Perguntas Frequentes (FAQ)

Para facilitar a compreensão da ampla legislação sobre sigilo, proteção de dados e privacidade, foi disponibilizado a seguir um conjunto de perguntas e respostas categorizadas por contexto:

Servidores, colaboradores, bolsistas e terceiros a serviço da UFRGS

O que é LGPD?

LGPD é a sigla da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). As orientações sobre precauções necessárias a partir da vigência dessa Lei constam na Cartilha sobre Precauções com Dados Pessoais.

Quais precauções devo adotar com os dados pessoais?

Consulte a Política de Proteção de Dados Pessoais.

Sugere-se também consulta à Cartilha sobre Precauções com Dados Pessoais, que resume essa política.

Somente devo me preocupar com a divulgação de dados pessoais sensíveis?

Não, todos os tipos de dados pessoais precisam de proteção e tratamentos adequados. As principais precauções constam na Cartilha sobre Precauções com Dados Pessoais.

A imagem (foto) de uma pessoa é dado pessoal sensível?

Segundo a LGPD, dado pessoal sensível é o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Portanto, quando uma imagem é utilizada para identificar alguma dessas informações, será considerada dado pessoal sensível.

Onde devo fazer backup dos documentos de trabalho com dados pessoais?

Na rede UFRGS (drive O:, U:, Z:, …, conforme o caso), ou no ChasqueBox.

A quem posso divulgar dados pessoais de outras pessoas vinculadas à UFRGS?

Consulte a Política de Proteção de Dados Pessoais.

Sugere-se também consulta à Cartilha sobre Precauções com Dados Pessoais, que resume essa política.

Quem é responsabilizado na ocorrência de um vazamento de dados pessoais?

Em uma organização pública (de direito público), será responsabilizada aquela pessoa que decidiu como tratar (armazenar, processar, …) os dados pessoais vazados. (Fonte: questão 8 de https://www.gov.br/anpd/pt-br/assuntos/noticias/sancoes-administrativas-o-que-muda-apos-1o-de-agosto-de-2021 e Art. 52, § 3º da LGPD).

A quem devo avisar caso eu tenha permissões desnecessárias em sites, sistemas ou diretórios?

Avise a chefia imediata. Detalhes constam nas Normas e procedimentos para acesso aos sistemas informatizados desenvolvidos pela UFRGS.

A quem devo avisar em uma situação de divulgação indevida de dados (vazamento de dados)?

Avise o Time de Resposta a Incidentes (tri@ufrgs.br). Detalhes constam na Política de Tratamento de Incidentes de Segurança da Informação.

Sugere-se também consulta à Cartilha sobre Precauções com Dados Pessoais.

O que devo fazer em caso de extravio de pendrive, HD externo ou qualquer dispositivo com dados pessoais de pessoas vinculadas à UFRGS, ou com dados da Universidade?

Avise o Time de Resposta a Incidentes (tri@ufrgs.br). Detalhes constam na Política de Tratamento de Incidentes de Segurança da Informação.

Sugere-se também consulta à Cartilha sobre Precauções com Dados Pessoais.

Posso eliminar, nos sistemas da UFRGS, todos os dados pessoais de uma pessoa?

Consulte os arts. 17 e 18 da Política de Proteção de Dados Pessoais.

Sugere-se consulta também às Normas sobre Retenção de Dados.

Links relacionados:

Palavras-chave: excluir; apagar.

Qual a diferença entre informação classificada e informação sigilosa?

A “informação classificada” é aquela classificada em qualquer dos três graus de sigilo previstos no § 1º do art. 24 da Lei nº 12.527/2011.

A informação sigilosa é aquela cuja restrição de acesso ocorre devido à hipótese legal (exemplos aqui), ou se for classificada como “informação classificada”.

Portanto, toda informação classificada é sigilosa, porém nem toda informação sigilosa é classificada (fonte: FAQ GSI).

Posso disponibilizar dado pessoal em documento público no SEI da UFRGS?

Depende se o dado pessoal está sujeito a controle social e transparência pública. Os detalhes de como identificar os dados pessoais nessa condição constam no OFÍCIO-CIRCULAR CSI/ETDP nº 01/2022.

Posso ser responsabilizado ao divulgar publicamente, pela consulta pública do SEI, dados pessoais que não estão sujeitos a controle social e transparência pública?

Sim. As sanções constam no art. 32 da Lei n° 12.527/2011. Os detalhes de como identificar os dados pessoais nessa condição constam no OFÍCIO-CIRCULAR CSI/ETDP nº 01/2022.

Importante: um documento com nível de acesso público adicionado a processo público do SEI é disponibilizado automaticamente e instantaneamente na consulta pública do SEI.
Sugere-se também consulta à https://www.ufrgs.br/proprivacidade/sei.

Posso colocar informação classificada no SEI da UFRGS?

