Exemplos de Boas Práticas
A seguir são descritos exemplos de boas práticas que podem evitar incidentes com dados pessoais nas atividades laborais cotidianas da Universidade:
Adote a “Política de Mesa Limpa”:
- Não deixe documentos com dados pessoais expostos no local de trabalho, principalmente em locais onde é realizado atendimento ao público. O mesmo cuidado deve ser adotado com os dados expostos no monitor.
- Não registre senhas em papéis guardados em seu local de trabalho.
Não armazene dados pessoais em locais sem controle de acesso. Os locais de armazenamento (físicos e digitais) somente podem estar acessíveis às pessoas com atribuições funcionais relacionadas ao respectivo acesso (acesso devido às necessidades das atividades relacionadas ao trabalho na UFRGS).
Não utilize, por exemplo:
- Armários sem fechadura em salas abertas ou em corredores.
- HDs externos e pendrives sem senha e criptografia forte.
Não armazene dados pessoais em dispositivos portáteis sem senha e sem criptografia forte.
Utilize a rede da UFRGS para esse tipo de armazenamento.
Garanta que o descarte de material com dados pessoais impossibilite a leitura ou identificação desses dados após o descarte.
Bloqueie o computador antes de se afastar do local de trabalho.
Não reaproveite papéis e dispositivos, que contenham dados pessoais, para outros fins não relacionados às finalidades iniciais.
Exemplo: não utilize relatório, com dados pessoais, como folha de rascunho.
Sempre que possível, faça a minimização de dados pessoais nos processos e documentos.
Os dados pessoais tratados cotidianamente estão relacionados à:
- obrigação legal;
- execução de contrato, convênio ou instrumento congênere; ou
- execução de política pública (prevista em ato normativo).
Consulte exceções na Cartilha sobre Precauções com Dados Pessoais.
Os dados pessoais devem ser tratados apenas por pessoas vinculadas à UFRGS que tenham atribuições funcionais relacionadas com os respectivos dados.
[1] atribuição funcional: atribuição relativa à função na Universidade, relativa ao trabalho inerente ao vínculo laboral com a Universidade.
Faça um RIPD para mitigar ou evitar a responsabilização solidária.
Veja como elaborar o RIPD em https://www.ufrgs.br/proprivacidade/ripd.
Adote as precauções necessárias em contratos e convênios.
Consulte as precauções em https://www.ufrgs.br/proprivacidade/contratos.
Não hospede dados e documentos em locais ou países que não estão em conformidade com a LGPD.
Consulte precauções em https://www.ufrgs.br/proprivacidade/hospedagem.
Previna-se das principais ameaças e técnicas de engenharia social.
Não divulgue dados pessoais sem finalidade prevista na legislação.
Na dúvida, não divulgue dados pessoais.
Ative a verificação em duas etapas em todos os aplicativos, sempre que disponível.
Também denominado duplo fator de autenticação.
Utilize senhas fortes.
Não utilize senhas de fácil dedução contendo informações pessoais, preferências pessoais, locais, números sequenciais, sequências de teclas do teclado ou números relativos a alguma data.
Por exemplo, utilize uma palavra que não exista em qualquer dicionário, com letras minúsculas e maiúsculas, combinada com números que não sejam sequenciais, com caracteres especiais (#$&@%/\ ]{ ] } … ) e sinais de pontuação (?!:.,;).
Links relacionados:
Não divulgue sua senha a outra pessoa.
A senha divulgada pode ser armazenada em local inseguro e ser divulgada a outras pessoas de forma contínua. Ademais, eventualmente, uma senha divulgada pode demonstrar a sua lógica para a criação de senhas, a qual poderá ser utilizada para deduzir senhas em outros logins (acessos). Além disso, a Política de Uso de Ativos de Tecnologia da Informação da UFRGS determina:
Art. 9º O usuário do ativo de TI é responsável pelo uso do ativo conforme boas práticas de segurança da informação, disponibilizadas em https://ufrgs.br/csi.
§ 1º As credenciais de acesso (conta e senha) a ativos de TI de uso individual são intransferíveis e não devem ser compartilhadas com terceiros.
Defina senhas diferentes em cada cadastro e evite reutilizá-las.
Há vazamentos recorrentes em sites e aplicativos e os dados vazados, utilizados para acesso (login), são vendidos posteriormente na dark web.
