PLANO DE ADEQUAÇÃO DA UFS À LGPD

2020-2021

UNIVERSIDADE FEDERAL DE SERGIPE

Encarregada pela Proteção de Dados

Thaís Ettinger Oliveira Salgado

Revisores

Andrés Menéndez
Gustavo Torres de Brito Daier
Marcos Vinícius Nascimento Gonzalez Castaneda
Valter Joviniano

Capa e Design
Giulia Alves Sanchez
HISTÓRICO DE ALTERAÇÕES

Data Versão Descrição Autor

Thaís Ettinger Oliveira Salgado
Plano de Adequação à LGPD:
20/11 /2020 01
Universidade Federal de Sergipe
i
APRESENTAÇÃO

Este documento refere-se a ao plano de adequação da Universidade Federal de Sergipe (UFS)

à Lei Geral de Proteção de Dados (LGPD), Lei 13.709/2018, que passou a vigorar no dia 18 de
setembro de 2020.
A Universidade Federal de Sergipe, assim como qualquer empresa pública, precisa analisar e
adaptar seus processos que envolvem tratamento de dados pessoais visto que, a LGPD regula as
atividades de tratamento de dados pessoais para que o titular dos dados possa ter maior segurança e
conhecimento sobre como seus dados são utilizados.
Como primeiro plano desenvolvido pela UFS, é natural que o mesmo tenha modificações
durante sua execução, já que não há um manual e nem procedimentos exatos que possam ser seguidos
à risca. Entretanto, ao desenvolver este documento, a UFS demonstra, além dos seus constantes
cuidados para estar em conformidade legal, sua preocupação com a privacidade e transparência de
todos os envolvidos com nossa instituição.
Servidores, terceiros, parceiros, alunos e demais membros da comunidade acadêmica, poderão
acompanhar o passo a passo para adequação, como também, participar ativamente para que seja mais
um projeto bem executado pela UFS.
 LISTA DE ABREVIATURAS

ANPD................................................................................Autoridade Nacional de Proteção de Dados

COPEC.................................................................Coordenação de Programas, Convênios e Contratos
CESAD............................................................... Centro de Educação Superior a Distância (CESAD)
CODAP................................................................................................................Colégio de Aplicação
DAD...................................................................................................Departamento de Administração
DCV....................................................................................................Divisão de Concurso Vestibular
DPO...................................................................................................................Data Protecion Officer
GR............................................................................................................................Gabinete do Reitor
GT............................................................................................................................Grupo de Trabalho
LAI.............................................................................................................Lei de Acesso à Informação
LGPD..................................................................................................Lei Geral De Proteção de Dados
PROGRAD..................................................................................................Pró-Reitoria de Graduação
PROPLAN.............................................................................................. Pró-Reitoria de Planejamento
RGPD....................................................................................Regulamento Geral E Proteção de Dados
RIPD.....................................................................Relatório de Impacto à Proteção de Dados Pessoais
STI...............................................................................Superintendência de Tecnologia da Informação
UFS....................................................................................................Universidade Federal de Sergipe
 LISTA DE QUADROS

Quadro 1 – Plano de adequação – Etapa I.........................................................................................16

Quadro 2 – Composição do GT..........................................................................................................18
Quadro 3 – Roteiro de entrevista.......................................................................................................20
Quadro 4 – Planejamento para macro avaliação...............................................................................20
Quadro 5 – Análise prévia do site da UFS..........................................................................................21
Quadro 7 – Ciclo 01 - Conectando.....................................................................................................23
Quadro 8 – Plano de adequação - Etapa II.......................................................................................24
Quadro 9 – Ciclo 02 – Aprofundando................................................................................................27
Quadro 10 - Plano de adequação - Etapa III......................................................................................28
Quadro 11 – Matriz de risco.............................................................................................................30
Quadro 12 – Ciclo 03 - Realizando....................................................................................................32
Quadro 13 – Plano de adequação - Etapa IV.....................................................................................33
Quadro 14 – Ciclo 04 – Compromisso...............................................................................................36
Quadro 15 – Plano de adequação - Etapa V.....................................................................................37
Quadro 16 – Ciclo 05 – Mindset.........................................................................................................40
Quadro 17 – Plano de adequação - Etapa VI.....................................................................................41
Quadro 18 – Ciclo 06 – Cultura..........................................................................................................42
Quadro 19 – Cronograma de adequação............................................................................................43
 LISTA DE FIGURAS
Figura 1 – Fluxo de ações para adequação à LGPD..........................................................................15
Figura 2 – Matriz de responsabilidade..............................................................................................19
Figura 3 – Ciclo do programa de conscientização.............................................................................22
Figura 4 – Matriz SWOT....................................................................................................................34
Figura 5 – Pilares para adequação.....................................................................................................39
 SUMÁRIO
1 INTRODUÇÃO............................................................................................................. 10
1.1 DEFINIÇÃO DOS PAPÉIS ............................................................................................ 13
1.2 OBJETIVOS DO PLANO DE ADEQUAÇÃO ............................................................... 14
2 ETAPA 1: PREPARAR A UFS PARA ADEQUAÇÃO À LGPD ............................... 16
2.1 DEFINIÇÃO DO DPO E GRUPO DE TRABALHO ...................................................... 17
2.2 MATRIZ DE RESPONSABILIDADE ............................................................................ 18
2.3 ASSESSMENT................................................................................................................. 19
2.4 DEMANDAS URGENTES ............................................................................................ 21
2.5 PROGRAMA DE CONSCIENTIZAÇÃO ...................................................................... 22
2.5.1 Ciclo 01: Programa de conscientização ...................................................................... 23
3 ETAPA 02: META: Construção do Inventário de Dados ........................................... 24
3.1 DEFINIÇÃO DA UNIDADE PILOTO: PROGEP .......................................................... 25
3.2 DATA MAPPING ............................................................................................................ 25
3.3 INVENTÁRIO DE DADOS ........................................................................................... 26
3.4 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 02 .................................................... 26
4 ETAPA 03: CONSTRUÇÃO DO INVENTÁRIO DE DADOS .................................. 28
4.1 MATRIZ DE RISCO ...................................................................................................... 29
4.5 RANKING DAS PRINCIPAIS ÁREAS DE RISCO ....................................................... 30
4.6 Plano De Mitigação De Riscos ........................................................................................ 30
4.7 RIPD .............................................................................................................................. 31
4.8 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 03 .................................................... 31
5 ETAPA 04: CONSTRUIR UMA POLÍTICA DE GOVERNANÇA DE DADOS ...... 33
5.1 CONDIÇÕES INTERNAS E REQUISITOS EXTERNOS ............................................. 34
5.2 PLATAFORMA DE CONFORMIDADE – UFS ............................................................ 34
5.3 POLÍTICA DE GOVERNANÇA E PROTEÇÃO DE DADOS ....................................... 35
5.4 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 04 .................................................... 36
6 ETAPA 05: ADEQUAR A UFS À LGPD .................................................................... 37
6.1 READEQUAÇÃO DE PROCESSOS ............................................................................. 38
6.2 CONFORMIDADE NOS CONTRATOS........................................................................ 38
6.3 CULTURA DE PRIVACY BY DESIGN ............................................................................ 38
6.4 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 05 .................................................... 40
7 ETAPA 06: CONFORMIDADE CONTÍNUA............................................................. 41
7.1 RELATÓRIO DE IMPACTO À PROTEÇÃO DOS DADOS (RIPD) ............................. 42
7.2 AJUSTES E ADEQUAÇÕES CONTÍNUAS .................................................................. 42
7.3 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 06 .................................................... 42
8 CRONOGRAMA .......................................................................................................... 43
REFERÊNCIAS ................................................................................................................... 44
1 INTRODUÇÃO

Inspirada no Regulamento Geral de Proteção de Dados Europeu (RGPD), a Lei Geral de

