Resolução CNMP nº 281 de 12 de Dezembro de 2023

Esta Resolução institui a Política Nacional de Proteção de Dados Pessoais e o Sistema Nacional de Proteção de Dados Pessoais no Ministério Público.

Constituem fundamentos para a atuação do Ministério Público na proteção de dados pessoais, no âmbito de suas atribuições:

Esta Resolução adotará os seguintes princípios como vetores para a promoção da proteção de dados pessoais pelo Ministério Público:

Para os fins desta Resolução, considera-se:

O Ministério Público, no exercício da atividade de proteção de dados pessoais, deverá se pautar pelo reconhecimento dos direitos dos seus titulares.

Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos da legislação aplicável e desta Resolução.

O titular tem direito a obter do controlador, em relação aos seus dados pessoais tratados, mediante requerimento, as seguintes informações:

O titular dos dados pessoais receberá um tratamento transparente, conciso, inteligível e de fácil acesso, com o uso de linguagem clara e simples, em especial quando as informações forem dirigidas a crianças e adolescentes.

Deverão ser informados ao titular dos dados pessoais, quando for o caso, a identidade do controlador, a existência da operação de tratamento, as finalidades do tratamento, o direito de apresentar reclamação e a existência do direito de solicitar ao responsável pelo tratamento o acesso aos dados pessoais e a sua retificação, o apagamento ou a limitação do tratamento.

A confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requerimento do titular, em formato simplificado, de imediato, ou por meio de declaração clara e completa, que indique a origem dos dados pessoais, a existência de registro, os critérios utilizados e a finalidade do tratamento, observados os casos de sigilo ou segredo.

Caso o responsável pelo tratamento recuse ao titular dos dados pessoais o direito à informação, o acesso a esses dados ou a sua retificação, o apagamento ou a limitação do tratamento, o titular poderá solicitar à UEPDAP que verifique a licitude do tratamento.

O titular tem o direito de ter os seus dados pessoais apagados pelos agentes de tratamento, sem demora injustificada, quando:

O titular dos dados pessoais, nos casos de consentimento ou obrigação contratual, tem o direito de receber as informações que lhe digam respeito quanto aos dados pessoais que tenha fornecido, em formato estruturado, inclusive para fins de portabilidade.

A defesa dos interesses e dos direitos dos titulares de dados pessoais poderá ser exercida em juízo, individual ou coletivamente, nos termos legais e com o uso dos instrumentos de tutela individual e coletiva.

Os direitos dos titulares de dados pessoais elencados neste capítulo deverão ser conjugados com o disposto em legislação específica, em especial as disposições constantes da Lei nº 13.709, de 14 de agosto de 2018 (LGPD), da Lei nº 9.507, de 12 de novembro de 1997 (Lei do Habeas Data ); da Lei nº 9.784, de 29 de janeiro de 1999 (Lei Geral do Processo Administrativo); da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação); e da Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet).

O Ministério Público brasileiro, no exercício regular de suas obrigações, de suas prerrogativas e no interesse legítimo da Instituição, independentemente do consentimento dos titulares, realizará o tratamento de dados pessoais sempre que necessário à defesa da ordem jurídica, do regime democrático e dos interesses sociais e individuais indisponíveis, difusos, coletivos e individuais homogêneos, bem como às atividades preventivas, persecutórias e de produção de conhecimento imprescindíveis à concretização dessas obrigações constitucionais e à salvaguarda dos ativos da Instituição.

O Ministério Público brasileiro, em defesa dos direitos fundamentais individuais indisponíveis, difusos, coletivos, individuais homogêneos e no desenvolvimento de ações preventivas, no contexto do exercício persecutório estatal e no âmbito do devido processo legal, terá acesso incondicional a bancos de dados pessoais de caráter público ou relativos a serviços de relevância pública, bem como a bancos de dados privados, podendo, para tanto, exercitar seu poder de requisição.

Cada ramo e unidade do Ministério Público poderá constituir ou manter estruturas orgânicas seguras especializadas em hospedar, receber, compartilhar ou difundir aos órgãos de execução bases de dados, públicas ou privadas, de relevância pública, para fins de tratamento de dados, inclusive pessoais, ou para assegurar a integração e o intercâmbio das atividades ministeriais.

Para o exercício das funções indicadas nos arts. 16, 17 e 18 desta Resolução, bem como das obrigações constitucionalmente outorgadas, os ramos e as unidades do Ministério Público poderão compartilhar dados pessoais com estruturas internas de execução e de administração, com órgãos de execução e da estrutura administrativa de outros ramos e unidades com o CNMP.

O Sistema Nacional de Proteção de Dados Pessoais no Ministério Público (SINPRODAP/MP) tem por finalidade precípua conferir ao Ministério Público a missão de assegurar a proteção integral dos dados pessoais, incluindo a defesa do direito fundamental à autodeterminação informativa contra lesões de terceiros e a observância, pelas estruturas orgânicas que o compõem, das normas que regem a Política Nacional de Proteção de Dados Pessoais no Ministério Público. Seção I Da Estrutura Orgânica Nacional

O SINPRODAP/MP é composto pela seguinte estrutura orgânica:

Os órgãos integrantes do SINPRODAP/MP deverão atuar em coordenação com as Ouvidorias, a fim de assegurar que a aplicação dos dispositivos da LGPD esteja em consonância com a Lei de Acesso à Informação, com o Marco Civil da Internet, com a Lei do Habeas Data , com a Lei nº 14.129, de 29 de março de 2021 (Governo Digital) e com a Resolução CNMP n º 89, de 28 de agosto de 2012 .

