ATO TRT6-GP n.º 192/2026

Institui a Política de Proteção de Dados Pessoais do Tribunal Regional do Trabalho da 6ª Região e revoga os Atos TRT6-GP nº 228/2021 e nº 242/2021.

O DESEMBARGADOR PRESIDENTE DO TRIBUNAL REGIONAL DO TRABALHO DA SEXTA REGIÃO, no uso de suas atribuições legais e regimentais,
CONSIDERANDO os arts. 5º, incisos X, XII, XXXIII e LXXIX, e 37, caput, da Constituição Federal;
CONSIDERANDO a Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais;
CONSIDERANDO a Lei nº 12.527, de 18 de novembro de 2011 — Lei de Acesso à Informação;
CONSIDERANDO a Resolução CNJ nº 363, de 12 de janeiro de 2021;
CONSIDERANDO a regulamentação da Agência Nacional de Proteção de Dados — ANPD aplicável à atuação do encarregado pelo Tratamento de Dados Pessoais, à comunicação de incidentes de segurança e à transferência internacional de dados pessoais;
CONSIDERANDO o Regulamento Geral do Tribunal Regional do Trabalho da 6ª Região, especialmente quanto às atribuições da Seção de Proteção de Dados Pessoais;
CONSIDERANDO a Política de Segurança da Informação do TRT6, o Protocolo Institucional de Comunicação de Incidentes Cibernéticos e o Protocolo de Prevenção de Incidentes Cibernéticos;
CONSIDERANDO a necessidade de aperfeiçoar a governança institucional em privacidade e proteção de dados pessoais, com ênfase em transparência, bases legais, registro das operações de tratamento, gestão de riscos, segurança da informação, resposta a incidentes e atendimento aos direitos dos titulares,
RESOLVE:

CAPÍTULO I
DAS DISPOSIÇÕES PRELIMINARES

Art. 1º Este Ato institui a Política de Proteção de Dados Pessoais do Tribunal Regional do Trabalho da 6ª Região, destinada a orientar a governança, o tratamento, a segurança, a transparência e a prestação de contas em matéria de proteção de dados pessoais.

Art. 2º Esta Política aplica-se ao tratamento de dados pessoais realizado nas atividades jurisdicionais e administrativas do Tribunal, bem como nas relações institucionais mantidas com magistrados, servidores, estagiários, colaboradores, jurisdicionados, usuários de serviços, fornecedores, prestadores de serviço e demais pessoas naturais cujos dados sejam tratados pelo TRT6.

§ 1º O tratamento de dados pessoais observa a Constituição Federal, a Lei Geral de Proteção de Dados Pessoais, a Lei de Acesso à Informação, a legislação correlata, os atos do Conselho Nacional de Justiça, do Conselho Superior da Justiça do Trabalho e da ANPD, bem como os atos internos compatíveis.

§ 2º Os dados pessoais tratados em sítios eletrônicos, sistemas judiciais, sistemas administrativos, plataformas digitais e demais ambientes institucionais do TRT6 podem ser disciplinados por atos específicos, interpretados em conformidade com esta Política.

§ 3º A aplicação desta Política às atividades jurisdicionais observa as normas processuais, o segredo de justiça, as prerrogativas funcionais e os regimes legais de acesso à informação.

§ 4º Em caso de conflito aparente entre esta Política e ato normativo interno de hierarquia inferior, prevalece esta Política, ressalvada a hipótese de ato específico mais protetivo aos titulares ou decorrente de obrigação legal ou regulatória superveniente.

Art. 3º Para os fins desta Política, adotam-se as definições previstas na Lei Geral de Proteção de Dados Pessoais e na legislação correlata.

CAPÍTULO II
DO TRATAMENTO DE DADOS PESSOAIS

Art. 4º O tratamento de dados pessoais pelo TRT6 observa a boa-fé e os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.

Art. 5º O tratamento de dados pessoais pelo TRT6 é realizado para o atendimento de finalidade pública, na consecução do interesse público e no exercício de suas competências constitucionais, legais, regimentais e administrativas.

§ 1º O tratamento de dados pessoais observa as hipóteses legais previstas nos arts. 7º, 11 e 23 da Lei Geral de Proteção de Dados Pessoais, bem como os princípios e as regras específicas aplicáveis ao tratamento pelo Poder Público.

§ 2º O consentimento não constitui fundamento prioritário para o tratamento de dados pessoais pelo Tribunal, sem prejuízo de sua utilização quando exigido ou juridicamente adequado.

§ 3º A base legal aplicável deve ser documentada, conforme a natureza do tratamento, no registro das operações de tratamento, em matriz de bases legais, relatório técnico, instrumento contratual, ato administrativo ou outro registro institucional adequado.

Art. 6º Os dados pessoais tratados pelo TRT6 devem ser:

I — protegidos por medidas técnicas e administrativas aptas a resguardar sua confidencialidade, integridade, disponibilidade, autenticidade e rastreabilidade;

II — mantidos adequados, pertinentes, exatos e atualizados, quando necessário à finalidade do tratamento;

III — retificados, bloqueados, eliminados, anonimizados ou descartados, quando cabível, de acordo com a legislação, a tabela de temporalidade documental e os atos normativos específicos; e

IV — compartilhados apenas quando houver finalidade legítima, necessidade, proporcionalidade e base legal adequada, observadas as salvaguardas de segurança e de registro pertinentes.

§ 1º O TRT6 disponibiliza informações adequadas para o exercício dos direitos assegurados aos titulares, na forma desta Política.

§ 2º A restrição de acesso a documentos ou informações com fundamento na proteção de dados pessoais deve ser excepcional, específica e motivada.

§ 3º Devem ser avaliadas alternativas de acesso parcial, anonimização, pseudonimização, ocultação, mascaramento, tarjamento ou outra técnica apta a evitar exposição indevida de dados pessoais.

§ 4º Os prazos de retenção e os critérios de descarte, eliminação, anonimização ou conservação devem ser definidos por tratamento ou por classe de documentos, observadas a tabela de temporalidade documental, a legislação arquivística, as normas processuais, as obrigações legais e regulatórias e a necessidade de preservação de direitos.

Art. 7º O tratamento de dados pessoais sensíveis pelo TRT6 somente pode ocorrer nas hipóteses previstas no art. 11 da Lei Geral de Proteção de Dados Pessoais, com prioridade nas medidas de mapeamento, classificação da informação, avaliação de riscos, controle de acesso, registro e segurança.

Art. 8º As informações sobre o tratamento de dados pessoais de crianças, adolescentes e pessoas em situação de vulnerabilidade devem ser prestadas em linguagem clara, simples, concisa, transparente, inteligível e acessível.

§ 1º O tratamento de dados pessoais de crianças e adolescentes observa o disposto no art. 14 da Lei Geral de Proteção de Dados Pessoais e no Estatuto da Criança e do Adolescente, com primazia do melhor interesse e adoção de salvaguardas adequadas à idade e à compreensão dos titulares.

