Norma nº 163/2023

Estabelece a Política de Proteção de Dados Pessoais no âmbito do Tribunal de Contas da União (TCU).

                 O PRESIDENTE DO TRIBUNAL DE CONTAS DA UNIÃO (TCU), no uso de suas competências legais e regimentais, e tendo em vista o disposto no § 2º do art. 5º da Resolução-TCU nº 342, de 28 de setembro de 2022, que dispõe sobre a Política Corporativa de Segurança da Informação,   considerando o direito constitucional da proteção de dados pessoais, previsto no inciso LXXIX do art. 5° da Constituição Federal de 1988;   considerando o disposto na Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD);   considerando o disposto no inciso III do art. 6º e no §5º do art. 31 da Lei nº 12.527, de 18 de novembro de 2011 - Lei de Acesso à Informação (LAI);   considerando o disposto na Resolução-TCU nº 294, de 18 de abril de 2018, que dispõe sobre a classificação da informação quanto à confidencialidade no âmbito do TCU;   considerando o disposto na Resolução-TCU nº 297, de 26 de junho de 2018, que disciplina o armazenamento, a concessão de acesso e o compartilhamento de bases de dados obtidas de pessoa física ou jurídica, órgão ou entidade, no exercício do controle externo, classificadas com restrição de acesso;   considerando que, nos termos do art. 3º, inciso II, da Resolução-TCU nº 342, de 28 de setembro de 2022, o processo de proteção de dados pessoais compõe o Sistema de Gestão de Segurança da Informação do TCU (SGSI/TCU);   considerando o disposto na Portaria-TCU nº 329, de 1º de dezembro de 2014, que dispõe sobre procedimentos de segurança e controles administrativos e tecnológicos afetos à classificação quanto à confidencialidade das informações produzidas ou custodiadas pelo TCU; e   considerando as informações constantes do processo nº TC-003.638/2023-5, resolve:   CAPÍTULO I   DISPOSIÇÕES PRELIMINARES   Art. 1º A Política de Proteção de Dados Pessoais, no âmbito do Tribunal de Contas da União (TCU), obedece ao disposto nesta Portaria.   Parágrafo único. Esta portaria integra a Política Corporativa de Segurança da Informação (PCSI/TCU).   CAPÍTULO II   DO TRATAMENTO DE DADOS PESSOAIS NO TCU   Art. 2º O tratamento de dados pessoais a ser realizado pelo TCU, no desempenho de suas competências e atribuições constitucionais, legais e regulamentares, deve estar em consonância com a finalidade pública.   Art. 3º A realização de tratamento de dados pessoais no âmbito do TCU deve ter como base legal as hipóteses previstas no art. 7º da Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD).   §1º No tratamento a que se refere o caput deste artigo, o TCU utilizará como base legal, preferencialmente, as seguintes hipóteses, independentemente do consentimento dos titulares de dados:   I - cumprimento de obrigação legal ou regulatória, com indicação específica do dispositivo que necessita do tratamento de dados pessoais para ser cumprido; e   II - tratamento e uso compartilhado, pela administração pública, de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições da LGPD acerca do tratamento de dados pessoais pelo poder público.   § 2º Excetuadas as hipóteses de que trata o parágrafo anterior, a utilização como base legal das demais hipóteses a que se refere o caput deste artigo, dependerá de demonstração motivada com as razões para a sua adoção.   § 3º No exercício de atividades administrativas não vinculadas diretamente a obrigações legais e ao exercício de suas competências legais e constitucionais, o TCU deverá obter o consentimento dos titulares para tratar dados pessoais, sempre respeitando e concretizando a autodeterminação informativa dos envolvidos.   § 4º No caso de dados pessoais sensíveis, o tratamento será realizado com base nas disposições previstas pela LGPD.   Art. 4º Quando da utilização do legítimo interesse do TCU para tratamento de dados pessoais, deverão ser:   I - consideradas, além das disposições do art. 10 da LGPD, as situações que envolvam a aproximação com a sociedade, o fomento ao controle social, a preservação histórica, a governança e gestão sobre seu quadro próprio de pessoal, a manutenção de sua independência e imparcialidade, a defesa de suas competências e atribuições e a segurança institucional (que compreende ativos, informações, patrimônio, autoridades, servidores e colaboradores do Tribunal); e   II - observados, além da legislação vigente, os princípios e direitos do titular mencionados nos arts. 6º e 9º da LGPD.   