A legislação de proteção de dados pessoais deverá ser interpretada pelos órgãos que integram o SINPRODAP/MP harmonicamente com o regime jurídico aplicável ao Ministério Público, em especial com o disposto nos arts. 127 e 129 da Constituição Federal, com as leis orgânicas dos respectivos ramos e unidades e com outras leis especiais.

Na aplicação dos dispositivos previstos na legislação de proteção de dados pessoais, os órgãos do SINPRODAP/MP atenderão à teleologia que lhe é imanente e às exigências do bem comum, ponderando-se os princípios constitucionais subjacentes à defesa dos direitos pelo Ministério Público, para definição do alcance das normas. Subseção I Da Unidade Especial de Proteção de Dados Pessoais (UEPDAP)

Fica instituída a Unidade Especial de Proteção de Dados Pessoais (UEPDAP), vinculada à Comissão de Preservação da Autonomia do Ministério Público (CPAMP), que exercerá a função de Autoridade de Proteção de Dados Pessoais do Ministério Público (APDP/MP), sendo composta:

As reuniões deliberativas da UEPDAP serão instaladas, no mínimo, com a presença da maioria absoluta de seus integrantes.

As deliberações serão tomadas pela maioria simples dos integrantes.

Compete à UEPDAP:

O CNMP dotará a UEPDAP de estrutura de apoio jurídico e técnico, para o efetivo exercício de suas funções. Subseção II Da Secretaria Executiva de Proteção de Dados Pessoais (SEPRODAP )

A Secretaria Executiva de Proteção de Dados Pessoais (SEPRODAP), órgão executivo e regulador do SINPRODAP/MP, será composta pelo Coordenador e pelo Vice-Coordenador do CONEDAP e por membros do Ministério Público designados pelo Presidente da CPAMP, dentre os quais será indicado o secretário executivo.

Compete à SEPRODAP:

A SEPRODAP poderá, por determinação da UEPDAP, realizar fiscalizações nos ramos e nas unidades do Ministério Público, a fim de assegurar a adequada proteção de dados pessoais. Subseção III Do Comitê Nacional de Encarregados de Proteção de Dados Pessoais (CONEDAP)

O Comitê Nacional de Encarregados de Proteção de Dados Pessoais no Ministério Público (CONEDAP), como órgão consultivo, deliberativo e propositivo, tem a função de promover a padronização das ações dos ramos e das unidades do Ministério Público quanto à Política Nacional de Proteção de Dados Pessoais, competindo-lhe:

O CNMP e todos os ramos e as unidades do Ministério Público brasileiro deverão, no prazo de até 90 (noventa) dias, a contar da publicação da presente Resolução, constituir estrutura administrativa interna para o atendimento das diretrizes nela determinadas, no uso e no tratamento de dados pessoais, que será compreendida, no mínimo, pelo encarregado e pelo CEPDAP.

O Plano Diretor deverá conter as regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais, conforme previsto na presente Resolução. Subseção I Do Controlador

O CNMP e cada ramo e unidade do Ministério Público brasileiro são considerados controladores na sua esfera de atuação, realizando tratamento de dados pessoais por meio dos seus membros, servidores e demais colaboradores que integrem sua estrutura orgânica.

No âmbito do Ministério Público brasileiro, o controlador é o responsável por determinar o tratamento de dados pessoais, independentemente de serem obtidos de forma espontânea ou por cumprimento de dever legal ou autorização legal.

Caberá aos ramos e às unidades do Ministério Público, na qualidade de controladores e órgãos gestores locais do SINPRODAP/MP, normatizar e deliberar a respeito das regras de tratamento de dados pessoais no âmbito da instituição, bem como:

No âmbito do Ministério Público brasileiro, considera-se co-controlador aquele que também é responsável e, em conjunto com o controlador, igualmente determina as finalidades e os meios do tratamento.

No âmbito do Ministério Público brasileiro, considera-se operador a pessoa natural ou jurídica, de direito público ou privado, que, sem pertencer aos quadros do Ministério Público, com independência jurídica e econômica, realiza, por sua conta e responsabilidade, o tratamento de dados pessoais a mando do controlador.

O operador deve, sempre, apresentar garantias suficientes de execução de medidas técnicas e administrativas adequadas ao tratamento de dados pessoais, que atendam aos requisitos estabelecidos na presente Resolução e, principalmente, assegurem a defesa dos direitos do titular dos dados pessoais.

O operador que, de alguma forma, determine as finalidades e os meios de tratamento de dados pessoais, será considerado, nesse caso, co-controlador para fins legais. Subseção IV Co-Operador

No âmbito do Ministério Público brasileiro, considera-se co-operador aquele que, nas hipóteses que lei autoriza, é contratado para realizar o tratamento concomitante de dados pessoais a mando do controlador, incidindo-lhe todas as regras da Seção anterior.

O encarregado é a pessoa indicada pelo controlador para atuar como canal de comunicação e interação entre o controlador, os titulares dos dados pessoais e a APDP/MP, bem como desempenhar outras funções estabelecidas pela legislação pertinente e por esta Resolução.

O encarregado será indicado pelo Chefe de cada ramo ou unidade do Ministério Público, devendo ser membro da Instituição e, para o exercício de suas atribuições, poderá se assessorar de pessoas externas, físicas ou jurídicas.

São atribuições do encarregado:

O CNMP, os ramos e as unidades do Ministério Público indicarão, no prazo de 90 (noventa) dias, a contar da vigência da presente Resolução, o encarregado para implementar a legislação de proteção de dados pessoais.