§ 2º O tratamento de dados pessoais de crianças, adolescentes e pessoas em situação de vulnerabilidade deve ser priorizado nas ações de mapeamento, classificação da informação, avaliação de riscos, definição de salvaguardas, controle de acesso, retenção, compartilhamento e eventual elaboração de Relatório de Impacto à Proteção de Dados Pessoais.

§ 3º É vedada a coleta de dados pessoais de crianças e adolescentes para finalidade incompatível com a atividade institucional ou em quantidade superior à estritamente necessária à execução da finalidade pública.

CAPÍTULO III
DOS AGENTES DE TRATAMENTO E DA GOVERNANÇA

Art. 9º Para os fins desta Política, considera-se:

I — controlador: o agente responsável pelas decisões essenciais referentes ao tratamento de dados pessoais;

II — operador: a pessoa natural ou jurídica, de direito público ou privado, que realiza tratamento de dados pessoais em nome do controlador;

III — suboperador: a pessoa natural ou jurídica contratada pelo operador para auxiliá-lo na execução de atividades de tratamento de dados pessoais em nome do controlador;

IV — controlador conjunto: a situação em que dois ou mais controladores participam conjuntamente da definição das finalidades e dos meios essenciais do tratamento; e

V — controlador independente: a situação em que há mais de um controlador, com decisões autônomas quanto às respectivas finalidades e aos respectivos meios do tratamento.

Parágrafo único. Não se enquadram como operadores as pessoas naturais que atuam sob subordinação funcional e em nome da pessoa jurídica a que estejam vinculadas.

Art. 10. O TRT6 exerce, no âmbito de suas competências institucionais, a função de controlador e toma decisões relativas ao tratamento de dados pessoais sob sua responsabilidade.

Parágrafo único. A Presidência do Tribunal exerce as atribuições decisórias do controlador, sem prejuízo das competências das unidades administrativas e judiciárias responsáveis pelos respectivos processos de trabalho.

Art. 11. Compete à Presidência do TRT6, no exercício das funções decisórias do controlador:

I — deliberar sobre questões relativas à governança de dados pessoais;

II — incentivar a cultura de privacidade e proteção de dados pessoais;

III — expedir normas administrativas e decidir pedidos, controvérsias e matérias relacionadas à proteção de dados pessoais;

IV — determinar a atualização desta Política e o desenvolvimento de normas e procedimentos complementares;

V — deliberar, na condição de controlador, sobre a comunicação de incidentes de segurança com dados pessoais à ANPD e aos titulares, sem prejuízo da atuação do encarregado; e

VI — determinar a adoção de medidas corretivas, preventivas, estruturantes ou de responsabilização relacionadas ao tratamento de dados pessoais.

Art. 12. O Subcomitê Gestor de Proteção de Dados Pessoais apoia a implementação, o monitoramento e o aperfeiçoamento desta Política, no âmbito das atribuições previstas em ato normativo próprio.

§ 1º O apoio de que trata o caput compreende o acompanhamento da implementação desta Política, a apreciação de relatórios, inventários, registros, fluxos, matrizes, avaliações de risco e propostas de adequação, bem como a formulação de recomendações.

§ 2º O Subcomitê pode recomendar a priorização de processos, sistemas, bases de dados, contratações ou compartilhamentos para fins de inventário, registro, avaliação de riscos, classificação da informação, elaboração de Relatório de Impacto à Proteção de Dados Pessoais, revisão contratual, adoção de salvaguardas ou auditoria.

§ 3º As propostas do Subcomitê que extrapolarem sua competência são submetidas à Presidência do TRT6.

CAPÍTULO IV
DO ENCARREGADO, DA SEÇÃO DE PROTEÇÃO DE DADOS PESSOAIS E DA OUVIDORIA

Art. 13. A função de encarregado pelo Tratamento de Dados Pessoais é exercida por membro da magistratura designado em ato da Presidência do Tribunal.

§ 1º O encarregado atua como canal de comunicação entre o controlador, aos titulares e a ANPD.

§ 2º Devem ser assegurados ao encarregado os meios necessários ao exercício de suas atribuições, inclusive recursos técnicos, administrativos e operacionais.

§ 3º O encarregado exerce suas atribuições com autonomia técnica, observadas a legislação, esta Política e as deliberações institucionais cabíveis.

§ 4º A designação e a atuação do encarregado devem observar as regras legais e regulamentares sobre conflito de interesse, de modo a preservar sua objetividade, imparcialidade e autonomia técnica.

§ 5º O encarregado deve ter acesso às informações necessárias ao exercício de suas atribuições, observadas as restrições legais, processuais, de segurança da informação e de sigilo aplicáveis.

§ 6º Nos afastamentos legais, impedimentos ou vacância do encarregado, atua a pessoa suplente designada pela Presidência.

Art. 14. As atividades do encarregado compreendem:

I — receber reclamações, requerimentos, solicitações e comunicações dos titulares, prestar esclarecimentos e adotar as providências cabíveis;

II — receber comunicações da ANPD e adotar ou promover os encaminhamentos pertinentes;

III — orientar magistrados, servidores, estagiários, terceirizados, colaboradores, unidades administrativas e judiciárias e agentes de tratamento contratados quanto às práticas de proteção de dados pessoais;

IV — supervisionar o fluxo de atendimento aos titulares de dados pessoais, observadas as providências adotadas pelo controlador;

V — acompanhar, com apoio das áreas competentes, incidentes de segurança com repercussão sobre dados pessoais;

VI — prestar assistência e orientação à Presidência, quando solicitado ou quando a relevância da matéria assim o exigir;

VII — operacionalizar, nos termos da deliberação da Presidência e dos fluxos institucionais aplicáveis, a comunicação de incidentes de segurança com dados pessoais à ANPD e aos titulares; e

VIII — cientificar a Presidência sobre fatos relevantes relacionados à proteção de dados pessoais.

Parágrafo único. A atuação do encarregado pode abranger manifestação técnica sobre registros de tratamento, relatórios de impacto, incidentes, compartilhamentos, transferências internacionais, contratações, uso de tecnologias, respostas a titulares, avaliação de riscos e medidas de governança, sem substituição das competências decisórias do controlador ou das atribuições das unidades gestoras.

Art. 15. A Seção de Proteção de Dados Pessoais atua como unidade de suporte ao encarregado e como unidade de apoio executivo do Subcomitê Gestor de Proteção de Dados Pessoais, observadas as atribuições previstas no Regulamento Geral do Tribunal.

§ 1º A Seção de Proteção de Dados Pessoais auxilia a implementação dos instrumentos de governança em proteção de dados pessoais, especialmente na instrução de demandas, consolidação de informações, elaboração de minutas e subsídios e acompanhamento de registros, inventários, relatórios, incidentes, matrizes, avaliações de risco e ações de conformidade.