Proteção de Dados (LGPD) é fruto de intensos debates envolvendo governo, empresas e sociedade
civil organizada. Esse modelo multissetorial trouxe vários benefícios para a construção da opinião
pública acerca do tema e acabou por cunhar dois pilares da proteção de dados, que são: (1) a proteção
dos direitos dos titulares dos dados e (2) a criação de um ambiente propício para a livre circulação de
dados.
Segundo a lei, em seu art. 5º, o tratamento de dado pessoal – que é a informação relativa sobre
uma pessoa viva, identificada ou identificável - é a operação de coleta, produção, recepção,
classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento,
arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação,
comunicação, transferência, difusão ou extração.
A LGPD, portanto, estabelece regras específicas para o tratamento, uso e para a proteção da
privacidade de dados pessoais coletados e gerados tanto por aplicações e serviços digitais quanto em
meios físicos. Em poucas palavras a LGPD visa dar ao titular dos dados a autodeterminação
informativa, ou seja, voz ativa nos tratamentos de seus dados pessoais, opondo-se a eles quando
cabível ou, ao menos, conhecendo-os com transparência sempre que exigido. A lei ainda prevê a
Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável pela regulamentação e
fiscalização da aplicação da lei.
Como o próprio nome já diz, trata-se de uma lei geral que não aborda diretamente requisitos
setoriais. Entretanto, para que a análise e desenvolvimento do plano de adequação da Universidade
Federal de Sergipe (UFS) seja adequado, é fundamental destacar alguns pontos da lei que atingem
diretamente nossa Instituição.
Por sermos uma instituição pública, o principal requisito permissivo para o tratamento de dados
pessoais é o que está presente no artigo 7º da LGPD:

Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:

(...)

III - pela administração pública, para o tratamento e uso compartilhado de dados necessários
à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em
contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV
desta lei;
(...)

Ainda, é importante esclarecer que, as disposições da lei não são aplicadas ao tratamento de
dados pessoais nas seguintes situações previstas no art. 4° da LGPD:
10
 I - Realizado por pessoa natural para fins exclusivamente particulares e não econômicos;
II - Realizado para fins exclusivamente jornalísticos, artístico e acadêmico (aplicando-se a
esta última hipótese os Artigos 7º e 11 da LGPD);
III - Realizado para fins exclusivos de segurança pública, defesa nacional, segurança do
Estado ou atividades de investigação e repressão de infrações penais, ou;
IV - Provenientes de fora do território nacional e que não sejam objeto de comunicação, uso
compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência
internacional de dados com outro país que não o de proveniência, desde que o país de
proveniência proporcione grau de proteção de dados pessoais adequado ao previsto na LGPD.

Já o compartilhamento dos dados dentro da administração pública no âmbito da execução de

políticas públicas é previsto na lei e dispensa o consentimento específico (autorização específica dada
pelo titular, para tratamento dos seus dados). Contudo, o órgão que coleta deve informar claramente
que o dado será compartilhado e com quem. Do outro lado, o órgão que solicita acesso a dado colhido
por outro, isto é, solicita receber o compartilhamento, precisa justificar esse acesso com base na
execução de uma política pública específica e claramente determinada, descrevendo o motivo da
solicitação de acesso e o uso que será feito com os dados. Informações protegidas por sigilo seguem
protegidas e sujeitas a normativos e regras específicas.
Concatenando com o art. 7º da LGPD, e considerando a finalidade da Universidade Federal
de Sergipe, a administração pública, de forma geral, poderá tratar e compartilhar os dados necessários
à execução de políticas públicas previstas em lei e regulamentos ou respaldadas em contratos,
convênios ou instrumentos congêneres, independentemente do consentimento do titular dos dados,
desde que:

Sejam informadas as hipóteses em que, no exercício de suas competências, realizam o

tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão
legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas
atividades, em veículos de fácil acesso, preferencialmente em seus sites (Lei nº 13.709, de
14 de agosto de 2018).

Além disso, independente da hipótese, a LGPD expressa em seu art. 6º que o tratamento de
dados pessoais deve observar a boa-fé e os dez princípios fundamentais específicos.

São eles:

1. Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e

informados ao titular, sem possibilidade de tratamento posterior de forma incompatível
com essas finalidades;
2. Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de
acordo com o contexto do tratamento;
3. Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas
finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em
relação às finalidades do tratamento de dados;
11
 4. Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a
duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
5. Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização
dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu
tratamento;
6. Transparência: garantia, aos titulares, de informações claras, precisas e facilmente
acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento,
observados os segredos comercial e industrial;
7. Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados
pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição,
perda, alteração, comunicação ou difusão;
8. Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do
tratamento de dados pessoais;
9. Não discriminação: impossibilidade de realização do tratamento para fins
discriminatórios ilícitos ou abusivos; e
10. Responsabilização e prestação de contas: demonstração, pelo agente, da adoção de
medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de
proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Não basta, portanto, o enquadramento em uma das hipóteses legais (ou mais de uma) para
iniciar o tratamento de dados pessoais. É fundamental garantir que os princípios listados acima sejam
respeitados durante todo o processo.
Mesmo ficando clara a base de tratamento que, de forma geral, deverá ser utilizada pelos órgãos
públicos, o Plano de Adequação da UFS teve o cuidado de considerar outras Leis que afetam
diretamente as tomadas de decisões relativas a dados pessoais, promovendo harmonização entre as
leis já vigentes, como: LAI (Lei de Acesso à Informação), Lei do Habeas Data, Lei Geral do Processo
Administrativo e Marco Civil da Internet. Por isso, as leis citadas também serão consideradas para
que os servidores e demais agentes da UFS entendam como seus propósitos poderão coexistir, dando
segurança e conformidade para os processos a serem executados por eles.
Portanto, visando a adequação à lei para que a UFS esteja em conformidade, além de garantir
que os dados pessoais assegurados a ela estejam protegidos, faz-se necessário criar um plano de
adequação que seja do conhecimento de todos, como também, um direcionador para o alcance dos
objetivos propostos.

12
1.1 DEFINIÇÃO DOS PAPÉIS

Para que o Plano de Adequação seja iniciado é fundamental identificar todos os atores
envolvidos no processo, representados e expresso no art. 5º da LGPD, com a seguinte nomenclatura:

 Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
Entende-se que a UFS trabalha com os dados pessoais dos seguintes usuários:
1. Alunos
2. Servidores
3. Terceirizados
4. Parceiros
5. Comunidade
 Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as
decisões referentes ao tratamento de dados pessoais;
Tem-se como controlador a própria UFS.
Obs.: Vale ressaltar que servidores e terceirizados executam seus trabalhos, com base nas
determinações da UFS, em suas respectivas funções. Portanto, qualquer um desses responde
como controlador. Todos somos um só.
 Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento
de dados pessoais em nome do controlador;
Na UFS os operadores são aqueles que, por motivos distintos, possuem acesso aos dados dos
usuários, como fornecedores, terceiros e ou parceiros.
 Encarregado: pessoa natural, indicada pelo controlador, que atua como canal de
comunicação entre o controlador, os titulares e a autoridade nacional;
 Agentes de Tratamento: o controlador e o operador;
 Autoridade Nacional (ANPD): órgão da administração pública indireta responsável por
zelar, implementar e fiscalizar o cumprimento desta Lei.

Para o setor público, há previsão de sanções que podem ser aplicadas caso exista alguma
irregularidade perante a lei e que poderão ser aplicadas pela ANPD, como: (1) Sanções de
advertência; (2) Publicização da infração; (3) Bloqueio ou eliminação dos dados pessoais a que se
refere a infração, sem prejuízo das sanções previstas no Estatuto do Servidor Público Federal, na Lei
de Improbidade Administrativa e na Lei de Acesso à Informação.

13
1.2 OBJETIVOS DO PLANO DE ADEQUAÇÃO

Com a execução do Plano de Trabalho, pretende-se alcançar o seguinte objetivo: Adequar os

procedimentos, processos ou tecnologias da UFS, bem como capacitar as pessoas para que garantam
a privacidade de dados de todos que compõem a comunidade acadêmica.

Além disso, o Plano tem os seguintes objetivos específicos:

1. Adequar a Instituição para que esteja em conformidade com a LGPD;

2. Apresentar transparência sobre o uso dos dados;
3. Dar segurança jurídica aos titulares de dados, bem como, para a instituição;
4. Oferecer maior consistência e qualidade dos dados;
5. Tornar a UFS referência em governança de dados universitária.