Parágrafo único. A utilização do legítimo interesse como base legal dependerá de motivação expressa da área responsável pelo tratamento de dados pessoais quanto ao equilíbrio entre o interesse do TCU e o do titular dos dados, devendo o encarregado ser consultado.   CAPÍTULO III   DO EXERCÍCIO DOS DIREITOS DO TITULAR   Art. 5º Os direitos do titular de dados pessoais tratados no âmbito do TCU poderão ser exercidos mediante manifestação registrada em formulário eletrônico (disponível no Portal TCU) direcionada ao encarregado.   Art. 6º Para ter acesso aos sistemas e serviços disponibilizados no Portal TCU, inclusive para exercício dos direitos do titular, os usuários deverão, de forma livre e consciente, fornecer dados pessoais necessários ao cadastro, ao credenciamento, à identificação e à autenticação no referido Portal.   Art. 7º Os direitos do titular relativos a dados pessoais constantes de base de dados custodiada pelo TCU devem ser exercidos junto ao proprietário da base de dados.   Parágrafo único. O TCU divulgará quais bases de dados custodia, com indicação dos respectivos proprietários.   Art. 8º Os direitos do titular de dados pessoais previstos na LGPD, em qualquer caso, serão ponderados com o interesse público de conservação de dados históricos, o fomento ao controle social, a preservação da transparência da instituição e das condutas de agentes públicos no exercício de suas atribuições, e com a divulgação de informações relevantes à sociedade.   Art. 9º Nos pedidos de acesso à informação e respectivos recursos, as decisões que tratam da publicidade de dados pessoais serão fundamentadas nos arts. 3º e 31 da LAI, considerando:   I - a especificidade da LAI em relação ao Poder Público para regular aspectos de transparência e acesso à informação;   II - o não estabelecimento, pela LGPD, de hipóteses de sigilo para a Administração Pública e nem contra esta; e   III - a restrição do acesso a quaisquer dados pessoais relativos à intimidade, vida privada, honra e imagem das pessoas, nos termos do art. 31 da LAI.   Parágrafo único. A aplicação da LAI e da LGPD deve ocorrer de forma integrada, tendo por premissa a compatibilidade entre os comandos legais.   CAPÍTULO IV   DA TRANSFERÊNCIA E DO COMPARTILHAMENTO DE DADOS NO TCU   Art. 10. O TCU poderá transferir dados pessoais constantes de suas bases de dados a pessoas jurídicas de direito privado nos seguintes casos, sem prejuízo de outros previstos em legislação específica:   I - de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na LAI;   II - em que os dados forem acessíveis publicamente, observadas a finalidade, a boa-fé e os direitos do titular;   III - em que houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres comunicados à Autoridade Nacional de Proteção de Dados (ANPD); ou   IV - em que a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou a proteção e o resguardo da segurança e da integridade do titular dos dados, sendo vedado o tratamento para outras finalidades.   Parágrafo único. A pessoa jurídica de direito privado receptora dos dados pessoais será qualificada como operadora, consoante o estabelecido no art. 5º, inciso VII da LGPD.   Art. 11. O compartilhamento de dados pessoais com outras instituições públicas observará o disposto na legislação vigente e em regulamentação específica do TCU.   CAPÍTULO V   DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS   Art. 12. O controlador de dados pessoais, nos termos do art. 5º inciso VI da LGPD, é a União, assumindo o TCU atribuições de controlador mediante o processo de desconcentração administrativa e considerando as competências constitucionais, legais e regulamentares do TCU.   Art. 13. É operador, nos termos do art. 5º inciso VII da LGPD, no âmbito do TCU, a pessoa natural ou jurídica, de direito público ou privado, que realizar tratamento de dados pessoais em nome do TCU.   Parágrafo único. Não é considerado operador, para os fins desta Política, a pessoa física com vínculo empregatício a pessoa jurídica controladora do dado, tais como autoridades, servidores e colaboradores do TCU.   