A REITORA DA UNIVERSIDADE FEDERAL DA INTEGRAÇÃO LATINO-AMERICANA, no uso das suas atribuições legais e o que consta no processo nº 23422.003955/2021-96, RESOLVE:

 

Art 1º Instituir e regulamentar o Plano de Adequação da Unila à Lei Geral de Proteção de Dados Pessoais (LGPD), disposto nesta Portaria.

 

Art 2º Essa Portaria entra em vigor na data de sua publicação no Boletim de Serviço.

 

PLANO DE ADEQUAÇÃO DA UNIVERSIDADE FEDERAL DA INTEGRAÇÃO LATINO-AMERICANA (UNILA) À LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD).

 

1. APRESENTAÇÃO

A Lei n. 13.709/2018, Lei Geral de Proteção de Dados (LGPD) entrou em vigor em 18 de setembro de 2020, com objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, regulamentando o tratamento de dados pessoais, inclusive nos meios digitais, por pessoas naturais ou jurídicas de direito público ou privado.

A LGPD é de interesse nacional e deve ser observada por todos os entes públicos, sejam pertencentes à União, aos Estados, ao Distrito Federal e aos Municípios. A Universidade Federal da Integração Latino-Americana (UNILA), constituída como autarquia federal, mantida pela União e dotada de autonomia didático-científica, administrativa, disciplinar e de gestão financeira e patrimonial, está sujeita às disposições previstas pela referida Lei.

 

2. INTRODUÇÃO

Este Plano de Adequação à Lei Geral de Proteção de Dados Pessoais (LGPD), Lei n. 13.709/2018, visa alinhar a UNILA aos requisitos legais e às melhores práticas de governança e privacidade de dados e estabelece diretrizes para posterior implementação da Política de Proteção de Dados. Como uma instituição federal de ensino superior, a UNILA lida com um vasto volume de dados pessoais de sua comunidade – incluindo servidores docentes e técnico-administrativos, discentes, terceirizados e parceiros – tornando a proteção e o tratamento transparente desses dados uma prioridade institucional.

A LGPD busca equilibrar o desenvolvimento econômico e tecnológico com a inviolabilidade de direitos constitucionais como a liberdade, a privacidade e a autodeterminação informativa. O presente plano reflete o compromisso da UNILA de promover a transparência, assegurar esses direitos e estimular a cultura de proteção de dados, garantindo que suas operações de tratamento de dados estejam em plena conformidade com a legislação vigente.

O objetivo principal do plano é realizar a adequação da UNILA à LGPD em seus processos, sistemas e serviços, promovendo a proteção e a privacidade dos dados salvaguardados pela instituição, e contribuindo para o desenvolvimento de soluções de adequação à LGPD no contexto do ensino superior público.

 

2.1 JUSTIFICATIVA

O plano de adequação da UNILA à LGPD garante a necessária segurança jurídica, minimizando os riscos de eventual exposição ou vazamento dos dados por ela tratados e aumenta a transparência ao assegurar os direitos dos titulares. 

 

2.2 OBJETIVOS

O Plano de Adequação possui os seguintes objetivos:

 I. Adequar a UNILA para que esteja em conformidade com a LGPD;

II. Oferecer transparência sobre o uso e tratamento dos dados pessoais de sua comunidade;

III. Garantir segurança jurídica aos titulares de dados e à própria instituição;

IV. Promover a consistência e qualidade dos dados pessoais e sensíveis tratados pela Instituição;

V. Propor a Política de Proteção de Dados;

VI. Realizar o inventário dos dados pessoais e sensíveis tratados pela Instituição;

VII. Implementar um plano de capacitação abrangente sobre privacidade e a necessidade de proteção de dados para toda a comunidade (técnicos administrativos, discentes e docentes);

VIII. Promover ações de segurança da informação para os dados pessoais tratados pela UNILA;

IX. Adotar controles de segurança adequados ao tratamento de dados, incluindo a minimização e a privacidade desde a concepção (privacy by design);

X. Subsidiar a produção de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD);

XI. Estabelecer processos claros para comunicação e tratamento de incidentes de segurança ou de possíveis vazamento de dados; e

XII. Disseminar e promover o conhecimento acerca da LGPD nas unidades administrativas da UNILA.

 

3. A IMPLEMENTAÇÃO DA LGPD NA UNILA

 

3.1 GOVERNANÇA

Em seu art. 50, a LGPD estabelece a necessidade de a instituição criar regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, além de ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais. Como um dos objetivos do plano de adequação é a criação da Política de Proteção de Dados, ela deverá ser capaz de abarcar todos os aspectos indicados no referido artigo. 

 

3.1.1 Definição de Papéis na UNILA

A compreensão clara dos papéis e as respectivas atribuições são essenciais para o processo de conformidade no correto tratamento dos dados pessoais.

