrizes especificas sobre o uso de subcontratados pelo operador para execução contratual que envolva tratamento de dados pessoais.

Art. 35. São adotadas medidas rigorosas com o propósito de assegurar que os terceiros e processadores de dados pessoais contratados estão plenamente em conformidade com as cláusulas contratuais estabelecidas no momento da celebração do acordo entre as partes envolvidas.

CAPÍTULO VIII

Penalidades

Art. 36. Ações que violem a Política de Proteção de Dados Pessoais poderão acarretar, isolada ou cumulativamente, nos termos da legislação aplicável, sanções administrativas, civis e penais, assegurados aos envolvidos o contraditório e a ampla defesa.

Art. 37. Casos de descumprimento desta Política deverão ser registrados e comunicados ao CGD para ciência e tomada das providências cabíveis.

CAPÍTULO IX

Disposições Finais

Art. 38. Os integrantes do CGD poderão expedir instruções complementares, no âmbito de suas competências, que detalharão suas particularidades e procedimentos relativos à Proteção de Dados Pessoais alinhados às diretrizes desta Política e aos respectivos Planos Estratégicos Institucionais da FBN.

Art. 39. As dúvidas sobre a Política de Proteção de Dados Pessoais e seus documentos devem ser submetidas ao CGD ou ao encarregado pelo tratamento de dados pessoais.

Art. 40. Esta política será revisada sempre que se fizer necessário, não excedendo o período máximo de 04 anos, a partir do início de sua vigência.

Art. 41. Os casos omissos serão resolvidos pelo CGD.

Art. 42. Esta política entra em vigor na data de sua publicação.

Referências Bibliográficas

BAHIA (Estado). Tribunal Regional do Trabalho da 5ª Região. ATO TRT5 N. 468, de 17 de outubro de 2022. Institui a Política de Privacidade e Proteção de Dados Pessoais do Tribunal Regional do Trabalho da 5ª Região. Disponível em: https://www.trt5.jus.br/sites/default/files/cdp/0468-2022_institui_a_politica_de_privacidade_e_protecao_de_dados_pessoais.pdf. Acesso em: 11 set. 2023.

BRASIL. Autoridade Nacional de Proteção de Dados. Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Versão 2.0. Abril de 2022. Disponível em: https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/Segunda_Versao_do_Guia_de_Agentes_de_Tratamento_retificada.pdf. Acesso em: 14 set. 2023.

BRASIL. Ministério da Economia. Comitê Estratégico de Privacidade e Proteção de Dados Pessoais. Resolução CEPPDP/ME Nº 7, de 22 de fevereiro de 2022. Aprova a Política de Proteção de Dados Pessoais no âmbito do Ministério da Economia. Disponível em: https://www.gov.br/economia/pt-br/acesso-a-informacao/acoes-e-programas/integra/governanca/comites-tematicos-de-apoio-a-governanca/comite-tematico-de-protecao-de-dados-pessoais-ceppdp/documentos-ceppdp/resolucoes-ceppdp/resolucao-no-7-ceppdp-22-02-22. Acesso em: 11 set. 2023.

BRASIL. Ministério da Economia. Portaria ME Nº 4424, de 20 de abril de 2021. Institui o Comitê Estratégico de Privacidade e Proteção de Dados Pessoais no âmbito do Ministério da Economia. Disponível em: https://www.gov.br/economia/pt-br/acesso-a-informacao/acoes-e-programas/integra/gestao-do-conhecimento/legislacoes/portaria-no-4-424-20-04-2021. Acesso em: 14 set. 2023.

BRASIL. Ministério da Economia. Gabinete do Ministro. Portaria Nº 218, de 19 de maio de 2020. Institui a Política de Segurança da Informação do Ministério da Economia. Diário Oficial da União: seção 1, Brasília, DF, p. 21, 20 de maio de 2020. Disponível em: https://www.in.gov.br/en/web/dou/-/portaria-n-218-de-19-de-maio-de-2020-257605466. Acesso em: 11 set. 2023.

BRASIL. Presidência da República. Gabinete de Segurança Institucional. Portaria nº 93, de 26 de setembro de 2019. Aprova o Glossário de Segurança da Informação. Diário Oficial da União: seção 1, Brasília, DF, p. 3, 01 out. 2019. Disponível em: https://www.in.gov.br/en/web/dou/-/portaria-n-93-de-26-de-setembro-de-2019-%20219115663. Acesso em: 04 set. 2020.

BRASIL. Presidência da República. Gabinete de Segurança Institucional. Instrução Normativa nº 01, maio de 2020. Dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal. Disponível em: https://www.gov.br/gsi/pt-br/dsic/legislacao/copy_of_IN01_consolidada.pdf. Acesso em: 11 set. 2020.

BRASIL. Presidência da República. Secretaria-Geral. Subchefia para Assuntos Jurídicos. Lei nº 13.709, de 14 de agosto de 2018. Dispõe sobre a proteção de dados pessoais e altera a Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet). Brasília, DF: 14 ago. 2018. Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2018/Lei/L13709.htm. Acesso em: 11 set. 2023.

BRASIL. Tribunal de Contas da União. Portaria-SEGECEX Nº 26, de 19 de outubro de 2009. Aprova a segunda revisão do Roteiro de Auditoria de Conformidade e altera a sua denominação para Padrões de Auditoria de Conformidade. Brasília, DF: Boletim do Tribunal de Contas da União, 2010. Disponível em: https://portal.tcu.gov.br/contas-e-fiscalizacao/controle-e-fiscalizacao/auditoria/normas-de-fiscalizacao/auditoria-de-conformidade.htm. Acesso em: 18 set. 2023.