Para que os objetivos sejam alcançados, foram considerados os seguintes fatores condicionantes
sobre a realidade da UFS:

1. Apoio da alta gestão;

2. Envolvimento de todas as unidades;
3. Levantamento de todos os atores envolvidos;
4. Forma e qualidade na comunicação, conscientização e treinamento;
5. Consideração sobre os processos existentes;
6. Harmonização com outras leis, especialmente a LAI, Lei do Habeas Data, Lei Geral do
Processo Administrativo e Marco Civil da Internet;
7. Estrutura complexa;
8. Cultura organizacional da UFS;
9. Segurança da informação;
10. Metodologia utilizada para a gestão de riscos e incidentes;
11. Produtos, serviços e aplicativos existentes.

Considerando os 11 fatores apresentados, o Plano de Adequação à LGPD foi construído

considerando as seguintes etapas e ações, apresentadas na Figura 01 a seguir:

14
Figura 01 - Fluxo de ações para adequação à LGPD

Fonte: Encarregada UFS (2020).

Visando proporcionar um maior entendimento sobre o Plano de Adequação da UFS, será

apresentado a seguir, o detalhamento de maneira ordenada e sistemática (utilizando o modelo da
matriz 5W2H), de todas as etapas e ações planejadas para sua execução. Vale ressaltar que o programa
de conscientização estará presente em todas as etapas do Plano e que também será detalhado
posteriormente.

15
 2 ETAPA I: PREPARAR A UFS PARA ADEQUAÇÃO À LGPD

Quadro 01 - Plano de adequação – Etapa I

Quant
O quê Por quê Quando Como Quem Onde
o
Porque é exigido por Lei em seu Art. 41 da Por meio de Portaria de
Definição DPO Imediatamente Reitor ou Responsável Direto GR -
LGPD Designação

Pessoas envolvidas diretamente

O grupo de trabalho irá contribuir com diferentes
nos processos Institucionais mais
conhecimentos e pontos de vista para a tomada
Grupo de Por meio de Portaria de afetados pela nova legislação
de decisão com a minimização, inclusive, de Imediatamente GR -
Trabalho Designação e/ou que tenham amplo
eventuais conflitos de interesse que possam
conhecimento dos principais
existir
processos Institucionais

Porque precisa ficar claro para todos que há uma

Matriz de matriz de responsabilidade baseada em três Definindo as atribuições gerais
Imediatamente Grupo de Trabalho GT -
Responsabilidade pilares: Jurídico, Governança e Gestão e para cada pilar apresentado
Tecnologia da Informação

Grupo de Trabalho com

Porque é fundamental fazer uma avaliação Entrevistando responsáveis das
Demais Pró Reitorias ou
Assessment inicial sobre o nível ou maturidade da UFS em Imediatamente unidades que são “as portas” de GT -
Unidades de Tratamento de
relação à LGPD entrada dos dados
Dados
Informar a finalidade do
tratamento dos dados para os
Porque mesmo sem sanções imediatas, vários
usuários do SIG
casos já estão sendo divulgados e processos
Analisar situação do CODAP
Demandas iniciados por inciativa de grupos ou titulares de Imediatamente GT
Verificar principais contratos UFS -
Urgentes dados. Assim será possível fazer uma macro STI
com terceiros onde há a
adequação considerando os pontos com maior
transferência dos dados dos
risco
“nossos” titulares
Alinhar plano com a PROGEP
Vídeos Informativos
Programa de Porque é fundamental que os servidores,
Imediatamente Cartilhas direcionadas GT e
Conscientização – terceiros e parceiros tenham alguma UFS -
Guia Específico para a UFS PROGEP
Ciclo 01 familiaridade com a Lei
Curso Introdutório
Fonte: Encarregada UFS
16
 2.1 DEFINIÇÃO DO DPO E GRUPO DE TRABALHO

De acordo com a LGPD, toda empresa pública deverá nomear um servidor como o
“Encarregado pelo Tratamento de Dados Pessoais” (ou DPO – Data Protection Officer), que será o
elo entre controlador, os titulares dos dados e a ANPD. De forma geral o encarregado, para
acompanhar todo o ciclo de vida dos dados que trafegam no órgão ou instituição, terá que saber como
os dados são coletados, por quais meios, como são usados, com quem são compartilhados e como são
armazenados e descartados.
Buscando sempre estar em conformidade com a lei, a UFS publicou a Portaria Nº 601 de 14 de
agosto de 2020 designando o seu encarregado de dados e suas atribuições, que são:

1. Atuar como intermediador entre a UFS, os titulares dos dados e a autoridade nacional, e
prestar esclarecimentos em caso de reclamações e comunicações com apoio das áreas
técnicas, conforme o caso;
2. Orientar os servidores e demais envolvidos em processos sobre políticas e práticas a serem
utilizadas para à proteção de dados pessoais, com apoio das áreas de comunicação e
capacitação institucional;
3. Propor, com o apoio das áreas técnicas, medidas de adequação para cumprimento da
LGPD;
4. Elaborar Relatório de Impacto à Proteção de Dados Pessoais (RIPD), inclusive de dados
sensíveis, referente a suas operações de tratamento de dados;
5. Apresentar informes periódicos ao gabinete da reitoria, sobre a proteção de dados da
Instituição;
6. Contribuir para a disseminação de uma cultura de governança de dados, proporcionando
maior conformidade e segurança para os titulares dos dados;
7. Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas
complementares.

Além disso, no dia 15 de setembro de 2020 por meio da Portaria Nº 699, foi instituído um
Grupo de Trabalho (GT) com a finalidade de articular projetos e ações a serem implantadas pela
Administração da UFS, com vistas a cumprir as disposições da Lei Geral de Proteção de Dados –
LGPD, com as seguintes atribuições:

1. Definição das diretrizes e das políticas de atuação conjunta, com objetivo de adequar a
UFS, seus processos e seus sistemas às regras contidas na LGPD;
17
 2. Definição, em consonância com as competências de cada unidade administrativa da UFS,
das responsabilidades no âmbito da LGPD;
3. Definição de ações, atividades, projetos, alterações contratuais e instrumentos jurídicos a
serem criados no âmbito da UFS;
4. Instituir um calendário de ações.

Para composição do GT, foram designados os seguintes servidores:

Quadro 02 - Composição do GT
SERVIDOR LOTAÇÃO
Thais Ettinger Oliveira Salgado (DPO) Departamento de Administração (DAD)
Gustavo Torres de Brito Daier Pró-reitoria de Graduação (PROGRAD)
Carlos Roberto de Carvalho Junior Coordenação de Programas, Convênios e Contratos COPEC)
Marcos Cabral de Vasconcellos Barretto Ouvidoria
Fábio Alves dos Santos Centro de Educação Superior a Distância (CESAD)
Marcos Vinícius Nascimento Gonzalez Pró-reitoria de Planejamento (PROPLAN)
Castaneda
Roberto Wagner Xavier de Souza Gabinete do Reitor (GR)
Fonte: Encarregada UFS (2020)

2.2 MATRIZ DE RESPONSABILIDADE

O processo de adequação à LGPD não pode ser subestimado. A adequação não será
responsabilidade apenas de uma área, mas de todos as áreas e unidades da UFS que, em algum
momento, lidam com dados.
O trabalho exige uma análise intensa de toda a UFS, a identificação de todas as formas de
coletas de dados, bem como mapeamento dos métodos e responsáveis pelo tratamento, do início até
a última etapa do tratamento.
Nesse sentido, para a primeira etapa do Plano de Adequação, a participação da alta gestão será
fundamental para que todos compreendam a importância da lei. Além disso, o trabalho do
Encarregado pela Proteção de Dados e as responsabilidades do Grupo de Trabalho também serão
decisivos para todo o processo. De forma objetiva, tem-se a seguinte matriz de responsabilidade:

18
Figura 02 - Matriz de Responsabilidade

Fonte: Encarregada UFS (2020)

De forma visual, com a Figura 02, é possível verificar que deve haver um envolvimento de
todos os atores da UFS, não pelo compartilhamento da responsabilidade, mas sim pelo compromisso
com o tratamento de dados pessoais de todos os titulares que compõem a comunidade acadêmica.