I. Titular: qualquer pessoa natural a quem se referem os dados pessoais objeto de tratamento. Na UNILA, incluem-se discentes, servidores(as) (docentes e técnico-administrativos), parceiros(as) e terceirizados(as).

II. Controlador: A UNILA, como pessoa jurídica de direito público, a quem compete as decisões referentes ao tratamento dos dados pessoais.

III. Operador: Pessoa natural ou jurídica (de direito público ou privado) que realiza o tratamento de dados pessoais em nome do Controlador.

IV. Encarregado (Data Protection Officer - DPO): Pessoa indicada pela UNILA para atuar como canal de comunicação entre o Controlador (UNILA), os Titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

V. Autoridade Nacional de Proteção de Dados (ANPD): Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional. A ANPD pode aplicar sanções administrativas em caso de infração à LGPD.

VI. Gestor de Segurança da Informação: é responsável por coordenar institucionalmente a proteção de dados pessoais, elaborando normas e diretrizes em conformidade com a LGPD.

VII. Coordenadoria de Tecnologia da Informação e Comunicação – CTIC: viabiliza tecnicamente o tratamento de dados pessoais, implementando e mantendo sistemas, controles de acesso e requisitos da LGPD.

3.1.1.1 Cabe aos operadores preencher e manter atualizado o Inventário de Dados Pessoais (IDP) e aplicar as diretrizes de proteção de dados no cotidiano. 

3.1.1.2 As informações referentes ao Encarregado devem ser divulgadas publicamente.

 

3.1.2 Princípios Fundamentais da LGPD para o Tratamento de Dados

Todas as atividades de tratamento de dados pessoais na UNILA deverão observar o princípio da boa-fé e os seguintes demais princípios:

I. Finalidade: Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.

II. Adequação: Compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento.

III. Necessidade: Limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos.

IV. Livre Acesso: Garantia aos(às) titulares de consulta facilitada e gratuita sobre a forma e duração do tratamento, bem como sobre a integralidade de seus dados pessoais.

V. Qualidade dos Dados: Garantia aos titulares de exatidão, clareza, relevância e atualização dos dados.

VI. Transparência: Garantia aos(às) titulares de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento.

VII. Segurança: Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

VIII. Prevenção: Adoção de medidas para prevenir a ocorrência de eventuais danos em virtude do tratamento de dados pessoais.

IX. Não Discriminação: Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos. e

 X. Responsabilização e Prestação de Contas: Demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais.

 

3.1.3 Documentos estruturantes da privacidade e da segurança da informação

A implementação da LGPD traz às Instituições a necessidade de criação de uma série de documentos cruciais para demonstrar a conformidade (o princípio da responsabilização e prestação de contas) da Instituição com os preceitos legais, dentre os documentos, temos: 

I. A Política de Proteção de Dados, contendo orientações referentes à privacidade de dados pessoais. Trata-se de documento público, acessível aos titulares dos dados, que informa de forma clara e transparente como os dados pessoais são coletados, usados, armazenados e protegidos pela organização.

II. Política de Segurança da Informação (POSIN): Documento interno que estabelece as diretrizes e medidas técnicas e administrativas adotadas pela organização para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas, incluindo o Plano de Resposta a Incidentes de Segurança que estabelece os procedimentos a serem seguidos em caso de violação de dados pessoais, incluindo a notificação à ANPD e aos titulares, se e quando necessário.

III. Registro das Operações de Tratamento de Dados Pessoais (RoPA): Um mapeamento detalhado (frequentemente em formato de planilha) realizado pelo controlador e operador, que descreve as atividades de tratamento de dados, suas finalidades, bases legais, categorias de dados e medidas de segurança, essencial para o controle e a conformidade.

IV. Relatório de Impacto à Proteção de Dados Pessoais (RIPD): Documento referente aos tratamentos de dados que possam gerar alto risco para os titulares. Ele contém a descrição dos processos, a avaliação dos riscos e as medidas de mitigação adotadas.

V. Termos de Consentimento: Documentos ou registros que comprovam a manifestação livre, informada e inequívoca dos titulares dos dados para uma finalidade específica de tratamento, quando o consentimento é a base legal utilizada.

VI. Normas e Procedimentos Internos: Documentos detalhados que orientam os colaboradores sobre o manuseio seguro dos dados, como políticas de acesso, descarte seguro de informações, e uso aceitável de recursos de TI.