Os recursos materiais necessários disponibilizados ao encarregado deverão abranger, entre outras atividades:

Deverá ser instituído, em cada ramo e unidade do Ministério Público brasileiro, no prazo de até 90 (noventa) dias a contar da entrada em vigor da presente Resolução, o Comitê Estratégico de Proteção de Dados Pessoais (CEPDAP), órgão colegiado de natureza permanente, subordinado à Chefia da Instituição.

Compete ao CEPDAP:

É facultado ao Presidente do CEPDAP tomar decisões ad referendum , nos casos em que houver urgência devidamente fundamentada por um dos seus integrantes.

As reuniões deliberativas do CEPDAP serão instaladas, no mínimo, com a presença da maioria absoluta de seus integrantes.

As deliberações serão tomadas pela maioria simples dos integrantes.

O Presidente do CEPDAP poderá convocar membros e servidores para assessoramento técnico durante as reuniões do Comitê, cuja participação será restrita ao assessoramento e sem direito a voto.

Os atos cuja publicidade possa comprometer a efetividade das ações deverão ser publicados em extrato. Seção III Dos Órgãos do Ministério Público destinados à Proteção de Dados Pessoais contra Lesões de Terceiros

Os ramos e as unidades do Ministério Público deverão promover a estruturação de suas promotorias e procuradorias para atuação na defesa da ordem jurídica e da dimensão coletiva do direito à proteção aos dados pessoais, diante de violações à legislação por pessoas físicas ou jurídicas, de direito público ou privado.

Incumbe ao Ministério Público a proteção dos dados pessoais no âmbito das relações de consumo, das relações de trabalho, nos serviços públicos e de relevância pública ou em relações jurídicas de outra natureza, quando se revelar afetação à coletividade.

Ao Ministério Público caberá a fiscalização do cumprimento da legislação de proteção de dados pessoais pelos órgãos de segurança pública previstos no art. 144 da Constituição Federal, no exercício do controle externo da atividade policial.

O Ministério Público, no âmbito de suas atribuições, deverá atuar para prevenir e coibir a violação das normas de proteção de dados pessoais e da autodeterminação informativa quando constatada lesão ou ameaça de lesão a direitos individuais indisponíveis, difusos, coletivos e individuais homogêneos, em razão de práticas como:

Os membros do Ministério Público poderão requisitar Relatório de Impacto à Proteção de Dados Pessoais (RIDP), com a descrição dos processos de tratamento que possam gerar riscos às liberdades civis e aos direitos fundamentais dos titulares de dados pessoais, de forma a promover medidas, salvaguardas e mecanismos de eliminação e mitigação de danos e riscos.

Para o exercício pleno de suas funções institucionais na proteção dos dados pessoais das pessoas naturais, o Ministério Público poderá realizar o necessário e adequado tratamento dos dados pessoais, no âmbito dos seus procedimentos e processos, bem como na alimentação e manutenção dos bancos de dados pessoais internos.

O CNMP, os ramos e as unidades do Ministério Público deverão desenvolver ações de capacitação de membros e servidores, para qualificar a atuação finalística na tutela do direito fundamental à privacidade, no tocante à proteção dos dados pessoais, inclusive nos cursos de ingresso e vitaliciamente de membros e servidores.

No âmbito do Ministério Público brasileiro, o dado pessoal será protegido e tratado nos termos da presente Resolução, quer na sua atuação administrativa, quer na finalística, com as distinções necessárias e respeitados, sempre, os princípios previstos no art. 3º, com a ressalva do seu parágrafo único. Seção II Do Tratamento de Dados Pessoais

Considera-se tratamento toda operação realizada com dados pessoais, nos termos do inciso X do art. 5º da LGPD.

O tratamento de dados pessoais pelo Ministério Público brasileiro será realizado para o atendimento de sua finalidade pública, na persecução do interesse público, em todas as áreas de atuação, com o objetivo de execução e cumprimento das suas atribuições, obrigações e prerrogativas legais e constitucionais.

A atividade administrativa do Ministério Público será regida pelas disposições da LGPD que tratam das entidades públicas, ressalvado o exercício pleno de sua atividade finalística constitucionalmente outorgada à Instituição.

A proteção das pessoas naturais, no que diz respeito ao tratamento dos seus dados pessoais, é um direito fundamental e, por isso, todas elas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito.

Todos os contratos, convênios e atos formais equivalentes a serem celebrados pelo CNMP e pelos ramos e pelas unidades do Ministério Público brasileiro deverão trazer definidas as responsabilidades, de forma transparente e detalhada, dos controladores, dos operadores e, quando possível, de eventuais terceiros envolvidos.

As atividades de tratamento de dados pessoais, no âmbito do Ministério Público brasileiro, deverão observar os princípios previstos no art. 3º da presente Resolução.

Os princípios da proteção de dados pessoais não se aplicam às informações que não se refiram à pessoa natural identificada ou identificável e a dados pessoais anonimizados, que não permitam a identificação do seu titular.

Os dados anonimizados não serão considerados dados pessoais para os fins desta Resolução, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.

É legítimo o tratamento de dados pessoais nas atividades imprescindíveis à segurança da sociedade ou institucional do Ministério Público, principalmente visando ao não comprometimento das atividades de produção de conhecimento, bem como de investigação ou fiscalização, relacionadas com a prevenção ou repressão de infrações.