Por exemplo, no site https://haveibeenpwned.com, ao digitar um e-mail utilizado em algum login, é possível verificar se a senha daquele login já foi vazada (fonte: cartilha do MEC sobre senhas).
Consulte as precauções mínimas relativas a credenciais e aplicativos no uso de smartphones e tablets em http://ufrgs.br/csi/uso-seguro-celular.
Sempre que possível, ative a opção de receber alertas de login (acesso) em redes sociais, contas do Google e Microsoft, entre outras.
Exemplos: https://www.facebook.com/help/instagram/154776793259282 e https://www.facebook.com/help/162968940433354
Na conta gov.br ative a “verificação em duas etapas” e obtenha o nível prata, no mínimo.
O ideal é obter o nível ouro na conta gov.br. Informações sobre níveis podem ser obtidas em https://www.gov.br/governodigital/pt-br/conta-gov-br/saiba-mais-sobre-os-niveis-da-conta-govbr.
Exemplo: 50 milhões de brasileiros já utilizam a Verificação em Duas Etapas para ampliar a segurança.
Ao compartilhar um computador com outras pessoas, utilize um usuário diferente, no sistema operacional, para cada pessoa.
Consulte detalhes na Política de Uso de Ativos de TI.
A mesma precaução deve ser adotada com smartphones. Em síntese: não utilize dispositivos eletrônicos, que contenham dados pessoais, compartilhados com outras pessoas, sem distinção de usuário.
Mantenha o antivírus atualizado e em execução.
O antivírus licenciado para computadores da UFRGS está disponível em https://www1.ufrgs.br/CatalogoServicos/servicos/servico?servico=3424.
Consulte detalhes em https://www.ufrgs.br/csi/faq.
Faça backup frequentemente.
Consulte detalhes em https://www.ufrgs.br/csi/faq.
Mantenha o sistema operacional e demais softwares atualizados.
As versões anteriores podem ter vulnerabilidades documentadas, que podem ser utilizadas por cibercriminosos, como, por exemplo, nesta documentação.
Não utilize sistemas operacionais obsoletos.
Consulte detalhes aqui.
Somente instale softwares de origem verificada.
Exemplos: site oficial do fabricante do software e Catálogo de Serviços de TI da UFRGS.
Ao receber e-mails:
- Não clique em links de um e-mail suspeito e envie-o para fraudes@ufrgs.br.
Para identificar um e-mail falso, consulte os indicativos mencionados em http://www.ufrgs.br/tri/Documentos/mensagens-fraudulentas-phishing.
Em caso de e-mails suspeitos de remetentes conhecidos, confirme a autoria do e-mail por outras formas de contato.
- Caso não seja o destinatário correto do e-mail recebido, avise ao remetente e apague o e-mail.
No envio de e-mails a múltiplos destinatários externos à Universidade, utilize o campo CCO para indicar os destinatários.
Não divulgue dados pessoais de contato, via campo “PARA” ou “CC”, a outros destinatários que não possuam uma atribuição funcional1 relacionada a esses dados.
Somente podem ser divulgados dados de contato de um servidor fornecidos pela Universidade (ramal UFRGS e e-mail UFRGS). A divulgação de e-mail pessoal ou de número de telefone pessoal requer consentimento prévio, pois esses dados pessoais não estão sujeitos à transparência ou controle social.
Os dados pessoais de alunos(as) são de uso restrito da Universidade e devem ser tratados apenas por pessoas vinculadas à UFRGS que tenham atribuições funcionais relacionadas com os respectivos dados. Apenas pode ser divulgado publicamente o nome do aluno, curso e a situação do vínculo com a Universidade, conforme precedente da CGU (vide Decisão).
[1] atribuição funcional: atribuição relativa à função na Universidade, relativa ao trabalho inerente ao vínculo laboral com a Universidade.
Não armazene senhas em e-mails.
Caso a sua conta de e-mail seja invadida, as senhas armazenadas em e-mails propiciará acesso a demais contas.
As contas de e-mails têm sido alvo frequente de invasões devido, por exemplo, a:
- senhas fracas;
- computadores ou smartphones infectados com keyloggers;
- falta de antivírus ou antivírus desatualizado;
- uso de redes Wi-Fi inseguras;
- instalação de softwares piratas ou de origem não-oficial; e
- empréstimo de computadores e smartphones a usuários com menor grau de conscientização sobre as precauções necessárias.