§ 2º O suporte técnico e administrativo prestado pela Seção de Proteção de Dados Pessoais não substitui as atribuições decisórias do controlador nem a atuação do encarregado como canal de comunicação com a ANPD e com os titulares.

§ 3º A Seção de Proteção de Dados Pessoais pode propor modelos, formulários, listas de verificação, parâmetros de inventário, matrizes de bases legais, matrizes de compartilhamento, roteiros de análise de risco, critérios de priorização, orientações operacionais e outros instrumentos de apoio à conformidade institucional.

§ 4º A Seção de Proteção de Dados Pessoais pode, mediante autorização da Presidência do Tribunal, representar tecnicamente o TRT6 em reuniões, grupos de trabalho, congressos, seminários, oficinas, capacitações e eventos correlatos sobre privacidade e proteção de dados pessoais, sem prejuízo das atribuições próprias do encarregado.

Art. 16. A Ouvidoria atua como canal institucional de recepção e encaminhamento inicial das solicitações, reclamações e requerimentos formulados por titulares de dados pessoais, sem prejuízo de outros canais formalmente instituídos.

§ 1º As demandas recebidas pela Ouvidoria são encaminhadas à Seção de Proteção de Dados Pessoais e ao encarregado, conforme fluxo próprio.

§ 2º A Ouvidoria pode solicitar complementação de informações à pessoa titular quando necessária à identificação do pedido, à comprovação de legitimidade do solicitante ou à adequada instrução procedimental da demanda.

§ 3º A análise técnica da matéria cabe ao encarregado, com suporte da Seção de Proteção de Dados Pessoais e das unidades competentes.

Art. 17. O atendimento aos titulares observa fluxo próprio, com classificação das demandas em ordinárias e qualificadas, e prazo de análise de até 15 (quinze) dias, contado da data do requerimento.

§ 1º Compete à Seção de Proteção de Dados Pessoais realizar análise técnica preliminar, prestar suporte ao encarregado, solicitar subsídios às unidades competentes e propor a classificação da demanda.

§ 2º Consideram-se ordinárias as demandas de baixa complexidade, sem controvérsia jurídica relevante, sem risco significativo aos titulares ou à instituição e que possam ser atendidas mediante providência objetiva.

§ 3º Consideram-se qualificadas as demandas que envolvam indeferimento total ou parcial do pedido, restrição de acesso a informações, controvérsia jurídica relevante, conflito entre proteção de dados pessoais e transparência pública, dados pessoais sensíveis em contexto de maior risco, dados de crianças ou adolescentes, compartilhamento de dados de natureza sensível, incidente de segurança, decisão automatizada com impacto relevante, risco institucional significativo ou necessidade de uniformização de entendimento.

§ 4º O encarregado pode validar tecnicamente minuta de resposta ou de providência, solicitar complementação, recomendar medida adicional, reclassificar a demanda ou encaminhar manifestação técnica à Presidência.

§ 5º A Presidência do Tribunal decide as demandas qualificadas que envolvam matéria sujeita à deliberação do controlador, sem prejuízo da possibilidade de delegação de competência para hipóteses previamente definidas em ato próprio.

§ 6º Eventual prorrogação, suspensão ou adequação de prazo deve ser motivada, registrada no respectivo expediente e comunicada à pessoa titular, quando cabível.

Art. 18. Cabe recurso administrativo ao Tribunal Pleno, no prazo de 10 (dez) dias, das decisões da Presidência proferidas em matéria administrativa de proteção de dados pessoais, observado o Regimento Interno do Tribunal e os atos normativos aplicáveis. 

CAPÍTULO V
DOS DIREITOS DOS TITULARES

Art. 19. É assegurado aos titulares, observadas as regras da Lei Geral de Proteção de Dados Pessoais, da legislação processual, do segredo de justiça e das normas administrativas aplicáveis, o exercício dos seguintes direitos:

I — confirmação da existência de tratamento;

II — acesso aos dados pessoais tratados;

III — correção de dados incompletos, inexatos ou desatualizados;

IV — anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a legislação;

V — portabilidade dos dados a outro fornecedor de serviço ou produto, observadas a regulamentação da ANPD, os segredos comercial e industrial e as limitações próprias do regime de tratamento pelo Poder Público;

VI — eliminação dos dados pessoais tratados com o consentimento da pessoa titular, ressalvadas as hipóteses do art. 16 da Lei Geral de Proteção de Dados Pessoais;

VII — informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

VIII — informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

IX — revogação do consentimento, quando esta for a base legal aplicável;

X — oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento da Lei Geral de Proteção de Dados Pessoais; e

XI — revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, observados os segredos comercial e industrial, a legislação aplicável e as limitações próprias do tratamento pelo Poder Público.

§ 1º O exercício dos direitos previstos neste artigo é gratuito.

§ 2º O exercício dos direitos previstos neste artigo observa as limitações decorrentes do regime de tratamento pelo Poder Público, das normas processuais, do segredo de justiça, da preservação da prova, do interesse público e das obrigações legais e regulatórias aplicáveis.

§ 3º Em caso de impossibilidade de atendimento integral à solicitação, a resposta à pessoa titular deve indicar, de forma fundamentada, os motivos da limitação e, sempre que cabível, as alternativas de atendimento parcial.

CAPÍTULO VI
DA TRANSPARÊNCIA, DOS REGISTROS, DA CLASSIFICAÇÃO DA INFORMAÇÃO E DA CONFORMIDADE

Art. 20. O portal institucional do TRT6 deve contemplar, em local de fácil acesso, área específica sobre proteção de dados pessoais, em linguagem simples, clara e acessível.

§ 1º A área de que trata o caput deve conter, no mínimo:

I — informações básicas sobre a Lei Geral de Proteção de Dados Pessoais e sua aplicação no Tribunal;

II — nome completo e formas de contato do encarregado;

III — formulário ou canal para exercício dos direitos dos titulares;

IV — informações sobre o Subcomitê Gestor de Proteção de Dados Pessoais;

V — legislação e normas aplicáveis;

VI — aviso de cookies e ferramenta para gerenciamento de preferências, quando cabível;

VII — orientações sobre os direitos dos titulares e os meios para seu exercício; e

VIII — informações gerais sobre retenção, descarte, compartilhamento, segurança, classificação, restrição de acesso e divulgação parcial de informações que contenham dados pessoais.

§ 2º A área específica deve permanecer atualizada, observados os princípios da transparência, da clareza, da acessibilidade e da minimização da exposição de dados pessoais.

Art. 21. A classificação de informações que contenham dados pessoais deve considerar a natureza e a sensibilidade dos dados, as categorias de titulares, a finalidade do tratamento, o sigilo legal ou processual aplicável, o risco aos titulares e à instituição e as medidas cabíveis de controle de acesso, retenção, compartilhamento, publicação, anonimização, pseudonimização, mascaramento, tarjamento, eliminação ou descarte.

