Lei LGPD
1.Objetivo
Esta Política estabelece diretrizes essenciais para o tratamento de dados pessoais pela ARCA, em conformidade com a Lei nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), com as normas aplicáveis da Autoridade Nacional de Proteção de Dados (ANPD), com o Código de Ética e Conduta da ARCA e com as demais normas aplicáveis.
A ARCA adotará medidas de proteção de dados proporcionais à natureza, à escala, ao volume e aos riscos de suas operações, priorizando os tratamentos que possam apresentar maior risco aos direitos dos titulares, especialmente aqueles que envolvam dados pessoais sensíveis, povos indígenas, comunidades tradicionais, crianças e adolescentes ou informações comunitárias de natureza reservada.
2.Abrangência e responsabilidades
Esta Política aplica-se às atividades de tratamento de dados pessoais realizadas pela ARCA e deverá ser observada por administradores, empregados, colaboradores, consultores, representantes, prestadores de serviço e terceiros que tratem dados pessoais em nome da ARCA ou em conexão com suas atividades.
A Diretoria supervisionará a implementação desta Política, coordenará sua aplicação e manterá canal acessível para dúvidas, solicitações de titulares e comunicação de incidentes. A ARCA designará Encarregado pelo Tratamento de Dados Pessoais quando exigido pela legislação ou regulamentação aplicável ou quando considerar a designação adequada à sua estrutura e aos riscos de suas atividades.
Toda pessoa com acesso a dados pessoais deverá utilizá-los apenas para finalidades profissionais legítimas e autorizadas, preservar sua confidencialidade e comunicar prontamente qualquer suspeita de perda, acesso indevido, divulgação não autorizada ou outro incidente.
3.Conceitos essenciais
Para fins desta Política, aplicam-se as definições da LGPD. Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável; dado pessoal sensível compreende, entre outros, dados sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dados genéticos ou biométricos vinculados a pessoa natural; titular é a pessoa natural a quem os dados se referem; tratamento é qualquer operação realizada com dados pessoais; controlador é quem toma as decisões referentes ao tratamento; operador é quem realiza o tratamento em nome do controlador.
A ARCA poderá atuar como controladora ou operadora conforme as funções efetivamente desempenhadas em cada atividade.
4.Princípios, finalidade e bases legais
Todo tratamento de dados pessoais deverá observar os princípios da LGPD, especialmente finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.
A ARCA deverá tratar apenas os dados adequados e necessários a finalidades legítimas e identificadas. O tratamento deverá estar amparado por hipótese legal aplicável, como consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato ou procedimentos preliminares, exercício regular de direitos, proteção da vida ou da incolumidade física, legítimo interesse ou outra hipótese prevista em lei. Dados pessoais sensíveis deverão observar especificamente as hipóteses legais aplicáveis a essa categoria.
Quando o tratamento depender de consentimento, este deverá ser livre, informado, inequívoco, relacionado a finalidade determinada e passível de comprovação e revogação nos termos da legislação aplicável.
5.Registro simplificado das operações de tratamento
A ARCA manterá registro das operações relevantes de tratamento de dados pessoais em formato proporcional à natureza, escala, volume e risco de suas atividades, observadas as exigências legais e regulamentares aplicáveis.
O registro poderá ser mantido em planilha ou outro instrumento simples e deverá, conforme pertinente, identificar o processo ou atividade, as categorias de titulares e dados, a finalidade, a base legal, os principais compartilhamentos, o local ou sistema de armazenamento e as medidas essenciais de segurança.
A criação de novos processos, formulários, sistemas ou bancos de dados que envolvam tratamento relevante de dados pessoais deverá considerar, desde sua concepção, a necessidade e a proporcionalidade da coleta e do uso das informações.
6.Dados pessoais sensíveis e informações de povos indígenas e comunidades tradicionais
Considerando a natureza das atividades da ARCA, deverá ser adotada proteção reforçada no tratamento de dados pessoais sensíveis, especialmente informações que revelem origem racial ou étnica, saúde, biometria ou outras categorias legalmente protegidas.
Também deverão receber proteção compatível com seu grau de sensibilidade e risco, ainda que não sejam necessariamente classificados como dados pessoais sensíveis pela LGPD, dados e informações relacionados a povos indígenas e comunidades tradicionais cuja divulgação possa gerar riscos individuais ou coletivos, incluindo, conforme o caso, informações territoriais não públicas, localização de áreas sensíveis, conhecimentos tradicionais, práticas culturais de caráter reservado, informações sobre governança interna não destinadas à divulgação e registros audiovisuais de caráter sensível.