2.3 ASSESSMENT

A UFS entende que a LGPD não foi criada para coibir, de nenhuma forma, o tratamento de
dados pessoais tratados pelas empresas públicas, mas sim normatizar a forma com que são realizados
tais tratamentos.
Entretanto, considerando a complexidade setorial da UFS e o volume de informações que
circulam nela, será feita uma macro avaliação da realidade da UFS em relação ao tratamento de dados.
Por isso, entrevistas com roteiro pré-determinado serão realizadas com os gestores ou responsáveis
das Pró-Reitorias e unidades que tenham entrada de dados, como: Colégio Aplicação (CODAP); -
Centro de Educação Superior a Distância (CESAD); e Divisão de Concurso Vestibular (DCV).

19
 A intenção das entrevistas, também é, proporcionar um contato mais direto, com todos os
gestores, sobre como a LGPD irá afetar diretamente nossa instituição e o trabalho de cada um. Dessa
forma, foi elaborado o seguinte roteiro de entrevista, apresentado no Quadro 03:

Quadro 03 – Roteiro de Entrevista

1. Como vocês recebem os dados pessoais (meios de entrada)? (Ex.: por meio do próprio titular; através de outra
área da empresa etc.) Origem dos dados? Início de tudo....
2. Como é realizado o armazenamento desses dados? (Sistema, armários com chave – em caso de documentos
físicos)
3. Essas transmissões utilizam sede sistemas? (Nesse caso, quais são os sistemas que suportam o processo).
4. Os dados pessoais são compartilhados? Se sim, com quem (e há contrato ou documento?) Transferência de
Informações? Contratos?
5. Software e Hospedagens?
6. Terceirização de Serviços?
7. Há transferência internacional do dado pessoal? Sistemas em Nuvens? Há Criptografia desses dados?
8. Procedimentos para Mitigação de Riscos?
9. Relatórios de Metadados?
10. Fragilidades? Quais as principais limitações em segurança da informação?
Fonte: Encarregada UFS (2020)

Entende-se que, com tais questionamentos, será possível tanto introduzir o conhecimento
sobre a LGPD (com uma parte do programa de conscientização), quanto ter informações gerais sobre
a conformidade dos processos, respeitando a complexidade das áreas e preparação dos atores
envolvidos. Dessa forma, o planejamento das ações de assessment será feito, em um primeiro
momento, da seguinte forma:

Quadro 04 – Planejamento para Macro Avaliação

Macro Avaliação Entrevista Material Levantado
STI 02.09.2020
PROGRAD 08.09.2020
CESAD 16.09.2020
CODAP 17.09.2020
CCV 18.09.2020
PROGEP 07.10.2020
PROEXT 13.10.2020
PROEST A definir
PROPLAN A definir
PROAD A definir
POSGRAP A definir
Fonte: Encarregada UFS (2020)

20
 Vale ressaltar que, paralelo ao trabalho de adequação à LGPD, a UFS possui um grupo de
Mapeamento de Processos, instituído pela Portaria nº 555 de 29 de julho de 2020, que além de validar
as informações relativas aos processos existentes, está mapeamento novos processos ou processos
que ainda não foram mapeados. Esse trabalho ocorre em sinergia com o trabalho voltado para LGPD,
uma vez que ao finalizar o mapeamento de uma determinada área, o encarregado pela proteção de
dados iniciará o mapeamento dos dados (Data Mapping) pelo mesmo local.

2.4 DEMANDAS URGENTES

Concomitantemente às outras ações, foi feita uma análise no site da Instituição,

http://www.ufs.br/ para identificar possíveis incoerências com a LGPD. Foram identificados alguns
pontos críticos que evidenciaram a falta de conformidade com a Lei, como:

Quadro 05 – Análise Prévia do site da UFS

Fonte Ícone Dado Solicitado Dado Exposto Ponto Crítico
Cursos de graduação
SIGAA - Ensino Nome completo
Matrícula, nome, sexo, curso, Falta de apresentação
Cursos de lato-sensu de aluno e
data de nascimento de finalidade
matrícula
SIGAA - CESAD Cursos de graduação
Cadastro de supervisor
de estágio
- Falta de apresentação
SIGAA - Estágio Cadastro de CPF, Data de Nascimento, Sexo
de finalidade
responsável por
instituição
Foto, nome e e-
Ações de extensão, mail dos
-
projetos, eventos membros da
Qual a finalidade de
equipe
solicitar tantas
CPF ou passaporte, nome, e-
SIGAA - Extensão informações?
mail, data de nascimento,
Falta de apresentação
Cadastro comunidade endereço completo - Todos
- da finalidade
externa Obrigatórios. Telefone de
Contato e Instituição -
Opcionais
Nome completo
Falta de apresentação
Alunos ativos - de aluno e
de finalidade
matrícula
Vestibular - - -
CPF, nome, nome da mãe,
SIGAA - Graduação nome do pai. sexo, data de Qual a finalidade de
nascimento, estado civil, etnia. solicitar tantas
Portal de ingresso naturalidade, endereço, RG: - informações?
órgão de expedição, uf: data de Falta de apresentação
expedição, passaporte, tel. fixo. da finalidade
tel. celular, e-mail
Iniciação Nome completo Falta de apresentação
SIGAA - Pesquisa -
científica/tecnológica de aluno de finalidade
Fonte: Encarregada UFS (2020)

21
 Além dos pontos críticos apresentados, o CODAP e CESAD também foram considerados como
demandas urgentes, já que o primeiro trata dados de menores e o segundo transfere dados pessoais
para empresa terceira.
Por isso, será elaborado um Plano Emergencial para que seja colocado em prática até dezembro
de 2020, consistindo em:

1. Adequação das páginas do site, inicialmente, para informar a finalidade dos dados tratados
e posteriormente para minimizar os dados, ou seja, tratar somente o necessário para cada
finalidade;
2. Adequação do tratamento de dados do menor de idade; e
3. Análise e adequação do contrato da empresa terceira que trata os dados do CESAD.

O plano deverá ser aprovado pelo GT e planejado com a Superintendência de Tecnologia da

Informação (STI) para que o cronograma possa ser atendido, conforme especificações.

2.5 PROGRAMA DE CONSCIENTIZAÇÃO

O Programa de Conscientização da UFS para a LGPD, passará por 6 ciclos representados em

cada fase do Plano de Adequação.

Figura 03 - Ciclo do Programa de Conscientização

Fonte: Encarregada UFS (2020)

22
2.5.1 Ciclo 01: Programa de conscientização

Quadro 07 – Ciclo 01: Conectando

Objetivo – Introduzir o conhecimento sobre a LGPD na Instituição

Ação Objetivo Como Cronograma

A partir da definição Setembro

Site Apresentação das principais
padrão determinada
Governança informações http://governanca.ufs.br/pagina/22296-lei-
pelos comitês
geral-e-protecao-de-dados-lgpd

Apresentar as principais Enviar pelo SIG ou por Setembro

http://governanca.ufs.br/uploads/page_attach/
Guia de informações relacionadas à e-mail
https://www.youtube.com/watch?v=b5_qj-zP8AI
Orientações LGPD no setor público para Disponibilizar no site path/10073/CARTILHA_LGPD_.pdf
todos os servidores da UFS. de governança
Dias 25/08, 27/08 e 01/09
No curso para os
Vídeo didático Vídeo animado sobre a https://www.youtube.com/watch?v=b5_qj-
gestores, promovido zP8AIpath/10073/CARTILHA_LGPD_.pdf
01 importância do mapeamento
pelo CGPI

Por meio do canal do 02/09

Disseminar a mensagem do Youtube fixado na https://www.youtube.com/watch?v=b5_qj-
TV UFS
vídeo para toda instituição primeira página do site zP8AIpath/10073/CARTILHA_LGPD_.pdf
da UFS
Disseminação do curso,
Curso Por meio da plataforma
promovido pelo programa de
Introdutório à capacite-se – parceria 30/10
integridade, para todos os
LGPD PROGEP
servidores da UFS
Fonte: Encarregada UFS (2020)