§ 1º A existência de dados pessoais em documentos, processos, bases de dados ou registros institucionais não implica, por si só, restrição integral de acesso, devendo ser avaliada a viabilidade de acesso parcial ou de adoção de medida proporcional que concilie transparência pública, proteção de dados pessoais, sigilo legal, segurança da informação e controle social.

§ 2º A negativa total ou parcial de acesso a informação fundada na proteção de dados pessoais deve ser motivada, com indicação clara e objetiva:

I — dos dados pessoais protegidos;

II — da base legal específica que justifica a proteção;

III — das alternativas de acesso parcial, anonimização, pseudonimização, mascaramento ou tarjamento avaliadas; e

IV — das razões pelas quais essas alternativas, quando descartadas, são consideradas inviáveis ou insuficientes.

Art. 22. O TRT6 deve manter registro das operações de tratamento de dados pessoais e inventário institucional dos processos de trabalho que envolvam tratamento de dados pessoais.

§ 1º O registro das operações e o inventário institucional constituem instrumentos de conformidade e subsidiam a definição de bases legais, a identificação de riscos, a elaboração de relatórios de impacto, o aperfeiçoamento de controles e a demonstração de conformidade institucional.

§ 2º O inventário institucional é estruturado de forma progressiva e baseada em risco, priorizados os processos, sistemas, bases de dados, contratos e compartilhamentos que envolvam maior risco aos titulares ou à instituição.

§ 3º O registro das operações de tratamento e o inventário institucional devem ser mantidos atualizados pelas unidades gestoras dos processos de trabalho, com suporte das unidades técnicas e, quando necessário, manifestação do encarregado.

Art. 23. O registro das operações de tratamento e o inventário institucional devem contemplar, no mínimo, conforme a natureza do tratamento:

I — processo de trabalho, atividade, projeto, sistema, contratação, integração ou fluxo de tratamento;

II — finalidade do tratamento;

III — base legal aplicável;

IV — categoria de pessoa titular;

V — categoria de dado pessoal e de dado pessoal sensível;

VI — unidade responsável;

VII — sistemas, bases de dados, repositórios e integrações envolvidos;

VIII — operadores, suboperadores, terceiros, controladores conjuntos ou controladores independentes envolvidos;

IX — compartilhamentos internos e externos;

X — transferência internacional de dados pessoais;

XI — prazo ou critério de retenção;

XII — critério de descarte, eliminação, anonimização ou conservação;

XIII — controles de acesso, registros de auditoria, logs ou mecanismos de rastreabilidade;

XIV — riscos identificados e salvaguardas adotadas ou propostas;

XV — indicação sobre necessidade de elaboração ou atualização de Relatório de Impacto à Proteção de Dados Pessoais; e

XVI — data de elaboração, revisão ou atualização do registro.

Art. 24. A elaboração e a atualização do registro das operações de tratamento são de responsabilidade da unidade gestora do processo organizacional, com suporte da Seção de Proteção de Dados Pessoais e, quando necessário, manifestação do encarregado.

§ 1º Na hipótese de processo organizacional sem responsável definido, cabe à Presidência designar a unidade ou pessoa responsável pela elaboração e atualização do respectivo registro.

§ 2º As unidades gestoras devem manter evidências mínimas das providências adotadas para fins de responsabilização, prestação de contas, auditoria, controle interno e atendimento a órgãos de controle.

Art. 25. Têm prioridade, para fins de mapeamento e adequação:

I — processos que envolvam dados pessoais sensíveis;

II — processos que envolvam dados de crianças e adolescentes;

III — processos que envolvam dados de saúde;

IV — processos que envolvam grande volume de dados pessoais;

V — processos que envolvam compartilhamento com terceiros;

VI — fluxos com risco relevante de exposição indevida;

VII — processos que envolvam transferência internacional de dados pessoais ou serviços em nuvem;

VIII — processos que envolvam decisões automatizadas com impacto jurídico, administrativo ou institucional relevante; e

IX — processos indicados em avaliações de risco, relatórios de auditoria, recomendações de órgãos de controle ou deliberações do Subcomitê Gestor de Proteção de Dados Pessoais.

Art. 26. O Relatório de Impacto à Proteção de Dados Pessoais é instrumento de responsabilidade do TRT6, na qualidade de controlador, e deve ser elaborado ou atualizado quando a operação de tratamento puder gerar alto risco à garantia dos princípios de proteção de dados pessoais, às liberdades civis ou aos direitos fundamentais dos titulares, bem como nos demais casos exigidos pela legislação ou regulamentação aplicável.

§ 1º Para a elaboração ou atualização do relatório, a unidade responsável pelo processo, projeto, sistema, contratação ou atividade de tratamento deve instruir o expediente, prestar as informações necessárias e indicar elementos relativos à finalidade, à base legal, às categorias de dados e de titulares, aos fluxos de tratamento, aos riscos identificados e às medidas de mitigação adotadas ou propostas.

§ 2º A Seção de Proteção de Dados Pessoais pode orientar a instrução do relatório, consolidar informações, propor ajustes ou elaborar minutas, conforme a complexidade da matéria, a disponibilidade das informações e o fluxo institucional aplicável.

§ 3º O relatório deve ser encaminhado ao encarregado para ciência e manifestação quando a operação de tratamento puder gerar alto risco aos titulares, especialmente quando envolver:

I — tratamento em larga escala;

II — impacto significativo sobre direitos ou interesses fundamentais;

III — dados pessoais sensíveis;

IV — dados de crianças, adolescentes ou pessoas em situação de vulnerabilidade;

V — uso de tecnologia emergente ou inovadora;

VI — decisão automatizada com impacto jurídico, administrativo ou institucional relevante;

VII — transferência internacional de dados pessoais;

VIII — compartilhamento com entidades privadas;

IX — risco de reidentificação; ou

X — controvérsia significativa sobre base legal, finalidade, necessidade ou proporcionalidade do tratamento.

§ 4º O relatório deve, sempre que possível, ser elaborado ou atualizado antes da implantação do projeto, sistema, integração, contratação, fluxo ou operação de tratamento a que se refira.

§ 5º A dispensa de relatório em tratamento potencialmente relevante deve ser justificada pela unidade responsável, com indicação dos elementos considerados na avaliação de risco.

CAPÍTULO VII
DAS CONTRATAÇÕES, DO COMPARTILHAMENTO E DA TRANSFERÊNCIA INTERNACIONAL DE DADOS PESSOAIS

Art. 27. Os editais, avisos de dispensa eletrônica, termos de referência, projetos básicos, contratos, convênios, acordos de cooperação e instrumentos congêneres que envolvam tratamento de dados pessoais devem conter cláusulas de proteção de dados pessoais compatíveis com o objeto, a natureza, a finalidade, o volume, a sensibilidade e os riscos das operações de tratamento.

