Perguntas frequentes, por assunto

É a Lei nº 13.709, de 14 de agosto de 2018, em vigor desde 18 de setembro de 2020. Ela estabelece regras para o tratamento de dados pessoais por pessoas físicas e por organizações públicas e privadas, em meio físico ou digital, com o objetivo de proteger a liberdade, a privacidade e o livre desenvolvimento da personalidade. A proteção de dados pessoais também é um direito fundamental previsto na Constituição Federal (art. 5º, LXXIX).
É toda informação relacionada a uma pessoa natural identificada ou identificável. Nome, CPF, matrícula, e-mail, endereço, telefone, fotografia, notas, frequência e registros funcionais são exemplos. Informações sobre pessoas jurídicas não são dados pessoais.
É o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural (LGPD, art. 5º, II). Esses dados só podem ser tratados nas hipóteses do art. 11 da lei e exigem cuidados reforçados. No IFRN, são exemplos os laudos e atestados de saúde, a autodeclaração étnico-racial e a informação sobre deficiência.
Eles não constam da lista de dados sensíveis da LGPD, mas podem revelar situação de vulnerabilidade e gerar discriminação. Por isso, devem ser tratados com cuidado reforçado, com acesso limitado a quem precisa deles para executar a política de assistência estudantil. O IFRN não divulga listas nominais de estudantes com a sua caracterização socioeconômica (Parecer nº 1/2023 – ASPROP).
É toda operação realizada com dados pessoais: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, modificação, comunicação, transferência, difusão ou extração (LGPD, art. 5º, X). Consultar um cadastro, enviar uma planilha por e-mail e arquivar um processo são formas de tratamento.
O dado anonimizado é aquele cujo titular não pode ser identificado, considerados os meios técnicos razoáveis e disponíveis na ocasião do tratamento. Ele deixa de ser dado pessoal, salvo se o processo puder ser revertido com esforços razoáveis (LGPD, art. 12). O dado pseudonimizado apenas perde a associação direta com o titular, que pode ser refeita com uma informação adicional mantida separadamente; por isso, continua sendo dado pessoal. Atenção: tarjar um documento oculta os dados naquele documento, mas não garante, por si só, a anonimização.
Titular é a pessoa a quem os dados se referem, como estudantes, servidores, candidatos e cidadãos. Controlador é quem toma as decisões sobre o tratamento: no caso, o próprio IFRN, como pessoa jurídica. Operador é a pessoa natural ou jurídica, distinta do controlador, que trata dados em nome dele e segundo as suas instruções, como uma empresa contratada. Encarregado é a pessoa indicada para atuar como canal de comunicação entre o IFRN, os titulares e a ANPD. A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão que regulamenta e fiscaliza a aplicação da LGPD.
Não. Segundo o guia da ANPD sobre agentes de tratamento, servidores e empregados atuam em nome da instituição e sob o seu poder diretivo, de modo que não são controladores nem operadores. O controlador é o IFRN; operador é sempre uma pessoa distinta da instituição, como uma empresa contratada que trata dados em nome dela. Isso não afasta os deveres funcionais de cada servidor quanto ao sigilo e ao uso correto dos dados a que tem acesso.
Além da boa-fé, a LGPD (art. 6º) estabelece dez princípios: finalidade (propósito legítimo, específico e informado), adequação, necessidade (usar o mínimo de dados), livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.
A lei não se aplica ao tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos; para fins exclusivamente jornalísticos, artísticos ou acadêmicos (neste último caso, aplicam-se os arts. 7º e 11); e para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais (art. 4º). Dados anonimizados também não são considerados dados pessoais (art. 12).
A ANPD manifestou o entendimento de que a LGPD se aplica ao tratamento de dados de pessoas naturais vivas (Nota Técnica nº 3/2023/CGF/ANPD). Isso não significa que as informações de pessoas falecidas possam ser divulgadas livremente: continuam valendo a proteção da intimidade, da honra e da imagem e as regras de acesso da Lei de Acesso à Informação.

Você pode pedir ao IFRN: a confirmação de que os seus dados são tratados; o acesso a eles; a correção de dados incompletos, inexatos ou desatualizados; a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei; informação sobre com quem os dados foram compartilhados; informação sobre a possibilidade de não consentir e as consequências disso; e a revogação do consentimento, quando o tratamento se basear nele (LGPD, art. 18).
