Resolução de Diretoria Colegiada n.º 135, de 7 de dezembro de 2023

Altera a Resolução de Diretoria Colegiada n.º 117, de 28 de setembro de 2021.

A DIRETORIA COLEGIADA DA AGÊNCIA NACIONAL DO CINEMA - ANCINE, no uso das atribuições que lhe conferem os incisos II e IV do art. 6º do Anexo I ao Decreto n.º 8.283, de 3 de julho de 2014, considerando a Instrução Normativa GSI/PR n.º 1, de 27 de maio de 2020, e a Instrução Normativa GSI/PR n.º 2, de 24 de julho de 2020, em sua 899ª Reunião Ordinária de Diretoria Colegiada, realizada em 22 de novembro de 2023, resolve:

Art. 1º Alterar a Resolução de Diretoria Colegiada n.º 117, de 28 de setembro de 2021, nos termos deste normativo.

Art. 2º Os artigos 4º e 13 da Resolução de Diretoria Colegiada n.º 117, de 2021, passam a vigorar com a seguinte redação:

"Art. 4º ....................................

.................................................

XXV - Tratamento da Informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação;

XXVI - Usuário: pessoa física, servidor ou equiparado, empregado ou prestador de serviços, habilitada pela Administração para acessar os ativos de informação de um órgão ou entidade da APF, formalizada por meio da assinatura de Termo de Responsabilidade; e

XXVII - Compartilhamento de dados pessoais: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.

.................................................." (NR)

"Art. 13. ...................................

..................................................

§ 3º No caso de incidentes de segurança envolvendo dados pessoais, o Comitê de Segurança de Informação e Comunicação - CSIC também deve ser acionado, a fim de avaliar se a ocorrência acarreta risco ou dano aos titulares de dados pessoais.

§ 4º Todos os eventos ou incidentes de segurança de informação avaliados como de alto impacto ou alto risco à imagem da instituição devem ser comunicados à Diretoria Colegiada." (NR)

Art. 3º A Seção IV do Capítulo V da Resolução de Diretoria Colegiada n.º 117, de 2021, passa a vigorar acrescida do respectivo artigo:

"Art. 13-A. No caso da ocorrência de incidentes de segurança que envolvam dados pessoais com indicação de riscos ou danos relevantes aos titulares, é obrigatória sua comunicação à Autoridade Nacional de Proteção de Dados - ANPD e os titulares dos dados, no prazo de até 2 (dois) dias úteis da ciência do fato.

§ 1º São considerados incidentes capazes de causar risco ou dano relevante aqueles que possam causar aos titulares danos materiais ou morais, expô-los a situações de discriminação ou de roubo de identidade, especialmente se envolverem dados em larga escala, sensíveis e de grupos vulneráveis, como crianças e adolescentes ou idosos.

§ 2º A comunicação do incidente à autoridade nacional deve ser realizada pelo encarregado pelo tratamento de dados pessoais, através de formulário próprio, conforme orientação específica da ANPD.

§ 3º A comunicação aos titulares deve ser realizada de forma individual, sempre que possível.

§ 4º Caso não seja possível identificar individualmente os titulares afetados pela natureza do incidente, devem ser comunicados todos os presentes na base de dados comprometida.

§ 5º No caso de incidentes de segurança que envolvam o tratamento de dados pessoais pelo operador, é obrigatória a imediata comunicação da ocorrência à ANCINE.

§ 6º A obrigação de notificação de que trata o § 5º deve constar de cláusulas contratuais, conforme a Instrução Normativa SGD/ME n.º 31, de 23 de março de 2021." 

Art. 4º O Capítulo V da Resolução de Diretoria Colegiada n.º 117, de 2021, passa a vigorar acrescido da Seção XI e respectivos artigos: 

"Seção XI

Compartilhamento de dados pessoais

Art. 27-A. O compartilhamento de dados pessoais será realizado quando estritamente necessário à finalidade específica pretendida, inclusive com órgãos públicos em ações de política pública, ou em ações de órgãos de controle ou judiciais, para a realização de estudos por órgãos de pesquisa, ou, excepcionalmente, com entidades privadas, quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres, bem como objetivando a prevenção de fraudes e irregularidades.

Art. 27-B. O compartilhamento de dados pessoais deve observar os seguintes requisitos:

I - formalização e registro: o uso compartilhado de dados pessoais deve ser formalizado, em processo administrativo, com a devida ciência do encarregado pelo tratamento de dados pessoais, no qual conste a análise técnica e jurídica que exponha a motivação para a realização do compartilhamento e a sua aderência à legislação em vigor, devendo ser firmado um contrato, convênio ou instrumento congênere, no caso de compartilhamento frequente;

II - objeto: os dados pessoais compartilhados devem ser descritos de forma objetiva e detalhada, limitando-se ao que for estritamente necessário ao tratamento;

III - finalidade: deve ser específica, com a indicação precisa de qual atribuição legal será cumprida mediante o compartilhamento, e com a avaliação da compatibilidade entre a finalidade original do tratamento e a finalidade do compartilhamento;

IV - base legal: deve ser indicada a base legal para o compartilhamento;

V - duração do tratamento: deve ser especificada a duração do uso compartilhado dos dados, de acordo com os prazos previstos na lei e nas normas específicas que regem a gestão documental, e a possibilidade de conservação, ou a necessidade de eliminação dos dados pessoais após o término do tratamento;

VI - transparência e direito dos titulares: todas as operações de compartilhamento de dados pessoais devem constar da página eletrônica da ANCINE, nos termos do inciso I do art. 23 da Lei n.º 13.709, de 2018; e

VII - prevenção e segurança: os dados pessoais compartilhados devem ser mantidos em ambiente controlado e seguro, garantindo sempre que possível, a anonimização ou pseudonimização, bem como os devidos padrões éticos, a confidencialidade e o sigilo, visando o atendimento à estrita finalidade específica pretendida.

§ 1º O compartilhamento de dados pessoais para fins acadêmicos e para a realização de estudos por órgão de pesquisa deverá ser realizado sempre em conformidade com a Lei n.º 13.709, de 2018, com a legislação correlata em vigor e com as normas e diretrizes editadas pela Autoridade Nacional de Proteção de Dados - ANPD.

§ 2º No caso de compartilhamento de dados pessoais entre a ANCINE e um operador, o instrumento contratual que rege tal tratamento deve detalhar as instruções e as condições a serem observadas pelo operador, conforme art. 39 da Lei n.º 13.709, de 2018, exigindo da contratada, quando aplicável, a elaboração de Relatório de Impacto à Proteção de Dados Pessoais - RIPD."

Art. 5º Esta Resolução de Diretoria Colegiada entra em vigor na data de sua publicação.

ALEX BRAGA

Diretor-Presidente

Este texto não substitui a versão publicada no DOU n.º 233, Seção 1, página 49, de 08/12/2023.