 

3.1.4 Bases Legais para o Tratamento de Dados pela UNILA

Na UNILA, o tratamento de dados pessoais será realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar suas competências legais ou cumprir as atribuições legais do serviço público. Recordando que o consentimento do titular de dados é dispensado para essas finalidades, de acordo com o art. 7º, inciso II, da Lei n. 13.709/2018. Assim, caberá à UNILA:

I. Informar as hipóteses em que, no exercício de suas competências, realiza o tratamento de dados pessoais.

II. Fornecer informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos.

III. Indicar um encarregado quando realizar operações de tratamento de dados pessoais.

 

3.2 MAPEAMENTO DE DADOS

3.2.1 Inventário de dados pessoais

A primeira etapa para adequação à LGPD, é a identificação dos dados pessoais e sensíveis tratados pela instituição. Presente no art. 37, da LGPD, o Inventário de Dados Pessoais – IDP, consiste no processo de registro das operações de tratamento dos dados pessoais realizados internamente pela Instituição. Este processo de registro mantido pelo IDP envolve descrever informações em relação ao tratamento de dados pessoais realizado pelo órgão ou entidade, tais como: os atores envolvidos (agentes de tratamento e o encarregado); a finalidade (o que a instituição faz com o dado pessoal); as hipóteses para o tratamento (arts. 7º e 11 da LGPD); a previsão legal; descrever os dados pessoais tratados pela instituição; definir a categoria dos titulares dos dados pessoais; o tempo de retenção dos dados pessoais; indicar se realiza o compartilhamento de dados com outras instituições e se realizar transferência internacional de dados (art. 33 da LGPD); bem como quais medidas de segurança adotadas para mitigar os riscos.

O IDP representa um documento importante de governança de dados pessoais e de subsídio para avaliação de impacto à proteção de dados pessoais com vistas a verificar a conformidade da instituição no que se refere ao preconizado pela LGPD.

A Planilha modelo de inventário de dados, proposto pela Secretaria de Governo Digital, presente no guia de elaboração de inventário de dados pessoais, permite o levantamento de dados pessoais e sensíveis, e as demais informações para confecção de um IDP. 

 

3.2.2 Identificação do ciclo de vida dos dados

Junto ao inventário de dados pessoais, deverá ser realizada a análise do ciclo de vida destes dados, identificando a temporalidade da manutenção dos dados. A Política de Privacidade de Dados Pessoais, que é acessível aos titulares dos dados, deverá ser capaz de estabelecer por quanto tempo os dados devem permanecer sob a guarda da Instituição, bem como os mecanismos de acesso e de alteração de dados dos titulares.

 

3.2.3 Identificação da finalidade e das hipóteses legais de tratamento

Atuando como uma instância consultiva, mas fundamental para manter a segurança das unidades administrativas e acadêmicas, o Encarregado poderá orientar tecnicamente as unidades quanto à identificação da base legal aplicável ao tratamento de dados pessoais. Os pareceres deverão indicar, de forma sugestiva, a aplicação da base legal para o tratamento, podendo ser: 

3.2.3.1 Quanto aos dados pessoais: 

I. Mediante o fornecimento de consentimento pelo titular;

II. Para o cumprimento de obrigação legal ou regulatória pelo controlador;

III. Pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas; 

IV. Para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V. Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI. Para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei n. 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

VII. Para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII. Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; 

IX. Quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. 

 

3.2.3.2 Quanto aos dados sensíveis

I. Quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;

II. Sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:

a) cumprimento de obrigação legal ou regulatória pelo controlador;

b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais e sensíveis;

d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei n. 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

e) proteção da vida ou da incolumidade física do titular ou de terceiro;

f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou (Alínea com redação dada pela Lei n. 13.853, de 8/7/2019); e

g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do(a) titular que exijam a proteção dos dados pessoais.

 

3.3 AVALIAÇÃO DE RISCOS

3.3.1 Metodologia de análise da Implementação

O processo de adequação da UNILA à LGPD será contínuo e interativo, inspirado na metodologia do ciclo PDCA (Plan, Do, Check, Act). A partir do inventário, o encarregado de dados, em conjunto com as áreas técnicas envolvidas, terá elementos para definir a matriz de risco, considerando a probabilidade de ocorrências dos eventos e o impacto destes no uso indevido dos dados.

 

3.3.2 Identificação, classificação, tratamento e monitoramento de Riscos para a organização e para os titulares

O desenvolvimento de uma matriz de risco para a privacidade de dados é fundamental para assegurar a integridade dos dados tratados. Analisar a probabilidade de ocorrência de determinados eventos e o impacto de possíveis riscos de não conformidade, baseada nos dados mapeados, gera a confiabilidade e a segurança necessária de que a instituição cumpre as normas e orientações técnicas para proteger os dados pessoais sob sua responsabilidade.

A matriz de risco deverá ser capaz de indicar as principais áreas de risco, e processos com maior probabilidade de ocorrências dos eventos de riscos e estabelecer uma escala de impacto de risco para direcionar ações de mitigação.