Para o exercício de suas atribuições, não se aplica ao Ministério Público a restrição de acesso a dados pessoais, quando as informações colhidas se destinarem a atividades de segurança pública, de produção de conhecimento ou de atividades de investigação e repressão de infrações penais, quando no exercício da segurança institucional, bem como quando forem destinadas à sua atividade finalística, compreendida nela todas as atribuições legais contidas na Constituição Federal, notadamente as ações e atribuições inseridas no seu art. 129 e nas leis esparsas que lhe dão suporte.

O Ministério Público, quando utilizar técnicas de vigilância, monitoramento e controle no desenvolvimento das suas atividades preventivas e persecutórias em prol da defesa da ordem jurídica, do regime democrático e dos interesses sociais e individuais indisponíveis, bem como da produção de conhecimento imprescindível à concretização dessas obrigações constitucionais e, ainda, da salvaguarda dos ativos da Instituição, deverá adotar medidas de cautela para o reforço da proteção dos dados pessoais.

A restrição de acesso à informação relativa à vida privada, honra e imagem de pessoa não poderá ser invocada com o intuito de prejudicar processo de apuração de irregularidades em que o titular das informações estiver envolvido, garantido o devido processo legal com contraditório e ampla defesa, bem como em ações voltadas para a recuperação de fatos históricos de maior relevância. Seção V Do acesso aos dados pessoais para o tratamento realizado pelo Ministério Público

Nos termos do art. 10 da presente Resolução, o pedido de acesso do titular dos dados pessoais relativo ao tratamento realizado pelo Ministério Público será protocolizado e recepcionado pelo controlador ou operador que, de imediato, o encaminhará ao encarregado para análise e providências cabíveis.

A prestação de informações e a concessão de acesso a dados pessoais podem ser adiadas, limitadas ou recusadas se e enquanto tais restrições forem necessárias e proporcionais para:

Nos termos do art. 7º da Resolução CNMP nº 23, de 17 de setembro de 2007 , e do art. 15 da Resolução CNMP nº 181, de 7 de agosto de 2017 , e visando ao respeito ao princípio da publicidade previsto no art. 37 da Constituição Federal, os atos e as peças que compõem os processos e procedimentos no âmbito do Ministério Público são públicos, com exceção dos casos motivados em que haja sigilo legal ou em que a publicidade possa acarretar fundado prejuízo.

A fim de assegurar a proteção aos dados pessoais das pessoas naturais no âmbito de procedimentos ou processos que tramitam no Ministério Público, poderá ser promovido o controle de acesso, a pseudonimização ou a decretação de sigilo dos autos ou de documentos específicos neles contidos, inclusive em relação às petições e aos documentos juntados pelas partes envolvidas.

Os ramos e as unidades do Ministério Público deverão realizar o mapeamento ou o inventário das bases de dados, abrangendo todos os dados pessoais que estejam sob seu controle, incluindo aqueles que tenham sido compartilhados, independentemente do modo como se realizou a sua coleta.

Cada ramo e unidade do Ministério Público deverá manter controle sobre as origens dos dados pessoais coletados e sobre os canais de sua captura, como sítio eletrônico na internet, parceiros, empresas, órgãos públicos, servidores e público externo.

O inventário de bases de dados pessoais não importa nem autoriza o acesso ao seu conteúdo, cabendo aos ramos e às unidades do Ministério Público estabelecerem procedimentos específicos para a identificação e classificação de suas bases sigilosas e confidenciais.

No tratamento de dados pessoais sensíveis, para instruir investigação de natureza cível ou criminal, para as ações de segurança institucional, de produção de conhecimento, no âmbito de seus procedimentos extrajudiciais ou na atuação em processos judiciais, bem como nos bancos de dados pessoais mantidos para conferir suporte a tais atividades, os ramos e as unidades do Ministério Público brasileiro agirão com reforço de proteção e cuidados específicos nas suas etapas.

O tratamento de dados pessoais sensíveis, nas atividades administrativas do Ministério Público, deverá ser realizado mediante consentimento expresso e específico do titular ou de seu representante legal.

O tratamento de dados pessoais de crianças e adolescentes, no âmbito das atividades administrativas do Ministério Público, além de observar os princípios do art. 3º da presente Resolução, deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.

O controlador e o responsável pelo tratamento devem realizar todos os esforços razoáveis para verificar se o consentimento, quando necessário, foi dado pelo responsável pela criança ou pelo adolescente.

No tratamento de dados pessoais de crianças e adolescentes desempenhado no âmbito da atividade administrativa do Ministério Público, o controlador, ressalvadas as hipóteses previstas no § 2º do art. 66 desta Resolução, deverá manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o art. 18 da LGPD.

Para o exercício da atividade de proteção de dados pessoais de crianças e adolescentes, as informações do respectivo tratamento deverão ser de fácil acesso e compreensão e formuladas em termos claros e simples, consideradas as características físico- motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança ou adolescente, na forma da lei e respeitadas as regras nos casos de sigilo ou de segredo de justiça.

Para fins desta Resolução, nos termos legais, considera-se criança o titular de dados pessoais que possua até 12 anos de idade incompletos e adolescente o titular de dados pessoais que possua entre 12 e 18 anos de idade, e ambos devem ter proteção especial no tratamento de seus dados pessoais.

O tratamento de dados pessoais de crianças e adolescentes, iniciado em data anterior à vigência da LGPD e ainda não finalizado, deverá, quando necessário e possível, ser informado a pelo menos um dos pais ou responsável legal e colhido o consentimento para a continuidade da operação.

