Portaria nº 140/2021
Institui a Política de Privacidade e Proteção de Dados Pessoais do CREA-ES.
PORTARIA Nº 140, DE 30 DE JULHO DE 2021.
Institui a Política de Privacidade e Proteção de Dados Pessoais do CREA-ES.
O Presidente do Conselho Regional de Engenharia e Agronomia do Espírito Santo - CREA-ES, no uso de suas atribuições legais e com arrimo no inciso XXX do artigo 86 do Regimento Interno deste CREA-ES;
Considerando o disposto nos incisos X e XII do art. 5º da Constituição Federal , que instituem o direito à privacidade;
Considerando a Lei nº 12.527 , de 18 de novembro de 2011 - Lei de Acesso à Informação (LAI), que regula o acesso a informações previsto no inciso XXXIII do art. 5º, no inciso II do
§ 3º do art. 37 e no
§ 2º do art. 216 da Constituição Federal ; altera a Lei nº 8.112 , de 11 de dezembro de 1990; revoga a Lei nº 11.111 , de 5 de maio de 2005, e dispositivos da Lei nº 8.159 , de 8 de janeiro de 1991; e dá outras providências;
Considerando a Lei nº 12.965 , de 23 de abril de 2014 - Marco Civil da Internet, que estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil;
Considerando a necessidade de adequação desta Autarquia Federal à Lei nº 13.709 , de 14 de agosto de 2018, que dispõe sobre o tratamento de dados pessoais em âmbito nacional, com o objetivo de proteger os direitos fundamentais de liberdade, privacidade e a livre formação da personalidade de cada indivíduo;
Considerando a crescente utilização da Internet e de modelos computacionais estruturados para acesso e processamento de dados disponibilizados pelo CREA-ES; RESOLVE:
Art. 1º Instituir, ad referendum da Diretoria e do Plenário, a Política de Privacidade e Proteção de Dados Pessoais do CREA-ES.
Art. 2º A Política de Privacidade e Proteção de Dados Pessoais deverá ser utilizada nos sítios de internet, sistemas e aplicativos utilizados e geridos pelo CREA-ES.
Art. 3º A Política de Privacidade e Proteção de Dados Pessoais do Conselho Regional de Engenharia e Agronomia do Espírito Santo - CREA-ES estabelece as diretrizes para o resguardo e uso de dados pessoais, inclusive sensíveis, que sejam tratados em suas atividades e registrados em qualquer suporte, tendo como referência a Lei nº 13.709 , de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD).
Art. 4º Em conformidade com os princípios da LGPD e com as boas práticas de segurança da informação e de proteção de dados pessoais, o CREA-ES garante que os dados pessoais coletados são tratados de forma íntegra e segura, de acordo com padrões de segurança da informação, confidencialidade e integridade pelo tempo que for necessário para realizar as finalidades para as quais foram coletados ou para cumprir com os requerimentos legais aplicáveis.
Art. 5º Esta Política busca promover uma cultura de privacidade e a conscientização das pessoas para a proteção de seus dados pessoais, além de estabelecer o compromisso com a segurança das informações dos visitantes e usuários cadastrados no portal institucional, sistemas e aplicativos utilizados no âmbito do CREA-ES.
Art. 6º Esta Política se aplica aos empregados do CREA-ES, aos agentes de tratamento de dados pessoais - sejam eles pessoas físicas ou jurídicas - que atuam para ou em nome do CREA-ES em operações que envolvam tratamento de dados pessoais que sejam realizadas no escopo das atividades conduzidas pelo CREA-ES, e aos titulares cujos dados pessoais são tratados pelo CREA-ES.
CAPÍTULO I
DO TRATAMENTO DE DADOS PESSOAIS E DADOS PESSOAIS SENSÍVEIS
Art. 7º O tratamento de dados pessoais e dados pessoais sensíveis pelo CREA-ES tem por finalidade a prestação dos serviços administrativos relacionados ao cumprimento de sua obrigação legal e regulatória e, ainda, para o exercício de direitos, nos termos da legislação vigente.
