DOU 22/02/2024 - Diário Oficial da União - Brasil

                            Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001,
que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.
Este documento pode ser verificado no endereço eletrônico
http://www.in.gov.br/autenticidade.html, pelo código 05152024022200031
31
Nº 36, quinta-feira, 22 de fevereiro de 2024
ISSN 1677-7042
Seção 1
Art. 2º Para efeitos desta Portaria, consideram-se:
I - dado pessoal: informação relacionada à pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção
religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso,
filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou
biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo a titular que não possa ser identificado,
considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IV - tratamento: toda operação realizada com dados pessoais, como as que se
referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão,
distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle
da informação, modificação, comunicação, transferência, difusão ou extração;
V - agentes de tratamento: o controlador e o operador;
VI - inventário de dados: processo pelo qual é possível conhecer de maneira
aprofundada as atividades de tratamento de dados da organização, como quais são
manuseados e por onde trafegam, identificando, em detalhes, os fluxos existentes no
interior e para fora do órgão;
VII - relatório de impacto à proteção de dados pessoais: documentação do
controlador que contém a descrição dos processos de tratamento de dados pessoais que
podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas,
salvaguardas e mecanismos de mitigação de risco;
VIII - consentimento: manifestação livre, informada e inequívoca pela qual o
titular concorda com o tratamento de seus dados pessoais para uma finalidade
determinada;
IX - anonimização: utilização de meios técnicos razoáveis e disponíveis no
momento do tratamento, por meio dos quais um dado perde a possibilidade de
associação, direta ou indireta, a um indivíduo;
X - banco de dados: conjunto estruturado de dados pessoais, estabelecido em
um ou em vários locais, em suporte eletrônico ou físico;
XI - titular: pessoa natural a quem se referem os dados pessoais que são objeto
de tratamento;
XII - controlador: pessoa natural ou jurídica, de direito público ou privado, a
quem compete as decisões referentes ao tratamento de dados pessoais;
XIII - co-controlador: quando dois ou mais responsáveis pelo tratamento
determinem conjuntamente as finalidades e os meios desse tratamento. O co-controlador
atuará quando, por força de lei, convênio ou contrato, determinar as finalidades e os
meios de tratamento de dados pessoais em conjunto com outra pessoa natural ou jurídica,
de direito público ou privado.
XIV - encarregado: pessoa indicada pelo controlador e operador para atuar
como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade
Nacional de Proteção de Dados (ANPD);
XV - operador: pessoa natural ou jurídica, de direito público ou privado, que
realiza o tratamento de dados pessoais em nome do controlador;
XVI - suboperador: aquele que, após autorização formal e específica do
controlador, é contratado pelo operador para auxiliá-lo a realizar o tratamento de dados
pessoais em nome do controlador;
XVII - agente público: todo aquele que exerce, ainda que transitoriamente ou
sem remuneração, por eleição, nomeação, designação, contratação ou qualquer outra
forma de investidura ou vínculo, mandato, cargo, emprego, função ou estágio nos órgãos
ou nas entidades da administração pública federal;
XVIII - eliminação: exclusão de dado ou de conjunto de dados armazenados em
banco de dados, independentemente do procedimento empregado;
XIX - uso compartilhado de dados: comunicação, difusão, transferência
internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de
dados pessoais por órgãos e entidades públicas no cumprimento de suas competências
legais, ou entre aqueles/as e entes privados, reciprocamente, com autorização específica,
para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou
entre entes privados;
XX - aviso de privacidade: documento que contém informações sobre coleta,
uso, armazenamento, tratamento e proteção dos dados pessoais dos usuários;
XXI - violação de dados pessoais: violação de segurança que provoque, de
modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não
autorizado a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de
tratamento;
XXII - bloqueio: suspensão temporária de qualquer operação de tratamento,
mediante guarda do dado pessoal ou de banco de dados;
XXIII - política de privacidade: documento informativo pelo qual o órgão
transparece ao usuário a forma como o serviço realiza o tratamento dos dados pessoais e
como ele fornece privacidade ao usuário;
XXIV - órgão de pesquisa: órgão ou entidade da administração pública direta ou
indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída
sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou
em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico,
científico, tecnológico ou estatístico;
XXV - códigos maliciosos: qualquer programa de computador, ou parte de um
programa, construído com a intenção de provocar danos, obter informações não
autorizadas ou interromper o funcionamento de sistemas e/ou redes de computadores;
XXVI - internet: sistema constituído do conjunto de protocolos lógicos,
estruturado em escala mundial para uso público e irrestrito, com a finalidade de
possibilitar a comunicação de dados entre terminais por meio de diferentes redes;
XXVII - sítios e aplicativos: plataformas por meio das quais o usuário acessa os
serviços e conteúdos disponibilizados;
XXVIII - terceiro: pessoa ou entidade que não participa diretamente em um
contrato, ato jurídico ou negócio, ou que, para além das partes envolvidas, pode ter
interesse em determinado processo jurídico.
