A Portaria Normativa No 74/IFSP, de 20 de dezembro de 2022, que revoga a Portaria nº 2755/IFSP, de 22 de abril de 2021, implementa a Política de Proteção de Dados Pessoais do Instituto Federal de Educação, Ciência e Tecnologia de São Paulo (IFSP). A política tem como objetivo garantir a proteção dos dados pessoais de todos os titulares, sejam alunos, servidores, colaboradores, fornecedores ou visitantes.

Portaria Normativa n.º 63/IFSP de 10 de agosto de 2022 cria o plano interno de tratamento de incidentes de segurança com dados pessoais do Ins1tuto Federal de Educação, Ciência e Tecnologia de São Paulo.

• Tabela de Temporalidade das áreas meio do CONARQ - Conselho Nacional de Arquivos

Visando garantir o cumprimento das disposições legais prevista na  Lei Geral de Proteção de Dados - LGPD - Lei 13.709/2018 o IFSP nomeou a Comissão de Análise e Implementação da Lei Geral de Proteção de Dados no IFSP - CGPD, composta pelos seguintes membros:

Rosana Abbud Olivete - DPO

Ado Cardoso da Silva

Antonio Airton Palladino

Janaina Zaffani

Suzana Mayumi Iha Chardulo

O Governo Federal determinou o cumprimento das iniciativas de governança de dados. Diante disso, a Nota Técnica SEI nº 29342/2020/ME (Processo SEI 19974.100939/2020-46) e o OFÍCIO CIRCULAR SEI nº 2439/2020/ME e o Art 23, Inciso III, Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados (LGPD), determinam a indicação de encarregado para a segurança de dados pessoais.

A servidora Rosana Abbud Olivete, Diretora Adjunta de Implantação, advogada, atualmente é a encarregada pelo tratamento de dados pessoais e sensíveis no IFSP.

Em caso de duvidas, orientações ou incidentes com dados pessoais e sensíveis acessar o SUAP na Central de Serviços para Abrir Chamado para Proteção de Dados Pessoais.

 

O que é LGPD?

É a Lei Geral de Proteção de Dados Pessoais (LGPD) que estabelece diretrizes importantes e obrigatórias para a coleta, processamento e armazenamento de dados pessoais e dados pessoais sensíveis. Ela foi inspirada na GDPR (General Data Protection Regulation) que entrou em vigência em 2018 na União Europeia. Com isso, passamos a fazer parte de um grupo de países que contam com uma legislação específica para a proteção de dados dos seus cidadãos. Devido a possibilidade de  uso indevido, comercialização e vazamento de dados, essa legislação garante  a privacidade dos brasileiros e busca  evitar entraves comerciais com outros países.

Ela já está em vigor?

No Brasil a LGPD (Lei nº 13.709, de 14/8/2018) entrou em vigor em 18 de setembro de 2020, representando um passo importante para o país. 

Quais os principais objetivos dessa Lei?

Assegurar o direito à privacidade e à proteção de dados pessoais dos usuários, por meio de práticas objetivas e seguras, garantindo direitos fundamentais. Portanto, estabelecer regras claras sobre o tratamento de dados pessoais. 

O que é ANPD?

A ANPD (Autoridade Nacional de Proteção de Dados) é o órgão responsável pela fiscalização e aplicação da lei, que também  atua na regulamentação do processo administrativo que será utilizado para aplicar as sanções previstas.

O que é a CGPD?

É a Comissão Geral de Proteção de Dados do IFSP.

Dado pessoal e dado pessoal sensível é a mesma coisa?

Os dados pessoais estão relacionados a pessoalidade do indivíduo como nome, e-mail pessoal, CPF e outras identificações. Os dados pessoais sensíveis são dados pessoais que podem proporcionar segregação, racismo ou qualquer divisão social como, por exemplo, cor, gênero, religião, dados médicos, etc.

Quais são os exemplos de dado pessoal?

São considerados dados pessoais aqueles que comumente fornecemos em um cadastro, como nome, RG, CPF, gênero, data e local de nascimento, filiação, telefone, endereço residencial, cartão ou dados bancários.

Quais os exemplos de dados pessoais sensíveis?

