REGULAMENTO SOBRE O USO COMPARTILHADO DE DADOS PESSOAIS PELO PODER PÚBLICO

CAPÍTULO I

DAS DISPOSIÇÕES PRELIMINARES

Art. 1º  Este Regulamento dispõe sobre o uso compartilhado de dados pessoais entre órgãos e entidades do poder público e entre esses e as pessoas jurídicas de direito privado, nos termos dos arts. 26 e 27 da Lei nº 13.709, de 14 de agosto de 2018.

§ 1º O disposto neste Regulamento se aplica às pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011.

§ 2º As regras aplicáveis ao poder público também deverão ser observadas:

I - pelas empresas públicas e sociedades de economia mista, quando o uso compartilhado estiver vinculado à operacionalização de políticas públicas e no âmbito da execução delas; e

II - pelos serviços notariais e de registro exercidos em caráter privado, por delegação do Poder Público.

Art. 2º  O disposto neste Regulamento não se aplica ao tratamento de dados pessoais já tornados públicos pelo poder público, na forma de dados abertos ou em transparência ativa, desde que observado o disposto na Lei nº 12.527, de 18 de novembro de 2011, e assegurados os princípios e direitos previstos na Lei nº 13.709, de 14 de agosto de 2018. 

Art. 3º  Para fins deste Regulamento, adotam-se as seguintes definições:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II - agente de tratamento cedente: o agente de tratamento que realiza o uso compartilhado ou transfere dados pessoais a um agente de tratamento recebedor;

III - agente de tratamento recebedor: o agente de tratamento que recebe dados pessoais por meio de uso compartilhado ou transferência realizada por um agente de tratamento cedente;

IV - medidas de segurança: medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;

V - transparência ativa: dever da administração pública de divulgar, independentemente de solicitação, informações de interesse coletivo ou geral, conforme Lei nº 12.527, de 18 de novembro de 2011 e Decreto nº 7.724, de 16 de maio de 2012; e

VI - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados; e

VII - transferência: operação de tratamento por meio da qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a dados pessoais a outro agente de tratamento.

Art. 4º  O uso compartilhado de dados pelo poder público observará os fundamentos, os princípios, as hipóteses legais, as garantias, os direitos e as obrigações dispostos na Lei nº 13.709, de 14 de agosto de 2018, e, em especial, as seguintes diretrizes:

I - respeito aos direitos fundamentais à privacidade, à proteção de dados pessoais e à autodeterminação informativa;

II - armazenamento dos dados em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública, à disseminação e ao acesso das informações pelo público em geral;

III - implementação de medidas efetivas de transparência, que assegurem o fornecimento aos titulares de informações claras, precisas e facilmente acessíveis sobre a realização do compartilhamento; e

IV - adoção de boas práticas e de medidas de segurança apropriadas e compatíveis com a natureza dos dados pessoais tratados, a finalidade do tratamento e os riscos envolvidos na operação.

CAPÍTULO II

DOS REQUISITOS PARA O USO COMPARTILHADO DE DADOS PELO PODER PÚBLICO

Art. 5º  O uso compartilhado de dados deverá atender à finalidade específica de execução de políticas públicas e de atribuição legal pelos órgãos e pelas entidades públicas, nos termos do art. 26 da Lei nº 13.709, de 14 de agosto de 2018.

Parágrafo único.  É vedado a agente de tratamento recebedor compartilhar os dados pessoais, exceto quando expressamente autorizado pelo agente de tratamento cedente, na forma do inciso IX do art. 7º deste Regulamento.

Art. 6º  O uso compartilhado de dados deverá ser respaldado por:

I - decisão administrativa devidamente motivada emitida pelo agente de tratamento cedente; ou

II - contrato, convênio ou instrumento congênere firmado entre o agente de tratamento cedente e o agente de tratamento recebedor.

Parágrafo único. Instrumentos jurídicos já existentes, tais como contratos, convênios, acordos de cooperação ou congêneres, poderão ser utilizados para formalizar o compartilhamento de dados pessoais, desde que contenham cláusulas que atendam às exigências previstas neste regulamento.

Art. 7º  A decisão administrativa e os instrumentos referidos no art. 6º deverão apresentar de forma objetiva e detalhada os seguintes aspectos relacionados ao uso compartilhado de dados:

I - a identificação dos agentes de tratamento envolvidos, incluindo informações de contato;

II - a definição de responsabilidades de cada agente de tratamento, inclusive em relação aos direitos dos titulares;

III - os dados pessoais objeto do uso compartilhado;

IV - a finalidade específica do uso compartilhado dos dados, na forma do art. 26, caput, da Lei nº 13.709, de 14 de agosto de 2018;

V - a hipótese legal utilizada, nos termos do art. 7º ou do art. 11 da Lei nº 13.709, de 14 de agosto de 2018;

VI - os meios e os procedimentos, inclusive os recursos técnicos e tecnológicos, utilizados para realizar o compartilhamento;

VII - a duração do uso compartilhado de dados, justificando o prazo e informando o período de conservação ou a necessidade de eliminação dos dados, quando for o caso;

VIII - a indicação das medidas de segurança adotadas para proteger os dados pessoais;

IX - a vedação ou a indicação das condições mediante as quais o agente de tratamento recebedor poderá compartilhar os dados com terceiros; e

X - a declaração de que foi realizada a avaliação de que trata o art. 8º e verificada a compatibilidade entre a finalidade original para a qual os dados pessoais foram coletados e a finalidade do uso compartilhado.