Art. 8º Os dados pessoais e dados pessoais sensíveis tratados pelo CREA-ES são considerados sigilosos e somente serão acessados por pessoas autorizadas e capacitadas para lhes conferir o tratamento adequado, conforme medidas de segurança adequadas para a proteção contra acesso não autorizado, alteração, divulgação ou destruição de dados pessoais coletados e armazenados.
Art. 9º Os dados pessoais e, conforme o caso, os dados pessoais sensíveis, são coletados quando o usuário se comunica por e-mail ou por ligação telefônica, faz o registro de documentos, uso de aplicativo e preenchimento de formulário on-line, de forma a possibilitar o acesso aos serviços disponibilizados, processar pedidos ou realizar contato.
Art. 10. O CREA-ES poderá coletar os seguintes dados e informações de identificação para a finalidade que se destina:
I - informações de contato: nome, endereço residencial, endereço eletrônico (e-mail) e números de telefone:
II - informações de login: inclui dados para se identificar e autenticar em serviços fornecidos pelo CREA-ES, incluindo seu nome de registro (login) e senha:
III - informações demográficas: inclui dados demográficos, como data de nascimento, idade, faixa etária, gênero e localização geográfica;
IV - informações técnicas: inclui dados sobre equipamentos computacionais ou dispositivos móveis, como registro de endereço IP utilizado para conectar seu computador ou dispositivo à internet, localização geográfica, tipo de sistema operacional e tipo de navegador da web;
V - informações sobre navegação no site e serviços: inclui dados sobre as páginas e conteúdo do portal e outras informações estatísticas sobre suas interações, como tempos de resposta a conteúdo e duração do acesso, disponibilidade do serviço etc.
Art. 11. Para fins que necessitem de autorização explícita do titular, os dados poderão ser coletados em formulários específicos e serão utilizados exclusivamente para atender as finalidades discriminadas.
Art. 12. A informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos de proteção dos dados pessoais serão publicados no portal.
Art. 13. O acesso aos conteúdos e serviços abertos do portal é livre e gratuito, sendo que em alguns casos é exigido cadastramento prévio.
Art. 14. Os dados e as informações pessoais serão tratados e apresentados para fins estatísticos de forma anonimizada, de maneira a não permitir qualquer identificação de seus titulares.
Art. 15. Dados pessoais podem ser utilizados para efeitos internos, tais como auditorias, análise de dados, entre outros, bem como para efeitos externos, nas hipóteses e termos definidos pelo art. 26,
§ 1º da LGPD.
Art. 16. O tratamento de dados pessoais de crianças e de adolescentes no CREA-ES tem a finalidade de atender seu melhor interesse e é realizado com o consentimento expresso e em destaque de um dos pais ou responsável legal, bem como especifico quanto à finalidade do tratamento.
CAPÍTULO II
DOS AGENTES DE TRATAMENTO
Art. 17. O CREA-ES, nas operações de tratamento de dados pessoais, busca o melhor interesse dos titulares dos dados pessoais e, respeitando os seus direitos, poderá ser caracterizado como controlador, co - controlador ou, ainda, operador, de acordo com as definições da LGPD, reforçando, em todas as posições que ocupar, o seu compromisso com o cumprimento das regras de privacidade e de proteção de dados pessoais aplicáveis.
Art. 18. O CREA-ES indicará um encarregado para atuar como canal de comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD).