Os seguintes dados pessoais são considerados «sensíveis» e estão sujeitos a condições de tratamento específicas: dados pessoais que revelem a origem racial ou étnica, opiniões políticas e convicções religiosas ou filosóficas; filiação sindical; dados relativos à vida sexual ou orientação sexual da pessoa.

O que é tratamento de dados pessoais?

Tratamento de dados é qualquer atividade realizada com dados pessoais, que são informações que sozinhas, ou em conjunto com outras, permite identificar uma pessoa. As atividades podem ser inserção, atualização, leitura, compartilhamento, exclusão e outras que executam qualquer atividade sobre os dados. Lembrando que os dados podem estar armazenados em papel, computador, mídias digitais e outros.

O que é um Termo de Consentimento de Utilização de Dados?

O Termo de Consentimento de Utilização de Dados (TCUD) é o documento que explica, em linguagem clara e objetiva, todos os procedimentos, vantagens e desvantagens de como serão coletados, tratados, eliminados ou arquivados os seus dados. 

Observação: No setor público, existem duas situações em que se pode dispensar a utilização do TCUD. A primeira está relacionada com a execução de políticas públicas regulamentadas, e a segunda está respaldada em contratos, convênios ou instrumentos congêneres. 

Publicação e divulgação são a mesma coisa?

Não, são coisas diferentes.

O que é publicação de dados?

Publicação é o ato formal que a Administração Pública realiza em diários oficiais ou em jornais de grande circulação ou ainda no site institucional em uma página específica de publicação como na página da Reitoria de transparência ou no saguão do órgão para atender ao princípio da Publicidade no art. 37 da CF/88. Nestes documentos os dados pessoais devem ser anonimizados (com tarja ou asterisco). Inclusive a matrícula SIAPE.

O que é divulgação de dados?

Divulgação é o ato que a Lei de Acesso à Informação - LAI e Decreto 8.777/2016 Dados Abertos solicita para ser colocado nos sites governamentais na parte de notícias, na parte geral ou ainda em divulgação das CEX, CAP, CAE, onde há divulgação de listas de aprovados nos processos seletivos ou de extensão. 

Ocorre que diferente da publicação, a divulgação de atos não é requisito de validade do ato, mas sim, de transparência. Portanto, qualquer dado aberto (principalmente de aluno) deve ser anonimizado, ou seja, ser trajado, ou substituído por asterisco para que dados de CPF, RG, endereço, e-mail sejam preservados e não caiam em mãos erradas.

Como faço a divulgação de resultados de processo seletivo?

O nome completo dos candidatos pode ser divulgado, isso é um requisito da Lei de Acesso à Informação. A recomendação é que sejam divulgados apenas nome completo e matrícula institucional para evitar homônimos. Mas CPF, RG e e-mail, sem anonimização (***.456,789-**), é proibido pela LGPD, portanto, não recomendamos a divulgação.

Quando for necessária a publicação do documento do candidato, qual a melhor forma para se ocultar parte do documento?

Considerando-se o entendimento do parecer da CGU, 01/2021 CONJUF/CGU/AGU que cita o formato de anonimização de CPF, tem-se como encaminhamento a formatação exemplificada em   ***.999.999-**. Assim, quando houver necessidade legal imposta por lei de do CPF constar em documento, ele deve ser anonimizado dessa forma.

Todos os documentos publicados que possuam dados pessoais ou sensíveis devem ser retirados do nosso site, tarjados e publicados novamente?

Como dito, os documentos de publicação oficiais são válidos a partir de sua publicação. Independente de qual página ou espaço o tenha foi publicado naquela data. Por isso é importante constar no rodapé a data de publicação em vermelho, como fizemos com os atos normativos. Se houver a necessidade de retirada do documento, orienta-se que seja editado com a anonimização e colocado a seguinte expressão: “Publicado no sítio institucional em: dd/mm/aaaa.” (data da publicação original) Mas isso somente para Portarias e Resoluções.

As listas de classificação de alunos que contenham dados pessoais devem ser substituídas por novas listas anonimizadas. Se o formato do documento for .PFD recomendamos que seja colocado uma tarja nos primeiros e últimos números do CPF, exemplo: 123. 456. 789-10. Se o documento for editável, recomenda-se que seja feita na forma da resposta do item 3.

Como devemos proceder em caso de portarias de Fiscais de Contratos?

