Artigo 49, Inciso III, Alínea c da Resolução CEGOV/INSS nº 47 de 21 de Janeiro de 2025
Institui a Política de Proteção de Dados Pessoais no INSS.
Art. 49
Respeitadas as normas e regulamentações conjuntas ou específicas, os contratos, convênios, acordos e instrumentos congêneres, que de alguma forma envolvam o tratamento de dados pessoais, deverão incorporar cláusulas específicas em total conformidade com a presente Política de Proteção de Dados Pessoais e que contemplem:
I
requisitos:
a
indispensáveis de segurança da informação, observados os padrões operacionais necessários à luz da POSIN-INSS, ou outro normativo que possa vim a substituí-la; e
b
de proteção de dados pessoais, que os operadores de dados pessoais devem atender;
II
determinação de que o operador não processe os dados pessoais para finalidades que divergem da finalidade principal informada pelo controlador;
III
dispositivo:
a
para que os dados coletados e seu processamento sejam limitados ao mínimo necessário para atendimento da finalidade do tratamento;
b
que defina a obrigação do operador de dados pessoais notificar o controlador em caso de ocorrência de violação de dados pessoais;
c
que defina que os dados pessoais armazenados ou retidos possuam controles de integridade, permitindo identificar se foram alterados sem permissão;
d
que defina que as operações de processamento realizadas com dados pessoais sejam registradas de modo a identificar a operação realizada, quem realizou, data e hora (auditoria de log); e
e
que estipule sanções administrativas pelo descumprimento de cada um dos requisitos de segurança da informação e de privacidade especificados;
IV
o uso e arquivamento somente pelo tempo necessário para a execução dos serviços acordados, contratados ou conveniados. E, ao seu fim, a eliminação dos dados coletados, excetuando-se os que se enquadrarem no disposto no art. 16, inciso I da LGPD;
V
condições sob as quais o operador deve devolver ou descartar com segurança os dados pessoais após a conclusão do serviço, rescisão de qualquer contrato ou de outra forma mediante solicitação do controlador;
VI
diretrizes específicas sobre o uso de subcontratados pelo operador para execução contratual, que envolva tratamento de dados pessoais; e
VII
quando da transferência ou compartilhamento de dados, dispositivo que deixe claro que, uma vez transferidos ou compartilhados os dados pessoais, a responsabilidade por garantir a privacidade e a proteção dos dados recepcionados será do receptor.