Na coleta de dados pessoais de crianças e adolescentes, todos os registros deverão, quando possível, estar acompanhados de documento válido que comprove essa peculiar condição pessoal. Seção X Do Tratamento Automatizado

As decisões que possam produzir efeitos adversos na esfera jurídica do titular de dados pessoais, baseadas em mecanismos automatizados de tratamento, poderão ser objeto de revisão mediante intervenção humana e levarão em consideração a natureza e o porte da entidade ou o volume de operações de tratamento de dados pessoais.

A presente Resolução aplica-se em todo território nacional, nas hipóteses de tratamento de dados pessoais pelo Ministério Público brasileiro, principalmente no compartilhamento e na transferência – exportação e importação – com outras instituições internacionais e, ainda, na hipótese de incidentes de tratamento de dados pessoais que extrapolem o território nacional.

Para os fins desta Resolução considera-se compartilhamento a troca de informações e dados, inclusive pessoais, entre os órgãos do CNMP e os órgãos dos ramos e das unidades do Ministério Público, enquanto a transferência significa a troca havida com órgãos e entidades distintas.

O compartilhamento interno e externo de dados pessoais entre órgãos do Ministério Público brasileiro, consideradas a sua unidade, independência e autonomia, é permitido e necessário para o exercício de suas atribuições legais e constitucionais.

Para as finalidades previstas no art. 95 não se pode impor limitações à amplitude do compartilhamento de dados pessoais, devendo ser observadas as restrições legais, os requisitos de segurança da informação e comunicações e os preceitos de proteção dos dados pessoais.

O fornecimento dos dados pessoais a terceiros e a sua utilização para finalidades diversas daquelas para as quais foram coletados poderão ocorrer mediante consentimento fornecido pelo seu titular ou, ainda, nas hipóteses de tratamento para a execução das atribuições constitucionais e regimentais de cada ramo ou unidade do Ministério Público, além da transferência para órgãos ou entidades visando à execução de atividades de interesse público.

A transferência ou o compartilhamento de dados pessoais inexatos, incompletos ou desatualizados serão realizados conforme definido pelas instituições envolvidas, observada a efetividade, a finalidade e o protocolo comum de tratamento.

A transferência de dados pessoais para instituições públicas parceiras e de controle deverá ocorrer sempre de forma segura para atender a finalidades específicas de segurança pública, segurança de estado, de produção de conhecimento e, também, para a execução de políticas públicas e atribuição legal pelos demais órgãos e por entidades públicas. Subseção II Da Transferência e do Compartilhamento nos Casos de Atuação Conjunta

São autorizados o compartilhamento e a transferência de dados pessoais, sempre de forma segura, respectivamente, entre os diferentes ramos e unidades do Ministério Público e entre esses e outras instituições públicas, nos casos de atuação conjunta no exercício de suas atribuições, inclusive na hipótese de transferência internacional de dados e informações.

É vedado ao ramo ou à unidade do Ministério Público respectivo transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto:

A transferência internacional de dados pessoais no âmbito do Ministério Público brasileiro é permitida desde que:

Respeitadas as obrigações estabelecidas no artigo anterior é permitida a transferência internacional de dados pessoais, no âmbito do Ministério Público brasileiro, nas seguintes hipóteses:

Para os fins do tratamento de dados pessoais dos seus membros, servidores, estagiários e prestadores de serviços, o CNMP, os ramos e as unidades do Ministério Público deverão adotar como bases legais, principalmente:

Os dados pessoais sensíveis dos membros, servidores, estagiários e prestadores de serviços, no âmbito do Ministério Público, deverão ser tratados de acordo com as exceções previstas no inciso II do art. 11 da LGPD, para a finalidade específica, pelo controlador, do cumprimento de obrigação legal, estatutária, contratual ou regulatória, e, também, a partir do consentimento dos seus titulares.

O CNMP, os ramos e as unidades do Ministério Público brasileiro deverão estabelecer uma política transparente de tratamento de dados pessoais, na qual deverá haver a clara informação e a comunicação acerca dos propósitos e de como se realiza o tratamento em razão do vínculo estatutário ou contratual existente.

O CNMP e cada ramo e unidade do Ministério Público deverão assegurar, quando possível, que o armazenamento dos dados pessoais referentes aos seus membros, servidores, estagiários e prestadores de serviços será feito em bases específicas, que deverão receber reforço de proteção por registro e nível de acesso e, o quanto antes, pseudonimização e criptografia, sem prejuízo das demais técnicas de proteção.

No exercício do dever de monitoramento e supervisão administrativa, decorrentes da relação legal, estatutária, empregatícia ou contratual, o CNMP, os ramos e as unidades do Ministério Público, o quanto possível, deverão balancear e proteger a privacidade de seus membros, servidores, estagiários e prestadores de serviços em cotejo com o necessário tratamento de dados pessoais.

O CNMP, os ramos e as unidades do Ministério Público deverão disponibilizar aos seus membros, servidores, estagiários e prestadores de serviços, nos termos da presente Resolução, fácil e simples acesso aos formulários preexistentes, para o protocolo de reclamações ou pedido de informações relativas a ofensas à proteção de seus dados pessoais, que serão direcionadas ao correspondente órgão do SINPRODAP/MP. Subseção VII Dos Contratos Administrativos e da Terceirização de Serviços

Os contratos administrativos e aqueles decorrentes de licitações devem atender aos ditames estabelecidos na presente Resolução.