Como o programa é contínuo e tem de ser mantido, ele precisa ser reavaliado a cada ciclo.
Assim, poder-se-á ter uma melhor noção do que deu certo, do que pode ser adaptado e repensado ou
incluído. Isso fará com que o Programa de Conscientização da UFS seja adaptável ao cenário de
necessidades que se apresentem, proporcionando ações mais realistas e resultados mais sólidos

23
 3 ETAPA II: Construção do Inventário de Dados

Quadro 08 – Plano de Adequação - Etapa II

O quê Por quê Quando Como Quem Onde Quanto
Porque é fundamental analisar se Após o assessment e
Definição da
a estratégia para mapeamento apresentação detalhada sobre o Em conversa com os gestores da
Unidade Piloto DPO PROGEP -
será efetiva ou se precisará de mapeamento para os gestores da área
ajustes ou ações adicionais. unidade escolhida.
Informando a todos os
Porque somente com esse núcleos/setores sobre como indicar
conhecimento será possível os dados pessoais que tratam, e
Assim que o GT definir, ajustar Grupo de Possíveis
Data Mapping adotar medidas apropriadas para proporcionar um mapeamento mais UFS
e aprovar o Plano Trabalho bolsas?
conformidade, além de ratificar completo pelo Grupo de Trabalho,
as bases legais levantadas para levantamento de informações
relevantes.
Porque é um documento
essencial para adequação às Armazenando e organizando todas
Inventário de Após a conclusão das ações
normas de proteção de dados e as informações mapeadas em lugar GT CGD ?
Dados anteriores
um pilar importante para a específico.
conformidade
Porque para que haja adequação - Vídeos Informativos
Programa de
à LGPD, precisa haver Assim que todas as ações do - Cartilhas direcionadas GT
Conscientização UFS -
disseminação e multiplicação do Ciclo 01 forem concluídas - Guia Específico para a UFS PROGEP
– Ciclo 02
conhecimento - Curso Introdutório
Fonte: Encarregada UFS (2020)

24
3.1 DEFINIÇÃO DA UNIDADE PILOTO: PROGEP

A Pró-Reitoria de Gestão de Pessoas (PROGEP) é o órgão responsável pelo planejamento,

desenvolvimento, recrutamento, seleção e controle de pessoal, exercendo suas funções com apoio de
subunidades organicamente articuladas.
Além de ser uma unidade que trata os dados de todos os servidores, também é uma unidade
especializada em contribuir para a mudança e adaptação do ambiente interno. Por isso, a PROGEP
foi considerada como “ponto de partida” para que o trabalho de detalhamento sobre o tratamento dos
dados seja iniciado.
Assim, em reunião agendada, a Encarregada pela Proteção de Dados juntamente com o
Superintendente da Tecnologia da Informação, irão se reunir com todos os gestores da PROGEP, para
apresentar a LGPD, bem como, o plano de adequação da UFS. O objetivo do encontro será introduzir
e captar força de trabalho para adequação.
Com o objetivo alcançado, será apresentado e explicado o instrumento para mapeamento de
dados da unidade. Sugestões serão consideradas para adaptação antes do envio do instrumento e em
média, será colocado um prazo de 2 semanas para que os gestores mapeiem os dados que envolvem
todos os processos das suas respectivas unidades.
Considerar a PROGEP como unidade piloto, é enriquecedor para o plano, já que se trata de uma
unidade especializada em gerir mudanças que afetam processos e pessoas.

3.2 DATA MAPPING

O mapeamento de dados, ou ainda, o data mapping, refere-se a um documento essencial para o

processo de adequação às normas de proteção de dados. O documento – ou planilha – de mapeamento
de dados deve refletir o caminho percorrido pelo dado pessoal dentro da empresa, incluindo os
processos e procedimentos pelos quais o dado transita. Ou seja, qual a origem, a base legal que
respalda o tratamento deste dado pessoal, o nível de segurança da base de dados a qual o dado
pertence, entre outras informações necessárias para a análise de vulnerabilidades técnicas e jurídicas.
Nesse sentido, e sabendo da importância do data mapping para todo o processo, será
desenvolvida uma planilha para o mapeamento, com definições precisas dos processos existentes de
cada unidade a ser mapeada, ou seja, a planilha se adaptará a cada unidade para evitar que algum
processo seja esquecido.
A planilha personalizada será apresentada a cada unidade durante reuniões de conscientização
com os gestores da UFS, assim além de disponibilizar e explicar como o instrumento deverá ser

25
preenchido, as reuniões também servirão como pequenos eventos para conscientização direcionada
por área.

3.3 INVENTÁRIO DE DADOS

Após o data mapping, será possível identificar quais dados são essenciais à atividade e onde
eles estão. Nessa perspectiva, a Encarregada pela Proteção de Dados na UFS (de acordo com o artigo
5º, VII da LGPD), deverá tratar todas essas informações como a lei determina e produzir relatórios
para as pessoas e órgão regulador, caso sejam solicitados.
A obrigação de registro das atividades de tratamento de dados é a base de qualquer programa
de governança de dados. Por isso, com o inventário, o fluxo da informação contemplando todo o ciclo
de vida dos dados, coleta, tratamento, armazenamento e descarte, esboçará o que precisa ser
modificado e o que pode ser mantido para estar em conformidade com a legislação de proteção de
dados.
O inventário também servirá para a análise de riscos inerentes a cada tratamento dos dados
pessoais, que serão aplicados juntamente com o responsável pela gestão de riscos e controles da UFS.

3.4 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 02

Conforme apresentado anteriormente, o Programa de Conscientização será contínuo e terá

ações específicas para cada etapa do processo. Assim, na etapa 02, o programa concentrará seus
esforços para aprofundar o conhecimento sobre a LGPD na UFS, por meio das seguintes ações
planejadas e apresentadas no Quadro 09:

26
 Quadro 9 – Ciclo 02 – Aprofundando
Objetivo: Aprofundar o conhecimento sobre a LGPD na instituição

Ação Objetivo Como Cronograma

Nos cursos de capacitação, para os
servidores, ofertados pela PROGEP.
Apresentar as ações que já Enviando o vídeo para gestores
Vídeo
foram desenvolvidas pela apresentarem em suas reuniões com a Outubro
Informativo
UFS. equipe.

Canal do Youtube da TV UFS

Curso Disseminação do Curso,
Intermediário promovido pelo Programa Por meio da Plataforma Capacite-se –
Novembro
sobre à de Integridade, para todos os Parceria PROGEP
LGPD servidores da UFS
Reunir os Principais
Bate Papo
Gestores da UFS para Por meio de Vídeo Conferência a
com os Pró- Novembro
apresentar os impactos da lei partir de convite feito pela Reitoria
Reitores
em nossa instituição
Fonte: Encarregada UFS (2020)

Nesse ciclo, já com o objetivo de aprofundar o conhecimento sobre a lei, o Plano fará uma
abordagem para aprofundar o conhecimento em massa e apresentar os principais impactos da lei para
a alta gestão da UFS. Assim, será possível ter maior apoio para a próxima etapa.

