Portarias e comunicados
Anexo – Política de Proteção de Dados Pessoais da Fundação de Amparo à Pesquisa do Estado de São Paulo - FAPESP
Seção I
Disposições Iniciais
Art. 1º Esta Política se aplica a qualquer operação de tratamento de dados pessoais realizada por empregados e colaboradores de todas as unidades organizacionais da FAPESP, ou por terceiro em seu nome e sob suas instruções.
Art. 2º O objetivo desta Política é garantir a efetividade da proteção de dados pessoais e dos direitos dos titulares de dados pessoais nas operações de tratamento sob responsabilidade da FAPESP, além de assegurar a conformidade com a legislação vigente e com as orientações dos órgãos de controle e reguladores.
Seção II
Definições
Art. 3º Para os fins desta norma, consideram-se as definições existentes nos arts. 5º e 6º da Lei n. 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), e as seguintes:
I - compartilhamento: operação de tratamento pela qual órgãos e entidades públicos conferem permissão de acesso ou transferem uma base de dados pessoais a outro ente público ou a entidades privadas, visando ao atendimento de finalidade pública;
II - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
III - privacidade nos projetos, nas contratações e nos processos de trabalho: a adoção de medidas de segurança, técnicas e administrativas, que assegurem a privacidade e a proteção de dados pessoais desde a concepção do produto ou do serviço até a sua execução; e
IV - relatório de impacto de proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como das medidas, das salvaguardas e dos mecanismos de mitigação de risco.
Seção III
Dos Agentes de Tratamento e do Encarregado
Art. 4º A FAPESP exerce as atribuições de controlador em relação às operações de tratamento realizadas com o objetivo de executar as competências e atribuições legais no âmbito de suas atividades administrativas e finalísticas.
Parágrafo único. A FAPESP poderá atuar como controlador conjunto quando compartilhar as decisões acerca das finalidades e dos elementos essenciais do tratamento com outro responsável.
Art. 5º Operador é a pessoa jurídica ou natural, não integrante do quadro funcional da FAPESP, que realize tratamento de dados pessoais em nome da FAPESP e sob suas instruções, observando as Políticas de Proteção de Dados Pessoais, de Segurança da Informação e de Privacidade e Tratamento de Dados Pessoais da Fundação.
Art. 6º O encarregado de dados e respectivo suplente serão designados em Portaria específica, para atuarem como canal de comunicação entre a FAPESP, os titulares dos dados pessoais e a Agência Nacional de Proteção de Dados (ANPD).
Seção IV
Dos Princípios
Art. 7º A aplicação desta Política observará a boa-fé e os princípios definidos no art. 6º da LGPD, a saber: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.
Seção V
Das Diretrizes
Art. 8º A proteção dos dados pessoais na FAPESP seguirá as seguintes diretrizes:
I - realização do tratamento de dados pessoais para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar e cumprir as suas atribuições legais;
II - aderência ao princípio da segurança da informação;
III - incorporação da proteção de dados pessoais em todos os projetos desde a concepção;
IV - respeito aos direitos dos titulares de dados;
V - capacitação e conscientização dos envolvidos em atividades que realizem tratamento de dados pessoais com base nesta Política e das boas práticas dela decorrentes; e
VI - transparência na forma como a Fundação realiza o tratamento de dados pessoais.
Seção VI
Do Tratamento de Dados Pessoais
Art. 9º Os dados pessoais tratados pela FAPESP devem ser:
I - mantidos disponíveis, íntegros e confidenciais, nos termos da Política de Segurança da Informação da Fundação; e
II - tratados somente em hipótese legal autorizativa.
Parágrafo único. Serão eliminados os dados pessoais que não sejam mais necessários por terem cumprido sua finalidade ou por terem encerrado o seu prazo de retenção, nos termos do Plano de Classificação e da Tabela de Temporalidade de Documentos das Atividades-Fim da FAPESP, aprovados pela Portaria PR n. 49, de 9 de dezembro de 2020, e homologados pela Portaria PR n. 53, de 11 de fevereiro de 2021, e do Plano de Classificação e da Tabela de Temporalidade de Documentos da Administração Pública do Estado de São Paulo – Atividades-Meio, publicados pelo Arquivo Público do Estado de São Paulo, conforme classificação, avaliação e destinação das informações e dos documentos, exceto nas hipóteses previstas nos incisos I a IV do art. 16 da LGPD.