COMPANHIA NACIONAL DE ABASTECIMENTO. Política de Proteção de Dados Pessoais - 10.013. Aprovada pela Resolução Consad n.º 010/2021. 2021. Disponível em: https://www.conab.gov.br/institucional/normativos/politicas-planos-e-cartas/item/download/37247_7d884f3edcf4e911cae38ddd842b28fb. Acesso em 11 set 2023.

DIRETORIA DE PRIVACIDADE E SEGURANÇA DA INFORMAÇÃO DA SECRETARIA DE GOVERNO DIGITAL - DPSI/SGD. Guia do Framework de Privacidade e Segurança da Informação (PPSI). Versão 1.1.3. Brasília, DF: set. 2024. Disponível em: https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/ppsi/guia_framework_psi.pdf. Acesso em: 11 set. 2023.

DISTRITO FEDERAL. Tribunal de Justiça do Distrito Federal e dos Territórios. Resolução 9, de 02 de setembro de 2020. Institui a Política de Privacidade dos Dados das Pessoas Físicas no Tribunal de Justiça do Distrito Federal e dos Territórios - TJDFT. Disponível em: https://www.tjdft.jus.br/publicacoes/publicacoes-oficiais/resolucoes-do-pleno/2020/resolucao-9-de-02-09-2020. Acesso em: 11 set. 2023.

EUGDPR INSTITUTE. Data Protection Policy - Template. Disponível em: https://www.eugdpr.institute/wp-content/uploads/2019/09/Data-Protection-Template.pdf. Acesso em: 11 set. 2023.

FACULDADES INTEGRADAS DE TAQUARA. Política de Privacidade e Proteção de Dados Pessoais. Disponível em: https://www2.faccat.br/portal/?q=politica_privacidade. Acesso em: 11 set. 2023.

FUNDAÇÃO BIBLIOTECA NACIONAL (Brasil). Política de Segurança da Informação - POSIN. Rio de Janeiro: Fundação Biblioteca Nacional, 2022. Disponível em: https://www.gov.br/bn/pt-br/acesso-a-informacao-2/acoes-e-programas/governanca/Posin2022.pdf/view. Acesso em: 10 jul. 2024.

GOIÁS (Estado). Tribunal Regional do Trabalho da 18ª Região. Resolução Administrativa Nº 96/2021, de 20 de agosto de 2021. Regulamenta as funções do Controlador, do Encarregado, dos Operadores e da Ouvidoria no âmbito do Tribunal Regional do Trabalho da 18ª Região. Goiânia: Tribunal Regional do Trabalho da 18ª Região, 2021. Disponível em: https://bibliotecadigital.trt18.jus.br/bitstream/handle/bdtrt18/22825/ Resolucao%20Administrativa_TRT18_96_2021.PDF?sequence=1&isAllowed=y. Acesso em: 14 set. 2023.

GOIÁS (Estado). Tribunal Regional do Trabalho da 18ª Região. Resolução Administrativa Nº 130/2021 (Republicação), de 26 de novembro de 2021. Institui a Política de Privacidade e Proteção de Dados Pessoais no âmbito do Tribunal Regional do Trabalho da 18ª Região. Goiânia: Tribunal Regional do Trabalho da 18ª Região, 2021. Disponível em: https://bibliotecadigital.trt18.jus.br/bitstream/handle/bdtrt18/24405/RA_2021_00130_ comp_Port_2022_00304.pdf?sequence=4&isAllowed=y. Acesso em: 12 set. 2023.

INFORMATION COOMISSIONER'S OFFICE. Data Protection Policy 2021. Disponível em: https://ico.org.uk/media/about-the-ico/policies-and-procedures/4025073/data-protection-policy.pdf. Acesso em: 11 set. 2023.

INTERNATIONAL GENERAL INSURANCE GROUP. Data Protection Policy 2018. Disponível em: https://iginsure.com/media/2061/data-protection-policy-published.pdf. Acesso em: 15 set. 2023.

MARANHÃO (Estado). Tribunal Regional do Trabalho da 16ª Região. Resolução Nº 144, de 19 de agosto de 2021. [Institui a] Política de Privacidade e Proteção de Dados Pessoais (PPPDP) do Tribunal Regional do Trabalho da 16ª Região (TRT16). Disponível em: https://www.trt16.jus.br/sites/portal/files/roles/lgpd/pol%C3%ADtica%20de%20 privacidade%20de%20dados%20pessoais%20do%20trt16.pdf. Acesso em: 11 set. 2023.

SÃO PAULO (Estado) Tribunal de Justiça de São Paulo. Portaria Nº 9923/2020. Institui a Política de Proteção de Dados Pessoais dos sítios eletrônicos do Poder Judiciário de São Paulo. 2020. Disponível em: https://www.tjsp.jus.br/Download/Portal/LGPD/Portaria_LGPD_9923-2020-2.pdf?638307375346176962. Acesso em: 11 set. 2023.

WORLD CUSTOMS ORGANIZATION. Personal Data Protection Policy. Disponível em: https://www.wcoomd.org/-/media/wco/public/global/pdf/about-us/legal-instruments/policies/personal-data-protection-policy_en.pdf?la=en. Acesso em: 15 set. 2023.