-
Introdução
A Política de Resposta a Incidentes de Privacidade (“Política”) estabelece os requisitos para monitorar e responder aos potenciais incidentes de privacidade, de acordo com os requisitos da Política de Privacidade do Município De Rondonópolis – Estado De Mato Grosso, pessoa de direito público, situada à Avenida Duque De Caxias nº 1.000, Vila Aurora, no Município De Rondonópolis, Estado do Mato Grosso, inscrita no CNPJ sob o nº 03.347.101/0001-21 (“Prefeitura”), bem como auxiliar os servidores, terceirizados, parceiros e outros associados relevantes da PREFEITURA na compreensão de seus papéis e responsabilidades no enfrentamento de incidentes de privacidade.
Considerando a sensibilidade do manuseio de Dados Pessoais dos Associados da PREFEITURA (conforme definição no item 4 abaixo), a PREFEITURA reconhece a necessidade de proteger os Dados Pessoais sob sua gestão contra divulgação não autorizada e uso indevido. A garantia da proteção dos Dados Pessoais também é imprescindível para gerar aumento na confiança dos cidadãos e evitar litígios.
-
Aplicação
Esta Política será aplicável à violação de privacidade de dados ou incidente relacionado aos Dados Pessoais de Associados, que devido à forma como são coletados, ou devido à sua natureza ou ao contexto em que são processados ou armazenados, representam um perigo para a privacidade de um indivíduo, grupo de indivíduos ou organização.
O procedimento de gestão de incidentes será aplicável a todos os servidores, terceirizados, terceiros e outros associados relevantes da PREFEITURA.
-
Objetivo
Este documento descreve as medidas e as formas de gerenciar um incidente de privacidade efetivo ou suspeito que tenha sido reportado / violação de privacidade de dados, sua investigação, solução de remediação, notificação aos cidadãos, servidores, terceirizados, terceiros (caso aplicável) e realizar medidas para evitar qualquer incidente de privacidade futuro.
-
Definições
- Titular - significa pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
- Associado - significa qualquer servidor, secretário, terceiro, estagiário, cidadão ou qualquer representante da PREFEITURA.
- Dados Pessoais - significa informação relacionada a pessoa natural identificada ou identificável.
- Dados Pessoais Sensíveis - significa dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
- Violação - uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a dados pessoais transmitidos, armazenados ou processados de outra forma.
- Tratamento - significa toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
- Controlador - significa pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
- Operador - significa pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
- Divulgação - significa tornar os dados pessoais acessíveis, por exemplo, permitindo o acesso a dados pessoais, seja transferindo, distribuindo ou publicando os dados pessoais.
- Direito de Uso de Dados - qualquer solicitação recebida pela empresa de um titular que deseje receber uma cópia de todos os dados pessoais que se referem a ele que estejam sendo tratados pela empresa.
- Perfil pessoal - significa uma coleta de dados que permite a avaliação de características fundamentais da personalidade de um indivíduo.
- Consentimento - significa a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
- Terceiro - significa pessoa natural ou jurídica, autoridade pública, agência ou órgão diferente do titular, controlador, e operador que, sob a autoridade direta do controlador ou operador, estão autorizadas a tratar dados pessoais.
- Transferência internacional - significa a transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.
-
Consequências da Desconformidade
O descumprimento da presente Política pode potencialmente levar a sanções. Assim, é imprescindível que a organização cumpra todos os requisitos fundamentais aqui estipulados. Não obstante, eventual descumprimento da Política poderá gerar consequências disciplinares, nos termos dos regimentos internos da PREFEITURA.
-
Situações Extraordinárias
Esta Política não prevê todas as situações que possam surgir dentro da organização. Portanto, todos os usuários são encorajados a considerar cuidadosamente as ações que venham a tomar e a entrar em contato com o Encarregado caso tenham alguma dúvida, preocupação ou sugestões relacionadas a esta Política. Todos os incidentes de privacidade conhecidos ou suspeitos requerem ação corretiva imediata, independentemente da sensibilidade do Dado Pessoal. Dada a natureza variada dos incidentes de privacidade, nenhuma medida específica é possível, e as ações são proporcionais e apropriadas a cada incidente de privacidade.