Alternativamente, utilize um aplicativo gerenciador de senhas.
No conteúdo do e-mail:
- Evite divulgar dados pessoais de terceiros por e-mail.
- Caso seja inevitável, avise aos destinatários que:
- o e-mail não deve ser encaminhado a outros destinatários, que não tenham atribuição funcional relacionada com os respectivos dados; e
- caso o e-mail tenha sido recebido equivocadamente, deve ser eliminado imediatamente.
- Caso seja inevitável, avise aos destinatários que:
Utilize o e-mail fornecido pela UFRGS para assuntos relacionados ao trabalho na UFRGS.
O endereço de e-mail com sufixo (domínio) “ufrgs.br” deve ser utilizado obrigatoriamente pelos agentes públicos (servidores, colaboradores e bolsistas) em atividades laborais, para tratar de assuntos relacionadas as suas atribuições funcionais na Universidade, devido à legislação pertinente a proteção de dados pessoais, computação em nuvem e proteção a denunciantes. Detalhes constam no art. 8º da Política de Uso de Ativos de Tecnologia da Informação da UFRGS e na página https://www.ufrgs.br/proprivacidade/hospedagem.
Verifique a necessidade de consulta ao Comitê de Ética em Pesquisa da UFRGS antes de elaborar o instrumento de coleta de dados pessoais.
Utilize um Termo de Consentimento Livre e Esclarecido (TCLE) ou um Termo de Assentimento Livre e Esclarecido (TALE).
Detalhes em https://www.ufrgs.br/cep/?page_id=991 e no art. 18 da Lei nº 14.874/2024.
- O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado.
- A revogação de consentimento não afeta os dados anonimizados, pois dados anonimizados não são dados pessoais (art. 12 da LGPD). Entretanto, os dados pessoais (não anonimimizados), coletados mediante consentimento, precisarão ser excluídos após a revogação do consentimento. Sobre a anonimização dos dados pessoais, sugere-se consulta a https://www.ufrgs.br/proprivacidade/anonimizacao.
- Evite utilizar sites de formulários que comercializam os dados coletados (compartilham com parceiros comerciais). Vide detalhes em https://www.ufrgs.br/proprivacidade/hospedagem. Caso seja inevitável, disponibilize o link para os termos de uso do respectivo site, no começo da pesquisa, para que o respondente possa consultá-los.
Não seja classificado como spammer: não envie e-mails solicitando participação em pesquisas científicas, sem a prévia anuência dos destinatários.
Caso contrário, o destinatário terá o direito de reclamar sobre o uso indevido de seus dados pessoais de contato. Veja alternativas no Ofício Circular CSI/ETDP nº 02/2023 (e-mails de pesquisas intermediadas pela UFRGS).
Em pesquisas apenas intermediadas pela Universidade e com envio de questionário a múltiplos destinatários vinculados à instituição, adote as precauções indicadas neste ofício.
Evite identificar publicamente o respondente de uma pesquisa.
Caso precise identificar o respondente, obtenha uma autorização prévia do respondente, que especifique em detalhe o escopo e o contexto da publicação (onde, como e por quanto tempo). Nessa situação, além da LGPD, há demais legislações concernentes a direitos autorais, direito de imagem e personalidade, calúnia, difamação, entre outras legislações. Consulte detalhes em https://www.ufrgs.br/proprivacidade/direitos-correlatos.
Ademais, a ANPD entende que, caso seja solicitado consentimento em uma pesquisa, aplica-se o determinado na LGPD a respeito de consentimentos (fonte: parágrafo 42 deste documento). Por isso o uso de um instrumento congênere a um contrato, como este, evita a revogação do consentimento, por não se tratar de um consentimento (o exemplo supracitado precisa ser adequado à situação de uso).
Não identifique a pesquisa como realizada por uma instituição que é um órgão de pesquisa, se a respectiva instituição não forneceu a devida autorização.
Órgãos de pesquisa possuem algumas flexibilidades no tratamento de dados pessoais, conforme determinado pela LGPD. No entanto, as instituições que são órgãos de pesquisa assumem responsabilidades solidárias em incidentes com os dados pessoais tratados em pesquisas, por isso costumam definir condições e softwares que podem ser utilizados no tratamento dos dados pessoais da pesquisa.