Art. 19. O encarregado é responsável por:
I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
II - receber comunicações da Autoridade Nacional e adotar providências;
III - orientar os empregados e os contratados do CREA-ES a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
CAPÍTULO III
DOS DIREITOS DOS TITULARES
Art. 20. O titular dos dados pessoais tratados pelo CREA-ES poderá, a qualquer tempo e por meio de requisição específica, preferencialmente disponibilizada no portal, obter informações sobre o tratamento de seus dados pessoais, garantidos os seguintes direitos:
I - confirmar existência do tratamento, acessar, revisar, retificar e/ou requisitar uma cópia eletrônica da informação dos seus dados pessoais;
II - requisitar detalhes sobre a origem ou o compartilhamento com terceiros;
III - limitar o uso e divulgação de seus dados pessoais;
IV - solicitar a anonimização, bloqueio, eliminação, portabilidade e oposição de tratamento de seus dados pessoais;
V - revogar o consentimento, excetuando-se as situações previstas na legislação, e receber informações sobre as consequências do não consentimento ao uso de seus dados pessoais.
Art. 21. O CREA-ES solicitará o consentimento do usuário se precisar de seus dados pessoais por uma razão secundária, caso em que, após o seu fornecimento, o usuário poderá mudar de ideia e retirar seu consentimento por meio de formulário especifico no portal institucional do CREA-ES.
CAPÍTULO IV
DOS USUÁRIOS E UTILIZAÇÃO DE COOKIES
Art. 22. Ao acessar o conteúdo do portal e aplicativos do CREA-ES poderão ser coletados cookies pelo navegador.
Art. 23. A utilização de cookies pelo portal possui as seguintes finalidades:
I - tratamento de problemas técnicos;
II - manutenção da proteção e segurança;
III - melhora do uso e da funcionalidade do portal e dos serviços disponíveis;
IV - compreensão sobre como os usuários utilizam o portal e os serviços online;
V - adaptação do conteúdo conforme os dados de utilização.
Art. 24. O usuário poderá se opor à utilização de cookies pelo portal, bastando que os desative no momento em que começa a utilizar o serviço, mas isso poderá prejudicar a experiência do usuário, uma vez que dados utilizados para sua personalização deixarão de ser coletados.
Art. 23. A desativação de todos os cookies pelo usuário, no entanto, não será possível, uma vez que alguns deles são essenciais para que o portal funcione corretamente.
Art. 24. O usuário é responsável pela reparação dos danos, diretos ou indiretos (inclusive decorrentes de violação de quaisquer direitos de terceiros, direitos de propriedade intelectual, de sigilo e de personalidade), que sejam causados ao CREA-ES, ou, ainda, a terceiro, em virtude do descumprimento do disposto nesta Política ou de qualquer ato praticado a partir de seu acesso à internet, ao portal e/ou aplicativos do CREA - ES.
Art. 25. O CREA-ES não será responsável por equipamento infectado ou invadido por atacantes, equipamento avariado no momento do consumo de serviços, proteção do computador, proteção das informações baseadas no computador do usuário, abuso de uso do computador do usuário, monitoração clandestina do computador do usuário, vulnerabilidades ou instabilidades existentes nos sistemas do usuário ou perímetro inseguro.
CAPÍTULO V
DO COMPARTILHAMENTO DE DADOS PESSOAIS
Art. 26. Em razão do cumprimento de suas obrigações legais e regulatórias, o CREA-ES realiza o compartilhamento dos dados pessoais de acordo com a interoperabilidade dos seus sistemas e serviços de tecnologia da informação, resguardados os princípios de proteção de dados pessoais.
Art. 27. Todos os contratos com terceiros deverão conter cláusulas referentes à proteção de dados pessoais, estabelecendo deveres e obrigações envolvendo a temática, e atestando o compromisso dos terceiros com a legislação de proteção de dados pessoais aplicável.
Art. 28. Os contratos poderão ser revisados e submetidos à aprovação do Encarregado de dados e equipe técnica para verificação de conformidade à legislação de proteção de dados pessoais.
Art. 29. O compartilhamento de dados pessoais entre as unidades organizacionais é permitido, desde que respeitada a sua finalidade e base legal, observada a necessidade, ficando o tratamento de dados pessoais sempre adstrito ao desenvolvimento de atividades autorizadas pelo CREA-ES.