Registre o pedido na plataforma Fala.BR, direcionado ao IFRN, informando no assunto o termo “LGPD”, ou escreva para encarregado.lgpd@ifrn.edu.br. Descreva o que deseja (por exemplo, acesso, correção ou informação sobre compartilhamento) e a quais dados o pedido se refere. O atendimento é gratuito.
Sim. Como os direitos dizem respeito aos seus próprios dados, o IFRN precisa confirmar a sua identidade ou a do seu representante legal antes de fornecer qualquer informação. Essa é uma medida de segurança para evitar que os dados sejam entregues a outra pessoa.
A LGPD prevê que a confirmação da existência de tratamento e o acesso aos dados sejam fornecidos de imediato, em formato simplificado, ou em até 15 dias, por declaração completa (art. 19). No setor público, os prazos e os procedimentos seguem também a legislação específica, como a Lei de Acesso à Informação e a Lei do Processo Administrativo (LGPD, art. 23, § 3º).
Pode pedir a eliminação de dados desnecessários, excessivos, tratados em desconformidade com a lei ou tratados com base no seu consentimento. O IFRN, porém, deve conservar os dados quando há obrigação legal ou regulatória (LGPD, art. 16, I). É o caso do acervo acadêmico e dos assentamentos funcionais, que seguem os prazos da legislação arquivística e das tabelas de temporalidade. Cada pedido é analisado, e a resposta indica os motivos quando a eliminação não é possível.
Sim. O consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado. A revogação vale dali em diante e não torna irregular o que foi feito antes dela (LGPD, art. 8º, § 5º).
Sim. O acesso aos próprios dados é um direito do titular. O Encarregado já orientou, por exemplo, que o estudante pode visualizar no Suap as portarias às quais está nominalmente vinculado (Parecer nº 4/2026) e que o candidato pode obter o seu barema e a gravação da sua prova de desempenho (Parecer nº 3/2026).
Sim. O pai, a mãe ou o responsável legal pode solicitar acesso aos dados e aos registros escolares do estudante menor de idade. Se os documentos contiverem dados de outras pessoas, como colegas ou servidores, essas partes são ocultadas antes da entrega.
Sim, em muitas situações. O consentimento é apenas uma das hipóteses legais. Como instituição pública, o IFRN trata dados principalmente para cumprir obrigações legais e para executar políticas públicas de educação, pesquisa e extensão (LGPD, arts. 7º, II e III, e 23). O guia da ANPD sobre o Poder Público orienta, inclusive, que o consentimento não costuma ser a base mais adequada no setor público. Em qualquer caso, você tem direito a saber para que os dados são usados.
Procure primeiro o Encarregado pelos canais indicados. Se a questão não for resolvida, você pode apresentar petição à ANPD contra o controlador, comprovando que já reclamou à instituição (LGPD, art. 18, § 1º, e art. 55-J, V). Pedidos feitos pelo Fala.BR também contam com os recursos previstos nessa plataforma.

A LGPD (art. 7º) admite o tratamento nas seguintes hipóteses: consentimento do titular; cumprimento de obrigação legal ou regulatória; execução de políticas públicas pela administração pública; realização de estudos por órgão de pesquisa; execução de contrato; exercício regular de direitos em processo judicial, administrativo ou arbitral; proteção da vida ou da incolumidade física; tutela da saúde; legítimo interesse; e proteção do crédito. No IFRN, as mais usadas são o cumprimento de obrigação legal e a execução de políticas públicas.
Podem ser tratados com o consentimento específico e destacado do titular ou, sem consentimento, quando indispensáveis para: cumprimento de obrigação legal ou regulatória; execução de políticas públicas previstas em leis ou regulamentos; estudos por órgão de pesquisa; exercício regular de direitos; proteção da vida ou da incolumidade física; tutela da saúde por profissionais de saúde; e prevenção à fraude e segurança do titular em processos de identificação e autenticação (LGPD, art. 11). O legítimo interesse não se aplica a dados sensíveis.
Quando o tratamento não se enquadra em outra hipótese legal, como no uso de imagem e voz para divulgação institucional ou no envio de comunicações que não fazem parte do serviço prestado. O consentimento deve ser livre, informado e inequívoco, para finalidade determinada. Não pode ser condição obrigatória para acessar um serviço, e autorizações genéricas são nulas (LGPD, art. 8º, § 4º). Na prática, cada finalidade deve ter a sua própria opção de aceite, e a recusa não pode trazer prejuízo ao titular.