-
Panorama da Política de Reporte de Incidentes de Privacidade
As seguintes etapas são usadas para lidar com incidentes de privacidade ou violações. Como as circunstâncias para cada incidente de privacidade podem variar, essas etapas podem ocorrer simultaneamente ou em rápida sucessão; eles não precisam necessariamente seguir a ordem dada abaixo:
-
Detecção e Reporte Imediato
- Os servidores da PREFEITURA e associados relevantes devem ser capazes de identificar um incidente de privacidade, incluindo violação de dados pessoais, contanto que ocorra dentro da infraestrutura operacional e resulte em desvios dos serviços normais.
- O Encarregado deverá atualizar regularmente os servidores da PREFEITURA acerca dos incidentes de privacidade e violações acontecendo em todo o mundo e sua relevância no ambiente da PREFEITURA, por meio de treinamentos de privacidade, e-mails, cartazes etc.
- Todos os incidentes e eventos de privacidade ocorridos na organização devem ser relatados por servidores, terceiros/ contratados para seus respectivos secretários ou Encarregado (e-mail: dpo_enc.geral@rondonopolis.mt.gov.br).
- Todo o incidente de privacidade será registrado e rastreado.
- Todos os incidentes de privacidade relacionados a dados pessoais de indivíduos localizados no Brasil deverão ser reportados ao Encarregado, que deverá informar o Controlador de dados em até 48 (quarenta e oito) horas para que este possa notificar a Autoridade Nacional de Proteção de Dados dentro de tempo razoável.
-
Recuperação/ Contenção do Incidente de Privacidade
O Encarregado facilitará o plano de ação para recuperar ou conter o incidente de privacidade, limitando assim seu impacto. No entanto, as ações apropriadas dependerão da natureza do incidente de privacidade, elas podem incluir, mas não limitar a:
- Isolar ou suspender a atividade que levou ao incidente de privacidade;
- Corrigir todas as fraquezas na segurança física imediatamente;
- Tomar medidas imediatas para recuperar os dados pessoais, registros ou equipamentos de todas as fontes, sempre que possível;
- Determinar se foi feita alguma cópia de dados pessoais que foram violados e recuperá-la quando for possível.
-
Avaliando a Extensão e Impacto do Incidente de Privacidade
Os gestores das secretarias envolvidas devem trabalhar em coordenação com o Encarregado para determinar:
- Dado pessoal envolvido (Qual dado pessoal está envolvido e sua sensibilidade?);
- Causa do incidente de privacidade (Quais programas, sistemas envolvidos?);
- Extensão do incidente de privacidade ou violação (o incidente de privacidade ocorreu ou tratase de suspeita? O dado pessoal envolvido estava criptografado ou não era facilmente acessível? O dado pessoal foi recuperado? Que medidas já foram tomadas para minimizar os danos?);
- Indivíduos afetados pelo incidente ou violação de privacidade (número aproximado de cidadãos, servidores, terceirizados, fornecedores);
- Danos previsíveis do incidente (Quais são os possíveis usos indevidos do dado pessoal envolvido? Qual é o risco de danos significativos ao indivíduo ou à organização como resultado do incidente?).
Com base nas considerações acima, o incidente de privacidade é classificado como alta, média ou baixa gravidade.
Gravidade Descrição Baixa - Um incidente envolvendo perda de dados pessoais de apenas um indivíduo
- Nenhum dado pessoal sensível do titular envolvido
Média - Um incidente envolvendo perda de dados pessoais de mais de um associado, com algum nível de controles preventivos em vigor, como backup de dados, alguns campos são mascarados etc.