Art. 10. O tratamento de dados pessoais na FAPESP poderá ser realizado nas seguintes hipóteses autorizativas previstas no art. 7º da LGPD:
I - mediante o consentimento do titular; ou
II - sem o consentimento do titular, para:
a) o cumprimento de obrigação legal ou regulatória;
b) o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e em regulamentos ou respaldadas em contratos, em convênios ou em instrumentos congêneres;
c) a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
d) o exercício regular de direitos em processo judicial, administrativo ou arbitral;
e) a proteção da vida ou da incolumidade física do titular ou de terceiro;
f) a tutela da saúde, exclusivamente, nos procedimentos realizados pelos profissionais de saúde, serviços de saúde ou autoridade sanitária;
g) o atendimento aos legítimos interesses da FAPESP; ou
h) a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
Art. 11. O tratamento de dados pessoais sensíveis na FAPESP poderá ser realizado nas seguintes hipóteses autorizativas previstas no art. 11 da LGPD:
I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas; ou
II - sem o consentimento do titular, nas hipóteses em que seja indispensável para:
a) o cumprimento de obrigação legal ou regulatória;
b) o tratamento compartilhado de dados necessários à execução de políticas públicas previstas em leis ou em regulamentos;
c) o exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
d) a proteção da vida ou da incolumidade física do titular ou de terceiro;
e) a tutela da saúde, exclusivamente nos procedimentos para assistência à saúde na Fundação; ou
f) a garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
Art. 12. Quando o tratamento de dados pessoais decorrer do atendimento de interesse legítimo da FAPESP, hipótese prevista na alínea “g”, inciso II, art. 10, poderá ser realizado o tratamento sem o consentimento do titular, desde que demonstrada a proporcionalidade entre esse interesse e os direitos e as legítimas expectativas dos titulares.
Parágrafo único. A demonstração da proporcionalidade entre o interesse legítimo da FAPESP, os direitos e as legítimas expectativas dos titulares será documentada por meio da realização de teste de proporcionalidade definido pela Comissão de Proteção de Dados da FAPESP – CPD.
Art. 13. A utilização do consentimento, como base legal para o tratamento de dados pessoais pela FAPESP, deve assegurar ao titular a possibilidade da efetiva manifestação de vontade em relação ao tratamento de dados pessoais, a fim de não acarretar restrições ao exercício de seus direitos fundamentais.
Art. 14. O tratamento de dados de criança e de adolescente deve pautar-se pelo seu melhor interesse e por sua máxima proteção, nos termos do art. 14 da LGPD e da legislação pertinente.
§ 1º Para fins desta Política, considera-se criança a pessoa até doze anos de idade incompletos e adolescente aquela entre doze e dezoito anos de idade.
§ 2º Quando o tratamento de dados de criança for amparado na hipótese de consentimento, esse deverá ser específico e destacado por pelo menos um dos pais ou pelo responsável legal.
§ 3º A FAPESP disponibilizará as informações sobre o tratamento de dados de crianças e de adolescentes realizado de maneira simples, clara e acessível, a fim de proporcionar o seu pleno entendimento por parte dos titulares e dos pais ou responsáveis legais.
Art. 15. A transferência internacional de dados somente poderá ser feita nos casos previstos nos incisos I a IX do art. 33 da LGPD.
Art. 16. Toda comunicação interna e/ou externa, inclusive atos administrativos, deverá prezar pela proteção dos dados pessoais, descaracterizando-os, sempre que possível.
§ 1º Todo dado pessoal e dado pessoal sensível, exceto o nome, cargo/função e o número do Cadastro de Pessoa Física – CPF descaracterizado, da pessoa natural identificável, deverá ser omitido da comunicação e/ou publicação de ato administrativo.
§ 2º O número do CPF deve ser divulgado de forma descaracterizada, ocultando os três primeiros dígitos do documento e os dois últimos dígitos verificadores, na publicação e divulgação dos atos administrativos da Fundação.
Art. 17. Os documentos de identificação de acesso às dependências da FAPESP e de participação de eventos, como crachás, deverão adequar-se a esta Política, exibindo o mínimo de informações pessoais necessárias, como nome e, caso necessário, número de matrícula do empregado, apenas.
Art. 18. O compartilhamento e/ou a transferência de dados pessoais somente poderão ser realizados mediante formalização por meio de contratos, convênios ou outros instrumentos congêneres que estabeleçam medidas de proteção e segurança dos dados e as responsabilidades de cada parte.