§ 1º As cláusulas devem observar, de forma proporcional ao risco, requisitos relativos à finalidade do tratamento, à base legal aplicável, aos papéis das partes, às categorias de dados pessoais e de pessoas titulares, às medidas de segurança, à confidencialidade, ao controle de acesso, ao compartilhamento, à retenção, à eliminação ou devolução dos dados, à contratação de suboperadores, à cooperação com o Tribunal, ao atendimento de direitos dos titulares, à comunicação de incidentes e à transferência internacional de dados pessoais.

§ 2º O tratamento de dados pessoais por contratado, convenente ou partícipe limita-se às finalidades necessárias à execução do objeto e às instruções documentadas do Tribunal, ressalvadas as hipóteses de obrigação legal ou regulatória própria.

§ 3º A exigência, a modulação ou a simplificação das cláusulas de proteção de dados pessoais deve observar a natureza do objeto, o grau de risco aos titulares, a sensibilidade dos dados envolvidos, o volume de dados tratados, a existência de compartilhamento com terceiros, a transferência internacional de dados pessoais e a maturidade demonstrada pelo contratado, convenente ou partícipe em matéria de privacidade e segurança da informação.

§ 4º A modulação ou simplificação das cláusulas de proteção de dados pessoais deve ser justificada pela unidade requisitante e apresentada à unidade responsável pela contratação, para que esta, após análise preliminar, submeta à avaliação da Seção de Proteção de Dados Pessoais, da unidade jurídica competente e do encarregado, quando cabível, observados o objeto, a complexidade e o risco da contratação. 

§ 5º Os instrumentos convocatórios e contratuais que envolvam tratamento de dados pessoais podem exigir, quando cabível e de forma proporcional ao risco, declaração de ciência e compromisso do licitante, contratado, convenente ou partícipe quanto à observância da Lei Geral de Proteção de Dados Pessoais, desta Política e das demais normas institucionais aplicáveis, sem prejuízo de outras exigências previstas no edital, no contrato ou em instrumento congênere.

§ 6º A contratação de suboperadores para auxiliar em atividades que envolvam tratamento de dados pessoais deve observar as condições previstas no edital, contrato ou instrumento congênere, inclusive quanto à necessidade de comunicação ou autorização prévia pelo Tribunal, quando aplicável.

§ 7º O contratado, convenente ou partícipe que atuar como operador deve adotar medidas para assegurar que eventual suboperador observe as obrigações previstas na legislação de proteção de dados pessoais, nesta Política, no instrumento jurídico aplicável e nas instruções documentadas do Tribunal.

§ 8º O Tribunal pode realizar diligências e requisitar informações ao contratado, convenente, partícipe, operador ou suboperador, quando cabível, para verificar a adoção de medidas de conformidade com a legislação de proteção de dados pessoais, com esta Política e com as obrigações previstas no instrumento jurídico aplicável, observados o sigilo legal, a segurança da informação e a proteção de informações estratégicas ou confidenciais.
Art. 28. Cabe às unidades integrantes da estrutura de contratações do Tribunal elaborar e manter atualizadas orientações, modelos, cláusulas referenciais, declarações, notas técnicas, listas de verificação e matrizes de risco para subsidiar contratações que envolvam tratamento de dados pessoais, com suporte da Seção de Proteção de Dados Pessoais, da unidade jurídica competente e do encarregado, quando cabível.
§ 1º As unidades requisitantes devem observar, no que couber, as orientações, modelos, cláusulas referenciais, declarações, listas de verificação e matrizes de risco desde a fase de planejamento da contratação.
§ 2º Quando a contratação envolver tratamento de dados pessoais que, após avaliação documentada, possa gerar alto risco à garantia dos princípios de proteção de dados pessoais, às liberdades civis ou aos direitos fundamentais dos titulares, a unidade requisitante ou a equipe de planejamento da contratação deve submeter a demanda à Seção de Proteção de Dados Pessoais, acompanhada das informações necessárias à análise quanto à elaboração ou atualização de Relatório de Impacto à Proteção de Dados Pessoais.
§ 3º O Relatório de Impacto à Proteção de Dados Pessoais, quando cabível, deve instruir a fase de planejamento da contratação e subsidiar a elaboração do termo de referência, observadas as restrições de acesso aplicáveis a informações sensíveis, estratégicas, de segurança da informação ou protegidas por sigilo legal.
§ 4º O suporte da Seção de Proteção de Dados Pessoais restringe-se às matérias de privacidade e proteção de dados pessoais, sem substituir a análise jurídica, a gestão contratual, a atuação da unidade requisitante ou as competências da unidade responsável pela contratação.
Art. 29. O compartilhamento de dados pessoais pelo TRT6 deve observar finalidade pública, base legal adequada, necessidade, proporcionalidade, segurança da informação, transparência possível e registro das operações, sem prejuízo das hipóteses de sigilo legal, processual ou administrativo.

§ 1º O compartilhamento externo de dados pessoais com órgãos e entidades públicas, organismos internacionais, instituições privadas ou terceiros deve ser registrado em processo administrativo, sistema próprio, instrumento jurídico ou registro institucional equivalente.

§ 2º O registro deve conter, conforme a natureza do compartilhamento, motivação, finalidade, base legal, categorias de dados pessoais, categorias de pessoas titulares, destinatários, responsabilidades das partes, medidas de segurança, controles de acesso, prazo ou critério de retenção, possibilidade ou vedação de novo compartilhamento e procedimento para atendimento dos direitos dos titulares.

§ 3º O compartilhamento externo recorrente, de grande volume, com dados pessoais sensíveis, com dados de crianças ou adolescentes, com entidades privadas, com transferência internacional, com risco relevante aos titulares ou com potencial impacto institucional deve ser formalizado por instrumento adequado à natureza da operação.

§ 4º Nas hipóteses de controle conjunto, o instrumento jurídico ou registro institucional deve indicar, de forma clara e transparente, as responsabilidades de cada controlador, os dados pessoais compartilhados, a finalidade do tratamento, as bases legais aplicáveis, às medidas de segurança, os prazos de retenção, as condições de eliminação ou conservação e os procedimentos para atendimento dos direitos dos titulares.

Art. 30. O compartilhamento interno de dados pessoais entre unidades do Tribunal deve observar finalidade institucional legítima, necessidade, pertinência temática e limitação de acesso ao mínimo necessário para a execução da atividade.

§ 1º A unidade solicitante deve indicar, quando necessário, a finalidade do acesso ou compartilhamento e limitar a utilização dos dados pessoais à finalidade informada.

