Ementa
Institui a Política de Governança em Privacidade e Proteção de Dados Pessoais do Sistema CFMV/CRMVs.
Texto completo
RESOLUÇÃO Nº 1.711, DE 5 DE AGOSTO DE 2026 Institui a Política de Governança em Privacidade e Proteção de Dados Pessoais do Sistema CFMV/CRMVs. O CONSELHO FEDERAL DE MEDICINA VETERINÁRIA - CFMV, no uso das atribuições que lhe confere a alínea "f" do art. 16 da Lei nº 5.517, de 23 de outubro de 1968, regulamentada pelo Decreto nº 64.704, de 17 de junho de 1969; resolve: CAPÍTULO I DA FINALIDADE E DOS OBJETIVOS Art. 1º Fica instituída a Política de Governança em Privacidade e Proteção de Dados Pessoais do Sistema CFMV/CRMVs, destinada a orientar a implementação de práticas de proteção de dados pessoais, segurança da informação e governança institucional. Art. 2º Esta Política tem por objetivos: I - promover a proteção dos dados pessoais tratados pelo Sistema CFMV/CRMVs; II - fortalecer a cultura institucional de privacidade e proteção de dados; III - estimular a adoção de boas práticas de governança e segurança da informação; IV - promover a transparência e a confiança nas atividades desenvolvidas pelos Conselhos; V - apoiar a conformidade com a legislação aplicável; e VI - incentivar a melhoria contínua dos processos relacionados ao tratamento de dados pessoais. Art. 3º Esta Política aplica-se ao CFMV, aos CRMVs, bem como aos seus dirigentes, conselheiros, empregados públicos, ocupantes de cargos em comissão, colaboradores, estagiários, terceirizados, prestadores de serviços e demais agentes que realizem tratamento de dados pessoais no âmbito do Sistema CFMV/CRMVs. CAPÍTULO II DOS COMPROMISSOS INSTITUCIONAIS Art. 4º O Sistema CFMV/CRMVs compromete-se a promover o tratamento responsável dos dados pessoais sob sua guarda, observando a legislação aplicável e as melhores práticas de governança. Art. 5º As atividades de tratamento de dados pessoais devem buscar: I - compatibilidade com as finalidades institucionais; II - utilização apenas das informações necessárias para cada atividade; III - proteção contra acessos indevidos ou utilização inadequada; IV - transparência perante os titulares; V - rastreabilidade das operações realizadas; e VI - melhoria contínua dos controles adotados. Art. 6º Os novos processos, sistemas, serviços, projetos ou soluções tecnológicas que envolvam tratamento de dados pessoais deverão considerar medidas de proteção à privacidade e à segurança da informação desde sua concepção. Art. 7º O Sistema CFMV/CRMVs reconhece que a proteção de dados pessoais constitui responsabilidade compartilhada entre todos os agentes envolvidos em atividades de tratamento de dados. Art. 8º A implementação das medidas previstas nesta Política deverá observar critérios de proporcionalidade, razoabilidade, capacidade operacional e gestão de riscos, considerando as particularidades de cada Conselho integrante do Sistema CFMV/CRMVs. Art. 9º Os Conselhos deverão buscar o aprimoramento contínuo de suas práticas de governança em privacidade, proteção de dados pessoais e segurança da informação. Art. 10. A proteção de dados pessoais deverá ser harmonizada com os deveres de transparência, publicidade, acesso à informação e demais competências legalmente atribuídas ao Sistema CFMV/CRMVs. Parágrafo único. Os Conselhos deverão buscar, sempre que possível, soluções que conciliem a proteção dos dados pessoais com o interesse público, a transparência administrativa e o acesso à informação. CAPÍTULO III DA ESTRUTURA DE GOVERNANÇA Art. 11. Cada Conselho integrante do Sistema CFMV/CRMVs deverá desenvolver mecanismos de governança destinados à proteção dos dados pessoais tratados em suas atividades. Art. 12. A estrutura mínima de governança, esperada ao final do período de 12 (doze) meses, será: I - nomeação do(a) Encarregado(a) pelo Tratamento de Dados Pessoais e seu substituto; II - canal de comunicação com titulares estabelecido; III - espaço institucional sobre proteção de dados pessoais no sítio eletrônico; IV - Plano de Segurança da Informação - PSI; V - procedimentos para tratamento de incidentes de segurança definidos; VI - ações de capacitação e conscientização; e VII - mecanismos de monitoramento da conformidade. Art. 13. O CFMV atuará como órgão indutor da governança em privacidade, proteção de dados pessoais e segurança da informação