Não. Os motivos constam no OFÍCIO-CIRCULAR CSI/ETDP nº 01/2022.

Os contratos e convênios foram afetados pela LGPD?

Sim, consulte https://www.ufrgs.br/proprivacidade/contratos.

Posso divulgar dados de contato de um(a) servidor(a) vinculado(a) à Universidade?

Somente podem ser divulgados dados de contato fornecidos pela Universidade (ramal UFRGS e e-mail UFRGS) para fins relacionados às atribuições laborais do servidor, ou seja, para fins relacionados ao trabalho do servidor.
A divulgação de e-mail pessoal ou de número de telefone pessoal requer consentimento prévio do(a) servidor(a), pois esses dados pessoais não estão sujeitos a controle social e transparência.

Palavras-chave: email; emails.

Posso divulgar dados de contato de um(a) aluno(a) vinculado(a) à Universidade?

Não, os dados pessoais de alunos(as) são de uso restrito da Universidade e devem ser tratados apenas por pessoas vinculadas à UFRGS que tenham atribuições funcionais relacionadas com os respectivos dados.

Entretanto, pode ser divulgado publicamente o nome completo de um aluno, os cursos e as unidades acadêmicas aos quais um aluno está vinculado, ou foi vinculado, as situações desses vínculos, o ano, a forma e modalidade dos ingressos, conforme precedente da CGU (vide Decisão).

No caso de alunos de graduação, também pode ser divulgado publicamente a nota de cada ingresso, o semestre e o ano de ingresso, conforme este outro precedente da CGU (vide Decisão CGU).

Ademais, devido à Portaria MEC n° 1.095/2018 (art. 23) e em relação aos alunos de cursos de graduação, pode ser divulgada a data de ingresso e conclusão, a data de expedição do diploma e a identificação do número do registro desse diploma. Exemplo: https://www1.ufrgs.br/Diplomacao/divulgacao/index.

Portanto, pode ser divulgada a lista de alunos egressos, devido ao supracitado e porque a diplomação consta em ata de solenidade pública de colação de grau.

Entretanto, o histórico escolar, o diploma ou certificado e demais dados pessoais não são de acesso público, salvo quando são fornecidos pelo próprio titular para comprovação de requisitos de editais públicos.

Na dúvida, mantenha o sigilo e consulte o Encarregado pelo Tratamento de Dados Pessoais, por intermédio do e-mail etdp@ufrgs.br.

Detalhes constam no vídeo de curta-duração disponibilizado em: https://www.ufrgs.br/proprivacidade/videos

Devo armazenar dados pessoais em HD externo, pendrive ou qualquer dispositivo de armazenamento portátil sem senha e sem criptografia forte?

Não, devido aos riscos de vazamento dos dados. O armazenamento deve ser realizado na rede UFRGS (drive O:, U: ou Z:, conforme o caso), ou no ChasqueBox.

Os registros de entrada e saída de pessoas em prédios públicos de organizações públicas (organizações de direito público) são passíveis de acesso público?

Não, se esses registros se referirem a agendas com “informações classificadas”, ou a outras hipóteses de sigilo.
Portanto, é necessário verificar essas restrições antes de permitir o acesso aos registros.
Fonte: https://www.gov.br/acessoainformacao/pt-br/lai-para-sic/guias-e-orientacoes/enunciados-da-lai

Onde posso encontrar cursos sobre a LGPD?

Há cursos assíncronos e gratuitos, sobre a LGPD, indicados em https://www.ufrgs.br/proprivacidade/cursos.

O que são cookies e por que a UFRGS utiliza cookies?

Consulte a Política de Cookies.

Há garantia da proteção de dados e da privacidade, sem segurança da informação e sem conscientização dos envolvidos?

Não, pois há risco da ocorrência de incidentes que comprometam a proteção e a privacidade, por isso é indicado que os envolvidos capacitem-se por intermédio dos recursos educacionais indicados na página https://www.ufrgs.br/csi/cursos ou, no mínimo, acessem os conteúdos indicados em https://www.ufrgs.br/csi/faq.

Há conflito entre a LAI (Lei nº 12.527/2011) e a LGPD?

Não. As duas Leis se complementam e a LAI, por ser lei específica, prevalece sobre leis gerais em qualquer divergência. Entretanto, não há divergências entre LAI e LGPD, pois o art. 31 da LAI define que a “informação pessoal”, relativa à intimidade, vida privada, honra e imagem, terá acesso restrito e no § 5º desse artigo define que um “Regulamento disporá sobre os procedimentos para tratamento de informação pessoal“, ou seja, previa a existência da LGPD em 2011.
Fonte: https://www.in.gov.br/en/web/dou/-/enunciado-n-4-de-10-de-marco-de-2022-385474869

Quais são as informações pessoais de interesse público e geral preponderantes (art. 31, § 3º, V da LAI)?