27
 4 ETAPA III: CONSTRUÇÃO DO INVENTÁRIO DE DADOS

Quadro 10 – Plano de adequação - Etapa III

O quê Por quê Quando Como Quem Onde Quanto
Porque permitirá ampliar a
visibilidade de possíveis riscos Na medida que o
Utilizando a metodologia de risco
Matriz de Risco para a conformidade dos dados mapeamento dos dados GT e CGRC UFS -
adotada pelo CGRC
na LGPD for sendo entregue

Porque ranquear os riscos de

Analisando os riscos que apresentam
privacidade dos dados poderá
Ranking das Principais Logo após a conclusão maior probabilidade juntamente com
direcionar outras ações mais GT e CGRC UFS -
Áreas de Risco da matriz de risco o impacto que causa para a
específicas para mitigar o risco.
conformidade

Porque além de ser um Com base na seção 2.5 do Guia de

documento obrigatório também Boas Práticas da LGPD desenvolvido
Relatório de Impacto à
é importante para identificar os Após a conclusão da pelo Comitê Central de Governança
Proteção dos Dados GT UFS -
pontos de não conformidade matriz de risco de Dados do Governo Federal, onde
(RIPD)
para posterior adaptação. constam orientações para elaboração
do RIPD

Porque para que haja adequação Assim que todas as Campanha: “A UFS e a LGPD”
Programa de GT e
à LGPD, os servidores precisão ações do Ciclo 02 forem Maior divulgação dos Cursos do UFS -
Conscientização: Ciclo 03 PROGEP
ser informados e capacitados. concluídas Capacite-se
Fonte: Encarregada UFS (2020)

28
 4.1 MATRIZ DE RISCO

Para que os riscos à conformidade sejam levantados, pode-se, inicialmente, analisar a LGPD
quanto aos seus propósitos:

 Proteger os dados pessoais e privacidade das pessoas;

 Impedir abusos, solicitando dados desnecessários visando benefícios de mercado ou,
no pior caso, ações discriminatórias.

No entanto, as etapas 01 e 02 deste Plano serão fundamentais e necessárias para identificação

e gestão dos riscos quanto a privacidade dos dados pessoais, pois darão condições para entender onde
estão as maiores criticidades. Nesse contexto, destaca-se o fragmento abaixo do § 2º do Art. 50 da
LGPD:
[...] o controlador, observados a estrutura, a escala e o volume de suas operações, bem como
a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares
dos dados, poderão: I - Implementar programa de governança em privacidade [...] (Lei nº
13.709, de 14 de agosto de 2018, art. 50).

Além disso, o item VII, do art. 6º da LGPD expõe indiretamente os riscos que devemos analisar
e avaliar – “proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas
de destruição, perda, alteração, comunicação ou difusão”. Bem como o art. 44 da LGPD apresenta
que “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando
não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes,
entre as quais”:

I. o modo pelo qual é realizado;

II. o resultado e os riscos que razoavelmente dele se esperam;
III. as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado.

Assim, após as etapas anteriores, as áreas mapeadas serão analisadas conforme sua relevância
e forma de tratamento dos dados, considerando as seguintes premissas para gestão de riscos na UFS,
apresentadas no Quadro 11 a seguir:

29
Quadro 11 – Matriz de risco

Nível de Tipo de
Descrição do nível de risco Ação de controle
risco resposta
Indica que nenhuma opção de
Risco resposta foi identificada para Evitar ou Promover ações que evitem/eliminem as causas
crítico reduzir a probabilidade e o eliminar e/ou efeitos
impacto a nível aceitável
Indica que o risco residual será
Risco Adotar medidas para reduzir a probabilidade ou
reduzido a um nível compatível Reduzir
alto impacto dos riscos, ou ambos
com a tolerância a riscos
Indica que o risco residual será Reduzir a probabilidade ou impacto pela
Risco Compartilhar
reduzido a um nível compatível transferência ou compartilhamento de uma parte
moderado ou transferir
com a tolerância a riscos do risco (terceirização da atividade).

Risco Indica que o risco inerente já está Conviver com o evento de risco mantendo
Aceitar
pequeno dentro da tolerância a risco práticas e procedimentos existentes
Fonte: Encarregada UFS (2020)

A matriz de risco apresentada, faz parte da metodologia de gestão de riscos da UFS e sua
utilização para gerenciamento de riscos da privacidade de dados, auxiliará todos os envolvidos a
fazerem sua gestão de forma mais clara e menos arriscada.

4.5 RANKING DAS PRINCIPAIS ÁREAS DE RISCO

Dando continuidade ao item anterior, a ideia de ranquear as áreas com maior probabilidade de
risco e impacto, é justamente por considerar tais áreas como prioritárias para mitigação dos riscos, ou
seja, para promoção de mudanças ou ajustes que beneficiem a conformidade.
Vale ressaltar que um dos maiores focos para o desenvolvimento deste Plano, como já dito
anteriormente, é o compromisso com a privacidade dos dados pessoais. Nesse sentido, as ações para
adequação seguirão a ordem do ranking identificado nessa etapa do Plano.

4.6 PLANO DE MITIGAÇÃO DE RISCOS

O plano de mitigação de riscos da UFS terá como objetivo diminuir o impacto e probabilidade
de ameaças as ações que serão executadas. O plano deverá integrar a estratégia da instituição, e
alinhado à política adotada pela empresa no que diz respeito à prevenção de riscos e controles.
É vital que haja um trabalho complementar com o Comitê de Gestão de Riscos e Controles da
UFS (CGRC) – assim, os riscos associados ao cumprimento da LGPD se tornarão mais conhecidos

30
perante as áreas e servidores poderão se preparar melhor para tratarem dados pessoais. Isso servirá
de base para a elaboração do relatório de impactos à proteção de dados.

4.7 RIPD

O Relatório de Impacto da Proteção dos Dados (RIPD) é o documento do controlador que

contém a descrição dos processos de tratamento de dados pessoais, podendo identificar riscos às
liberdades civis e aos direitos fundamentais, bem como, apresentar medidas, salvaguardas e
mecanismos de mitigação do risco identificado.
Trata-se de um documento obrigatório, conforme art. 38 da LGPD, afirmando que “a
Autoridade Nacional poderá determinar ao controlador que elabore relatório de impacto à proteção
de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados,
nos termos de regulamento, observados os segredos comercial e industrial”.
Dessa forma, o RIPD será elaborado com base na seção 2.5 do Guia de Boas Práticas da LGPD
desenvolvido pelo Comitê Central de Governança de Dados do Governo Federal, onde constam
orientações para sua elaboração e que deve conter os seguintes elementos:

 Descrição dos tipos de dados coletados;

 Metodologia empregada na coleta dos dados;
 Metodologia utilizada para a garantia da segurança das informações;
 Análise do controlador no tocante aos mecanismos de mitigação de riscos.

Assim, considerando as mudanças que ocorrerão dentro do cronograma estabelecido, o RIPD

será elaborado em dois momentos diferentes: (1) na conclusão dessa etapa; e (2) após as adequações
nos processos de trabalho, promovidas pelo GT.

4.8 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 03

Dando continuidade ao Programa de Conscientização o Ciclo será marcado por ações

específicas, por área, com técnicos e professores do quadro funcional da UFS. Assim, na etapa 03, o
programa concentrará seus esforços para chegar a base da Instituição, já que, a base será a grande
“vitrine” da transparência no tratamento dos dados da UFS.
Sendo assim, o ciclo em questão irá promover o aprofundamento do conhecimento sobre a
LGPD, por meio das seguintes ações planejadas e apresentadas da Tabela 03:

31
Quadro 12 – Ciclo 03 - Realizando
Objetivo: Alcançar a base da UFS - técnicos e professores
Ação Objetivo Como
Desmitificar a LGPD para que seja de fácil acesso Folders direcionados
Campanhas Setoriais
e entendimento para todos Palestras setoriais
Palestra sobre riscos para privacidade dos dados Transmitido pelo Youtube
Evento
no setor público da TV UFS
Campanha Segurança da Campanha com alertas e exemplos sobre como o Folders e e-mails em
Informação titular dos dados deve proteger suas informações parceria com a STI
Fonte: Encarregada UFS (2020)

Nesse Ciclo, todos os públicos da UFS serão impactados e a consciência sobre a LGPD estará
presente em toda a Instituição.

32
 5 ETAPA IV: CONSTRUIR UMA POLÍTICA DE GOVERNANÇA DE DADOS

Quadro 13 – Plano de adequação - Etapa IV

O quê Por quê Quando Como Quem Onde Quanto

Porque para construir uma estrutura

de governança, é necessário
Condições internas
considerar as questões internas Após o encerramento A partir de reuniões gerais -
e requisitos GT e CGD UFS
levantadas nas etapas anteriores e da fase 3. com o CGD e o GT
externos
ajustar as diretrizes nacionais e locais
para a conformidade.