Art. 14. Os fornecedores de produtos ou serviços, ao tratarem os dados pessoais a eles confiados pelo TCU, serão considerados operadores e deverão submeter-se à Política estabelecida por este normativo, cumprir os deveres e obrigações legais e contratuais aplicáveis, além de:   I - assinar contrato ou termo de compromisso com cláusulas específicas sobre proteção de dados pessoais definidas pelo TCU;   II - apresentar evidências e garantias suficientes de que aplicam medidas técnicas e administrativas adequadas de segurança para a proteção dos dados pessoais, nos termos definidos em legislação, em normas administrativas do TCU e nos respectivos instrumentos contratuais;   III - manter os registros de tratamento de dados pessoais que realizarem, de forma a oferecer condições de rastreabilidade e a fornecer prova eletrônica a qualquer tempo;   IV - seguir fielmente as diretrizes e instruções transmitidas pelo TCU;   V - facultar acesso a dados pessoais somente para pessoas que tenham obtido autorização, a qual será concedida apenas a quem tenha estrita necessidade de conhecer tais dados e que tenha assumido compromisso formal de preservar a segurança dos dados, devendo a prova do compromisso estar disponível em caráter permanente para exibição ao TCU, mediante solicitação;   VI - permitir a realização de auditorias e disponibilizar toda a informação necessária para demonstrar o cumprimento das obrigações estabelecidas;   VII - auxiliar, sempre que demandado pelo TCU, no atendimento pelo respectivo contratante, de obrigações perante titulares de dados pessoais, autoridades competentes ou quaisquer outros interessados com previsão legal;   VIII - comunicar formalmente e de imediato ao encarregado do TCU a ocorrência de qualquer incidente de segurança que possa acarretar risco, comprometimento ou dano potencial ou efetivo a titular de dados pessoais; e   IX - descartar de forma irrecuperável, ou devolver para o contratante, todos os dados pessoais e as respectivas cópias existentes, após o cumprimento da devida finalidade ou após o encerramento do tratamento por decurso de prazo ou por extinção de vínculo legal ou contratual.   § 1º No caso dos contratos de terceirização de mão-de-obra, o TCU e o contratado assumirão a controladoria conjunta no que se refere aos dados dos colaboradores terceirizados, ficando cada controlador responsável pelos tratamentos de dados pessoais que realizar e pelas consequências daí advindas.   § 2º No caso de contratação de banca examinadora para realização de concursos públicos, o TCU e a contratada assumirão a controladoria conjunta no que se refere aos dados dos candidatos, ficando cada controlador responsável pelos tratamentos de dados pessoais que realizar e pelas consequências daí advindas.   Art. 15. O encarregado atuará como canal de comunicação entre o TCU, os titulares dos dados e a ANPD, bem como com outras organizações com atuação na proteção de dados pessoais com as quais o TCU estabeleça acordo de serviço ou de cooperação técnica, sendo indicado pelo Presidente do TCU, observadas as regras e requisitos do Tribunal para o exercício de Função Comissionada.   Art. 16. Ao encarregado, compete:   I - receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar as providências cabíveis;   II - receber comunicações da Autoridade Nacional e adotar providências cabíveis;   III - orientar autoridades, servidores e colaboradores do TCU a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e   IV - executar as demais atribuições determinadas pelo TCU ou estabelecidas em normas complementares.   Parágrafo único. A orientação prevista no inciso III do caput deste artigo será considerada de natureza técnica e publicada internamente de forma permanente e cumulativa.   