Com restrições. Segundo os guias da ANPD, o legítimo interesse não é adequado quando o órgão público atua no exercício de suas competências legais típicas, caso em que se aplicam o cumprimento de obrigação legal ou a execução de políticas públicas. Quando cabível, exige um teste de balanceamento que avalie a finalidade, a necessidade e o impacto sobre os direitos do titular, além de não poder ser usado para dados sensíveis.
É o texto que informa ao titular, de forma clara e acessível, quais dados são coletados, para que finalidade, com que base legal, com quem são compartilhados, por quanto tempo são guardados e como exercer os direitos. Formulários, sistemas e serviços do IFRN que coletam dados pessoais devem apresentar essas informações (LGPD, arts. 6º, VI, e 9º).
É o documento do controlador que descreve os processos de tratamento que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas e salvaguardas para mitigá-los (LGPD, art. 5º, XVII). A ANPD pode solicitá-lo (art. 38), e a sua elaboração é recomendada antes de iniciar tratamentos de maior risco, como os que envolvem dados sensíveis, dados de crianças e adolescentes ou grande volume de dados.
A LGPD determina que o controlador e o operador mantenham registro das operações de tratamento que realizam (art. 37). Esse inventário identifica, para cada processo, quais dados são tratados, a finalidade, a base legal, os setores envolvidos, os compartilhamentos e os prazos de guarda. No IFRN, ele é construído pelas áreas responsáveis pelos processos, com orientação do Encarregado.
Pelo tempo necessário para cumprir a finalidade do tratamento e as obrigações legais de guarda. Documentos acadêmicos e funcionais seguem a legislação arquivística e as tabelas de temporalidade aplicáveis às instituições federais de ensino, que em alguns casos preveem guarda longa ou permanente. Encerrado o prazo, os dados devem ser eliminados ou anonimizados (LGPD, arts. 15 e 16).

Sim. O tratamento deve ser sempre realizado no melhor interesse da criança e do adolescente (LGPD, art. 14). O Enunciado CD/ANPD nº 1/2023 esclarece que esse tratamento pode se apoiar em qualquer das hipóteses legais dos arts. 7º ou 11 da LGPD, desde que o melhor interesse seja observado e prevaleça no caso concreto. Pelo Estatuto da Criança e do Adolescente, criança é a pessoa com até 12 anos incompletos e adolescente, aquela entre 12 e 18 anos.
Não. Os dados necessários à matrícula, à vida acadêmica e à assistência estudantil são tratados para cumprir obrigações legais e executar a política pública de educação. O consentimento dos pais ou do responsável é uma das hipóteses possíveis, não a única. Quando o tratamento se basear no consentimento e envolver crianças, ele deve ser específico e em destaque, dado por pelo menos um dos pais ou pelo responsável legal (LGPD, art. 14, § 1º).
De maneira simples, clara e acessível, consideradas as características do público, com uso de recursos audiovisuais quando adequado, de forma que tanto os pais ou responsáveis quanto a criança ou o adolescente compreendam o que será feito com os dados (LGPD, art. 14, § 6º).
A divulgação de imagem e voz para fins institucionais se apoia, em regra, no consentimento. No caso de menores de idade, a autorização deve envolver os pais ou o responsável legal e pode ser revogada a qualquer momento. Sempre que possível, prefira imagens em que os estudantes não possam ser identificados.

Não. A LGPD e a Lei de Acesso à Informação (LAI) são compatíveis e se complementam. A publicidade continua sendo a regra e o sigilo, a exceção. A presença de dados pessoais em um documento não justifica negar o acesso a ele por inteiro: os dados protegidos são ocultados (tarjados) e o restante é fornecido (LAI, art. 7º, § 2º; Enunciados CGU nº 4/2022 e nº 12/2023; Pareceres nº 3/2024 e nº 12/2026).
Sim. Nome, cargo, lotação e remuneração de agentes públicos são informações de interesse coletivo, e a sua divulgação foi considerada legítima pelo Supremo Tribunal Federal (ARE 652.777). A LGPD não alterou esse entendimento. Dados como CPF completo, endereço residencial, contatos pessoais e informações de saúde permanecem protegidos.