Porque ter uma plataforma de gestão

Após reuniões de
irá contribuir para adequação e
Plataforma de brainstorm com o Em levantamento
manutenção conformidade, além de Processo de licitação GT e CGD UFS
conformidade UFS CGD e GT para
contribuir para uma gestão dos dados
escolha da plataforma
mais eficiente.

Porque a política irá direcionar o

Política de Construindo uma política
comportamento de todos os atores Após verificações das -
governança e adequada para parecer de GT e CGD UFS
envolvidos no processo de tratamento ações desta etapa.
proteção de dados um relator e aprovada CIG
de dados.

Levantar possíveis
Programa de
Capacitar os servidores para Logo no início da GT e custos de
conscientização: Curso online ou presencial
governança de dados etapa 04 PROGEP capacitação
Ciclo 04

Fonte: Encarregada UFS (2020)

33
5.1 CONDIÇÕES INTERNAS E REQUISITOS EXTERNOS

A etapa 04 do Plano de Adequação terá como meta desenvolver a Política de Governança de

Dados da UFS.
Gestão ou governança de dados é a gestão de políticas, processos, pessoas e tecnologias, de
forma a estruturar os ativos de informação dentro da instituição. Essas informações devem incluir
manuais de conduta e códigos de conduta, estando disponíveis para ser compartilhadas para uso
dentro da instituição.
Dessa forma, aqui serão analisados todos os documentos internos que possam influenciar a
construção da política, bem como, normas, regulamentos externos e modelos de outras empresas
públicas que já tenham uma política de governança mais madura.
Para isso, será utilizada a matriz SWOT que possibilitará uma análise mais precisa desses
ambientes:

Figura 04 – Matriz SWOT

Fonte: Encarregada UFS (2020)

5.2 PLATAFORMA PARA CONFORMIDADE – UFS

Após a análise dos ambientes, serão discutidos todos os pontos para criar uma gestão ou
governança de dados que estejam em total conformidade com a LGPD e outras leis que tratem
diretamente a gestão pública.

34
 A conformidade é essencial para gerenciamento da LGPD, nesse sentido, utilizar uma
plataforma de gestão integrada de segurança da informação e conformidade poderá otimizar a
identificação dos impactos positivos e negativos que afetam a governança na UFS. Por isso, serão
considerados os seguintes aspectos:

 Um programa sólido de governança de dados deverá envolver uma equipe ou conselho

responsável que atue cooperativamente na manutenção dessa gestão;
 O planejamento deve, inicialmente, incluir nome dos responsáveis pelo fornecimento de dados
e a determinação da atual situação da estrutura de informações da UFS – Informações que
serão levantadas durante a etapa do Data Mapping;
 Inserção do mapeamento de riscos que envolvem os dados da UFS;
 Monitoramento do sistema para manutenção da conformidade.

5.3 POLÍTICA DE GOVERNANÇA E PROTEÇÃO DE DADOS

Finalmente, neste ponto, a UFS desenvolverá sua Política de Governança e Proteção de Dados
na qual estarão compiladas as principais informações sobre a forma de tratamento de dados pessoais
na Instituição, que será publicada e atualizada periodicamente. A Política irá estabelecer as regras
internas que definem os padrões para o tratamento de dados pessoais no contexto das suas atividades,
assim conseguindo manter efetiva governança sobre os seus processos internos e atender aos
requisitos legais aplicáveis.
A publicação e o cumprimento desta política será mais uma medida tomada pela UFS para
cumprimento do art. 50 da LGPD onde diz: “[...] regras de boas práticas e de governança que
estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo
reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações
específicas [...]” (Lei nº 13.709, de 14 de agosto de 2018, art. 50º).

Para estabelecimento da Política de Governança e Proteção de Dados da UFS, serão

considerados:

 O tratamento dos dados;

 A natureza;
 O escopo;
 A finalidade; e

35
  A probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de
dados do titular.

Dessa forma, a Política de Governança da UFS irá demonstrar o comprometimento da

instituição em cumprir normas e boas práticas relativas à proteção de dados pessoais, a fim de
estabelecer uma relação de confiança com o titular, por meio de atuação transparente e integrada à
estrutura geral de governança da instituição.

5.4 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 04

Quadro 14 – Ciclo 04 – Compromisso

Objetivo – Divulgar a política de governança e proteção de dados
Ação Objetivo Como
Palestras e Orientações sobre Capacitar e orientar gestores e demais servidores Programando a semana das
Governança de Dados para atuarem na UFS com mais conhecimento boas práticas em
sobre a Governança de Dados Governança de Dados no
Serviço Público
Campanha Institucional Criar familiaridade com o tema e fazer com que a Série planejada de
“Juntos pela Privacidade dos Governança de Dados faça parte do dia a dia do mensagens informativas,
Dados Pessoais e servidor. objetivas e impactantes.
Transparência na UFS”
Fonte: Encarregada UFS (2020)

Nesse ciclo, as diversas ações executadas terão a finalidade de disseminar as diretrizes da

política de governança e proteção de dados, iniciando o processo de aculturamento de todos os
servidores e demais envolvidos com o tratamento de dados pessoais na UFS.

36
 6 ETAPA V: ADEQUAR A UFS À LGPD

Quadro 15 – Plano de Adequação - Etapa 05

O quê Por quê Quando Como Quem Onde Quanto

Estabelecendo um
Porque os processos que forem cronograma de áreas que Levantar possíveis
considerados inadequados, Assim que a política precisarão receber o DPO e GT, Pró- investimentos para
Readequação de
precisarão ser ajustados para de Governança for Grupo Multidisciplinar para reitorias e UFS adequações, como
processos
adequação à lei e reduzir o risco aprovada. trabalharem juntos em prol da suas unidades aquisição de sistemas e
das sanções previstas na LGPD conformidade e mitigação dos outras ferramentas.
riscos.
Adequar todos os contratos da
Assim que a política Consultando a área jurídica e Levantar possíveis
Conformidade nos UFS que contenham dados
de Governança for propondo as mudanças GT UFS custos relacionados às
contratos pessoais de qualquer um dos
aprovada. adequadas. cláusulas contratuais.
atores que envolvem a Instituição
Para trazer uma abordagem de
GT e Comitês Levantar possíveis
Cultura de privacy que um sistema deve ser pensado Durante a Campanha Utilizando os 7 pilares do
de UFS custos relacionados à
by design para proteger os dados dos Setorial. privacy by design.
Governança campanha
usuários
Porque é fundamental que cada Desenvolvendo campanhas
Programa de Assim que a política Levantar possíveis
setor ou área perceba a setoriais a partir do GT e
conscientização – de Governança for UFS custos relacionados à
importância da adequação para o levantamento de informações PROGEP
Ciclo 05 aprovada. campanha
seu trabalho das fases anteriores
Fonte: Encarregada UFS (2020)

37
6.1 READEQUAÇÃO DE PROCESSOS

Após todas as etapas anteriores e com a Política de Governança de Dados instituída, será feita
uma nova passagem por todas as unidades da UFS, a fim de dar suporte a todos os servidores e
terceiros para a readequação dos processos de trabalho.
Será desenvolvido um calendário com carga horária flexível, a depender da necessidade de cada
área, onde o Encarregado e GT, estarão à disposição dos profissionais. Essa disponibilidade diz
respeito a suporte para dúvidas e eventuais ajustes que ainda possam surgir para a realização de um
trabalho.

6.2 CONFORMIDADE NOS CONTRATOS

Nesse momento, todos os contratos existentes na UFS serão revistos, para emissão de relatório
com adequações de cláusulas contratuais. Os relatórios também servirão para elaboração dos
requisitos legais obrigatórios que deverão conter em todos os contratos firmados pela instituição,
visando sempre a proteção e privacidade de dados pessoais.