A definição das medidas de proteção deverá considerar a natureza da informação, sua disponibilidade pública ou caráter reservado, a finalidade do tratamento, os potenciais impactos de sua divulgação e, quando aplicável, protocolos comunitários e salvaguardas socioambientais. A mera relação de uma informação com determinado povo indígena ou comunidade tradicional não implica, por si só, sua classificação como informação confidencial ou de acesso restrito.
A coleta, o acesso e o compartilhamento dessas informações deverão ser limitados ao necessário para finalidades legítimas, observando-se medidas de proteção proporcionais ao risco identificado.
O consentimento para tratamento de dados pessoais nos termos da LGPD não se confunde com o Consentimento Livre, Prévio e Informado (CLPI/FPIC) relacionado a decisões coletivas sobre projetos, territórios ou direitos comunitários.
7.Crianças e adolescentes
O tratamento de dados pessoais de crianças e adolescentes deverá observar seu melhor interesse e as regras específicas da LGPD e da legislação aplicável. A coleta deverá ser limitada ao necessário e submetida a cuidados proporcionais de acesso, compartilhamento e segurança.
Quando legalmente exigido, deverá ser obtido o consentimento específico e em destaque de pelo menos um dos pais ou responsável legal, ressalvadas as hipóteses previstas em lei.
8.Transparência e direitos dos titulares
A ARCA disponibilizará informações claras e acessíveis sobre os tratamentos relevantes de dados pessoais e manterá canal para exercício dos direitos previstos na LGPD.
Os titulares poderão exercer, conforme aplicável, direitos de confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação nas hipóteses legais, portabilidade nos termos da regulamentação, informação sobre compartilhamentos, revogação do consentimento, oposição e demais direitos previstos na legislação.
As solicitações serão registradas e tratadas nos prazos e condições legalmente aplicáveis. Em contextos comunitários, a ARCA buscará meios de comunicação adequados às condições linguísticas, culturais e tecnológicas dos titulares.
9.Segurança, confidencialidade e controle de acesso
A ARCA adotará medidas técnicas e administrativas essenciais e proporcionais aos riscos do tratamento para proteger dados pessoais contra acesso não autorizado e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação, divulgação ou tratamento inadequado.
O acesso a dados pessoais deverá observar a necessidade funcional. Dados pessoais sensíveis e informações comunitárias de maior risco deverão ter acesso restrito às pessoas que efetivamente necessitem dessas informações para o exercício de suas funções.
Credenciais de acesso são pessoais e intransferíveis. Sempre que houver solução corporativa adequada, dados pessoais relevantes não deverão ser mantidos de forma desnecessária em contas pessoais, dispositivos particulares, aplicativos de mensagens ou repositórios não autorizados.
A ARCA adotará práticas razoáveis de armazenamento, cópia de segurança, atualização de sistemas, proteção de dispositivos e descarte seguro, de acordo com sua estrutura e com o risco das informações tratadas.
10.Fotografias, vídeos, áudios e registros de campo
Fotografias, vídeos, áudios e outros registros que permitam identificar pessoas deverão ser tratados como dados pessoais e utilizados apenas para finalidades legítimas, com fundamento jurídico adequado e de forma compatível com as informações fornecidas aos titulares.
Registros realizados durante consultas, reuniões, atividades de campo ou interações com comunidades deverão observar, além da LGPD, protocolos comunitários e salvaguardas socioambientais aplicáveis. A informação aos participantes sobre a realização e as finalidades desses registros poderá ser realizada de forma coletiva e adequada ao contexto da atividade, sem prejuízo da adoção de medidas adicionais quando exigidas pela natureza do tratamento ou pela legislação aplicável.
A existência de fundamento jurídico para a realização de determinado registro não implica, por si só, autorização para sua divulgação pública, uso comercial ou utilização para finalidade diversa, que deverão ser objeto de avaliação específica quanto à finalidade, à base legal aplicável e aos direitos dos titulares.
11.Compartilhamento de dados e terceiros
O compartilhamento de dados pessoais com consultores, fornecedores, certificadoras, auditores, compradores, instituições financeiras, seguradoras, parceiros ou outras organizações deverá limitar-se ao necessário para finalidade legítima e estar amparado por fundamento jurídico adequado.
Contratos com terceiros que realizem tratamento relevante de dados pessoais em nome da ARCA deverão conter, quando pertinente e proporcional ao risco, obrigações de confidencialidade, segurança, limitação de finalidade, comunicação de incidentes e destinação dos dados ao término da relação.