§ 2º As unidades responsáveis devem adotar medidas para prevenir acesso indevido, extração excessiva, reprodução desnecessária, armazenamento paralelo injustificado e reutilização de dados pessoais para finalidade incompatível.
§ 3º O compartilhamento interno que envolva dados pessoais sensíveis, dados de crianças ou adolescentes, grande volume de dados pessoais, dados funcionais de acesso restrito ou risco relevante de exposição indevida deve observar controles reforçados de acesso, rastreabilidade, minimização e registro.
§ 4º Os dados pessoais relativos à saúde recebem proteção reforçada, observados o princípio da necessidade, o acesso restrito, a segregação de funções e a limitação da divulgação ao estritamente necessário para a finalidade administrativa ou assistencial.
Art. 31. A transferência internacional de dados pessoais somente pode ocorrer nas hipóteses admitidas pela Lei Geral de Proteção de Dados Pessoais e pela regulamentação da ANPD.

§ 1º A unidade responsável pela atividade, contratação, sistema ou solução que envolva transferência internacional deve identificar a hipótese autorizadora aplicável e registrar as salvaguardas adotadas.

§ 2º Pode caracterizar transferência internacional o armazenamento, o acesso remoto, o suporte técnico, o processamento, a hospedagem, o backup, a subcontratação, a integração sistêmica ou o fluxo de dados pessoais com pessoa natural ou jurídica localizada fora do território nacional.

§ 3º Quando a transferência internacional decorrer de relação contratual, o instrumento jurídico deve prever mecanismo válido de transferência, observadas a legislação, a regulamentação da ANPD e as orientações institucionais aplicáveis.

§ 4º As soluções em nuvem, ferramentas de suporte, plataformas digitais, integrações, aplicações de inteligência artificial ou serviços contratados que envolvam acesso, armazenamento, processamento ou suporte técnico fora do território nacional devem ser avaliados quanto à existência de transferência internacional de dados pessoais e às salvaguardas aplicáveis.

CAPÍTULO VIII
DA SEGURANÇA DA INFORMAÇÃO, DA PREVENÇÃO E DA RESPOSTA A INCIDENTES

Art. 32. A proteção de dados pessoais no TRT6 observa a Política de Segurança da Informação e os protocolos institucionais relativos à prevenção, detecção, tratamento, registro e comunicação de incidentes cibernéticos e de privacidade.

Parágrafo único. As medidas de segurança da informação aplicáveis ao tratamento de dados pessoais devem observar abordagem baseada em risco, compatível com a natureza, a finalidade, o volume, a sensibilidade, a criticidade e o ciclo de vida dos dados tratados.

Art. 33. O TRT6 deve realizar, de forma periódica e baseada em risco, avaliações de segurança e privacidade sobre os sistemas, bases de dados, repositórios, integrações, fluxos de compartilhamento e soluções tecnológicas identificadas no inventário institucional dos processos de trabalho que envolvam tratamento de dados pessoais.

§ 1º As avaliações devem priorizar ambientes e fluxos que envolvam:

I — dados pessoais sensíveis;

II — dados de crianças e adolescentes;

III — grande volume de dados pessoais;

IV — compartilhamento com terceiros;

V — integrações sistêmicas internas ou externas;

VI — serviços em nuvem; e

VII — operações de tratamento com risco relevante de exposição indevida.

§ 2º Os resultados das avaliações subsidiam a classificação de riscos, a definição de medidas corretivas, o aperfeiçoamento de controles e a priorização de ações institucionais de adequação.

§ 3º O escopo técnico das avaliações deverá ser sugerido pela Secretaria-Geral de Tecnologia da Informação e Comunicação, em conjunto com a Seção de Proteção de Dados Pessoais e posteriormente submetido para aprovação pelo Comitê de Segurança da Informação e Proteção de Dados.

Art. 34. As unidades responsáveis por projetos, sistemas, integrações, soluções tecnológicas ou fluxos de compartilhamento devem avaliar, desde a fase de planejamento, os riscos relacionados ao tratamento de dados pessoais e as medidas de mitigação aplicáveis.

Parágrafo único. A adoção ou não adoção de medidas de mitigação deve ser avaliada de forma proporcional ao risco, à finalidade, ao contexto do tratamento, à viabilidade técnica, aos requisitos legais e à necessidade de preservação da transparência pública, da atividade jurisdicional ou da atividade administrativa.

Art. 35. Qualquer unidade, magistrado, servidor, colaborador ou prestador de serviço que tenha ciência de incidente ou suspeita de incidente com potencial repercussão sobre dados pessoais deve comunicar o fato pelos canais institucionais definidos para incidentes de segurança da informação e de privacidade.

§ 1º A comunicação deve ocorrer de forma tempestiva e conter, sempre que possível, a descrição do fato, a data ou o período provável da ocorrência, os sistemas ou bases afetados, as categorias de dados pessoais envolvidos, as medidas imediatas adotadas e a indicação das unidades ou terceiros relacionados.

§ 2º A Secretaria-Geral de Tecnologia da Informação e Comunicação, a Seção de Proteção de Dados Pessoais e as demais unidades competentes atuam de forma coordenada na triagem, no registro, na contenção, na apuração, na mitigação de riscos e na instrução das providências institucionais, observadas as competências previstas no Regulamento Geral do Tribunal e nos protocolos aplicáveis.

§ 3º O encarregado, com apoio da Seção de Proteção de Dados Pessoais, avalia o potencial de risco ou dano relevante aos titulares e acompanha os incidentes com repercussão sobre dados pessoais.

§ 4º Caracterizado incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a Presidência do Tribunal deliberará, na condição de controlador, sobre a comunicação à ANPD e aos titulares, cabendo ao encarregado operacionalizá-la, nos termos da legislação, da regulamentação aplicável e dos fluxos institucionais próprios.

§ 5º Em situação de urgência, quando a observância do prazo regulamentar puder ser comprometida, o encarregado poderá realizar comunicação preliminar à ANPD, com registro formal da justificativa e posterior submissão à Presidência para ratificação no primeiro dia útil subsequente, ou em prazo definido no fluxo institucional próprio.

§ 6º A comunicação à ANPD deverá ser realizada no prazo de 3 (três) dias úteis, contado da confirmação de que o incidente de segurança pode acarretar risco ou dano relevante aos titulares, ressalvado prazo diverso previsto em norma superveniente.

§ 7º Caso não seja possível apresentar todas as informações no prazo previsto no § 6º, a comunicação pode ser complementada no prazo de 20 (vinte) dias úteis, contado da primeira comunicação, mediante justificativa, nos termos da regulamentação da ANPD.

§ 8º A avaliação de risco ou dano relevante considera, entre outros fatores:

I — a natureza e a categoria dos dados pessoais afetados;

II — o volume de pessoas titulares envolvidas;

III — a possibilidade de identificação ou reidentificação dos titulares;

IV — a existência de dados pessoais sensíveis, dados de crianças, adolescentes ou pessoas em situação de vulnerabilidade;

V — os impactos materiais, morais, reputacionais, discriminatórios, financeiros ou institucionais possíveis;

VI — a extensão, a gravidade e a reversibilidade dos efeitos do incidente;

VII — as medidas de contenção, mitigação e remediação adotadas; e

VIII — a probabilidade de uso indevido dos dados pessoais.