No que se refere à segurança e à prevenção no tratamento de dados pessoais, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a relevância dos danos para os titulares dos dados pessoais, o controlador poderá:

Nas hipóteses em que o titular dos dados pessoais interagir com a Instituição a respeito dos seus direitos disciplinados por esta Resolução, deverá ser verificada a sua identidade pelos meios razoáveis, atentando-se à idoneidade da solicitação e exigindo- se, sempre que possível, a comprovação dela. Seção XV Do Ciclo de Vida do Tratamento de Dados Pessoais

O responsável ou o operador que trate dados pessoais em sistemas de tratamento, automatizados ou não, deverá dispor de métodos eficazes, tais como registros cronológicos ou outros, para demonstrar a licitude do tratamento, permitir o autocontrole e garantir a integridade e a segurança dos dados pessoais.

A acessibilidade aos dados pessoais coletados poderá ter efetivo controle e gradação, nos termos desta Resolução, com limitação do acesso aos dados ao mínimo efetivamente necessário ao desenvolvimento das atividades. Subseção I Do Término do Tratamento de Dados Pessoais

O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:

Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:

Não se considerará finalizado o tratamento de dados pessoais quando subsistir o interesse público para o atendimento de outras finalidades, inclusive para produção de conhecimento interno em prol do cumprimento das obrigações constitucionais do Ministério Público e para as questões atinentes à segurança institucional.

O término do tratamento e, principalmente, a eliminação de dados pessoais deverão se vincular, quando existentes, às tabelas de temporalidade e classificação de documentos, inclusive os eletrônicos.

Quanto aos sistemas de informação, a exclusão dos dados pessoais dependerá da possibilidade técnica e, principalmente, da inexistência de interesse público ou institucional, incluindo-se a segurança institucional. Seção XVI Das Técnicas de Sistemas de Informação Subseção I Da Segurança do Dado Pessoal

No âmbito do Ministério Público brasileiro, aplicam-se à segurança do dado pessoal, em geral, as regras previstas na Subseção IV da Resolução CNMP nº 156, de 13 de dezembro de 2016 , que trata da segurança da informação.

Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e relevância variável, para os direitos e liberdades das pessoas naturais, os agentes de tratamento, no âmbito do Ministério Público brasileiro, poderão aplicar as medidas técnicas e administrativas aptas para assegurar um nível de segurança adequado ao risco e para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, subtração, cópia, transferência, comunicação ou difusão, incluindo, no que for possível:

O CNMP e cada ramo ou unidade do Ministério Público, no que diz respeito ao tratamento de dados pessoais, inclusive o automatizado, deverá determinar que os agentes de tratamento, após a devida avaliação dos riscos, priorizem e apliquem medidas que signifiquem e possam gerar:

O CNMP, os ramos e as unidades do Ministério Público brasileiro devem desenvolver mecanismos de proteção e níveis de segurança e de acesso diferenciados com relação às redes e ao Wi-Fi em prol do resguardo dos dados pessoais.

Considerando que, em todas as atividades, funções e atribuições desenvolvidas pelo Ministério Público brasileiro, há o tratamento de dados pessoais, o CNMP, os ramos e as unidades do Ministério Público brasileiro deverão, com relação a seus integrantes e em prol da efetiva proteção ao direito fundamental a elas correspondente, determinar a assinatura do Termo de Compromisso de Manutenção de Sigilo (TCMS).

Para o cumprimento do objetivo indicado no caput do art. 124, o CNMP, os ramos e as unidades do Ministério Público brasileiro, antes do desligamento de quaisquer de seus integrantes, deverão adotar medidas para a continuidade do resguardo do sigilo dos dados pessoais tratados enquanto estavam no exercício das atividades, funções e atribuições por eles desenvolvidas. Subseção II Da Proteção de Dados Pessoais por Concepção e por Padrão ( design e default )

Desde a concepção e durante todo o ciclo de vida dos projetos, processos, sistemas, bancos de dados, serviços e produtos, atuais e futuros, no âmbito do Ministério Público brasileiro, os responsáveis deverão, quanto à privacidade e à proteção dos dados pessoais, respeitar os seguintes princípios:

O responsável pelo tratamento deve aplicar, tanto no momento da definição dos meios como durante o próprio tratamento, as medidas técnicas e administrativas adequadas, como a minimização, a pseudonimização e a autenticação de dois fatores ou em duas etapas, destinadas a colocar efetivamente em prática os princípios da proteção de dados pessoais e a integrar as garantias necessárias no tratamento.

O responsável pelo tratamento deve implementar e aplicar medidas técnicas e administrativas adequadas para assegurar que, por padrão, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento.

Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na LGPD, na presente Resolução e nas demais normas regulamentares, devendo tais medidas serem observadas desde a fase de concepção do produto ou do serviço até a sua execução.

Quando possível e necessário, em quaisquer de suas atividades, ao uso de dados pessoais pelo Ministério Público brasileiro serão aplicadas, isoladamente ou em conjunto, as seguintes estratégias orientadas: minimização, ocultação, separação, resumo, informação, controle, reforço e demonstração, além da criptografia.

Para a proteção de dados pessoais por concepção e por padrão ( design e default ), aplica-se o disposto no art. 71 da presente Resolução. Seção XVII Dos sítios eletrônicos e sistemas informatizados

Os sítios eletrônicos e sistemas informatizados deverão descrever as hipóteses em que se realiza o tratamento de dados pessoais, fornecendo informações atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades.