6.3 CULTURA DE PRIVACY BY DESIGN

A privacidade dos dados pessoais está sendo pensada como parte indissociável para qualquer
parte das etapas do Plano de Adequação da UFS. Mas acima de tudo, Privacy by Design – privacidade
desde a concepção, é uma mudança de mentalidade, pois impacta a forma de pensar que inclui um
jeito mais transparente de trabalhar.
Sendo assim, a privacidade será considerada em todos as etapas de todos os processos da UFS,
o que envolve assim diversas áreas e todos os atores envolvidos e engajados na privacidade dos dados.
É nesse momento que a nossa instituição terá maior consolidação da conformidade com a proteção
de dados, ou seja, quando tivermos uma cultura de conformidade e privacidade dos dados.
O privacy by design é composto por 7 princípios fundamentais específicos, que tem como
objetivo antecipar as situações que podem ferir a privacidade das pessoas e evitar que elas aconteçam.
São eles:
1. Proativo, e não reativo; preventivo, e não corretivo;
2. Privacidade como padrão (privacy by default);
3. Privacidade incorporada ao design;
4. Funcionalidade total;

38
 5. Segurança de ponta a ponta e proteção durante todo o ciclo de vida dos dados;
6. Visibilidade e transparência;
7. Respeito pela privacidade do usuário.

Considerando os 7 princípios apresentados, e firmando o compromisso de que o Plano de

Adequação da UFS foi desenvolvido sob tais premissas, os benefícios almejados com a implantação,
são:

1. Identificação inicial de problemas;

2. Evitar gastos;
3. Promoção de cultura ética;
4. Mitigação de riscos.

Dessa forma, todo o trabalho que envolverá a LGPD na UFS e todas as ações voltadas para
proteção e privacidade dos dados, serão desenvolvidos sob três pilares:

Figura 5 – Pilares para adequação

Fonte: Encarregada UFS (2020)

Assim, ponderando a realidade da UFS, consideramos essa concepção estrutural para obtermos
uma cultura de privacy by design.

39
6.4 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 05

Quadro 16 – Ciclo 05 – Mindset

Objetivo: Promover a mudança do mindset com relação a proteção e privacidade dos dados
Ação Objetivo Como
Campanha Setorial - “Juntos Fazendo treinamento e
Orientar os servidores de forma setorial, para
pela Privacidade dos Dados acompanhamento setorial,
orientar o trabalho em relação as mudanças dos
Pessoais e Transparência na mediante calendário pré-
processos.
UFS” estabelecido
Fonte: Encarregada UFS (2020)

Com a possível adequação de alguns processos, será iniciada uma campanha setorial para
atender as necessidades e eventuais dificuldades de cada setor. Pretende-se, dessa forma, alcançar o
nível de conhecimento e práticas necessárias para que a UFS esteja em conformidade com a lei.

40
 7 ETAPA VI: CONFORMIDADE CONTÍNUA

Quadro 17 – Plano de Adequação – Etapa VI

O quê Por quê Quando Como Quem Onde Quanto

Com base na seção 2.5 do Guia

de Boas Práticas da LGPD
Relatório de Na medida que as desenvolvido pelo Comitê
Para comparar a evolução em
Impacto à Proteção adequações setoriais Central de Governança de GT UFS -
relação ao relatório anterior
dos Dados (RIPD) forem finalizando. Dados do Governo Federal,
onde constam orientações para
elaboração do RIPD
Porque o processo é contínuo e
precisa haver comunicação
Ajustes e Posterior ao RIPD
permanente com todas as áreas da Criando e mantendo um canal
adequações ajustando o novo ciclo GT UFS -
UFS além de programar um novo direto com as áreas
contínuas com o GT
ciclo que deve ser iniciado com
novas ações.

Programa de Porque precisa ser incorporado ao Propondo inserção de cursos e Levantar possíveis
Logo após a finalização GT e
conscientização – programa permanente de palestras periódicas no plano de UFS custos de
do Ciclo 5 PROGEP
Ciclo 06 capacitação da UFS capacitação da PROGEP capacitação
Fonte: Encarregada UFS (2020)

41
 7.1 RELATÓRIO DE IMPACTO À PROTEÇÃO DOS DADOS (RIPD)

Como informado anteriormente, o Relatório de Impacto da Proteção dos Dados é o documento

do controlador que contém a descrição dos processos de tratamento de dados pessoais e que pode
ser requisitado pela ANPD a qualquer momento.
Nesse sentido, o GT da UFS optou por desenvolver o RIPD em dois momentos do plano, sendo
que nesse segundo momento o RIPD será o comparativo com o que foi desenvolvido anteriormente.

7.2 AJUSTES E ADEQUAÇÕES CONTÍNUAS

Como qualquer outro trabalho desenvolvido na Universidade, é fundamental que haja

acompanhamento contínuo e sempre que necessário, que sejam feitas novas adaptações. A
manutenção do GT e o canal direto com o Encarregado serão essenciais para manter a conformidade
com Lei.

7.3 PROGRAMA DE CONSCIENTIZAÇÃO: CICLO 06

Quadro 18 – Ciclo 06 - Cultura

Objetivo: Mudança cultural

Ação Objetivo Como

Instituir um calendário para que haja atualização e
Inserção de cursos e palestras Apresentando as ofertas e
cada vez mais aculturamento ao que diz respeito a
no programa de capacitação demandas relacionadas ao
Governança, Privacidade de Dados e Segurança da
dos servidores da Instituição tema para
Informação

Programar campanhas periódicas mensais que Juntamente com os demais

Campanhas periódicas
envolvam a temática Privacidade de Dados comitês de Governança

Fonte: Encarregada UFS (2020)

42
8 CRONOGRAMA

Para a realização das ações apresentadas, será considerado o seguinte cronograma:

Quadro 19 – Cronograma de adequação

Prazos
Ações 2020 2021
Jul Ago Set Out Nov Dez Jan Fev Mar Abr Mai Jun Jul Ago
Programa de
Conscientização
Definição DPO
Grupo de Trabalho
Matriz de
Responsabilidade
Bases Legais
Assessment
Programa de
Conscientização
Demandas
URGENTES
Definição da Unidade
Piloto - PROGEP
Data Mapping
Inventário de Dados
Matriz de Risco
Ranking das
Principais Áreas de
Risco
RIPD
Condições Internas e
Requisitos Externos
Conformidade
Política de
Governança e
Proteção de Dados
Readequação de
Processos
Conformidade nos
Contratos
Campanha Setorial
Cultura de Privacy By
Design
RIPD
Ajustes e Adequações
Contínuas

43
REFERÊNCIAS

BRASIL. Lei nº 12.527, de 18 de novembro de 2011. Regula o acesso a informações previsto no

inciso XXXIII do art. 5º, no inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição
Federal; altera a Lei nº 8.112, de 11 de dezembro de 1990; revoga a Lei nº 11.111, de 5 de maio de
2005, e dispositivos da Lei nº 8.159, de 8 de janeiro de 1991; e dá outras providências. Disponível
em: http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12527.htm. Acesso em: 18 set.
2020.

BRASIL. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres
para o uso da Internet no Brasil. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2011-
2014/2014/lei/l12965.htm. Acesso em: 18 set. 2020.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais
(LGPD). Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-
2018/2018/lei/L13709.htm. Acesso em: 18 set. 2020.

BRASIL. Lei nº 9.507, de 12 de novembro de 1997. Regula o direito de acesso a informações e

disciplina o rito processual do habeas data. Disponível em:
http://www.planalto.gov.br/CCIVIL_03/LEIS/L9507.htm. Acesso em: 18 set. 2020.

BRASIL. Lei nº 9.784, de 29 de janeiro de 1999. Regula o processo administrativo no âmbito da

Administração Pública Federal. Disponível em:
http://www.planalto.gov.br/ccivil_03/leis/l9784.htm. Acesso em: 18 set. 2020.

UNIVERSIDADE FEDERAL DE SERGIPE. Portaria nº 601 de 14 de agosto de 2020. Designa

encarregado de dados DPO. Disponível em:
http://governanca.ufs.br/uploads/page_attach/path/10148/Portaria_DPO.pdf. Acesso em: 28 set.
2020.

UNIVERSIDADE FEDERAL DE SERGIPE. Portaria de Nomeação. In: Governança: governança.

[S. l.], 30 set. 2020. Disponível em: http://governanca.ufs.br/pagina/22307-integrantes. Acesso em:
30 set. 2020.

44