São as informações sujeitas a controle social e transparência pública, relacionadas estritamente a:

a) vínculos com a administração pública;
b) resultados e comprovações de requisitos de editais, convênios ou contratos com a administração pública;
c) valores financeiros oriundos de orçamento público; e
d) serviços prestados à administração pública.

Os contratos, empenhos e notas fiscais devem ter nível de acesso público no SEI?

O processo SEI que contém esses documentos deve ser público e receber documentos com acesso público ou restrito, pois os documentos com dados pessoais adicionados a processos no SEI, que estejam sujeitos a controle social e transparência pública, devem ser adicionados com nível de acesso “público”. Estão sujeitos a controle social e transparência os dados pessoais estritamente relacionados a:

Em documentos com nível de acesso público, devem ser tarjados aqueles dados pessoais que sejam excedentes e que não atendam a finalidade de controle social e transparência.

Atestados (não relacionados ao item “b” supracitado), documentos digitalizados de identidade, casamento, nascimento, comprovante de residência, CNH, passaporte, cartão bancário, entre outros, devem ter nível de acesso restrito (uso interno), pois não há controle social sobre esses dados pessoais.

Um bom exemplo é o https://portaldatransparencia.gov.br/servidores/consulta?ordenarPor=nome. Nesse portal constam os vínculos, os vencimentos e a remuneração de servidores públicos, mas não constam os dados bancários, dados de contato, nem o CPF integral do servidor.

Quanto ao uso de CPF descaracterizado (com asteriscos) em documentos, há o seguinte parecer da Advocacia-Geral da União (vide pág. 11, itens 7, 8 e 9):
Parecer_001_2021_CONJUR_CGU_CGU_AGU.pdf

Em suma, deve ser descaracterizado em documentos de acesso público e a forma de descaracterizar o CPF consta no item 36 (pág. 21) do parecer supracitado:

(…) mediante ocultação dos três primeiros dígitos e dos dois dígitos verificadores (…)

Mais detalhes podem ser consultados no OFÍCIO-CIRCULAR CSI/ETDP nº 01/2022 ou por intermédio do e-mail etdp@ufrgs.br.

Devido à LAI (Lei nº 12.527/2011) o sigilo é exceção?

Em relação a dados pessoais o sigilo é a regra e há apenas algumas exceções: dados pessoais sujeitos a controle social e transparência.
Para exemplificar, sugere-se consulta ao rol de legislações a respeito do tema, disponível em: https://www.ufrgs.br/proprivacidade/direitos-correlatos.

Na dúvida, mantenha o sigilo e consulte o Encarregado pelo Tratamento de Dados Pessoais, por intermédio do e-mail etdp@ufrgs.br.

Posso “colocar” dados pessoais de outras pessoas na nuvem (Google Drive, OneDrive, Dropbox…)?

Consulte https://www.ufrgs.br/proprivacidade/hospedagem.

Quais precauções devo adotar em pesquisas?

Em pesquisas institucionais da UFRGS, sobre ambiente, qualidade de ensino, infraestrutura, entre outros aspectos, evite identificar os respondentes nas publicações de resultados. Os dados pessoais de respondentes desse tipo de pesquisa não são públicos, salvo exceções.

Sugere-se consulta a detalhes sobre anonimização em https://www.ufrgs.br/proprivacidade/anonimizacao.

Para pesquisas apenas intermediadas pela UFRGS, consulte o item “Em pesquisas científicas” na página https://www.ufrgs.br/proprivacidade/exemplos.

A colocação de tarjas sobre dados pessoais em um documento pode ser considerada uma pseudonimização?

Sim, porém depende de quais dados foram tarjados e se foram mantidos os documentos originais (sem tarjas) em acesso restrito. Para detalhes sobre pseudonimização e anonimização consulte https://www.ufrgs.br/proprivacidade/anonimizacao.
Sobre precauções com tarjas em documentos consulte o item “No SEI! UFRGS” na página https://www.ufrgs.br/proprivacidade/exemplos.

Qual é o o uso mais frequente dos dados pessoais vazados?

Frequentemente, os dados vazados são utilizados para fraudes financeiras, que iniciam com a abertura de contas bancárias digitais em nome do titular cujos dados pessoais foram vazados, por isso é indicada a verificação periódica de contas bancárias abertas, por intermédio do https://registrato.bcb.gov.br. Caso alguma conta tenha sido aberta irregularmente, registre a ocorrência aqui, contate a instituição bancária para finalizar a conta e siga demais procedimentos indicados aqui.

Não encontrei a minha dúvida nesta lista, quem pode respondê-la?

Os servidores, colaboradores, bolsistas e terceiros a serviço da UFRGS podem solicitar orientações sobre proteção de dados e privacidade ao Encarregado pelo Tratamento de Dados Pessoais da UFRGS, por intermédio do e-mail etdp@ufrgs.br.