Os responsáveis por sites, que utilizam cookies para armazenar dados pessoais, precisam implementar o consentimento a cookies.
Consulte detalhes em https://www.ufrgs.br/proprivacidade/consentimento-cookies.
Caso o site colete dados pessoais para oferta de serviço à comunidade, será necessário publicar um termo de uso e política de privacidade.
Consulte detalhes em https://www.ufrgs.br/proprivacidade/termo-uso.
Não atribua nível de acesso público a documentos com dados pessoais que não estão sujeitos a controle social e transparência pública.
Um documento com nível de acesso público adicionado a processo público do SEI é disponibilizado automaticamente e instantaneamente na consulta pública do SEI.
Estão sujeitos a controle social e transparência os dados pessoais estritamente relacionados a:
a) vínculos com a administração pública;
b) comprovação de requisitos de editais, convênios ou contratos com a administração pública;
c) valores financeiros oriundos de orçamento público; e
d) serviços prestados à administração pública.
Em documentos com nível de acesso público, devem ser tarjados aqueles dados pessoais que sejam excedentes e que não atendam a finalidade de controle social e transparência.
Atestados (não relacionados ao item “b” supracitado), documentos digitalizados de identidade, casamento, nascimento, comprovante de residência, CNH, passaporte, cartão bancário, entre outros, devem ter nível de acesso restrito (uso interno), pois não há controle social sobre esses dados pessoais.
Um bom exemplo é o https://portaldatransparencia.gov.br/servidores/consulta?ordenarPor=nome. Nesse portal constam os vínculos, os vencimentos e a remuneração de servidores públicos, mas não constam os dados bancários, dados de contato, nem o CPF integral do servidor.
Quanto ao uso de CPF descaracterizado (com asteriscos) em documentos, há o seguinte parecer da Advocacia-Geral da União (vide Conclusão):
https://www.gov.br/agu/pt-br/composicao/procuradoria-geral-federal-1/consultoria-juridica/PARECERn.000012022CPLCDEPCONSUPGFAGU.pdf
Detalhes adicionais sobre níveis de acesso podem ser consultados no OFÍCIO-CIRCULAR CSI/ETDP nº 01/2022 ou por intermédio do e-mail etdp@ufrgs.br.
O procedimento para alterar o nível de acesso para restrito consta em https://www.ufrgs.br/proprivacidade/docs/UFRGS-SEI-AcessoRestrito.pdf.
Ao tarjar um documento PDF obtido do SEI, adote precauções para evitar a reindentificação dos dados tarjados.
No caso do uso de tarjas sobre o texto, o arquivo final tarjado deve ser um PDF impresso como imagem. Para detalhes, consulte:
https://www.ufrgs.br/proprivacidade/docs/UFRGS-SEI-Tarjamento.pdf
Deve ser tarjado também o código CRC, o código verificador e o QRCODE de documentos do SEI, que sejam disponibilizados de forma tarjada, para evitar a abertura do documento sem tarjas na página de verificação de autenticidade do SEI (https://sei.ufrgs.br/sei/verifica.php).
Caso o documento tenha sido criado no SEI (não externo) e caso seja possível manter a versão original (restrita ou sigilosa) e uma versão tarjada (pública), pode ser utilizada a ferramenta indicada pela CGU em https://repositorio.cgu.gov.br/bitstream/1/66379/1/Briefing_tarjamento_SEI_PRO.pdf. Entretanto, deve ser realizada a duplicação do documento no SEI antes de usar essa ferramenta.
Não coloque informação classificada no SEI da UFRGS.
Os motivos constam no OFÍCIO-CIRCULAR CSI/ETDP nº 01/2022.
Sugestões de exemplos podem ser enviadas para etdp@ufrgs.br.
Precauções adicionais podem ser encontradas em:
- https://www.ufrgs.br/csi/docs/TJDFT_CartilhaSegurancaVirtual.pdf;
- http://www.ufrgs.br/tri/documentos; e
- Cartilha sobre Precauções com Dados Pessoais.
Sugere-se também a participação nos cursos indicados em https://www.ufrgs.br/proprivacidade/cursos.