§ 9º Os registros relacionados ao incidente devem ser preservados pelo prazo necessário à apuração, à prestação de contas, ao cumprimento de obrigações legais e à adoção de medidas preventivas ou corretivas.

§ 10. As lições aprendidas em incidentes ou quase incidentes devem subsidiar a revisão de controles, fluxos, contratos, acessos, registros, capacitações, avaliações de risco e instrumentos de governança.

CAPÍTULO IX
DO USO DE TECNOLOGIAS, AUTOMAÇÃO E INTELIGÊNCIA ARTIFICIAL

Art. 36. O uso de tecnologias, sistemas automatizados, ferramentas de análise de dados, inteligência artificial ou soluções correlatas que envolvam tratamento de dados pessoais deve observar os princípios da Lei Geral de Proteção de Dados Pessoais, a legislação aplicável, as diretrizes institucionais de segurança da informação, a governança de dados e os normativos do Conselho Nacional de Justiça e do Conselho Superior da Justiça do Trabalho.

Parágrafo único. Pode ser instituído anexo técnico ou instrumento complementar para avaliação de soluções tecnológicas, sistemas automatizados, ferramentas de análise de dados, modelos de inteligência artificial ou soluções correlatas que envolvam tratamento de dados pessoais.

Art. 37. As soluções tecnológicas que envolvam tratamento de dados pessoais devem observar, no mínimo:

I — finalidade institucional legítima;

II — necessidade e proporcionalidade do tratamento;

III — definição das unidades responsáveis;

IV — identificação das categorias de dados pessoais e de pessoas titulares;

V — avaliação de riscos e salvaguardas aplicáveis;

VI — controles de acesso, rastreabilidade e segurança da informação;

VII — medidas de transparência compatíveis com a natureza da solução; e

VIII — critérios de retenção, descarte, anonimização ou eliminação dos dados pessoais.

Parágrafo único. Quando a solução tecnológica envolver inteligência artificial, automação decisória, perfilamento, análise preditiva, tratamento em larga escala ou integração de múltiplas bases de dados, a avaliação deve considerar riscos de discriminação, erro, opacidade, reidentificação, uso secundário incompatível, exposição indevida, perda de controle sobre os dados e impacto sobre direitos fundamentais.

Art. 38. Os projetos, sistemas, ferramentas, integrações, modelos de inteligência artificial ou soluções automatizadas que envolvam tratamento de dados pessoais devem ser comunicados, antes de sua implementação, ao encarregado, à Seção de Proteção de Dados Pessoais e ao Subcomitê Gestor de Proteção de Dados Pessoais quando apresentarem risco relevante aos titulares ou envolverem:

I — dados pessoais sensíveis;

II — dados de crianças ou adolescentes;

III — tratamento em larga escala;

IV — decisão automatizada com impacto jurídico, administrativo ou institucional relevante;

V — compartilhamento com terceiros ou transferência internacional de dados pessoais;

VI — uso de tecnologia nova ou metodologia inovadora de tratamento; ou

VII — risco relevante de discriminação, exposição indevida, perda de controle, reidentificação ou outro impacto significativo aos titulares.

CAPÍTULO X
DO PROGRAMA DE GOVERNANÇA, DA CAPACITAÇÃO, DO MONITORAMENTO E DA AUDITORIA

Art. 39. O programa de governança em privacidade e proteção de dados pessoais compreende medidas técnicas, administrativas, normativas, educacionais e de controle destinadas a demonstrar conformidade, responsabilização e prestação de contas.

§ 1º A estruturação e o acompanhamento do programa cabem à Seção de Proteção de Dados Pessoais, sob diretrizes da Presidência do Tribunal e com acompanhamento do Subcomitê Gestor de Proteção de Dados Pessoais.

§ 2º Compete às unidades gestoras dos processos de trabalho fornecer informações, manter atualizados os registros das operações de tratamento e executar as medidas de adequação sob sua responsabilidade.

§ 3º O programa busca produzir evidências documentais suficientes para demonstrar conformidade, responsabilização, prestação de contas, avaliação de riscos e melhoria contínua.

Art. 40. O TRT6 realizará ciclo periódico de revisão dos procedimentos, registros e instrumentos de conformidade em privacidade e proteção de dados pessoais, com o objetivo de manter atualizados o inventário institucional, o registro das operações de tratamento, as matrizes de bases legais, compartilhamentos e riscos, os critérios de retenção e descarte, os relatórios de impacto, os controles de acesso e as evidências de capacitação.

§ 1º O ciclo de revisão observa cronograma definido em plano anual de governança em privacidade e proteção de dados pessoais, elaborado pela Seção de Proteção de Dados Pessoais, com apoio do encarregado e das unidades competentes, e submetido ao acompanhamento do Subcomitê Gestor de Proteção de Dados Pessoais.

§ 2º O plano anual poderá estabelecer critérios diferenciados para unidades judiciárias e administrativas, considerados o grau de risco, a natureza dos dados pessoais tratados, a criticidade dos sistemas, o volume de pessoas titulares envolvidas, os compartilhamentos realizados e a capacidade operacional das unidades.

§ 3º O cronograma de revisão contempla, conforme a necessidade, ações relativas à revisão de procedimentos, atualização dos registros das operações de tratamento, reavaliação de bases legais, revisão de acessos, avaliação de compartilhamentos, conferência de prazos de retenção e descarte, identificação de riscos, revisão de instrumentos contratuais e capacitação das equipes envolvidas.

§ 4º As unidades responsáveis pelos processos de trabalho registram as providências adotadas no ciclo de revisão, inclusive participação em capacitação, atualização dos registros de tratamento, revisão de acessos, riscos identificados, medidas corretivas propostas ou implementadas e justificativa para pendências remanescentes.

§ 5º A Seção de Proteção de Dados Pessoais consolida os resultados do ciclo de revisão e os submete ao encarregado e ao Subcomitê Gestor de Proteção de Dados Pessoais, para acompanhamento, priorização de providências e inclusão no relatório periódico do programa de governança em privacidade e proteção de dados pessoais.

Art. 41. O plano anual de governança em privacidade e proteção de dados pessoais contém o cronograma de revisão das unidades judiciárias e administrativas, os responsáveis, os produtos esperados, os prazos de execução, os indicadores de acompanhamento e os critérios de priorização.

§ 1º O plano anual contempla, quando cabível, medidas de adequação normativa, tecnológica, procedimental, contratual, comunicacional e de capacitação, observadas as competências das unidades envolvidas.

§ 2º O planejamento observa abordagem baseada em risco e considera, entre outros fatores, a sensibilidade dos dados tratados, o volume de dados pessoais, a criticidade dos sistemas, os fluxos de compartilhamento, as transferências internacionais, os incidentes registrados, os relatórios de impacto e as recomendações dos órgãos de controle.