Art. 30. O CREA-ES poderá compartilhar dados pessoais com os seguintes tipos de organizações:
I - órgãos e entidades públicas: no exercício de suas atribuições legais e regulatórias ou relacionadas à finalidade pública, em atenção ao interesse público e observando a conformidade dessas com a LGPD;
II - provedores de serviços: empresas contratadas para auxiliar direta ou indiretamente na manutenção de serviços técnicos ou administrativos - os provedores de serviços e seus colaboradores estarão autorizados a acessar dados pessoais somente para as tarefas específicas que forem requisitadas pelo CREA-ES e seguindo a legislação de proteção de dados pessoais, sendo que, em caso de violação, responderão solidariamente, conforme prevê a legislação vigente.
CAPÍTULO VI
DA TRANSFERÊNCIA INTERNACIONAL DE DADOS
Art. 31. O CREA-ES poderá realizar transferência internacional de dados pessoais em casos de Termos de Reciprocidade e deverá seguir o disposto nos art. 33 a 36 da LGPD.
Art. 32. Na hipótese de compartilhamento de dados pessoais com instituições em outros países, o CREA-ES deverá estabelecer contratualmente que o parceiro possua padrão de proteção de dados e segurança da informação compatível com esta Política, a fim de que os dados sejam sempre protegidos nestes termos.
Art. 33. O CREA-ES se compromete em informar os titulares de dados pessoais em suas plataformas digitais (e.g. sites, aplicações, etc.) sobre a ocorrência de operações de transferência internacional de dados pessoais, designando o conjunto de dados encaminhados, a finalidade do envio e o seu destino.
CAPÍTULO VII
DA ELIMINAÇÃO DE DADOS PESSOAIS
Art. 34. O CREA-ES realiza o tratamento de dados pessoais pelo tempo necessário para cumprir a finalidade para os quais foram coletados.
Art. 35. Quando do término do tratamento, os dados pessoais serão eliminados, sendo autorizada sua conservação nas situações previstas na legislação vigente, tais como o prazo de guarda de documentos trabalhistas, previdenciários e relacionados à segurança e saúde no trabalho, mesmo após o encerramento do vínculo empregatício.
CAPÍTULO VIII
DA SEGURANÇA DOS DADOS PESSOAIS
Art. 36. Os agentes de tratamento deverão adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, bem como responder pelos danos decorrentes de violações de segurança aos dados pessoais.
Art. 37. Em conformidade ao art. 48 da LGPD, o CREA-ES comunicará ao titular e à Autoridade Nacional de Proteção de Dados (ANPD) a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante ao titular.
CAPÍTULO IX
DOS DEVERES E RESPONSABILIDADES DOS AGENTES DE TRATAMENTO
Art. 38. Os agentes de tratamento, empregados do CREA-ES e terceiros, devem seguir os seguintes deveres para a utilização adequada de dados pessoais:
I - não disponibilizar nem conceder acesso aos dados pessoais mantidos pelo CREA-ES para quaisquer pessoas não autorizadas ou não competentes de acordo com as normas vigentes;
II - obter a autorização necessária para o tratamento de dados e ter os documentos necessários que demonstrem a designação de sua competência para a realização da operação de tratamento de dados lícita, de acordo com as normas vigentes;
III - cumprir as decisões, portarias, instruções, orientações e recomendações de segurança da informação e de prevenção de incidentes de segurança da informação normatizadas pelo CREA-ES;
IV - contatar o encarregado quando da suspeita ou da ocorrência efetiva das seguintes ações:
a) operação de tratamento de dados pessoais realizada sem base legal que a justifique;
b) tratamento de dados pessoais sem autorização por parte do CREA-ES no escopo das atividades que desenvolve;
c) operação de tratamento de dados pessoais realizada em desconformidade à Política de Segurança da Informação do CREA-ES;
d) eliminação ou destruição não autorizada pelo CREA-ES de dados pessoais de plataformas digitais ou acervos físicos em todas as instalações do CREA-ES ou por ele utilizadas;
e) qualquer outra violação desta Política ou de qualquer um dos princípios de proteção de dados segundo a LGPD.