Gestores de unidades, órgãos, departamentos e setores da UFRGS

Quais são as minhas responsabilidades em relação às permissões das pessoas sob minha supervisão?

Consulte as Normas e procedimentos para acesso aos sistemas informatizados desenvolvidos pela UFRGS.

Onde posso consultar as permissões das pessoas sob minha supervisão?

No Portal de Serviços da UFRGS > Aba “Gestor” > Portal de Gestão de Pessoas > Gestão de Pessoas > Relatório de Permissões

Alternativamente em:
Portal de Serviços da UFRGS > Aba “Geral” > GESTÃO> GESTÃO DE PESSOAS > Portal de Gestão de Pessoas > Gestão de Pessoas > Relatório de Permissões

Posso compartilhar dados pessoais tratados pela UFRGS com outras organizações públicas ou privadas?

Não, porém há exceções que permitem o compartilhamento para cumprimento de obrigação legal e execução de contrato ou instrumento congênere. Nessas circunstâncias o compartilhamento somente pode ocorrer com algumas precauções, que estão descritas na Política de Proteção de Dados Pessoais, na Política de Classificação e Compartilhamento de Dados e, no caso de contratos, resumidas em https://www.ufrgs.br/proprivacidade/contratos.
Há exemplos de obrigações legais a serem cumpridas pela Universidade em https://www.ufrgs.br/proprivacidade/obrigacao-legal.

Posso ser responsabilizado na ocorrência de um vazamento de dados pessoais?

Sobre sanções na esfera administrativa, veja também: https://www.convergenciadigital.com.br/Governo/Legislacao/ANPD-nao-multa-orgaos-publicos%2C-mas-pode-responsabilizar-dirigentes-62630.html

Na esfera civil, pode ocorrer ação regressiva (art. 122 da Lei n. 8.112/90 e Art. 37 § 6º da CF 88) por ressarcimento de danos.

Assegurado aos envolvidos o contraditório e a ampla defesa.

Posso contratar a hospedagem de documentos e de dados fora da UFRGS (em organizações terceiras)?

Consulte a Política de Computação em Nuvem. Sugere-se também consulta à https://www.ufrgs.br/proprivacidade/hospedagem.

Como posso evitar ser responsabilizado em caso de vazamento de dados pessoais?

Além de seguir as orientações da Cartilha sobre Precauções com Dados Pessoais, sugere-se a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD), que possibilita mitigar ou evitar responsabilizações. Veja como elaborar o RIPD em http://ufrgs.br/proprivacidade/ripd.

Os serviços disponibilizados por intermédio de sites e aplicativos precisam de termo de uso e política de privacidade?

Sim, na maioria das vezes. Principalmente, quando disponibilizados a público externo à Universidade. Detalhes constam em https://www.ufrgs.br/proprivacidade/termo-uso.

Se um site sob minha responsabilidade utiliza cookies, preciso utilizar o consentimento a cookies?

Sim. Detalhes constam em https://www.ufrgs.br/proprivacidade/cookies.

As pessoas sob minha supervisão devem participar de cursos sobre a LGPD?

Sim. Consulte os cursos disponíveis em https://www.ufrgs.br/proprivacidade/cursos.

O Encarregado pelo Tratamento de Dados Pessoais da UFRGS também está à disposição para sessões virtuais de duas horas sobre a “LGPD na prática”, destinadas a servidores, colaboradores e bolsistas da Universidade. Essas sessões podem ser agendadas pelo e-mail etdp@ufrgs.br.

Sou responsável pelo descarte seguro de computadores e de outros dispositivos que possam conter dados sigilosos?

O responsável pelo descarte seguro do dispositivo é o responsável patrimonial pelo dispositivo que autorizou o descarte. Veja outros detalhes na Política de Gestão de Ativos de TI.
Os procedimentos a serem realizados constam no documento Procedimento Operacional para Descarte Seguro. Em caso de dúvidas técnicas, contate o responsável de TI da sua unidade ou departamento.

Onde posso encontrar um modelo de termo de confidencialidade e sigilo?

Há um exemplo do MGI em https://www.gov.br/governodigital/pt-br/contratacoes/8-termo-de-compromisso-de-manutencao-do-sigilo.docx, demais exemplos constam em https://www.gov.br/governodigital/pt-br/contratacoes/guias-modelos-e-diretrizes-para-contratacoes-de-solucao-de-tic
Entretanto, as responsabilidades do contratante prevalecem e a forma de adequada de evitar a responsabilização solidária, em incidentes ocasionados por contratados, constam em
https://www.ufrgs.br/proprivacidade/contratos.

Sugestões de questões podem ser enviadas para etdp@ufrgs.br.

Sugere-se também a participação nos cursos indicados em https://www.ufrgs.br/proprivacidade/cursos.