- Um incidente envolvendo a perda de dados pessoais de mais de um residente/cidadão brasileiro com algum nível de controles preventivos em vigor, como backup de dados, poucos campos foram mascarados etc.
Alta - Um incidente envolvendo a perda de dados pessoais de um indivíduo ou um grupo de indivíduos, incluindo residentes/cidadãos brasileiros sem controles preventivos em vigor
- Um incidente envolvendo a perda de dados pessoais sensíveis de um indivíduo ou de um grupo de indivíduos, incluindo residentes/cidadãos brasileiros sem controles preventivos em vigor
- Um incidente que pode levar à perda de reputação da organização.
Para cada tentativa de remediação de incidentes, uma quantidade precisa de dados deve ser anexada aos detalhes do incidente de privacidade para evitar procedimentos de recuperação repetidos e o aumento do tempo total de resolução.
A Tolerância de Risco associada ao incidente de privacidade pode ser classificada como crítica, alta, média e baixa com base nos seguintes critérios:
Impacto Não-Econômico Risco de Tolerância Severo Médio Alto Crítico Crítico Crítico Significante Médio Médio Alto Crítico Crítico Adverse Baixo Médio Médio Alto Crítico Moderado Baixo Baixo Baixo Médio Alto Menor Baixo Baixo Baixo Baixo Médio Anual Semestral Trimestral Mensal Frequente Uma vez ao ano Uma vez em seis meses Uma vez no trimestre Uma vez no mês Várias vezes no mês -
Registro e Remediação / Correção do Incidente de Privacidade
Com base na Gravidade e Categoria de Risco do Incidente, o Encarregado deverá decidir e implementar um plano de remediação ou uma ação corretiva.
Como parte do Processo de Gerenciamento de Incidentes de Informação, os gestores das secretarias envolvidas trabalharão em conjunto com o Encarregado para:
- Garantir que as evidências relacionadas ao incidente de privacidade sejam preservadas;
-
Documentar o incidente de privacidade em detalhes na forma de
um relatório, que deverá incluir as seguintes informações:
- Quando aconteceu o incidente de privacidade?
- Como aconteceu o incidente de privacidade?
- Como o incidente de privacidade foi descoberto?
- Descrição da natureza da violação
- O que (tipo e quantidade) de dados pessoais envolvidos (informações exatas)?
- Quantos indivíduos foram impactados pela violação? (tipo de dados e número aproximado)
- Quais são as consequências da violação?
- É um incidente repetido do passado?
- Qual foi a gravidade do incidente de privacidade?
- Quem relatou o incidente (se aplicável)?
- Todos os indivíduos foram entrevistados sobre o incidente de privacidade?
- Como o incidente de privacidade foi recuperado ou contido?
- Foi necessário informar os cidadãos? Se sim, como os cidadãos foram informados?
- O cidadão e/ou servidor foi informado sobre o incidente de privacidade?
- Qual foi o plano de remediação ou ação corretiva realizada para remediar o incidente de privacidade?
- Quais são as medidas corretivas tomadas ou propostas para serem tomadas para enfrentar a violação de dados pessoais, incluindo, se for o caso, medidas para mitigar seus possíveis efeitos adversos
-
Nome e detalhes de contato do Encarregado
Relatório de Incidentes Métrica de Incidentes de Violação Dados Incidentes de Violação de Dados Reportados Contato do Encarregado Gerente da Violação Categoria do incidente Valor Total de Tolerância do Risco Descrição da Violação Raiz causadora da violação Dados pessoais envolvido Incidente Reincidente Número de titulares envolvidos/número de titulares Fonte da Violação Consequência da Violação Ação de remediação/correção Notificação ANPD/Titular Sanções Regulatórias Data de Encerramento Comentários - O relatório acima deve ser discutido com os gestores das secretarias envolvidas e finalmente submetidos ao Encarregado.
-
Matriz de Escalonamento
É fundamental que o incidente de privacidade seja escalonado quando requerer um nível mais elevado de prioridade.
