Portaria nº 631/2026

Art. 16.  O armazenamento de dados pessoais será realizado em ambientes seguros, físicos ou digitais, com controles de acesso e proteção adequados, de acordo com as medidas de segurança da informação do DNIT.

§ 1º  A eliminação de dados pessoais será realizada ao término do tratamento, quando houver o atingimento da finalidade para a qual foram coletados, quando solicitado pelo titular (ressalvadas as exceções legais), ou quando os dados se tornarem desnecessários, excessivos ou tratados em desconformidade com a Lei nº 13.709, de 14 de agosto de 2018.

§ 2º  A eliminação observará os prazos de guarda de documentos estabelecidos na legislação arquivística e administrativa do DNIT, garantindo que os dados sejam retidos apenas pelo tempo estritamente necessário.

§ 3º  Os dados anonimizados poderão ser mantidos pelo DNIT sem prazo de eliminação definido, para fins de pesquisa, estatística, formação de séries históricas ou estudos de interesse público, sem a possibilidade de reidentificação.

Art. 17.  O DNIT, por meio do Encarregado pelo Tratamento de Dados Pessoais e da Coordenação-Geral de Tecnologia da Informação- CGTI promoverá, com o auxílio da Coordenação-Geral de Gestão de Pessoas - CGGP e da Coordenação-Geral de Comunicação Social - CGCOM, programas contínuos de sensibilização, conscientização e treinamento que tratem dados pessoais, visando disseminar a cultura de proteção de dados, informar sobre as diretrizes desta Política e garantir o cumprimento da legislação.

Parágrafo único.  A capacitação será planejada e executada de forma a contemplar os diferentes níveis de acesso e responsabilidade no tratamento de dados, desde a alta gestão até os colaboradores operacionais.

CAPÍTULO VII

DAS RESPONSABILIDADES

Art. 18.  O DNIT, como Controlador dos dados pessoais, é responsável por:

I - tomar as decisões sobre o tratamento dos dados pessoais, definindo suas finalidades e meios, em conformidade com as bases legais;

II - elaborar o inventário de dados pessoais;

III - assegurar a observância dos fundamentos e princípios da proteção de dados em todas as suas operações;

IV - criar e manter atualizados os avisos, termos de uso e políticas de privacidade, que informarão sobre os tratamentos de dados pessoais realizados em cada ambiente físico ou virtual, e como os dados pessoais neles tratados são protegidos;

V - reter dados pessoais somente pelo período necessário para o cumprimento da hipótese e finalidade legal;

VI - comunicar à ANPD e aos titulares a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante;

VII - fiscalizar as atividades dos Operadores que atuem em seu nome, garantindo que estes cumpram com as obrigações de proteção de dados;

VIII - elaborar o RIPD, quando aplicável;

IX - requerer do titular a ciência com o termo de uso para cada serviço ofertado, informatizado ou não, que trate dados pessoais; e

X - responder às requisições dos titulares dos dados, nos prazos e formas estabelecidos em lei.

Parágrafo único.  As áreas técnicas do DNIT, no âmbito de suas competências atuarão em nome do órgão na aplicação do artigo 18.

Art. 19.  São considerados operadores as pessoas naturais ou jurídicas de direito público ou privado, que realizam operações de tratamento de dados pessoais em nome do controlador.

§ 1º  O operador será sempre uma pessoa distinta do controlador e não subordinada a este.

§ 2º  Não são considerados controladores (autônomos ou conjuntos) ou operadores os indivíduos subordinados, tais como os funcionários, os servidores públicos ou as equipes de trabalho da Autarquia, já que atuam sob o poder diretivo do agente de tratamento.

Art. 20.  Os Operadores que realizam tratamento de dados pessoais em nome do DNIT deverão:

I - seguir as instruções do DNIT, em conformidade com o contrato ou instrumento congênere celebrado;

II - implementar e manter medidas de segurança, técnicas e administrativas, adequadas para proteger os dados pessoais, compatíveis com as exigências do DNIT e da Lei nº 13.709, de 14 de agosto de 2018;

III - notificar o DNIT imediatamente em caso de incidentes de segurança da informação ou qualquer acesso não autorizado aos dados pessoais sob sua responsabilidade;

IV - prestar informações e colaborar com o DNIT para o cumprimento das obrigações da Lei nº 13.709, de 14 de agosto de 2018, incluindo o atendimento a requisições de titulares e a elaboração de RIPD; e

V - eliminar ou devolver os dados pessoais ao DNIT ao término do tratamento, salvo exceções legais ou contratuais.