Sim. Atas de colegiados são documentos ostensivos. Nomes, cargos, instituições de vínculo, manifestações e votos dos membros são mantidos, pois eles atuam como agentes públicos. Devem ser ocultados apenas dados excedentes, como CPF, RG, e-mails e telefones particulares ou informações de saúde (Parecer nº 12/2026).
Os horários exatos de entrada e saída de servidores específicos revelam aspectos da rotina e da vida privada e excedem o necessário para o controle social. A alternativa indicada é o fornecimento do total de horas trabalhadas por dia ou por período, quando o sistema permitir a extração (Parecer nº 4/2025).
Sim. Esses processos não são protegidos por sigilo. Devem ser disponibilizados com a ocultação dos dados pessoais do servidor que não sejam de interesse público (Parecer nº 3/2024).
O acesso é possível para fins de controle social, limitado ao que foi solicitado e sem a exposição de comentários desabonadores, de informações protegidas por sigilo legal e de dados pessoais sensíveis. Portarias e decisões administrativas relacionadas são públicas (Parecer nº 1/2024).
Não. A divulgação nominal exporia a situação de vulnerabilidade de estudantes, em sua maioria adolescentes. Informações agregadas sobre os programas, como quantitativos e valores, podem ser fornecidas (Parecer nº 1/2023 – ASPROP).
Sim, quando o acesso for necessário ao exercício do contraditório e da ampla defesa. A LGPD autoriza o tratamento para o exercício regular de direitos (arts. 7º, VI, e 11, II, “d”), e a LAI veda negar informação necessária à tutela de direitos fundamentais (art. 21). Os dados da outra pessoa que não tenham relação com a questão discutida são ocultados, e o acesso é condicionado à assinatura de termo de responsabilidade (Parecer nº 1/2026).
Não. A instituição fornece os documentos e as informações que já possui, com o tratamento necessário para proteger dados de terceiros. Pedidos que exijam trabalhos adicionais de análise, interpretação ou consolidação de dados não precisam ser atendidos (Decreto nº 7.724/2012, art. 13, III; Parecer nº 6/2025).
Aplica-se o princípio da necessidade: atende-se ao pedido com a informação solicitada, por exemplo por meio de listas, extratos ou atos já publicados, sem anexar a íntegra de processos com telefones, assinaturas e outros dados que não foram pedidos (Parecer nº 5/2025).
Cubra os dados com tarja ou realce na cor preta em um editor de PDF e, em seguida, gere uma nova versão do arquivo como imagem (opção “imprimir como imagem”), para que o texto encoberto não possa ser recuperado. Confira o resultado antes de enviar. Devem ser ocultados dados como CPF, RG, matrícula, endereço, contatos pessoais, dados bancários e informações de saúde (Pareceres nº 3/2024 e nº 6/2025).
Sim. Quem obtém acesso a informações pessoais de terceiros é responsável pelo seu uso indevido (LAI, art. 31, § 2º). Nesses casos, o acesso pode ser condicionado à assinatura de termo de responsabilidade que indique a finalidade e a destinação dos dados (Decreto nº 7.724/2012, art. 61).

Sim. A LGPD autoriza o tratamento de dados pessoais, inclusive sensíveis, para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização (arts. 7º, IV, e 11, II, “c”). O guia da ANPD sobre o tema condiciona o acesso a salvaguardas proporcionais ao risco e à vinculação do uso dos dados à finalidade do estudo (Pareceres nº 4/2024, nº 2/2025 e nº 3/2025).
Em geral: o projeto de pesquisa; a comprovação de aprovação ética, quando exigida (Comitê de Ética em Pesquisa e Plataforma Brasil); a identificação pessoal e institucional do pesquisador; a justificativa da necessidade de cada dado solicitado; a indicação de eventual tratamento de dados sensíveis; as medidas de segurança que serão adotadas; e um termo de ciência e responsabilidade ou de confidencialidade, assinado também pelo orientador ou pelo coordenador do curso (Pareceres nº 2/2025 e nº 3/2025).
O SIC não é o canal adequado para o fornecimento de dados pessoais identificados. O pedido anônimo impede verificar quem é o solicitante, o seu vínculo com a pesquisa e as salvaguardas adotadas. A solicitação deve ser formalizada pelo protocolo do IFRN, com a documentação da pesquisa (Parecer nº 2/2025).