Para cada tentativa de remediação de incidentes, uma quantidade precisa de dados deve ser anexada aos detalhes do incidente de privacidade para registrar os procedimentos de recuperação repetidos e diminuir os prazos gerais de resolução.
Gravidade* Tempo de Resposta(Maximo) Nível 1 Nível 2 Nível 3 Baixa 70 horas Secretário Encarregado NA Média 60 Horas Secretário Encarregado Prefeito Alta 48 Horas Secretário Encarregado Prefeito -
Notificações para Partes Relevantes
Esta seção inclui o processo para notificar outras partes, tais como: organização interna, cidadão, mídia ou qualquer outra organização envolvida na violação de dados
- O Encarregado e os gestores das secretarias relevantes, em consulta com o Prefeito deverão tomar coletivamente uma decisão sobre notificar os associados da PREFEITURA, a PREFEITURA ou qualquer outra organização envolvida, sobre o incidente de privacidade (suspeito ou efetivo), dependendo da sensibilidade e criticidade do mesmo.
- O Encarregado e os gestores das secretarias relevantes deverão ser responsáveis pelo contato com a PREFEITURA a respeito do incidente de privacidade, se necessário.
-
Os seguintes fatores são relevantes para determinar se devem
relatar uma violação de incidente de privacidade para terceiros:
- a Sensibilidade dos Dados Pessoais;
- a Extensão e Impacto da violação do incidente de privacidade (roubo de identidade ou qualquer outro dano, incluindo dor, perda de sofrimento ou perda de reputação);
- o número de indivíduos afetados (ou que podem ser afetados) pela violação do incidente de privacidade;
- a gravidade das consequências da violação para os indivíduos (risco aos direitos e liberdade);
- O Encarregado garantirá que, o time privacidade atualizará o relatório sobre incidentes de privacidade quando necessário, dependendo das comunicações realizadas pela PREFEITURA e outras medidas tomadas.
-
Atividade Pós-Incidente
Recuperando-se de um incidente de privacidade e prevenindo ocorrências semelhantes no futuro:
-
A equipe de privacidade em consulta com o Encarregado deverá:
- Garantir que uma base de conhecimento abrangente (confidencial apenas para pessoal autorizado) seja mantida detalhando maneiras de reconhecer incidentes e, juntamente com as várias soluções e soluções alternativas disponíveis. Isso pode ser alcançado através da criação e manutenção adequada, da documentação relacionada aos incidentes de privacidade já ocorridos ou suspeitos;
- Determinar se a política de privacidade, procedimentos e/ou aviso de privacidade precisam ser modificados com base no incidente de privacidade;
- Implementar as modificações, se necessário (por exemplo, instalar segurança física adicional, modificar conteúdo de treinamento sobre privacidade, configurar uma caixa de incidentes de privacidade para os servidores abordarem incidentes de privacidade e reclamações anonimamente);
- Integrar as modificações no programa de privacidade da PREFEITURA (por exemplo, usando o mesmo como parte dos novos treinamentos de privacidade, e-mails e cartazes).
-
Melhora do procedimento de gerenciamento de incidentes de
privacidade:
- Reuniões devem ser conduzidas pela equipe de privacidade em consulta com o Encarregado para discutir as lições aprendidas;
- Processo de Gerenciamento de Incidentes de Privacidade deve ser alterado de acordo.
-
A equipe de privacidade em consulta com o Encarregado deverá:
-
-
Exceções
Qualquer exceção a esta norma deverá estar em conformidade com o processo de exceção documentado e aprovado e/ou procedimento de exceção de TI.
-
Revisão e Avaliação
O documento do Processo de Gerenciamento de Incidentes de Privação será revisado no momento de qualquer grande mudança no ambiente existente que afete as políticas e procedimentos de privacidade ou uma vez por ano, o que for anterior. O documento do Processo de Gerenciamento de Incidentes de Privacidade será revisado pelo Encarregado.
-
Contatos
Nome Cargo E-mail Telefone Encarregado