Art. 39. A responsabilidade no caso de danos patrimoniais, morais, individuais ou coletivos derivados de violações á legislação de proteção de dados pessoais é solidária - todos os agentes da cadeia envolvendo o tratamento de dados pessoais podem ser responsabilizados pelos eventuais danos causados.
CAPÍTULO X
DAS DISPOSIÇÕES FINAIS
Art. 40. Esta Política de Privacidade e Proteção de Dados Pessoais pode ser alterada a qualquer tempo e sem aviso prévio.
Art. 41. Extrato desta política deve ser publicado no portal institucional do CREA-ES, sendo atualizado a cada alteração dela.
Art. 42. Em caso de qualquer dúvida com relação às disposições constantes nesta Política, o titular ou usuário pode entrar em contato com o CREA-ES por meio do canal de atendimento à LGPD constante no portal.
Art. 43. Para fins de cumprimento desta portaria, define-se:
I - Agentes de tratamento: o controlador e o operador.
II - Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
III - Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
IV - Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
V - Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
VI - Dado pessoal: dado relacionado a pessoa natural identificada ou identificável, ou seja, dado pessoal é todo aquele que pode identificar uma pessoa, tais como nome, RG, CPF, e-mail, dados genéticos etc.
VII - Dado anonimizado: dado relativo a titular que não possa ser identificado,
considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento, não sendo considerado dado pessoal para os fins da LGPD.
VIII - Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
IX - Encarregado ou Data Protection Officer (DPO): pessoa física ou jurídica indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
X - Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
XI - Relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.
XII - Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
XIII - Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.
XIV - Tratamento: toda operação realizada com dados pessoais, como as que se referem a:
a. acesso: possibilidade de comunicar-se com um dispositivo, meio de armazenamento, unidade de rede, memória, registro, arquivo etc, visando receber, fornecer, ou eliminar dados;
b. armazenamento: ação ou resultado de manter ou conservar em repositório um dado;
c. arquivamento: ato ou efeito de manter registrado um dado embora já tenha perdido a validade ou esgotada a sua vigência;
d. avaliação: ato ou efeito de calcular valor sobre um ou mais dados;
e. classificação: maneira de ordenar os dados conforme algum critério estabelecido;
f. coleta: recolhimento de dados com finalidade específica;
g. comunicação: transmitir informações pertinentes a políticas de ação sobre os dados;
h. controle: ação ou poder de regular, determinar ou monitorar as ações sobre o dado;
i) difusão: ato ou efeito de divulgação, propagação, multiplicação dos dados;
j. distribuição: ato ou efeito de dispor de dados de acordo com algum critério estabelecido;
k. eliminação: ato ou efeito de excluir ou destruir dado do repositório;
I - extração: ato de copiar ou retirar dados do repositório em que se encontrava;
m. modificação: ato ou efeito de alteração do dado;
n. processamento: ato ou efeito de processar dados;
o. produção: criação de bens e de serviços a partir do tratamento de dados;
p. recepção: ato de receber os dados ao final da transmissão;
q. reprodução: cópia de dado preexistente obtido por meio de qualquer processo;
r. transferência: mudança de dados de uma área de armazenamento para outra, ou para terceiro;
s. transmissão: movimentação de dados entre dois pontos por meio de dispositivos elétricos, eletrônicos, telegráficos, telefônicos, radioelétricos, pneumáticos etc, t. utilização: ato ou efeito do aproveitamento dos dados.
XV - Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre estes e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.
XVI - Usuário: pessoa natural que irá usufruir do serviço prestado.
Esta Portaria entra em vigor na data de sua assinatura.
Dê-se ciência e cumpra-se.
Vitória/ES, 30 de julho de 2021.
Eng. Agrônomo Jorge Luiz e Silva
Presidente do Crea-ES
Download do documento
Atos que alteram, regulamentam ou revogam esta Portaria:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por esta Portaria:
Nenhum Ato.