Sim, de forma condicionada. Nome e e-mail institucional de agentes públicos são dados pessoais comuns, e o fornecimento para pesquisa é possível mediante comprovação da aprovação do projeto e termo de ciência e responsabilidade que vincule o uso à pesquisa e proíba o repasse a terceiros. O pesquisador também deve informar aos docentes a origem dos dados e a finalidade do contato (Parecer nº 3/2025).
Não. A exigência de dados brutos e identificados, sem justificativa, contraria o princípio da necessidade, e a guarda em equipamentos pessoais ou em serviços genéricos de nuvem não atende às obrigações de segurança. O pedido deve prever dados anonimizados ou pseudonimizados e ambiente de armazenamento seguro (Parecer nº 2/2026).
Sim. A inclusão de novos campi ou de novos tipos de dados altera o protocolo aprovado e exige a submissão de emenda ao Comitê de Ética em Pesquisa. O acesso aos dados adicionais depende do novo parecer de aprovação (Parecer nº 2/2026).
Não por completo. O art. 4º, II, “b”, da LGPD afasta apenas em parte a aplicação da lei e mantém a exigência de uma hipótese legal (arts. 7º e 11). Segundo o guia da ANPD, essa exceção se liga à liberdade acadêmica e deve ser interpretada de forma restrita. Na prática, pesquisas realizadas no IFRN observam os princípios da LGPD, as medidas de segurança e as normas de ética em pesquisa.
O tratamento deve atender ao melhor interesse dos estudantes. Além da LGPD, aplicam-se as normas de ética em pesquisa com seres humanos, como a Resolução CNS nº 510/2016, e as exigências de consentimento e de assentimento definidas pelo Comitê de Ética em Pesquisa.
Procure a Coordenação de Pesquisa e Inovação do campus ou a Pró-Reitoria de Pesquisa e Inovação para avaliar se o projeto deve ser submetido ao Comitê de Ética em Pesquisa com Seres Humanos. Do ponto de vista da LGPD, a pesquisa é possível, desde que respeitados os princípios da finalidade e da necessidade (Parecer nº 4/2024).

Sim. Quando necessário para proteger a vida ou a integridade física do estudante ou de terceiros, o compartilhamento interno é permitido sem consentimento (LGPD, arts. 7º, VII, e 11, II, “e”). Deve limitar-se ao mínimo necessário e ocorrer de forma reservada, preferencialmente com registro formal, como ata de reunião restrita (Parecer nº 1/2025).
Em situação de risco, a equipe pode e deve repassar à gestão acadêmica as informações suficientes para a proteção do estudante e de terceiros. As informações clínicas detalhadas permanecem restritas aos profissionais de saúde (Parecer nº 1/2025).
Sim. A informação pode ser compartilhada com a equipe pedagógica para a adoção de estratégias de ensino adequadas, mesmo sem laudo, desde que de forma reservada e limitada ao necessário (Parecer nº 1/2025).
Sim. Os responsáveis legais devem ser comunicados, especialmente em situação de risco iminente. O Conselho Tutelar deve ser acionado em caso de ameaça ou violação de direitos de crianças e adolescentes, e outros órgãos, como o Ministério Público e a segurança pública, quando houver risco significativo à vida ou à integridade física (Parecer nº 1/2025).
Prefira o Suap, em que cada estudante acessa apenas as suas próprias notas. Evite afixar ou publicar listas com nome e nota. Se uma lista for indispensável, use o mínimo de dados e nunca inclua CPF.
Somente com autorização, que deve ser guardada e pode ser revogada a qualquer momento. No caso de menores de idade, a autorização envolve os pais ou o responsável legal. Uma alternativa é editar o material para que os estudantes não possam ser identificados.
Sim. A visualização, no Suap, das portarias às quais o estudante está vinculado é exercício do direito de acesso aos próprios dados, e o calendário de reuniões dos colegiados é informação institucional de divulgação obrigatória (Parecer nº 4/2026).

Sim. O acesso aos próprios dados é direito do titular, mesmo que o edital não o preveja. O barema e o vídeo da prova de desempenho devem ser fornecidos ao próprio candidato, e o pedido pode ser formalizado no Fala.BR com o assunto “LGPD” (Parecer nº 3/2026).