Art. 21.  O Encarregado pelo Tratamento de Dados Pessoais será a pessoa indicada pelo DNIT, com as seguintes atribuições:

I - atuar como canal de comunicação entre o DNIT, os titulares dos dados e a ANPD;

II - receber as comunicações e as requisições dos titulares e da ANPD, e adotar as providências necessárias em coordenação com as áreas internas pertinentes;

III - prestar orientações sobre as melhores práticas e conformidade com a Lei nº 13.709, de 14 de agosto de 2018;

IV - auxiliar cada unidade orgânica do DNIT na elaboração do Inventário de Dados Pessoais e do RIPD, quando aplicável;

V - atuar, em conjunto com o Comitê de Segurança da Informação e Comunicações - COSIC, ou comitê equivalente, e com as áreas de tecnologia e segurança da informação do DNIT, para implementação das diretrizes de privacidade e proteção de dados; e

VI - acompanhar as orientações da ANPD e as mudanças na legislação de proteção de dados, propondo as devidas adaptações nas políticas e procedimentos internos do DNIT.

Art. 22.  O Encarregado pelo Tratamento de Dados Pessoais prestará assistência e orientação ao agente de tratamento na elaboração, definição, e implementação de:

I - registro e comunicação de incidente de segurança e das operações de tratamento de dados pessoais;

II - mecanismos internos de supervisão e de mitigação de riscos relativos ao tratamento de dados pessoais;

III - medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

IV - processos e políticas internas que assegurem o cumprimento da Lei nº 13.709, de 14 de agosto de 2018, e dos regulamentos e orientações da ANPD;

V - instrumentos contratuais que disciplinem questões relacionadas ao tratamento de dados pessoais;

VI - transferências internacionais de dados; e

VII - outras atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais.

Art. 23.  Todos os gestores, servidores e colaboradores do DNIT, incluindo estagiários, terceirizados e qualquer pessoa que tenha acesso a dados pessoais em razão de suas atividades na Autarquia são responsáveis por:

I - conhecer e cumprir integralmente esta Política e os demais normativos internos relacionados à proteção de dados e segurança da informação;

II - tratar os dados pessoais de forma ética e legal, apenas para as finalidades designadas e com a base legal apropriada;

III - manter a confidencialidade e a integridade dos dados pessoais, não divulgando informações a pessoas não autorizadas;

IV - reportar imediatamente à chefia imediata, ao Encarregado e à Coordenação-Geral de Tecnologia da Informação - CGTI qualquer suspeita de incidente de segurança da informação ou violação de dados pessoais;

V - participar dos treinamentos e ações de conscientização sobre proteção de dados promovidos pelo DNIT;

VI - utilizar os sistemas e equipamentos do DNIT de forma segura e em conformidade com as políticas de segurança da informação; e

VII - realizar o mascaramento/ocultação/tarjamento em documentos de interesse coletivo, ou geral que contenham dados pessoais, de modo a possibilitar dar acesso a tais documentos sem comprometer esses dados.

Art. 24.  O DNIT poderá instituir Comitê para tratar da temática de privacidade e proteção de dados pessoais, a qual servirá como instância consultiva do Encarregado pelo Tratamento de Dados Pessoais e subsidiará o direcionamento e decisões a respeito da adequação do órgão à Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único.  O referido Comitê poderá ser ouvido previamente à apreciação dos temas pela Procuradoria Federal Especializada (PFE) e Diretoria Colegiada, contudo, essa oitiva não poderá ser invocada em caso de prejuízo à defesa dos titulares de dados pessoais ou para impedir o exercício das atribuições do Encarregado pelo Tratamento de Dados Pessoais.

CAPÍTULO VIII

CONTRATOS, CONVÊNIOS, ACORDOS E INSTRUMENTOS CONGÊNERES

Art. 25.  Os contratos, convênios, acordos e instrumentos similares atualmente em vigor, que de alguma forma envolvam o tratamento de dados pessoais, devem passar a conter cláusulas específicas em total conformidade com a presente Política de Privacidade e Proteção de Dados Pessoais e que contemplem minimamente:

I - requisitos mínimos de segurança da informação e de proteção de dados;

II - determinação de que o operador só processe os dados pessoais para finalidades informada pelo controlador;

III - condições sob as quais o operador deve devolver ou descartar com segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma mediante solicitação do controlador; e

IV - diretrizes especificas sobre o uso de subcontratados pelo operador para execução contratual que envolva tratamento de dados pessoais.