no âmbito do Sistema CFMV/CRMVs, podendo: I - disponibilizar orientações, modelos, manuais e instrumentos de apoio; II - promover ações de capacitação e conscientização; III - incentivar o compartilhamento de boas práticas; IV - acompanhar a evolução da maturidade institucional dos Conselhos; e V - expedir orientações complementares destinadas à implementação desta Política. Art. 14. A implementação das medidas previstas nesta Política deverá ocorrer de forma gradual e contínua, observadas a realidade institucional, a capacidade operacional e os riscos inerentes às atividades desenvolvidas por cada Conselho. Parágrafo único. A adoção de medidas de governança em proteção de dados pessoais deverá buscar o aprimoramento progressivo da maturidade institucional dos Conselhos, observadas as diretrizes estabelecidas pelo CFMV. CAPÍTULO IV DAS RESPONSABILIDADES Art. 15. A implementação desta Política constitui responsabilidade compartilhada entre todos os agentes que realizam atividades relacionadas ao tratamento de dados pessoais no âmbito do Sistema CFMV/CRMVs. Art. 16. Compete ao Plenário do CFMV definir as diretrizes estratégicas relacionadas à governança em privacidade, proteção de dados pessoais e segurança da informação. Seção I Da Presidência do CFMV e dos CRMVs Art. 17. Compete às Presidências do CFMV e dos CRMVs: I - promover a implementação desta Política; II - nomear o Encarregado pelo Tratamento de Dados Pessoais e seu substituto; III - apoiar a estruturação das ações de governança em proteção de dados pessoais; IV - estimular a cultura de privacidade, proteção de dados pessoais e segurança da informação. Seção II Do Encarregado pelo Tratamento de Dados Pessoais Art. 18. O Encarregado é o responsável por apoiar o Conselho na implementação das ações relacionadas à privacidade e à proteção de dados pessoais, atuando como referência institucional para o tema. Art. 19. A função de Encarregado poderá ser exercida por empregado público, ocupante de cargo em comissão ou pessoa jurídica contratada para essa finalidade. Art. 20. A escolha do Encarregado deverá considerar conhecimentos compatíveis com a função, disponibilidade para acompanhamento das ações de governança e observância de situações que possam comprometer sua imparcialidade. Art. 21. O respectivo Conselho deverá assegurar ao Encarregado apoio institucional e acesso às informações necessárias ao desempenho de suas atividades. Art. 22. Compete ao Encarregado exercer as atribuições previstas na legislação aplicável, especialmente: I - orientar e apoiar as unidades do Conselho quanto às boas práticas de proteção de dados pessoais; II - atuar como canal de comunicação entre o Conselho, os titulares de dados pessoais e a Autoridade Nacional de Proteção de Dados - ANPD; III - acompanhar a implementação das medidas previstas nesta Política; IV - apoiar a avaliação e o tratamento de incidentes de segurança envolvendo dados pessoais; e V - promover ações de conscientização e disseminação da cultura de proteção de dados pessoais. Parágrafo único. A atuação do Encarregado não afasta as responsabilidades das demais unidades e agentes envolvidos no tratamento de dados pessoais. Seção III Dos Comitês, Comissões e Grupos de Trabalho Art. 23. Os Conselhos deverão avaliar a necessidade de instituir comissão, comitê ou grupo de trabalho destinado a apoiar a implementação e o acompanhamento das ações relacionadas à privacidade, proteção de dados pessoais e segurança da informação, observadas sua realidade institucional, capacidade operacional e complexidade das atividades de tratamento realizadas. Parágrafo único. Sempre que instituídas, essas estruturas deverão buscar atuação multidisciplinar e poderão contar com representantes de áreas estratégicas da instituição. Seção IV Das Chefias e Gestores Art. 24. As chefias e os gestores deverão adotar, entre outras, as seguintes medidas: I - incentivar a adoção de boas práticas de proteção de dados pessoais em suas equipes; II - apoiar as ações de capacitação e conscientização; III - comunicar situações que possam representar riscos à proteção de dados pessoais; IV - colaborar para a implementação das medidas previstas nesta Política; e V - exercer atividades correlatas que lhe forem atribuídas no âmbito de sua competência. Seção V Dos Demais Agentes Art. 