Em relação a candidatos aprovados, os documentos de avaliação podem ser fornecidos com a ocultação de dados pessoais, e as gravações podem ser consultadas presencialmente, com supervisão, sem cópia e mediante termo de responsabilidade. Pedidos referentes a candidatos reprovados não são atendidos, para proteger a honra e a imagem dessas pessoas (Parecer nº 3/2026).
Sim. A divulgação de resultados é dever de transparência e se apoia no cumprimento de obrigação legal e na execução de política pública. Recomenda-se avaliar a necessidade de cada dado: sempre que possível, publicar por número de inscrição ou por classificação, sobretudo no caso de candidatos eliminados, e nunca divulgar CPF completo (Parecer nº 10/2026).
Não. Os dados de inscrição são tratados para organizar o evento e emitir certificados, sem necessidade de consentimento. Já o uso de imagem e voz para divulgação e o envio de comunicações sobre eventos futuros dependem de autorização separada e facultativa, e a recusa não impede a participação.
Um aviso de privacidade com os dados coletados, as finalidades, a base legal, os compartilhamentos, o prazo de guarda, os direitos dos titulares e os contatos do Encarregado (Parecer nº 10/2026).

Sim, quando o uso for necessário ao exercício das competências do setor e à execução de política pública (LGPD, art. 7º, II e III). O compartilhamento deve limitar-se ao mínimo necessário, com a supressão de identificadores como nome e CPF quando a identificação não for indispensável, e ser formalizado por termo de compromisso e responsabilidade assinado no Suap, com envio por canal seguro e nível de acesso restrito (Parecer nº 5/2026).
Não. O e-mail institucional é ferramenta de trabalho e o endereço de cada servidor é dado pessoal de uso institucional. O envio de mensagens de terceiros a toda a lista não se enquadra nas finalidades para as quais os dados são tratados. Comunicações de outros entes dirigidas à lista de servidores devem passar por avaliação da Comunicação Institucional (Parecer nº 5/2024).
Em regra, não. A LGPD veda ao Poder Público transferir a entidades privadas dados pessoais de suas bases, salvo nos casos de execução descentralizada de atividade pública, de dados acessíveis publicamente, de previsão legal ou respaldo em contratos e convênios, ou quando a transferência visar exclusivamente à prevenção de fraudes ou à proteção do titular (art. 26, § 1º).
É permitido para finalidades específicas de execução de políticas públicas e de atribuições legais, respeitados os princípios da LGPD (art. 26). O guia da ANPD sobre o Poder Público recomenda formalizar o compartilhamento, definir a finalidade, limitar os dados ao necessário, adotar medidas de segurança e dar transparência à operação.
Use os dados apenas para a finalidade do serviço; colete e consulte somente o necessário; compartilhe apenas com quem precisa da informação para trabalhar; classifique corretamente o nível de acesso de documentos e processos no Suap; não deixe documentos à vista nem a tela desbloqueada; não compartilhe senhas; não envie dados pessoais por canais não institucionais; descarte papéis de forma segura; e comunique imediatamente qualquer incidente de segurança.
Não. A restrição de acesso deve ser a exceção. Documentos de interesse público devem permanecer acessíveis, com proteção apenas dos dados pessoais que não precisam ser divulgados. Restringir processos inteiros sem necessidade compromete a transparência; deixar dados sensíveis expostos compromete a privacidade.
A empresa atua como operadora e deve tratar os dados somente conforme as instruções do IFRN (LGPD, art. 39). O contrato deve conter cláusulas de proteção de dados que definam a finalidade do tratamento, as medidas de segurança, o dever de comunicar incidentes, as regras para subcontratação e a devolução ou a eliminação dos dados ao final (Parecer nº 10/2026).

É a adoção de medidas de proteção de dados desde a fase de concepção de um sistema, serviço ou processo até a sua execução (LGPD, art. 46, § 2º). No desenvolvimento de sistemas, significa levantar requisitos de privacidade já na análise, limitar a coleta ao necessário, controlar acessos por perfil e revisar a privacidade antes de colocar a solução em produção (Parecer nº 10/2026).