A UEPDAP definirá a política de coleta de informações de usuários dos sítios eletrônicos ou sistemas informatizados, de forma a garantir, mediante anonimização e pseudonimização, o uso adequado de:

Deverão ser implementados mecanismos de controle, identificação e registro de acesso do usuário a dados pessoais que sejam disponibilizados por meio de sítios eletrônicos ou sistemas informatizados com acesso remoto, a fim de assegurar a proteção de dados pessoais e a segurança da informação. Seção XVIII Da Aferição dos Riscos ao Tratamento Indevido dos Dados Pessoais

A violação ou o vazamento de dados pessoais, voluntária ou acidentalmente, é considerado um incidente de segurança no tratamento, notadamente se ocasionar destruição, perda, alteração, subtração, cópia, transferência, comunicação ou difusão de dado pessoal.

A probabilidade e a relevância dos riscos deverão ser determinadas por referência à natureza, ao âmbito, ao contexto e às finalidades do tratamento de dados pessoais, devendo a aferição dos riscos ser feita com base numa avaliação objetiva, de modo a determinar se é provável que as operações de tratamento impliquem um relevante risco ao direito do titular.

O controlador elaborará Relatório de Impacto à Proteção de Dados Pessoais (RIDP), nos processos de tratamento de dados pessoais, na sua atividade administrativa, que possam gerar riscos às liberdades civis e aos direitos fundamentais, em particular:

A UEPDAP determinará aos ramos e às unidades do Ministério Público brasileiro a elaboração de RIDP padronizado, a fim de garantir a observância das disposições da legislação de regência e da presente Resolução, bem como para ensejar a adoção de boas práticas no tratamento de dados pessoais.

O RIDP deverá conter, no mínimo, a descrição dos tipos de dados pessoais coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de riscos adotados.

A elaboração do RIDP deverá contemplar as seguintes etapas, sem prejuízo de outras consideradas necessárias:

A elaboração do RIDP poderá ser feita por qualquer pessoa, física ou jurídica, com conhecimento sobre o tema e desde que autorizada pelo controlador.

O CNMP e os respectivos ramos e unidades do Ministério Público brasileiro analisarão periodicamente as suas próprias operações de tratamento de dados pessoais para avaliar a possibilidade de realização de um único RIDP para todas as operações ou para cada projeto, sistema ou serviço, em decisão fundamentada.

A revisão e atualização do RIDP será feita com a periodicidade definida pelo controlador e deverá ocorrer nas seguintes hipóteses, sem prejuízo de outras:

O RIDP poderá ter a sua publicidade restringida, total ou parcialmente, por motivos de segurança institucional ou outras razões de interesse público. Seção XX Das Comunicações e da Resposta a Incidentes de Segurança com Dados Pessoais

Todo responsável pelo tratamento de dados pessoais deverá reportar ao encarregado e ao órgão de tecnologia da informação competente, imediatamente, a ocorrência de incidente de segurança com dados pessoais, com finalidade de permitir a imediata tomada de medidas de contenção e outras necessárias ao controle e à mitigação do dano, devendo ser informados no comunicado:

Em qualquer hipótese de incidente de vazamento de dados pessoais, independentemente da sua relevância, o operador deverá comunicar imediatamente ao controlador a sua ocorrência, devendo a comunicação conter, minimamente, as informações indicadas no art. 145.

O controlador deverá documentar quaisquer vazamentos de dados pessoais, registrando os fatos relacionados, os respectivos efeitos e a medida de reparação adotada, visando a permitir, principalmente, a verificação do cumprimento das medidas protetivas desta Resolução.

O controlador, ao tomar conhecimento do incidente de segurança relativo ao tratamento de dados pessoais com possibilidade de causar dano relevante aos titulares, comunicará à UEPDAP, sem demora injustificada, sempre que possível no prazo de até 72 (setenta e duas) horas.

A UEPDAP, no procedimento próprio instaurado para a apuração do incidente de segurança comunicado, poderá, diante da aferição da sua relevância, determinar ao controlador a adoção de providências, como a ampla divulgação do fato em meios de comunicação e medidas outras específicas para reverter ou mitigar os efeitos do incidente.

Quando o incidente de segurança relativo ao tratamento for suscetível de criar um relevante risco para os direitos e as liberdades das pessoas naturais e, também, quando o controlador ou o encarregado entenderem oportuno, os titulares de dados pessoais e a ANPD deverão ser informados sem demora injustificada, a fim de permitir que tomem as precauções necessárias, devendo constar da comunicação a natureza da violação de dados pessoais e as recomendações destinadas a atenuar potenciais efeitos adversos.

Na hipótese de a comunicação individual implicar um esforço desproporcional para o controlador, será feita uma comunicação coletiva ou adotada medida semelhante por meio da qual os titulares dos dados pessoais serão informados de forma igualmente eficaz.

Para fins de quantificação e qualificação dos danos decorrentes do incidente de segurança no tratamento de dados pessoais, devem ser levados em conta, primordialmente, os seguintes critérios:

Nos termos do inciso IV do art. 28 desta Resolução, a UEPDAP estabelecerá diretrizes complementares acerca da adequação progressiva de bancos de dados pessoais constituídos até a data de sua entrada em vigor, consideradas a complexidade das operações de tratamento e a natureza dos dados pessoais.

O Presidente do CNMP indicará, ouvida a UEPDAP, membros do Ministério Público para integrarem, como representante e suplente, o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, conforme previsto no inciso V do art. 58-A da LGPD.

As Ouvidorias de cada ramo e unidade do Ministério Público e do CNMP poderão funcionar como órgãos de apoio e canal de trâmite dos procedimentos relacionados à presente Resolução, na hipótese da inexistência ou impossibilidade da criação imediata da estrutura administrativa própria, respeitados os prazos estabelecidos para a necessária adequação.