No caso de fiscais de contratos, a orientação da CGPD é que os números de CPF sejam substituídos pelo número de matrícula funcional. A atividade pública do servidor não enseja divulgação de dados pessoais ou de sua intimidade uma vez que o agente público obedece os preceitos de transparência de suas ações perante a lei de acesso à informação. Neste sentido, a divulgação de nome e matrícula funcional não ofende a LGPD e atende a LAI. 

Mas isso não fere a LGPD?

Não. A questão da divulgação de dados de servidores foi objeto de questionamento, inclusive judicial, mas os tribunais (como o Tribunal Regional Federal da 1ª região, o Tribunal Superior do Trabalho e o Supremo Tribunal Federal) já se manifestaram no sentido de se permitir a publicidade dos dados.  Em decisão unânime proferida em abril de 2011, os ministros do Supremo Tribunal Federal concluíram que: “a pessoa que decide ingressar no serviço público adere ao regime jurídico próprio da Administração pública, que prevê a publicidade de todas as informações de interesse da coletividade”. 

Observação: A atividade dos agentes públicos é informação de interesse coletivo e fortalece o controle social e, por isso, a princípio, não há mudança com a entrada em vigência da LGPD.

Os dados dos alunos recebem o mesmo tratamento?

Sim, os dados pessoais são aplicados a pessoas físicas independente de sua situação profissional. 

Quando recebemos um ofício da Justiça Eleitoral solicitando dados de alunos maiores de 18 anos tais como data de nascimento, endereço e telefone, para inclusão na lista anual de jurados podemos passar esses dados mesmo sem consentimento destes alunos?

Sim, as requisições judiciais devem ser cumpridas e a própria LGPD afirma em seu artigo 7, II , o tratamento de dados pessoais pode ser feito para o cumprimento de obrigação legal, no caso o Código Eleitoral, e não precisa do consentimento do usuário.

Como devemos proceder com a divulgação de dados como imagem em redes sociais para divulgação de aprovados em vestibulares?

Diferentemente da classificação oficial como publicação e cumprimento das normas de transparência e controle social, onde não é necessário a coleta do termo de consentimento, a divulgação nas redes sociais da imagem dos alunos não é tema da LGPD, mas sim das questões de direito de imagem. 

Além disso, a divulgação nas redes sociais não é uma atividade prevista na legislação. Ainda assim, é bem-vista, pois divulga a instituição e promove a imagem positiva do aluno. Todavia, é preciso ter o consentimento do aluno para uso da sua imagem. Assim, recomenda-se a coleta de um termo de uso de imagem do aluno, e se aprovado, divulgar apenas o nome e foto do aluno, nenhum outro dado pessoal.

Quando a Polícia Militar procura, por meio de e-mail ou ofício, a Secretaria Escolar pedindo informações de alunos, qual o procedimento correto nesse caso? Precisa de algum mandado?

Nos termos do artigo 4°, II, a LGPD não se aplica para fins de segurança pública. Portanto, informar dados de contato de alunos para investigação penal constitui ato lícito do IFSP, portanto, permitido.

Como ficam as divulgações no site feitas pelo programa de emissão de certificados?

Não há nenhuma violação aos princípios da LGPD quando não for informado nenhum dado pessoal. O simples fato de conter nome e curso é um ato de controle social previsto na Lei de Acesso à informação.

Como ficam as publicações no site da instituição de cursos periodicamente onde contém nomes de alunos, servidores e às vezes, colaboradores externos?

Não há nenhum problema em divulgar nomes de alunos e números de matrícula ou atividades institucionais. O cuidado que o servidor tem de ter é não divulgar documentos pessoais como CPF, RG, e-mail, endereço dos alunos ou qualquer informação depreciativa ou que cause constrangimento ao discente.

Fotos estão sujeitas à LGPD?

Havendo consentimento do uso da imagem não há qualquer ilegalidade no ato de divulgar fotos e nomes. Todavia, pedimos atenção ao pedido de consentimento do uso de imagem de menores de idade, que devem ter a autorização dos seus responsáveis legais e o aceite do menor.

Como devo proceder em casos de publicação em sites de eventos acadêmicos nacionais?