Parágrafo único. A definição de responsabilidades de que trata o inciso II do caput deste artigo incluirá as instruções e as condições a serem observadas para o tratamento dos dados pessoais pelo agente de tratamento recebedor, quando atuar como operador, em conformidade com o disposto no art. 39 da Lei nº 13.709, de 14 de agosto de 2018.

Art. 8º  Antes do uso compartilhado de dados, o agente de tratamento cedente deverá avaliar e demonstrar, de forma fundamentada, a compatibilidade entre a finalidade original e a finalidade do uso compartilhado de dados, bem como a proporcionalidade entre os riscos e os impactos aos titulares e o interesse público que fundamenta o compartilhamento.

§ 1º  A avaliação de que trata o caput levará em consideração, entre outros critérios:

I - o interesse público e a finalidade específica do tratamento dos dados compartilhados, bem como a compatibilidade da finalidade com as competências legais dos órgãos ou entidades envolvidos, nos termos do art. 23 da Lei nº 13.709, de 14 de agosto de 2018;

II - o contexto, a origem e a forma pelos quais os dados compartilhados foram coletados;

III - a existência de relacionamento pretérito entre o titular e o agente de tratamento recebedor;

IV - a natureza dos dados pessoais, especialmente no caso de dados sensíveis;

V - a existência de conexão fática ou jurídica entre a finalidade original e a que fundamenta o tratamento posterior; e

VI - as expectativas legítimas dos titulares e os possíveis impactos do tratamento do dado compartilhado sobre seus direitos.

§ 2º  É vedado o compartilhamento de dados pessoais caso a avaliação de que trata o caput deste artigo identifique incompatibilidade entre a finalidade original e a finalidade do uso compartilhado de dados.

Art. 9.  O uso compartilhado de dados entre órgão ou entidade pública e pessoa jurídica de direito privado, incluindo a transferência de dados, deverá estar fundamentado em uma das hipóteses legais prevista no art. 7º ou no art. 11 da Lei nº 13.709, de 14 de agosto de 2018.

Art. 10.  Além de atender ao disposto no caput, o uso compartilhado de dados ou a transferência entre órgão ou entidade pública e pessoa jurídica de direito privado poderão ser realizados apenas nas seguintes circunstâncias:

I - em casos de execução descentralizada de atividade pública que exija o uso compartilhado ou a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527, de 18 de novembro de 2011;

II - nos casos em que os dados forem acessíveis publicamente;

III - quando houver previsão legal ou o uso compartilhado ou a transferência for respaldado em contratos, convênios ou instrumentos congêneres; ou

IV - quando o uso compartilhado ou a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.

 CAPÍTULO III

DA TRANSPARÊNCIA E DA INFORMAÇÃO À ANPD SOBRE O USO COMPARTILHADO DE DADOS

Art. 11.  Os agentes de tratamento deverão disponibilizar, em seus sítios eletrônicos, de forma clara, adequada e ostensiva, em local de destaque e de fácil acesso, no mínimo, as seguintes informações sobre o uso compartilhado de dados:

I - a identificação dos agentes de tratamento;

II - a descrição dos dados pessoais objetos do uso compartilhado e da finalidade específica do compartilhamento;

III - a data de início e término do uso compartilhado de dados, justificando a duração e informando o período de conservação, nos termos do art. 16 da Lei nº 13.709, de 14 de agosto de 2019;

IV - a definição de responsabilidades de cada agente de tratamento, inclusive em relação aos direitos dos titulares;

V - a avaliação da compatibilidade entre a finalidade original e a finalidade do uso compartilhado, nos termos do art. 8º; e

VI - os canais disponibilizados para o exercício dos direitos do titular, previstos na Lei nº 13.709, de 14 de agosto de 2018. 

§ 1º  O uso compartilhado de dados pessoais de crianças, adolescentes ou idosos deverá ser apresentado de forma destacada, discriminando a categoria e a natureza dos dados compartilhados.             

§ 2º  A íntegra da decisão administrativa, contrato, convênio ou instrumento congênere mencionados no art. 6º, deverá ser disponibilizada em transparência ativa, nos termos da Lei de Acesso à Informação, Lei n° 12.527, de 18 de novembro de 2011.

Art. 12.  O cumprimento do disposto no § 2º do art. 11 deste Regulamento supre a obrigação de informar à ANPD, prevista no § 2º do art. 4º, no § 2º do art. 26 e no art. 27 da Lei nº 13.709, de 14 de agosto de 2018.

Art. 13.  O agente de tratamento cedente e o agente de tratamento recebedor, no âmbito de suas competências, deverão apresentar à ANPD, quando solicitado, a documentação referente ao uso compartilhado de dados pessoais, especialmente a referida nos arts. 6º e 8º deste Regulamento, no prazo fixado pela Autoridade, que não será inferior a 5 (cinco) dias, prorrogável uma vez por igual período, conforme a complexidade da solicitação.

Art. 14.  A ANPD poderá estabelecer, em ato do Conselho Diretor, hipóteses específicas nas quais a apresentação da documentação prevista no art. 13 deverá ser realizada, independentemente de prévia solicitação, considerando:

I - os riscos envolvidos nas operações; ou

II - as informações e as prioridades estabelecidas no Relatório de Ciclo de Monitoramento e no Mapa de Temas Prioritários, nos termos do art. 19 do Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021.