25. Todos os agentes que realizem tratamento de dados pessoais deverão: I - observar esta Política e os normativos internos aplicáveis; II - utilizar os dados pessoais apenas para finalidades relacionadas às suas atribuições; III - proteger as informações às quais tenham acesso em razão de suas atividades; IV - comunicar situações que possam representar riscos à proteção dos dados pessoais; V - contribuir para a promoção da cultura de proteção de dados pessoais no âmbito da instituição; e VI - exercer atividades correlatas que lhe forem atribuídas no âmbito de sua competência. CAPÍTULO V DO PLANO DE SEGURANÇA DA INFORMAÇÃO Art. 26. O Plano de Segurança da Informação - PSI constitui o principal instrumento de implementação desta Política. Art. 27. O PSI deverá ser elaborado considerando a realidade institucional, a estrutura organizacional, os recursos disponíveis e os riscos inerentes às atividades desenvolvidas por cada Conselho, observando abordagem baseada em riscos e melhoria contínua. Art. 28. O PSI deverá estabelecer medidas técnicas e administrativas destinadas à proteção das informações institucionais e dos dados pessoais, contemplando, sempre que aplicável: I - ações de capacitação em segurança da informação e proteção de dados pessoais; II - ações de conscientização voltadas à promoção da cultura de segurança da informação e privacidade; III - inventário de dados pessoais; IV - identificação, avaliação e tratamento de riscos relacionados à segurança da informação e à proteção de dados pessoais; V - procedimentos para gestão e resposta a incidentes de segurança; VI - revisão periódica de contratos, convênios, instrumentos congêneres e normativos que envolvam tratamento de dados pessoais; VII - mecanismos de monitoramento, avaliação e revisão das medidas implementadas; VIII - diretrizes para contratações de bens e serviços de tecnologia da informação, considerando requisitos de segurança da informação, proteção de dados pessoais e gestão de riscos; e IX - outras medidas consideradas necessárias à proteção das informações institucionais e dos dados pessoais. Art. 29. Os Conselhos deverão adotar mecanismos destinados à identificação, classificação e proteção das informações sob sua custódia, considerando sua sensibilidade, criticidade e os riscos associados ao seu tratamento. Art. 30. O PSI deverá ser formalmente aprovado pelo Plenário do respectivo Conselho, observadas as alterações normativas, tecnológicas, organizacionais ou os riscos identificados. Art. 31. As medidas previstas no PSI deverão ser avaliadas periodicamente quanto à sua efetividade, adequação e aderência às necessidades institucionais. CAPÍTULO VI DA TRANSPARÊNCIA E DO RELACIONAMENTO COM OS TITULARES Art. 32. O CFMV e os CRMVs deverão disponibilizar em seus sítios eletrônicos espaço específico destinado à proteção de dados pessoais. Parágrafo único. O espaço referido no caput contemplará, no mínimo, os seguintes conteúdos: I - identificação do Encarregado e seu substituto; II - meios de contato com o Encarregado; III - orientações para exercício dos direitos dos titulares; IV - portaria de designação do Encarregado e substituto; e V - informações institucionais relacionadas à proteção de dados pessoais. Art. 33. Os Conselhos deverão disponibilizar canais adequados para recebimento de solicitações, dúvidas, reclamações e comunicações relacionadas à proteção de dados pessoais. CAPÍTULO VII DO COMPARTILHAMENTO E DA UTILIZAÇÃO DE DADOS PESSOAIS Art. 34. O compartilhamento de dados pessoais entre o CFMV e os CRMVs deverá observar finalidades legítimas e compatíveis com as competências institucionais dos órgãos envolvidos. Parágrafo único. O compartilhamento deverá ocorrer de forma proporcional, limitada ao necessário e acompanhada de medidas adequadas de segurança da informação. Art. 35. O compartilhamento de dados pessoais com terceiros deverá observar as disposições legais aplicáveis e as medidas de segurança estabelecidas pelo respectivo Conselho. CAPÍTULO VIII DA GESTÃO DE TERCEIROS E DAS CONTRATAÇÕES Art. 36. Os Conselhos deverão adotar medidas destinadas a assegurar que fornecedores, contratados e parceiros que realizem tratamento de dados pessoais em seu nome observem padrões adequados de segurança da informação e proteção de dados pessoais. Art. 37. As contratações