Não há nenhum problema em divulgar nomes de servidores e alunos e números de matrícula ou atividades institucionais. O cuidado que o servidor tem de ter é não divulgar documentos pessoais como CPF, RG, e-mail, endereço dos alunos ou qualquer informação depreciativa ou que cause constrangimento ao discente ou aos servidores.

Com a LGPD, quais são os procedimentos a serem seguidos para a divulgação dos trabalhos de pesquisa, ensino e extensão na divulgação de imagens e textos nas diversas mídias?

Não há nenhum problema em divulgar nomes de servidores e alunos e números de matrícula ou atividades institucionais. O cuidado que o servidor tem de ter é não divulgar documentos pessoais como CPF, RG, e-mail, endereço dos alunos ou qualquer informação depreciativa ou que cause constrangimento ao discente ou aos servidores.

Quanto ao uso da imagem, havendo consentimento do uso da imagem do aluno não há qualquer ilegalidade no ato de divulgar fotos, nomes e trabalhos acadêmicos. Apesar de não ser um tema ligado à LGPD, mas sim, ao direito de imagem, todavia, pedimos atenção ao pedido de consentimento do uso de imagem de alunos menores de idade, esse deve ter a autorização dos responsáveis legais e o aceite do menor. Em caso de alunos maiores de idade também deve haver o termo de consentimento do uso da imagem. 

Todas as imagens ou publicações já postadas devem ser revistas ou retiradas?

Não, caso elas não transgridam o direito de imagem e que não contenha dados pessoais como CPF, RG, e-mail, endereço, origem racial ou étnica, dados de saúde, orientação sexual ou de gênero.

Em pesquisas realizadas nos meios digitais (por ex. Google Forms), quais os cuidados na obtenção dos dados pessoais dos participantes?

A Administração Pública pode colher dados pessoais para seu banco de dados e uso interno para emissão de certificados ou diplomas como sempre fez, pois atende a finalidade específica e é para atendimento de política pública, nos termos dos arts. 6°, I e 7°, III. Deve-se atentar a divulgação ou compartilhamento externo desse banco de dados, para isso é necessário ter finalidade específica para a divulgação. Após atendida a finalidade o dado tem de ser excluído dos arquivos físicos e digitais. Ressalvados os casos de temporalidade de guarda de documentos públicos, segundo a tabela do CONARQ - Conselho Nacional de Arquivo.

Haverá algum tipo de cartilha elaborada pelo IFSP para nortear as ações de gestão de dados coletados por servidores?

Sim, a CGPD está em fase de aplicação da LGPD no IFSP. Já elaboramos a política interna de proteção que consta da Portaria nº 2.755, de 2021 que contém a adaptação da LGPD ao contexto do IFSP. Além disso, temos informações na página institucional: https://www.ifsp.edu.br/protecao-de-dados-pessoais.  

Qual o impacto da LGPD nas ações administrativas da coordenação?

O cuidado da não divulgação dos dados pessoais de alunos e servidores, assim como instruir os pares em seu setor para que se atente ao tratamento correto dos dados que lhes cabe. Ademais, analise o FAQ sobre os cuidados com tratamento de dados pessoais e havendo dúvidas formule-as e envie à CGPD para que sejam dirimidas. 

Qual é o impacto nas ações administrativas dos servidores do IFSP após a LGDP?

Vide Portaria nº 2.755, de março de 2021. O maior impacto seria não divulgar dados pessoais de alunos como CPF, RG, e-mail, endereço como ato de divulgação. Vide item 1. 

Quais as instruções os grupos devem seguir na elaboração e desenvolvimento de pesquisas?

Não divulgar dados pessoais de sujeitos de pesquisa. Caso esses dados pessoais sejam essenciais à pesquisa, busque anonimizar todas as informações pessoais como nome, CPF, RG, e-mail, endereço ou qualquer outro dado onde se possa identificar os entrevistados. A coleta de dados deve servir ao objetivo da pesquisa, evite coletar dados desnecessários à comprovação dos resultados. Além disso, os pesquisadores devem submeter seus trabalhos ao Comitê de ética na pesquisa onde devem preencher o termo de compromisso e utilização de dados de pesquisador que segue junto a esse documento de resposta. 

O que é um incidente de Dados Pessoais e Sensíveis?

Um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais.

---