XXIX - usuários (ou "usuário", quando individualmente considerado): todas as
pessoas naturais que utilizarem o serviço do Ministério do Esporte; e
XXX - Lei Geral de Proteção de Dados: Lei Federal n. 13.709, de 14 de agosto
de 2018, que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais,
por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de
proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento
da personalidade da pessoa natural.
Art. 3º Cada sistema e aplicativo do Ministério do Esporte que realize o
tratamento de dados pessoais, inclusive de dados pessoais sensíveis, manterá registro das
operações de tratamento de dados, bem como aviso de privacidade próprio e termos de
uso, de forma a complementar a presente Política Geral, devendo ser implementado no
prazo estipulado no artigo 26 desta Portaria.
Parágrafo único. A conformidade dos avisos e termos de que trata o caput será
avaliada pelo Comitê de Governança Interna, instituído por meio da Portaria nº 50, de 07
de agosto de 2023, antes de sua publicação.
Art. 4º Compete a todos os órgãos e as unidades do Ministério do Esporte a
adoção das medidas de prevenção e proteção de dados pessoais e privacidade previstas
nesta Portaria.
CAPÍTULO II
DA PRIVACIDADE E PROTEÇÃO DE DADOS
Seção I
Dos Princípios e das Diretrizes
Art. 5º A aplicação desta Política será pautada pelo dever de boa-fé e pela
observância dos princípios previstos no artigo 6º da Lei nº 13.709, de 14 de agosto de
2018, bem como das seguintes diretrizes:
I - cooperação entre órgãos e unidades;
II - supervisão e mitigação de riscos;
III - adoção das regras de boas práticas;
IV - definição de medidas de segurança, técnicas e administrativas, aptas a
proteger os dados pessoais de acessos não autorizados; e
V - estabelecimento de relação de confiança com o titular e com os eventuais
destinatários dos dados tratados.
Seção II
Do Objeto e da Finalidade
Art. 6º O tratamento, pelo Ministério do Esporte, de dados pessoais, inclusive
dados pessoais sensíveis, é realizado para o atendimento de sua finalidade pública e na
persecução do interesse público, com o objetivo de executar suas competências legais e de
cumprir as atribuições legais do serviço público.
Art. 7º Poderão ser tratados dados pessoais dos agentes públicos lotados ou
em exercício nos órgãos e unidades que compõem a estrutura do Ministério do Esporte
para fins de organização e funcionamento das equipes, e na busca de melhorias das
atividades internas do Ministério.
Parágrafo único. O tratamento a que se refere o caput se restringe aos dados
estritamente necessários ao atendimento do interesse dos órgãos e unidades.
Art. 8º O tratamento de dados pessoais de interessados que atuem em
processo administrativo, inclusive disciplinares, observará as finalidades para qual foi
realizado, visando à proteção dos direitos dos administrados e ao melhor cumprimento dos
fins da Administração.
Seção III
Da Transparência
Art. 9º O Ministério do Esporte publicará no seu Portal Eletrônico, na internet,
as hipóteses em que, no exercício de suas competências, realiza o tratamento de dados
pessoais, inclusive de dados pessoais sensíveis, fornecendo informações claras e
atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas
para a execução dessas atividades.
Art. 10. Os avisos de privacidade próprios de cada sistema ou aplicativo a que
se refere o artigo 3º serão mantidos atualizados no sítio oficial na internet, em local de
fácil acesso, sob responsabilidade de cada área competente.
Art. 11. Em observância ao princípio da transparência, quando não prejudicial
à atividade do órgão, ou não oferecer riscos à integridade dos titulares dos dados, poderão
ser divulgadas informações relativas ao vínculo dos agentes públicos com o Ministério do
Esporte, tais como nome completo, matrícula, Cadastro de Pessoas Físicas (CPF), cargo ou
atividade exercida, lotação e local de exercício.
Parágrafo único. A divulgação prevista no caput deverá ocultar os três
primeiros dígitos e os dois dígitos verificadores do CPF, substituindo-os por asteriscos e
apresentar somente os três primeiros dígitos da matrícula, substituindo os demais por
asteriscos.
Art. 12. A divulgação de contratos administrativos, realizada em atendimento
ao princípio da publicidade, conterá dados pessoais de terceiros, em conformidade com a
legislação vigente.
CAPÍTULO III
DOS TITULARES DE DADOS
Seção I
Dos Direitos dos Titulares
Art. 13. Toda pessoa natural tem assegurada a titularidade de seus dados
pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de
privacidade, nos termos da Constituição Federal, da Lei nº 13.709, de 14 de agosto de
2018 (Lei Geral de Proteção de Dados Pessoais - LGPD) e da Lei nº 12.527, de 18 de
novembro de 2011 (Lei de Acesso à Informação - LAI).