CAPÍTULO VI   DA SEGURANÇA E DAS BOAS PRÁTICAS   Art. 17. O TCU implementará medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, nos termos do capítulo VII da LGPD, por meio, no mínimo, de:   I - plano de resposta a incidentes relacionados à proteção de dados pessoais;   II - adoção de mecanismos de segurança e proteção de dados desde a concepção de novos produtos ou serviços - privacy and security by design;   III - avaliação dos sistemas e dos bancos de dados em que houver tratamento de dados pessoais;   IV - análise da segurança quando do compartilhamento de dados pessoais com terceiros;   V - registro e manutenção dos tratamentos de dados pessoais com as informações sobre finalidade do tratamento, base legal, descrição dos titulares, eventual transferência internacional, prazo de conservação e medidas de segurança adotadas;   VI - guarda dos dados pessoais, fundamentada na tabela de temporalidade;   VII - instituição de órgão colegiado como instância técnica para tratar de assuntos relativos à segurança da informação e proteção de dados pessoais; e   VIII - utilização do Relatório de Impacto à Proteção de Dados Pessoais (RIPD) como auxílio à tomada de decisão e proteção de dados pessoais.   § 1º A implementação de medidas de segurança referente a ativos de Tecnologia da Informação (TI) seguirá a priorização definida no Plano Diretor de Tecnologia da Informação (PDTI) do TCU.   § 2º Compete ao gestor da informação a responsabilidade pela elaboração do RIPD - quando da adaptação dos processos de trabalho e sistemas à LGPD ou quando do tratamento de dados pessoais que envolvem alto risco ao titular -, pela elaboração do mapa de processos e de dados tratados, bem como pela adoção de controles.   § 3º A elaboração do RIPD pode ser realizada com o apoio da unidade responsável pela coordenação da segurança da informação e da proteção de dados pessoais do TCU.   Art. 18. O TCU adotará regras de boas práticas e governança em segurança da informação, com a finalidade de orientar comportamentos adequados e mitigar os riscos de comprometimento dos dados pessoais tratados nas atividades de controle externo e administrativas do Tribunal.   Art. 19. A Comissão Gestora de TI (CGTI) deverá informar às instâncias internas competentes a respeito de aspectos e de fatos significativos para a integridade dos sistemas do TCU.   Parágrafo único. Os membros da CGTI, do órgão colegiado previsto no art. 17, inciso VII, desta Portaria, e o encarregado do TCU deverão informar e ser informados sobre os incidentes envolvendo dados pessoais.   Art. 20. Os dados deverão, conforme previsto no art. 25 da LGPD, ser mantidos em formato interoperável para fins de uso compartilhado, execução de políticas públicas, prestação de serviços públicos, descentralização da atividade pública, disseminação e acesso das informações pelo público em geral.   CAPÍTULO VII   DA INTERAÇÃO COM A AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS   Art. 21. Em caso de incidente de segurança que envolva dados pessoais e que possa acarretar risco ou dano relevante aos titulares, será dada prioridade à contenção do incidente e informada a ANPD em prazo estipulado pela Autoridade Nacional.   § 1º A comunicação deverá mencionar, no mínimo:   I - a descrição da natureza dos dados pessoais afetados;   II - as informações sobre os titulares envolvidos;   III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados;   IV - os riscos relacionados ao incidente; e   V - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.   § 2º A comunicação será realizada pelo Presidente do TCU, após proposta do encarregado de dados.   CAPÍTULO VIII   Considerações Finais   Art. 22. O TCU deverá reforçar e aprimorar constantemente a Política estabelecida por esta Portaria, empreendendo estudos para verificar a necessidade de sua revisão, no máximo a cada quatro anos, em observância à evolução tecnológica, jurisprudencial, regulatória e aos novos paradigmas de boas práticas.   Parágrafo único. As boas práticas adotadas para a proteção de dados pessoais e a governança implantada deverão ser objeto de campanhas informativas, a fim de disseminar a cultura protetiva e de transparência, com conscientização e sensibilização dos interessados.   Art. 23. Na aplicação de procedimentos, orientações e normativos em situações que impactem o tratamento de dados pessoais, devem ser observados os princípios e diretrizes aplicáveis para o tratamento de dados pessoais.   Art. 24. Caso a ANPD, no exercício de suas competências legais, preveja prazos diversos dos estabelecidos nesta Portaria, prevalecerão aqueles definidos pela Autoridade Nacional.   Art. 25. Os casos omissos serão resolvidos pela Comissão de Coordenação Geral do TCU, ouvido o órgão colegiado previsto no art. 17, inciso VII, desta Portaria.   Art. 26. Esta Portaria entra em vigor na data de sua publicação.   MINISTRO BRUNO DANTAS