Portaria nº 18.287/ASTEC, DE 18 de novembro de 2025

O GERENTE TÉCNICO DE INOVAÇÃO E INFORMAÇÃO, na qualidade de Presidente do Comitê de Segurança da Informação e Proteção de Dados Pessoais da Agência Nacional de Aviação Civil - CSIP/ANAC, no uso das atribuições que lhe confere o art. 3º, inciso IV, da Portaria nº 5.805, de 30 de agosto de 2021, tendo em vista o disposto na Portaria nº 13.665, de 22 de janeiro de 2024, e na Portaria nº 13.755, de 29 de janeiro de 2024,

Considerando as regras, princípios e disposições previstas na Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais - LGPD;

Considerando o disposto na Instrução Normativa nº 172, de 2 de agosto de 2021, que institui a Política de Proteção de Dados Pessoais - PoPD no âmbito da Agência Nacional de Aviação Civil - ANAC;

Considerando o disposto na Instrução Normativa nº 128, de 6 de novembro de 2018, que institui a Política de Segurança da Informação - PoSI no âmbito da ANAC; e

Considerando o que consta do processo nº 00058.074816/2025-71, 

RESOLVE: 

Art. 1º Instituir, nos termos do Anexo, a Norma Complementar nº 13, que disciplina a retenção e o descarte de dados pessoais no âmbito da Agência Nacional de Aviação Civil - ANAC.

Art. 2º Esta Portaria entra em vigor na data de sua publicação.

VITOR MATEUS SILVA RAMOS

ANEXO

NORMA COMPLEMENTAR Nº 13

CAPÍTULO I

DOS CONCEITOS E DEFINIÇÕES

Art. 1º Para os fins desta Norma Complementar, e tendo em vista as definições constantes no Glossário de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República, considera-se:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

IV - banco de dados: coleção de dados inter-relacionados, representando informações sobre um domínio específico. São coleções organizadas de dados que se relacionam, a fim de criar algum sentido (informação) e de dar mais eficiência durante uma consulta ou a geração de informações ou conhecimento;

V - titular do dado: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII - encarregado: pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD;

IX - agentes de tratamento: o controlador ou o operador;

X - tratamento: toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII - pseudonimização: tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional, mantida separadamente pelo controlador, em ambiente controlado e seguro;

XIII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XIV - eliminação: exclusão de dado ou conjunto de dados, armazenados em banco de dados, independentemente do procedimento empregado;

XV - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais, por órgãos e entidades públicos, no cumprimento de suas competências legais, ou entre esses entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados; e

XVI - tabela de temporalidade: instrumento de gestão que por meio da avaliação arquivística sobre os valores dos documentos, possibilita a definição dos prazos de guarda e da destinação final dos documentos.

CAPÍTULO II

DO ESCOPO

Art. 2º São objetivos desta Norma Complementar:

I - estabelecer diretrizes para o armazenamento e descarte seguro de dados pessoais;

II - assegurar que os dados pessoais sejam armazenados por período adequado, observado o tempo necessário para cumprimento da sua finalidade;

III - minimizar a retenção desnecessária de dados pessoais; e

IV - promover transparência e informar aos titulares como seus dados pessoais são retidos e descartados.

Art. 3º Esta Norma Complementar aplica‑se a todos os servidores, colaboradores, estagiários, fornecedores e demais terceiros que, direta ou indiretamente, tratem dados pessoais em nome da ANAC ou que recebam dados pessoais compartilhados pela ANAC.

Parágrafo único. A contratação de terceiros deverá prever cláusulas específicas de proteção de dados e confidencialidade, além de auditorias para verificação do cumprimento desta Norma Complementar.

CAPÍTULO III

DA RETENÇÃO DE DADOS PESSOAIS

Art. 4º O armazenamento de dados pessoais é considerado operação de tratamento de dados frente à Lei Geral de Proteção de Dados Pessoais - LGPD, sendo necessária a adoção de medidas técnicas e administrativas de segurança.

Parágrafo único. Os dados pessoais deverão ser armazenados exclusivamente em ambientes autorizados pela ANAC, protegidos por controles de acesso compatíveis com a classificação da informação.

Art. 5º Será vedado o armazenamento de dados pessoais sensíveis em contas de e-mail e mídias portáteis como CDs, DVDs e pen drives.

Art. 6º Em nenhuma hipótese será permitido o armazenamento de dados pessoais em serviços de nuvem que não estejam previamente autorizados ou contratados formalmente pela ANAC.

Art. 7º A retenção de dados pessoais será permitida nas seguintes hipóteses:

I - enquanto houver base legal válida e necessidade operacional, observados os prazos definidos na tabela de temporalidade;

II - quando os dados forem submetidos a processo de anonimização, por meio do qual não seja possível a identificação do seu titular; e

III - dados envolvidos em investigações, auditorias ou litígios que estejam em curso.