Parágrafo único. Os contratos, convênios ou outros instrumentos congêneres que provirem o tratamento, o compartilhamento e/ou a transferência de dados pessoais devem observar as disposições da LGPD, as regulamentações complementares da ANPD, esta Política, bem como as Políticas de Segurança da Informação e de Privacidade da FAPESP.
Seção VII
Da Gestão do Consentimento
Art. 19. A área e/ou gerência que realizar tratamento de dados pessoais amparado no consentimento do titular ficará responsável por sua obtenção e gerenciamento, cabendo-lhe:
I - garantir ao titular a efetividade do seu direito de revogação do consentimento;
II - garantir que o tratamento ocorra nos limites do consentimento obtido; e
III - comunicar ao encarregado de dados as hipóteses de tratamento de dados realizados com base no consentimento do titular.
Parágrafo único. A Comissão de Proteção de Dados, juntamente com o encarregado de dados, poderá proor orientações complementares a esta Política, acerca da gestão do consentimento.
Seção VIII
Das Responsabilidades
Art. 20. Compete ao encarregado de dados:
I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis;
II - exercer, em nome da Fundação, a interlocução com a Agência Nacional de Proteção de Dados e adotar providências, quando necessárias;
III - orientar os empregados, colaboradores e terceiros contratados pela FAPESP a respeito das práticas a serem adotadas em relação à proteção de dados pessoais;
IV - prestar assistência e orientação à administração da FAPESP, com o apoio e assessoramento da Comissão de Proteção de Dados e/ou da Gerência de Informática, na elaboração, definição e implementação, conforme o caso, de:
a) registro e comunicação de incidente de segurança;
b) registro das operações de tratamento de dados pessoais;
c) relatório de impacto à proteção de dados pessoais;
d) mecanismos internos de supervisão e de mitigação de riscos relativos ao tratamento de dados pessoais;
e) medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito;
f) processos e políticas internas que assegurem o cumprimento da LGPD, e dos regulamentos e orientações da ANPD;
g) instrumentos contratuais que disciplinem questões relacionadas ao tratamento de dados pessoais;
h) transferências internacionais de dados;
i) regras de boas práticas e de governança e de programa de governança em privacidade, nos termos do art. 50 da LGPD; e
j) produtos e serviços que adotem padrões de design compatíveis com os princípios previstos na LGPD, incluindo a privacidade por padrão e a limitação da coleta de dados pessoais ao mínimo necessário para a realização de suas finalidades; e
V - executar as demais atribuições determinadas pela FAPESP ou estabelecidas em normas complementares.
Parágrafo único. Ao receber comunicações da ANPD, o encarregado deverá adotar as medidas necessárias para o atendimento da solicitação e para o fornecimento das informações pertinentes, adotando, entre outras, as seguintes providências:
I - encaminhar internamente a demanda para as unidades competentes;
II - fornecer a orientação e a assistência necessárias à administração da FAPESP; e
III - indicar expressamente o representante da FAPESP perante a ANPD para fins de atuação em processos administrativos, quando esta função não for exercida pelo próprio encarregado.
Art. 21. São atribuições da Comissão de Proteção de Dados da FAPESP – CPD, além daquelas definidas nos incisos I a VIII, art. 39, da Portaria PR n. 263, de 26 de maio de 2026:
I - apoiar o encarregado de dados no desempenho das competências e atividades previstas no art. 20;
II - definir modelos para a realização de testes de proporcionalidade para o tratamento de dados pessoais por legítimo interesse da FAPESP; e
III - apoiar as áreas e gerências da FAPESP em questões técnicas para a elaboração de Relatório de Impacto à Proteção de Dados Pessoais, solicitado pelo encarregado de dados para atendimento de requisições enviadas pela ANPD.
Art. 22. Cabe ao operador realizar o tratamento de dados pessoais observadas as instruções definidas pela FAPESP e de forma aderente a esta Política.
Parágrafo único. Os instrumentos contratuais firmados com operadores deverão estabelecer obrigações suficientes para garantir a conformidade do tratamento realizado com esta Política, considerados os riscos envolvidos na contratação.