Art. 26.  O DNIT deve adotar medidas com o propósito de assegurar que os terceiros e processadores de dados pessoais contratados estejam agindo em conformidade com as cláusulas estabelecidas no momento da celebração do acordo entre as partes envolvidas.

CAPÍTULO IX

DA GESTÃO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO E VIOLAÇÃO DE DADOS

Art. 27.  Em caso de incidente de segurança da informação que possa acarretar risco ou dano relevante aos titulares de dados pessoais, o DNIT adotará as seguintes providências, de acordo com o Plano de Respostas a Incidentes:

I - detecção e contenção: ações imediatas para identificar, isolar e conter o incidente, minimizando seus impactos e evitando sua propagação;

II - análise e investigação: condução de uma análise detalhada para identificar a causa, a extensão do incidente, os dados pessoais afetados, o número de titulares impactados e a avaliação dos possíveis riscos e danos;

III - remediação e recuperação: implementação de medidas corretivas para sanar a vulnerabilidade que causou o incidente e restabelecer a normalidade das operações, garantindo a integridade e disponibilidade dos dados; e

IV - lições aprendidas: documentação do incidente e das ações tomadas para aprimorar os controles de segurança e prevenir futuras ocorrências.

Art. 28.  As ocorrências de incidente de segurança que possam acarretar risco ou dano relevante aos dados pessoais dos titulares devem ser comunicadas à ANPD dentro do prazo previsto na Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único.  A decisão de comunicar ou não à ANPD compete à Diretoria Colegiada, após ser informada sobre o incidente, e será operacionalizada pelo Encarregado pelo Tratamento de Dados Pessoais.

Art. 29.  A comunicação de incidentes de segurança da informação à ANPD e aos titulares dos dados afetados será realizada nos prazos e termos da Lei nº 13.709, de 14 de agosto de 2018, com a máxima brevidade razoável, contendo, no mínimo:

I - a descrição da natureza dos dados pessoais afetados;

II - as informações sobre os titulares envolvidos no incidente;

III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;

IV - os riscos específicos relacionados ao incidente para os titulares;

V - as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos do prejuízo causado pelo incidente; e

VI - os motivos do eventual atraso na comunicação, caso não seja imediata, devidamente justificados.

Parágrafo único.  A Área Gestora de Dados Pessoais ou de Sistemas que contenha Dados Pessoais no qual se configure um incidente de segurança com vazamento de dados é responsável por realizar a comunicação do incidente aos titulares afetados, com auxílio do Encarregado pelo Tratamento de Dados Pessoais e da Coordenação-Geral de Comunicação Social, se necessário.

CAPÍTULO X

DAS SANÇÕES E PENALIDADES

Art. 30.  O desrespeito ou violação dos termos contidos nesta Portaria será apurado em processo administrativo, assegurados a ampla defesa e o contraditório, podendo resultar em:

I - suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período, nos termos da Lei nº 13.709, de 14 de agosto de 2018;

II - proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados, nos termos da Lei nº 13.709, de 14 de agosto de 2018;

III - outras sanções impostas por lei, sem prejuízo das demais medidas penais ou cíveis; e

IV - aplicação do disposto no Código de Ética do DNIT.

Parágrafo único.  As infrações tratadas neste artigo poderão se sujeitar também, se for o caso, à abertura de procedimento administrativo disciplinar, na forma da Lei nº 8.112, de 11 de dezembro de 1990.

Art. 31.  Esta Política será revisada e atualizada periodicamente, em período não superior a três anos, a partir do início de sua vigência, ou sempre que se fizer necessário, em virtude de alterações legislativas, regulatórias, tecnológicas ou processuais que impactem a proteção de dados pessoais no DNIT.

Parágrafo único.  A revisão será coordenada pelo Encarregado, em conjunto com as áreas pertinentes do DNIT, e aprovada pela autoridade máxima da Autarquia, garantindo a sua constante adequação.

Art. 32.  O cumprimento deste normativo não elide a obrigatoriedade de observação da Política de Segurança da Informação e Comunicações - POSIC ou normativo equivalente, de suas normas complementares e das normas emitidas pela ANPD e Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos a respeito da privacidade e segurança da informação.

Art. 33.  Os casos omissos ou as dúvidas relativas à interpretação e aplicação desta Política serão dirimidos pela autoridade máxima do DNIT ou pelo Encarregado, em consulta, se necessário, à ANPD.

Art. 34.  Esta Portaria entra em vigor na data de sua publicação.