Não é recomendável. Dados de estudantes, servidores e candidatos foram coletados para outras finalidades, e ambientes de teste costumam ter menos proteção. A orientação é usar dados sintéticos, anonimizados ou pseudonimizados e separar os ambientes de desenvolvimento, homologação e produção (Parecer nº 10/2026).
O guia da ANPD sobre cookies orienta a distinguir os cookies necessários ao funcionamento do serviço dos não necessários, como os de análise e de publicidade. O usuário deve ser informado de forma clara sobre as finalidades e poder gerenciar as suas preferências; quando a base legal for o consentimento, ele não pode ser presumido nem obtido por opções pré-marcadas.
É qualquer evento adverso confirmado que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. Exemplos: acesso não autorizado a sistemas, vazamento de planilhas, envio de documento à pessoa errada, perda ou furto de equipamentos e sequestro de dados (ransomware).
Comunique imediatamente à Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (Etir), pelo e-mail etir@ifrn.edu.br, e ao Encarregado, pelo e-mail encarregado.lgpd@ifrn.edu.br. Informe o que ocorreu, quando, quais dados e pessoas foram afetados e as medidas já adotadas. Não apague registros que possam ajudar na apuração.
Sim, quando o incidente puder acarretar risco ou dano relevante aos titulares. Nesses casos, a comunicação à ANPD e aos titulares deve ser feita em três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. O controlador também deve manter registro dos incidentes por, no mínimo, cinco anos (LGPD, art. 48; Resolução CD/ANPD nº 15/2024).
Use senhas fortes e diferentes para cada serviço e ative a verificação em duas etapas; desconfie de mensagens que pedem dados ou códigos; confira o endereço dos sites antes de informar dados; mantenha os dispositivos atualizados; e evite expor documentos e dados pessoais em redes sociais.

Sim, desde que a transferência se enquadre em uma das hipóteses do art. 33 da LGPD, regulamentado pela Resolução CD/ANPD nº 19/2024. Entre elas estão: a transferência para países ou organismos com nível de proteção reconhecido como adequado pela ANPD; a adoção de cláusulas-padrão contratuais aprovadas pela ANPD; a cooperação internacional; a execução de política pública ou de atribuição legal do serviço público, com a devida publicidade; e o consentimento específico e em destaque do titular.
Sim. A Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, reconheceu a adequação do nível de proteção de dados da União Europeia. Para os demais destinos, a transferência deve se apoiar em outro mecanismo previsto na LGPD.
Pode, quando os dados são armazenados ou acessados por empresa situada em outro país. Antes de contratar ou adotar ferramentas desse tipo para tratar dados pessoais do IFRN, consulte a área de tecnologia da informação e o Encarregado.

Recebe reclamações e comunicações dos titulares, presta esclarecimentos e adota providências; recebe comunicações da ANPD; e orienta servidores e contratados sobre as práticas de proteção de dados (LGPD, art. 41, § 2º). Conforme a Resolução CD/ANPD nº 18/2024, também presta assistência e orientação à instituição em temas como incidentes de segurança, registro das operações de tratamento, relatórios de impacto, medidas de segurança e normas internas.
Os pareceres têm caráter técnico e opinativo. A decisão cabe à autoridade competente, e a responsabilidade pela conformidade do tratamento permanece com o IFRN, na condição de controlador. Eles registram o entendimento adotado em casos concretos e servem de referência para situações semelhantes.
Sempre que houver dúvida sobre a coleta, o uso, o compartilhamento ou a divulgação de dados pessoais, como em pedidos de acesso a documentos com dados de terceiros, solicitações de dados para pesquisa, criação de formulários e sistemas, contratos que envolvam dados pessoais e incidentes de segurança. A consulta pode ser feita por processo no Suap ou pelo e-mail encarregado.lgpd@ifrn.edu.br.
A Política de Privacidade e Proteção de Dados Pessoais do IFRN, o Plano de Ação para Conformidade do IFRN à LGPD, o Guia Prático de Privacidade e Proteção de Dados do IFRN e a Política de Segurança da Informação. Os três primeiros estão disponíveis na página de proteção de dados pessoais do portal.
A Autoridade Nacional de Proteção de Dados (ANPD), que edita regulamentos e guias, recebe petições de titulares e comunicações de incidentes e pode aplicar sanções administrativas. No IFRN, a Auditoria-Geral e os órgãos de controle também acompanham a conformidade institucional.