Uma vez construída a matriz de risco, um plano para diminuir o impacto e a probabilidade das ameaças identificadas será criado, integrando à estratégia de gestão de riscos da UNILA. Isso envolverá a sugestão de implementação de controles de segurança.

 

3.3.3 Relatório de Impacto à Proteção de Dados Pessoais (RIPD)

O RIPD é um documento obrigatório, de acordo com o art. 38 da LGPD, que descreve os processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e direitos fundamentais, bem como as medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Deve conter a descrição dos tipos de dados coletados, metodologia de coleta e segurança, e análise dos mecanismos de mitigação. De acordo com parágrafo único do art. 38, o RIPD deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados. 

 

3.4 DIREITOS DOS TITULARES

3.4.1 Interface para petições de titulares

A fim de assegurar o que estabelece o art. 18, da LGPD, será necessário a criação de um Portal da LGPD na página oficial da instituição para concentrar informações gerais sobre a LGPD e sobre as ações executadas pela UNILA. Bem como, será necessária a criação de e-mails institucionais específicos para o DPO e para cada Grupo de Trabalho, facilitando a comunicação com titulares e a ANPD. A página deverá reunir todos os documentos que tratem da LGPD no âmbito da UNILA. 

 

3.4.2 Procedimentos e fluxos para atendimento

A Política de Privacidade de Dados Pessoais deve estabelecer de forma clara e objetiva os fluxos para a comunicação necessária entre os titulares e o encarregado de dados pessoais.

 

3.4.3 Responsabilidades da Ouvidoria

No âmbito da UNILA já se estabeleceu a figura do Encarregado de Proteção de Dados Pessoais (DPO), ao titular da Ouvidoria, e considerando que esta é também um canal de comunicação com a sociedade, certamente será por meio da Ouvidoria que muitas demandas atinentes à LGPD chegarão à Instituição. Assim, caberá à Ouvidoria o monitoramento dos mecanismos de interface com os titulares dos dados pessoais. 

 

3.5 SENSIBILIZAÇÃO E TREINAMENTO

3.5.1 Plano de treinamento e de Comunicação

O processo de adequação à LGPD passa, necessariamente, por uma mudança da cultura institucional. Adotar novas práticas e cuidados em processos já consolidados demandam tempo, orientação e acompanhamento. Desta forma, um programa de treinamento será necessário para aplicação geral e neste mesmo rumo, o desenvolvimento de materiais informativos (vídeos, cartilhas, guias) sobre os conceitos básicos da LGPD e sua importância para a UNILA. Agendamento de palestras e workshops introdutórios para servidores e servidoras, docentes e discentes, buscando conscientizar toda a comunidade sobre o tema deverá ser outra frente de atuação do controlador. 

 

4. CRONOGRAMA

Um cronograma detalhado será elaborado para a execução das ações apresentadas, sendo revisado e ajustado conforme o andamento do processo. O cronograma inicial será dividido nas etapas descritas acima, com prazos aproximados, podendo ser adaptado à realidade e complexidade de cada unidade da UNILA, conforme observado nos planos de outras universidades.

 

Ação	Data	Responsável
Criar uma página no site da Unila para a LGPD	1º semestre de 2026	DPO e CTIC
Elaborar um plano de capacitação sobre os temas de LGPD	1º e 2º semestre de 2026	DPO e PROGEPE/SADECA
Elaborar um roteiro permanente de capacitação sobre LGPD	Até  dezembro de 2026	DPO e PROGEPE/SADECA
Promover reuniões com os setores estratégicos acerca da LGPD	2026	DPO e Gabinete da Reitoria
Elaborar Cartilha orientativa sobre a LGPD	Até 1º semestre de 2027	DPO
Publicar instruções sobre o ciclo de vida dos dados	2026	DPO e Gabinete da Reitoria
Elaborar minuta da Política de Proteção de Dados para envio ao Consun	2026	DPO e Gabinete da Reitoria

 

5. CONSIDERAÇÕES FINAIS

A implementação da LGPD na UNILA é um processo complexo que exigirá a mudança da cultura organizacional e de longo prazo, que exigirá, também, o engajamento de toda a comunidade acadêmica. Este plano é um roteiro inicial e estará sujeito a modificações, aperfeiçoamentos e atualizações contínuas, garantindo que a UNILA não apenas cumpra a legislação, mas também se torne referência em governança e proteção de dados no setor público. O sucesso dependerá da colaboração e da disseminação de uma cultura de privacidade e segurança da informação em todos os níveis da instituição.

 

6. BASE LEGAL CONSULTADA

Lei n. 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD).

Lei n. 12.965, 23 de abril de 2014 (Marco Civil da Internet).

Lei n. 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação - LAI).

Lei n. 9.507, de 12 de novembro de 1997 (Lei do Habeas Data).

Lei n. 9.784, de 29 de janeiro de 1999 (Lei Geral do Processo Administrativo).