Seção II
Dos Requerimentos
Art. 14. As manifestações decorrentes do exercício dos direitos dos titulares de
dados pessoais a que se refere a Lei nº 13.709, de 14 de agosto de 2018, serão
apresentadas junto à unidade de Ouvidoria, conforme disposto na Portaria nº 581, de 9 de
março de 2021, da Controladoria-Geral da União (CGU).
§ 1º Os requerimentos de titulares previstos nos incisos I, II, VII e VIII do artigo
18 da Lei nº 13.709, de 14 de agosto de 2018, serão tratados nos procedimentos e prazos
da Lei nº 12.527, de 18 de novembro de 2011.
§ 2º Os requerimentos de titulares previstos nos incisos III, IV, V, VI e IX do
artigo 18 da Lei nº 13.709, de 14 de agosto de 2018, serão tratados nos procedimentos e
prazos da Lei nº 13.460, de 26 de junho de 2017.
Art. 15. O requerimento deverá apresentar elementos capazes de identificar a
pessoa do interessado ou de quem o represente, conforme disposto no artigo 6º da Lei nº
9.784, de 29 de janeiro de 1999.
Art. 16. Será exigida a certificação de identidade, que ocorrerá:
I - virtualmente, caso o manifestante possua autenticação por meio do "login
único" de acesso "gov.br" ou outro meio de certificação digital; ou
II- presencialmente, por meio de conferência de documento físico apresentado
pelo manifestante junto à unidade de Ouvidoria.
Parágrafo único. Os requerimentos apresentados de forma virtual, por meio do
"login único" de acesso "gov.br", deverão apresentar, no mínimo, o selo de segurança prata.
Art. 17. Excepcionalmente, poderão ser adotados meios alternativos de
certificação de identidade via cotejamento das informações inseridas em seu cadastro com
informações disponíveis em outras fontes constantes de bases públicas.
Art. 18. O Encarregado será o titular da Ouvidoria do Ministério do Esporte.
Parágrafo único. Nos casos de impedimentos, afastamentos ou na vacância do
cargo, as funções do Encarregado serão exercidas pelo substituto legal do Ouvidor.
Art. 19. Ao Encarregado compete:
I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e
adotar providências;
II - receber comunicações da Autoridade Nacional de Proteção de Dados
Pessoais e adotar providências;
III - orientar os funcionários e os contratados do órgão ou entidade a respeito
das práticas a serem adotadas em relação à proteção de dados pessoais;
IV - executar as demais atribuições determinadas pelo Controlador ou
estabelecidas em normas complementares; e
V- emitir parecer sobre temas suscitados pelas áreas técnicas do Ministério do
Esporte relacionados à proteção de dados pessoais, no prazo de até 30 (trinta) dias, nos
termos do inciso III deste artigo, exceto em casos de urgência, devidamente justificada,
quando o prazo será de até 05 (cinco) dias para conclusão.
Seção III
Dos Pontos Focais
Art. 20. Os dirigentes dos órgãos e unidades indicarão ao Encarregado, no prazo
de 10 (dez) dias, contados da publicação desta Portaria, servidores públicos que lhes sejam
diretamente subordinados para atuar como ponto focal, na qualidade de titular e suplente.
Art. 21. Aos pontos focais indicados na forma do artigo 20 compete zelar pela
adequada aplicação da Lei nº 13.709, de 14 de agosto de 2018, em seu âmbito, cabendo-
lhes, dentre outras atribuições que se fizerem necessárias:
I - receber e encaminhar às unidades os requerimentos de titulares previstos na
Lei nº 13.709, de 14 de agosto de 2018;
II - controlar os prazos de resposta, nos moldes dos §§ 1º e 2º do artigo 14;
III - disseminar as orientações relativas à Lei nº 13.709, de 14 de agosto de 2018; e
IV - analisar as respostas recebidas, reorientando as unidades internas no
âmbito de suas atribuições temáticas quanto à necessária qualidade das respostas.
Parágrafo único. As unidades são responsáveis pelo teor das respostas
apresentadas, as quais serão encaminhadas à Ouvidoria para fins de remessa ao interessado.
Seção IV
Dos Agentes de Tratamento de Dados Pessoais
Art. 22. Os Agentes de Tratamento de Dados Pessoais devem adotar medidas
de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos
não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração,
comunicação ou qualquer forma de tratamento inadequado.
Parágrafo único. As medidas relacionadas à segurança da informação deverão
atender à Política de Segurança da Informação (POSIN) dos órgãos integrantes da Rede de
Proteção de Dados Pessoais.
Art. 23. Os Operadores deverão realizar o tratamento de dados para a
finalidade previamente estabelecida e segundo as instruções fornecidas pelo Controlador.
Parágrafo único. As unidades manterão relação atualizada de Operadores e
Suboperadores junto ao respectivo Ponto Focal.