Art. 23. Compete aos gerentes e demais gestores responsáveis por unidades da estrutura organizacional da Fundação:
I - avaliar a adequação das operações de tratamento de dados pessoais realizadas em sua respectiva área ou gerência aos princípios da LGPD e às demais normas aplicáveis e promover os ajustes cabíveis;
II - analisar e gerir, no âmbito de sua respectiva área ou gerência, os riscos relativos ao tratamento de dados pessoais;
III - estabelecer e fazer cumprir controles internos para impedir o acesso não autorizado e o compartilhamento indevido de dados pessoais;
IV - prestar informações ao encarregado de dados para atendimento de requerimento do titular ou de solicitações da ANPD;
V - fomentar boas práticas relacionadas à privacidade de dados pessoais no âmbito de sua área ou gerência; e
VI - prestar outras informações e adotar providências quando requeridas pelo controlador ou encarregado de dados.
Art. 24. Compete a todos os empregados e colaboradores da FAPESP:
I - não compartilhar dados pessoais de titular, aos quais tenha acesso em função de suas atividades, com terceiros, sem autorização prévia do titular ou sem a previsão em normas ou regulamentos;
II - não utilizar dados pessoais de titular, aos quais tenha acesso em função de suas atividades, para fins diversos daqueles previstos nas Políticas de Privacidade da FAPESP;
III - zelar pela proteção dos dados pessoais aos quais tenha acesso e/ou que manipula em função de suas atividades;
IV - manter sigilo sobre dados pessoais sensíveis, aos quais tenha acesso em função de suas atividades;
V - relatar qualquer suspeita de vazamento de dados ou incidentes de segurança aos seus superiores, à Comissão de Proteção de Dados ou ao encarregado de dados, para a adoção das providências cabíveis; e
VI - seguir as normas internas e Políticas de Privacidade e de Segurança da Informação da FAPESP.
Seção IX
Dos Direitos dos Titulares
Art. 25. A FAPESP zela para que o titular dos dados pessoais possa usufruir dos direitos a ele assegurados nos arts. 17 a 20 da LGPD.
Art. 26. Os pedidos de exercício dos direitos do titular serão dirigidos ao encarregado de dados, devendo ser enviados por meio de canal de contato disponibilizado na página da Fundação na internet.
Art. 27. O atendimento aos pedidos de titulares que impliquem acesso aos seus dados pessoais sob controle da FAPESP será condicionado ao cumprimento pelo requerente de requisitos exigidos para confirmação de sua identidade.
Seção X
Do Relatório de Impacto à Proteção de Dados Pessoais
Art. 28. Deverá ser elaborado Relatório de Impacto à Proteção de Dados Pessoais – RIPD:
I - nos casos de tratamento de dados pessoais considerados potenciais geradores de alto risco às liberdades civis e aos direitos fundamentais; ou
II - mediante solicitação da ANPD.
§ 1º Em caso de solicitação do RIPD pela ANPD, o encarregado encaminhará o pedido às áreas e gerências responsáveis pela elaboração do relatório, que poderão solicitar apoio da Comissão de Proteção de Dados e da Gerência de Informática para questões técnicas.
§ 2º No caso descrito no § 1º, o relatório será submetido à aprovação do Conselho Técnico-Administrativo da Fundação, para posterior envio à ANPD pelo encarregado.
Art. 29. O Relatório de Impacto à Proteção de Dados Pessoais deverá conter:
I - descrição do tratamento de dados com informações sobre os tipos de dados coletados, metodologia para a coleta e para a garantia da segurança das informações;
II - identificação dos agentes envolvidos: controlador, operador e encarregado de dados;
III - justificativa para a necessidade do tratamento dos dados; e
IV - riscos à proteção de dados e medidas de mitigação como, por exemplo, segurança, controle de acesso e auditorias.
Seção XI
Da Segurança, da Privacidade e do Sigilo de Dados
Art. 30. Para a proteção dos dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, de perda, de alteração, de comunicação ou qualquer forma de tratamento inadequado ou ilícito, serão adotadas medidas de segurança, técnicas e administrativas, observado o disposto na Política da Segurança da Informação da Fundação.
Parágrafo único. A escolha das medidas previstas neste artigo deverá considerar:
I - as técnicas adequadas;
II - os custos de aplicação;
III - a natureza, o âmbito, o contexto e as finalidades do tratamento; e
IV - os riscos aos direitos e às liberdades do usuário.
Art. 31. As medidas de segurança de dados e informações devem ser incorporadas a todos os projetos da Fundação, desde a fase de idealização do sistema, do produto ou do serviço até a fase de consumação, incluindo os seguintes preceitos:
I - a adoção de iniciativas concretas para garantir a privacidade do titular dos dados pessoais desde as etapas de planejamento e desenvolvimento;
II - a privacidade dos dados pessoais por padrão;
III - a segurança em todo o ciclo de vida da informação;
IV - a adoção de mecanismos de correção de falhas e auditoria para garantir a conformidade; e
V - a gestão adequada dos riscos referentes à privacidade.