Parágrafo único. Os processos de anonimização ou pseudonimização deverão ser submetidos à avaliação técnica do Gestor de Segurança da Informação e do Encarregado de Proteção de Dados Pessoais.

CAPÍTULO IV

DO DESCARTE DE DADOS PESSOAIS

Art. 8º O dado pessoal controlado pela ANAC deverá ser descartado quando:

I - expirarem os prazos definidos na tabela de temporalidade e inexistirem obrigações legais ou contratuais que exijam retenção adicional;

II - quando for verificado que a finalidade do tratamento tenha sido alcançada ou que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica informada ao titular, e inexistirem obrigações legais que exijam retenção adicional;

III - o tratamento requer consentimento, e o titular solicitar de forma explícita e expressa a revogação do seu consentimento; ou

IV - houver determinação específica do Comitê de Segurança da Informação e de Proteção de Dados Pessoais - CSIP.

Art. 9º O descarte de dados pessoais, em suporte físico ou digital, deverá ser realizado com o emprego de medidas que impossibilitem a sua reconstrução.

Art. 10. Serão aceitas as seguintes formas de descarte:

I - para documentos em papel, CDs ou DVDs:

a) trituração; ou

b) incineração/queima;

II - para documentos em unidades de disco rígido, como HDDs e outras mídias magnéticas, incluindo unidades de disco rígido de impressoras e copiadoras:

a) sobrescrever; ou

b) destruição física por esmagamento, desmontagem ou desmagnetização;

III - para dados pessoais armazenados em bancos de dados, redes ou nuvens, deverão ser realizadas eliminação eletrônica segura, que compreenda a exclusão em todos os ambientes ativos, repositórios de logs, caches e backups. Poderão ser utilizadas técnicas de exclusão criptográfica, sanitização de registros e invalidação de chaves, conforme definido em procedimento da Gerência Técnica de Segurança da Informação - GTSI.

Parágrafo único. Todas as cópias dos dados eliminados, incluindo cópias de segurança, independentemente do suporte, deverão ser destruídas.

Art. 11. Cada operação de descarte de dados pessoais deverá ser registrada em relatório técnico contendo, no mínimo, identificação do conjunto de dados, data e hora, responsável pela operação, método de eliminação ou sanitização empregado, justificativa e evidências documentais.

Art. 12. Órgãos e instituições receptoras de dados pessoais compartilhados pela ANAC deverão eliminá‑los quando a finalidade do compartilhamento for alcançada ou quando não forem mais necessários, conforme prazos contratuais.

Parágrafo único. Os órgãos e instituições de que trata o caput deverão seguir as formas de descarte desta Norma Complementar, comprovar a eliminação mediante certificação ou relatório, e estarão sujeitos a auditorias e sanções em caso de descumprimento.

CAPÍTULO V

DAS DISPOSIÇÕES FINAIS

Art. 13. O titular poderá solicitar, a qualquer tempo, informações e o exercício de seus direitos para o Encarregado de Proteção de Dados Pessoais, por meio do e-mail encarregado.lgdp@anac.gov.br.

Parágrafo único. As solicitações recebidas do titular para exercer seus direitos durante todo o período de tratamento serão respondidas na forma e dentro dos prazos exigidos pelas normas aplicáveis.

Art. 14. Qualquer pessoa que, no exercício de suas atividades, tome conhecimento ou suspeite de incidente que viole esta Norma Complementar ou coloque em risco a segurança de dados pessoais deverá comunicar imediatamente o Encarregado pelo Tratamento de Dados Pessoais, por meio do e-mail encarregado.lgdp@anac.gov.br.

Parágrafo único. O fato de que trata o caput será registrado e tratado conforme os procedimentos constantes do plano de resposta a incidentes da ANAC.

Art. 15. A ANAC fornecerá treinamentos sobre boas práticas em armazenamento e descarte de dados pessoais aos servidores e colaboradores terceirizados.

Art. 16. As omissões e exceções a esta Norma Complementar deverão ser submetidas, por escrito, ao CSIP, acompanhadas de justificativa e análise de risco realizada pela unidade solicitante e pelo Gestor de Segurança da Informação, para avaliação e deliberação.

Art. 17. O descumprimento desta Norma Complementar será considerado violação de dever funcional e sujeitará o infrator, servidor ou terceiro, às sanções administrativas, civis e penais aplicáveis. Para terceiros, também serão aplicadas as penalidades contratuais correspondentes.

_____________________________________________________________________________________

Publicado em 19 de novembro de 2025 no Boletim de Pessoal e Serviço - BPS v.20, nº 46, de 17 a 21 de novembro de 2025