No prazo de até 1 (um) ano a contar da publicação desta Resolução, o CNMP, os ramos e as unidades do Ministério Público brasileiro deverão a ela adequar todos os seus atos internos.

No prazo de até 2 (dois) anos, a contar da publicação desta Resolução, o CNMP, os ramos e as unidades do Ministério Público brasileiro deverão a ela adequar todos os seus atos internos. ( Redação dada pela Resolução Nº 312, de 10 de junho de 2025 )

Durante os dois primeiros anos de vigência da presente Resolução, não se aplicam as restrições previstas no § 1º do seu art. 45.

Os ramos e as unidades do Ministério Público brasileiro deverão, no prazo de até 90 (noventa) dias contados da entrada em vigor da presente Resolução, elaborar cronograma para confeccionar ou adaptar seus Planos Diretores, suas normas, seus procedimentos, seus protocolos, suas rotinas, sua estrutura administrativa e suas ações de proteção de dados pessoais.

A tutela coletiva do direito fundamental à proteção de dados pessoais, pelos órgãos de execução do Ministério Público, deverá ser implementada imediatamente.

A UEPDAP poderá implementar modelos de formulários e relatórios para inventário de dados pessoais e para aferição de riscos (RIDP), devendo ser reavaliados e atualizados de forma constante.

No prazo de 120 (cento e vinte) dias a contar da publicação da presente Resolução, os ramos e as unidades do Ministério Público deverão realizar um relatório de conformidade em relação a esta Resolução, o qual deverá ser enviado à UEPDAP e renovado anualmente.

A UEPDAP deverá ser instalada no prazo de até 90 (noventa) dias a contar da entrada em vigor da presente Resolução, inclusive com a designação de seus integrantes e suplentes.

A UEPDAP deverá promover ações de cooperação com autoridades, organismos, entidades públicas e privadas de estudo e proteção de dados pessoais de outros países.

A UEPDAP priorizará a orientação e a capacitação de membros e servidores a respeito da tutela do direito fundamental à proteção de dados pessoais realizada pelos órgãos de execução do Ministério Público.

Ato do Presidente do CNMP, delegável ao Secretário-Geral, poderá dispor sobre o compartilhamento recíproco de estrutura física e de pessoal entre o seu encarregado de dados pessoais e a UEPDAP, para o desenvolvimento de suas correspondentes atividades.

Os ramos e as unidades do Ministério Público, por meio dos órgãos de comunicação social, a partir da publicação da presente Resolução, desenvolverão plano de comunicação da Política Nacional de Proteção de Dados Pessoais do Ministério Público.

Aplicam-se ao CNMP, quando cabível e possível, todas as regras previstas nesta Resolução que sejam dirigidas aos ramos e às unidades do Ministério Público brasileiro.

A presente Resolução aplica-se às Escolas de Governo, aos Centros de Estudos, Aperfeiçoamento e Capacitação, ou equivalentes, dos ramos e das unidades do Ministério Público, observado o disposto na alínea "b" do inciso II do art. 4º da LGPD, sendo facultado à administração superior de cada ramo e unidade o emprego da estrutura administrativa disposta no art. 45 ou o estabelecimento de estrutura paralela dedicada exclusivamente à tutela dos dados pessoais.

Aplicam-se os arts. 7º a 11 da LGPD ao tratamento de dados pessoais custodiados pelo Ministério Público sempre que utilizados para fins exclusivamente acadêmicos.

Para complementar a regulamentação de proteção de dados pessoais no âmbito do Ministério Público brasileiro, o CNMP, pela sua UEPDAP, deverá, no prazo de 2 (dois) anos, estabelecer as medidas necessárias para a criação de recomendações, notas técnicas, protocolos, rotinas, orientações e manuais relativos às transferências de dados nacionais e internacionais e, também, referentes ao uso das tecnologias e tratativas com as Autoridade Nacional de Proteção de Dados Pessoais (ANPD) brasileira e internacionais.

Os convênios e contratos em vigor de tratamento de dados pessoais entre o Ministério Público e instituições públicas e privadas deverão se adequar aos termos da presente Resolução, no prazo de 1 (um) ano da sua publicação.

Os convênios e contratos em vigor de tratamento de dados pessoais entre o Ministério Público e instituições públicas e privadas deverão se adequar aos termos da presente Resolução, no prazo de 2 (dois) anos da sua publicação. ( Redação dada pela Resolução Nº 312, de 10 de junho de 2025 )

O art. 7º da Resolução CNMP nº 89, de 28 de agosto de 2012 , passa a vigorar acrescido de § 4º, com a seguinte redação: "Art. 7º ........................................................................................... ....................................................................................................... § 4º As informações individuais e nominais da remuneração de membro ou servidor mencionadas no inciso VII serão automaticamente disponibilizadas mediante prévia identificação do interessado, a fim de se garantir a segurança e a vedação ao anonimato, nos termos do art. 5º, caput e inciso IV, da Constituição Federal, salvaguardado o sigilo dos dados pessoais do solicitante, que ficarão sob a custódia e responsabilidade da unidade competente, vedado o seu compartilhamento ou divulgação, sob as penas da lei." (NR)

O Ministério Público atuará, interna e externamente, sempre que possível, de modo a colaborar com a Autoridade Nacional de Proteção de Dados, especialmente quando o objetivo de sua atuação disser respeito à interpretação da LGPD.

Esta Resolução entre em vigor na data de sua publicação.