A ARCA poderá realizar avaliação de privacidade e proteção de dados de fornecedores que realizem tratamento relevante em seu nome, especialmente quando houver acesso sistemático a bases da ARCA, elevado volume de dados, dados pessoais sensíveis ou informações comunitárias de maior risco
12.Transferências internacionais
Quando dados pessoais forem transferidos para o exterior, inclusive por meio de serviços de nuvem, plataformas, certificadoras, auditores, consultores ou parceiros internacionais, a ARCA observará os requisitos da LGPD e da regulamentação aplicável da ANPD.
A avaliação será proporcional à relevância e ao risco da transferência, devendo a ARCA adotar, quando necessário, o mecanismo jurídico e as salvaguardas aplicáveis.
13.Retenção e descarte
A ARCA manterá dados pessoais pelo período necessário ao cumprimento das finalidades do tratamento, de obrigações legais ou regulatórias, de compromissos contratuais legítimos, de requisitos de certificação ou auditoria ou do exercício regular de direitos.
A ARCA adotará critérios razoáveis de retenção e descarte para as categorias relevantes de dados e documentos, priorizando aquelas que envolvam dados sensíveis ou informações de maior risco. Encerrada a necessidade de conservação, os dados deverão ser eliminados, anonimizados ou mantidos apenas nas hipóteses legalmente autorizadas.
14.Incidentes de segurança
Qualquer pessoa que identifique ou suspeite de perda, acesso indevido, envio incorreto, vazamento, exposição, alteração não autorizada ou outro comprometimento de dados pessoais deverá comunicar imediatamente o canal interno definido pela ARCA, sem necessidade de aguardar confirmação definitiva do incidente.
A ARCA avaliará o incidente, adotará medidas razoáveis de contenção e mitigação, preservará as informações necessárias à apuração e realizará as comunicações à ANPD e aos titulares quando exigidas pela legislação e regulamentação aplicáveis.
Os incidentes relevantes e as providências adotadas deverão ser registrados de forma compatível com as obrigações legais e com a necessidade de prestação de contas.
15.Relatório de Impacto à Proteção de Dados Pessoais
A ARCA elaborará Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando exigido pela legislação ou regulamentação aplicável, por determinação da ANPD ou quando, após avaliação interna, a natureza e os riscos do tratamento recomendarem sua elaboração.
16.Treinamento e conscientização
A ARCA promoverá orientação e treinamento sobre proteção de dados de forma proporcional às funções e riscos envolvidos. O treinamento poderá ser integrado a outras ações de compliance e deverá contemplar, quando pertinente, cuidados específicos relacionados a atividades de campo, dados comunitários, registros audiovisuais e comunicação de incidentes.
A ARCA manterá evidência razoável das ações de treinamento e conscientização realizadas.
17.Monitoramento e revisão
A Diretoria realizará avaliações periódicas e proporcionais sobre a implementação desta Política, priorizando riscos relevantes, incidentes, solicitações de titulares, acessos a informações sensíveis e terceiros críticos.
Esta Política será revisada periodicamente ou quando alterações legais, regulamentares, tecnológicas, operacionais ou de risco recomendarem sua atualização. A revisão não exige a realização de auditoria formal, salvo quando a ARCA considerar necessário ou houver exigência aplicável.
18.Implementação progressiva e baseada em risco
As medidas operacionais previstas nesta Política serão implementadas e mantidas de forma progressiva, proporcional e baseada em risco, considerando a natureza, o volume e a sensibilidade dos dados tratados, os riscos aos titulares, a estrutura da ARCA e as exigências legais e regulamentares aplicáveis.
A implementação progressiva não afasta o cumprimento de obrigações legais diretamente aplicáveis nem autoriza a manutenção de práticas incompatíveis com a LGPD. A priorização deverá concentrar-se nos tratamentos de maior risco, especialmente dados pessoais sensíveis e informações relacionadas a povos indígenas e comunidades tradicionais.
19.Disposições finais
Esta Política complementa o Código de Ética e Conduta da ARCA e deverá ser interpretada em conjunto com as demais políticas, contratos e procedimentos internos aplicáveis.
Em caso de conflito entre esta Política e norma legal ou regulamentar obrigatória, prevalecerá a norma de hierarquia superior.
A ARCA reafirma seu compromisso com a proteção de dados pessoais como componente de sua governança, integridade, respeito aos direitos humanos e relacionamento responsável com colaboradores, povos indígenas, comunidades tradicionais, parceiros e demais stakeholders.