de bens e serviços que envolvam tratamento de dados pessoais deverão considerar requisitos relacionados à segurança da informação, proteção de dados pessoais e gestão de riscos. Art. 38. Os instrumentos contratuais deverão prever obrigações relacionadas à confidencialidade, segurança da informação, comunicação de incidentes e demais medidas necessárias à proteção dos dados pessoais envolvidos. CAPÍTULO IX DA TRANSFERÊNCIA INTERNACIONAL DE DADOS Art. 39. Quando houver transferência internacional de dados pessoais, os Conselhos deverão observar as disposições legais e regulamentares aplicáveis, bem como adotar medidas destinadas à mitigação dos riscos decorrentes da operação. Parágrafo único. A adoção de soluções tecnológicas que envolvam transferência internacional de dados deverá considerar aspectos relacionados à segurança da informação, à proteção dos dados pessoais e à continuidade dos serviços institucionais. CAPÍTULO X DA GESTÃO DOCUMENTAL E DO CICLO DE VIDA DOS DADOS Art. 40. A retenção, o arquivamento, a utilização e a eliminação de dados pessoais deverão observar a legislação aplicável, os instrumentos de gestão documental e as necessidades institucionais relacionadas ao cumprimento das competências legais dos Conselhos. Art. 41. Os Conselhos deverão adotar medidas destinadas a assegurar que os dados pessoais sejam mantidos apenas pelo período necessário ao atendimento das finalidades que justificaram seu tratamento, observadas as hipóteses legais de conservação. Art. 42. Sempre que possível, deverão ser adotadas medidas destinadas à eliminação, descarte seguro, anonimização ou restrição de acesso aos dados pessoais que não sejam mais necessários para as finalidades que motivaram sua coleta. CAPÍTULO XI DA CULTURA DE PROTEÇÃO DE DADOS Art. 43. O Sistema CFMV/CRMVs promoverá ações permanentes de conscientização e capacitação em proteção de dados pessoais e segurança da informação. Art. 44. As ações de capacitação deverão considerar os diferentes perfis de atuação existentes na instituição, buscando fortalecer a compreensão dos riscos e responsabilidades relacionados ao tratamento de dados pessoais. Art. 45. O compartilhamento de experiências e boas práticas entre os Conselhos será incentivado como instrumento de fortalecimento da maturidade institucional em proteção de dados pessoais. Art. 46. A proteção de dados pessoais deverá ser incorporada às rotinas administrativas e aos processos institucionais como elemento permanente de governança, integridade e gestão de riscos. CAPÍTULO XII DAS DISPOSIÇÕES TRANSITÓRIAS Art. 47. Enquanto não instituído o Plano de Segurança da Informação - PSI, os Conselhos deverão adotar medidas mínimas de governança em proteção de dados pessoais. § 1º Consideram-se medidas mínimas: I - nomeação do Encarregado e seu substituto; II - disponibilização de canal de contato com o Encarregado; III - criação do espaço institucional de proteção de dados no sítio eletrônico; IV - recebimento e tratamento das solicitações dos titulares; e V - adoção de procedimentos básicos para comunicação de incidentes de segurança. § 2º Os Conselhos deverão promover a divulgação interna desta Política e das orientações dela decorrentes, de forma a estimular a conscientização dos agentes envolvidos nas atividades de tratamento de dados pessoais. CAPÍTULO XIII DAS DISPOSIÇÕES FINAIS Art. 48. O Plano de Segurança da Informação deverá ser elaborado e instituído pelos Conselhos no prazo de até 12 (doze) meses da publicação desta Resolução. Parágrafo único. Em caráter excepcional, o prazo previsto no caput poderá ser prorrogado mediante justificativa fundamentada do respectivo Conselho e aprovação da Presidência do CFMV. Art. 49. O CFMV poderá expedir orientações, manuais, modelos e documentos complementares destinados a apoiar a implementação desta Política, bem como solicitar informações sobre o andamento das adequações no âmbito dos CRMVs. Art. 50. Fica revogada a Resolução CFMV nº 1.402, de 29 de julho de 2021 (DOU de 30-07-2021, Seção 1, pp. 103-105). Art. 51. Esta Resolução entra em vigor 90 (noventa) dias após a data de sua publicação. ANA ELISA FERNANDES DE SOUZA ALMEIDA Presidente do Conselho JOSÉ MARIA DOS SANTOS FILHO Secretário-Geral Este conteúdo não substitui o publicado na versão certificada. Borda do rodapé Logo da Imprensa