§ 3º O plano anual pode ser atualizado ao longo do exercício, em razão de alterações normativas, incidentes de segurança, recomendações de auditoria, deliberações do Subcomitê Gestor de Proteção de Dados Pessoais, mudanças estruturais ou identificação de risco relevante aos titulares ou à instituição.

Art. 42. O TRT6 realizará avaliação institucional periódica de aderência à legislação e à regulamentação aplicáveis à proteção de dados pessoais, com identificação de lacunas de conformidade, riscos, providências, responsáveis e prioridades.

§ 1º A avaliação é documentada, quando cabível, em relatório de lacunas, matriz de riscos em privacidade e proteção de dados pessoais ou instrumento equivalente.

§ 2º As medidas decorrentes da avaliação institucional de lacunas e da matriz de riscos são incorporadas, quando cabível, ao plano anual de governança, ao plano de ação, ao roteiro de adequação ou a instrumento equivalente.

§ 3º A conformidade com esta Política pode ser objeto de auditoria, levantamento, monitoramento ou avaliação de controle interno.

Art. 43. A Escola Judicial, em articulação com o encarregado, a Seção de Proteção de Dados Pessoais e as unidades competentes, elabora e promove, anualmente, ações de capacitação e conscientização voltadas a magistrados, servidores, estagiários, colaboradores e demais pessoas envolvidas no tratamento de dados pessoais.

§ 1º As ações de capacitação observam, sempre que possível, plano anual, definição de públicos-alvo, conteúdo mínimo, periodicidade, registro de execução e critérios de acompanhamento.

§ 2º As ações de capacitação contemplam, quando cabível, bases legais, direitos dos titulares, Lei de Acesso à Informação, Lei Geral de Proteção de Dados Pessoais, dados sensíveis, incidentes de segurança, compartilhamento de dados, retenção e descarte, classificação da informação, segurança da informação, privacidade desde a concepção, uso de inteligência artificial e responsabilidades funcionais.

Art. 44. O encarregado, a Seção de Proteção de Dados Pessoais e o Subcomitê Gestor de Proteção de Dados Pessoais devem manter a Administração do TRT6 informada sobre aspectos e fatos significativos relacionados à proteção de dados pessoais, observadas as respectivas competências.

§ 1º Para os fins do caput, é elaborado relatório periódico de acompanhamento do programa de governança em privacidade e proteção de dados pessoais.

§ 2º O relatório tem caráter gerencial e observa, quando necessário, níveis de acesso compatíveis com a segurança da informação, a proteção de dados pessoais, o sigilo legal e a preservação de informações estratégicas do Tribunal.

Art. 45. O TRT6 prestará cooperação com fiscalizações, auditorias e diligências promovidas por órgãos de controle, auditorias internas ou externas regularmente instituídas e entidades legitimadas por lei, contrato ou decisão administrativa, observadas as prerrogativas legais aplicáveis, a proteção de dados pessoais, os limites de sigilo, a segurança da informação e a continuidade das atividades institucionais.

§ 1º A cooperação observa necessidade, proporcionalidade, finalidade, base legal, segurança da informação e minimização da exposição de dados pessoais.

§ 2º Sempre que possível, a disponibilização de documentos ou informações em fiscalizações, auditorias e diligências observa técnicas de anonimização, pseudonimização, mascaramento, tarjamento, acesso restrito, extração parcial ou outro mecanismo apto a reduzir riscos aos titulares.

Art. 46. Esta Política será avaliada em intervalos não superiores a 12 (doze) meses, contados da data de sua publicação, ou sempre que houver:

I — edição ou alteração de leis ou regulamentos relevantes;

II — alteração de diretrizes estratégicas institucionais;

III — mudanças significativas na arquitetura de tecnologia da informação e comunicação;

IV — análises de risco ou relatórios de impacto que indiquem necessidade de readequação normativa;

V — recomendações de auditoria, controle interno ou órgão de controle que indiquem necessidade de revisão; ou

VI — incidente de segurança ou evento relevante que demonstre necessidade de aperfeiçoamento dos controles institucionais.

CAPÍTULO XI
DAS DISPOSIÇÕES FINAIS

Art. 47. Os casos omissos serão resolvidos pela Presidência do TRT6, observadas as competências do encarregado, da Seção de Proteção de Dados Pessoais, do Subcomitê Gestor de Proteção de Dados Pessoais e das demais unidades competentes.

Art. 48. Podem ser instituídos, como instrumentos complementares desta Política, formulários, fluxos processuais, modelos de comunicação, matrizes de responsabilidade, orientações operacionais, extratos de registro, parâmetros de inventário, referenciais de classificação da informação, matrizes de bases legais, matrizes de compartilhamento, critérios de retenção e descarte, roteiros de análise de risco, modelos de Relatório de Impacto à Proteção de Dados Pessoais, modelos de cláusulas contratuais, parâmetros de avaliação de tecnologia e diretrizes de anonimização, pseudonimização, mascaramento e tarjamento.

§ 1º Os instrumentos complementares possuem natureza instrumental e são interpretados em conformidade com esta Política e com os demais atos normativos aplicáveis.

§ 2º Os instrumentos complementares não podem contrariar esta Política nem inovar em obrigações, restrições ou competências sem o correspondente ato normativo próprio.

§ 3º A inclusão, alteração, atualização, consolidação ou substituição dos instrumentos complementares pode ser promovida por ato da Presidência, observadas, quando cabível, a manifestação do encarregado, da Seção de Proteção de Dados Pessoais e do Subcomitê Gestor de Proteção de Dados Pessoais.

Art. 49. O descumprimento desta Política, dos atos normativos complementares, dos fluxos institucionais ou das orientações formalmente expedidas e previamente divulgadas em matéria de proteção de dados pessoais pode ensejar a adoção das medidas administrativas, disciplinares, contratuais, civis ou outras cabíveis, observados o devido processo legal, o contraditório, a ampla defesa e a legislação aplicável.

Parágrafo único. O disposto no caput aplica-se, no que couber, a magistrados, servidores, estagiários, terceirizados, residentes, aprendizes, colaboradores, prestadores de serviço, fornecedores, convenentes, partícipes e demais pessoas ou entidades que realizem tratamento de dados pessoais no âmbito de atividades, sistemas, contratos, instrumentos ou fluxos vinculados ao TRT6.

Art. 50. Ficam revogados:

I — o Ato TRT6-GP nº 228/2021; e

II — o Ato TRT6-GP nº 242/2021.

Art. 51. Este Ato entra em vigor 30 (trinta) dias após a data de sua publicação.

Publique-se.

Recife, data conforme assinatura eletrônica.
RUY SALATHIEL DE ALBUQUERQUE E MELLO VENTURA
Desembargador Presidente do TRT da 6ª Região