Art. 32. Os agentes de tratamento e demais pessoas que intervenham em uma das fases do ciclo de vida das informações obrigam-se a garantir o sigilo e a segurança dos dados pessoais, mesmo após o término do tratamento.
§ 1º O ciclo de vida da informação contempla a criação, a coleta, o manuseio, o processamento, o armazenamento, o transporte, a transmissão e a eliminação.
§ 2º A destinação final de dados pessoais, físicos ou digitais, deverá seguir os parâmetros estipulados nos instrumentos da área de gestão documental da FAPESP.
Art. 33. Ciente da ocorrência de possível incidente de segurança da informação envolvendo dados pessoais, cabe ao encarregado, com apoio da Gerência de Informática e da Comissão de Proteção de Dados:
I - obter das áreas e gerências envolvidas informações relacionadas ao incidente;
II - acompanhar a resposta ao incidente que estiver sob responsabilidade de outras áreas;
III - analisar a gravidade do incidente e avaliar a existência de risco ou dano relevante aos titulares de dados pessoais; e
IV - acionar o Plano de Resposta a Incidentes, quando necessário, para início dos protocolos de segurança.
Parágrafo único. Caso seja constatado que o incidente implica risco ou dano relevante aos titulares de dados pessoais, o encarregado de dados deverá tomar as providências para envio de comunicação à ANPD e aos titulares de dados pessoais.
Art. 34. Os projetos, as contratações e os processos de trabalho da FAPESP devem seguir as medidas de privacidade e de proteção de dados pessoais constantes na LGPD, nesta Política, nas Políticas de Segurança da Informação e de Privacidade da FAPESP e em normas complementares e orientar-se segundo os seguintes princípios:
I - adoção de medidas proativas e preventivas, a fim de evitar a ocorrência de incidentes de segurança;
II - adoção da privacidade como padrão;
III - inserção no design e na arquitetura dos sistemas de tecnologia da informação e nas práticas de negócio da finalidade para o tratamento de dados pessoais; e
IV - manutenção da visibilidade e da transparência no tratamento de dados pessoais.
Seção XII
Das Disposições Finais
Art. 35. Os contratos, convênios, acordos de cooperação ou outros instrumentos congêneres firmados pela FAPESP com terceiros, que envolvam o compartilhamento e/ou a transferência de dados pessoais e que estejam vigentes na data de entrada em vigor desta Política deverão ser revisados pelas áreas e gerências responsáveis, para adaptação e adequação a esta Política.
Art. 36. Para a realização de novas contratações de fornecedores e de parcerias que envolvam o compartilhamento e/ou a transferência de dados pessoais, sejam instrumentos específicos para este fim ou instrumentos com objeto mais amplo, deverá ser realizada, sempre que possível, uma diligência prévia sobre a conformidade do contratado e/ou parceiro com a aplicação da Lei Geral de Proteção de Dados.
Parágrafo único. Os novos contratos, convênios, acordos de cooperação ou outros instrumentos congêneres a serem firmados pela FAPESP com terceiros deverão conter cláusulas específicas, que tratem dos compromissos e responsabilidades das partes em relação ao tratamento de dados pessoais.
Art. 37. Os sistemas de informatização e gestão da Fundação deverão adequar-se a esta Política, às Políticas de Privacidade e Segurança da Informação da FAPESP, além da sua observância aos decretos e normas vigentes sobre o assunto.
Parágrafo único. As adequações dos sistemas de informação da Fundação deverão ser feitas juntamente com a Comissão de Proteção de Dados e avaliadas junto às áreas envolvidas.
Art. 38. Esta Política deverá ser revisada periodicamente pela Comissão de Proteção de Dados.
Parágrafo único. As propostas de revisão serão preliminarmente encaminhadas ao CTA para deliberação.
Art. 39. A inobservância da presente Política de Proteção de Dados Pessoais será objeto de apuração e poderá implicar, isolada ou cumulativamente, responsabilidade cível, penal e administrativa, assegurada a observância, em qualquer caso, do devido processo legal.
Art. 40. Os casos omissos nesta Política serão decididos pelo Conselho Técnico-Administrativo.