Por que essa portaria existe
O TRE-RN lida todos os dias com dados de eleitores, servidores e candidatos. A exige que essa proteção comece antes mesmo do projeto nascer — não depois que o problema aparece.
Protege desde o início
Antes de abrir um processo, publicar um edital ou assinar um contrato que use dados pessoais, o setor responsável avalia os riscos primeiro.
Cumpre a lei
Segue a Lei Geral de Proteção de Dados () e as orientações do Conselho Nacional de Justiça e do TCU.
Vale para todo o Tribunal
Qualquer setor que crie um sistema, projeto ou contrato envolvendo dados pessoais precisa seguir este mesmo passo a passo.
A portaria oficial traz 4 anexos com o desenho completo do fluxo e os modelos prontos do FAPP, do Checklist e do RIPD. Veja o resumo de cada um no fim desta página.
Termos que você vai ver
Alguns nomes técnicos não podem mudar, porque são usados em toda a Justiça Eleitoral. Toque ou passe o mouse sobre eles para ver a explicação.
Pensar na proteção dos dados pessoais desde o primeiro rascunho de um projeto — e não só no final.
Formulário rápido que a própria equipe do projeto preenche para descobrir se vai lidar com dados pessoais.
Lista de verificação usada quando o FAPP mostra que existe tratamento de dados pessoais.
Relatório mais detalhado, exigido apenas quando o projeto é classificado como de alto risco.
Informações como origem racial, religião, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico.
Setor do Tribunal responsável por orientar tecnicamente sobre proteção de dados pessoais.
Quando essa regra vale
A avaliação de privacidade é obrigatória nestes cinco casos:
- 1Um novo projeto está sendo criado dentro do Tribunal.
- 2Um sistema informatizado vai ser contratado ou desenvolvido e vai usar dados pessoais.
- 3Um sistema que já existe vai passar por uma mudança relevante.
- 4Um projeto estratégico ou sistema crítico vai ser revisado, ampliado ou atualizado.
- 5Uma empresa contratada vai ter acesso, direto ou indireto, a dados pessoais tratados pelo Tribunal.
O que a unidade responsável precisa fazer: incorporar esses procedimentos à governança institucional, à gestão de riscos e ao planejamento estratégico do Tribunal — não tratá-los como uma etapa isolada.
Quando não se aplica: se a iniciativa interna não envolver, de forma alguma, o tratamento de dados pessoais, essa portaria não precisa ser seguida.
Quem faz o quê
O processo segue estas etapas, na ordem abaixo, seguindo o fluxograma oficial do Anexo I. Cada uma tem um responsável.
Preenche o
Feito antes de abrir o processo, publicar o edital, assinar o contrato ou autorizar o projeto. Se não houver dado pessoal envolvido, a demanda segue direto no mesmo processo SEI e o fluxo termina aqui — mas o FAPP pode ser exigido depois pelos setores de governança, controle ou auditoria.
Preenche o
Só é necessário se o FAPP identificar tratamento de dados pessoais. A partir daqui, duas equipes analisam o checklist ao mesmo tempo — não uma depois da outra.
Avaliam a conformidade e os riscos à privacidade
Verificam se o tratamento é legítimo, necessário, proporcional e compatível com a LGPD, e classificam o risco em baixo, médio ou alto.
Avaliam os riscos de segurança da informação
Verificam se os dados estão protegidos contra acessos indevidos, vazamentos e incidentes, e também classificam o risco em baixo, médio ou alto.
O que acontece conforme o risco encontrado
Baixo nas duas avaliações: a demanda segue direto. Médio em qualquer uma delas: a unidade demandante recebe recomendações, sem precisar de RIPD. Alto em qualquer uma delas: a unidade demandante é orientada a elaborar o RIPD.
Elabora o
Só acontece quando alguma das avaliações apontou alto risco. O preenchimento pode ser conjunto com a ASSINT, quando necessário.
Analisa o nível de risco residual no RIPD
Se o risco que restou depois das medidas de proteção não for mais alto, a demanda segue. Se continuar alto, vai para o comitê de governança — a ASSINT pode pedir apoio do para essa análise.
Delibera sobre o projeto
Risco aceitável ou mitigável: autoriza a continuidade, com ou sem medidas adicionais — podendo também determinar revisão ou suspensão. Risco inaceitável para os direitos e liberdades das pessoas: determina o arquivamento da demanda.
Atualiza o repositório
O FAPP, o Checklist, o RIPD e as orientações emitidas ficam registrados no repositório institucional de governança de dados, para consulta e auditoria futura.
Papel de cada setor
Unidade demandante
Preenche o FAPP, o checklist e, se preciso, o RIPD.
ASSINT
Analisa o checklist e apoia a elaboração do RIPD.
Segurança da informação
Analisa as salvaguardas contra acessos indevidos e vazamentos.
Alta administração
Decide, pelos comitês de governança, os casos de risco residual alto.
Prazos do processo
Cada etapa tem um tempo máximo para acontecer.
| Etapa | Prazo |
|---|---|
| Preencher o FAPP | Antes de começar o projeto, contratação ou revisão |
| Analisar o checklist — projetos de alto risco | até 5 dias úteis |
| Analisar o checklist — projetos de baixo ou médio risco | até 3 dias úteis |
| Analisar o RIPD | até 3 dias úteis |
Qual é o nível de risco do meu projeto?
O nível de risco define quanto do processo o projeto precisa percorrer. Os exemplos abaixo são apenas ilustrativos — cada caso é avaliado individualmente.
Só é baixo risco se TODAS as condições abaixo forem verdadeiras:
- Usa principalmente dados comuns: nome, CPF, e-mail, telefone, cargo.
- Atinge um grupo pequeno e definido de pessoas.
- Não compartilha dados com o público externo de forma contínua ou em larga escala.
- Não usa decisão automática que afete direitos das pessoas.
Exemplo: cadastro interno de servidores(as), magistrados(as), estagiários(as) e colaboradores(as); sistema de controle de frequência; sistemas internos que não usam dados do cadastro eleitoral.
Já é suficiente UMA das condições abaixo:
- Envolve volume significativo de dados ou grande quantidade de pessoas, especialmente em sistemas de gestão administrativa, financeira ou de pessoal.
- Integra sistemas internos que compartilham ou consolidam dados entre setores.
- Dá acesso limitado e controlado a fornecedores ou prestadores, com perfis restritos.
- Cria ou amplia funcionalidades que mudam como os dados são coletados, usados ou armazenados.
Exemplo: sistemas de gestão administrativa, financeira ou de pessoal que integram dados funcionais.
Já é suficiente UM destes elementos:
- Usa dados pessoais sensíveis, inclusive dados biométricos do cadastro eleitoral.
- Trata em larga escala dados de eleitores(as), candidatos(as) ou partidos políticos.
- Tem interoperabilidade ou compartilhamento relevante com bases de dados externas.
- Usa decisão automática que produz efeitos jurídicos ou afeta significativamente as pessoas.
- É um sistema crítico para a atividade jurisdicional ou administrativa da Justiça Eleitoral.
- Dá acesso direto de fornecedores ou operadores a bases de dados eleitorais.
- Tem elevado potencial de impacto aos direitos e liberdades fundamentais das pessoas.
- Envolve dados pessoais de crianças e adolescentes.
Exemplo: sistemas de identificação biométrica e projetos que evoluem, migram ou modernizam o cadastro eleitoral.
A classificação também pode levar em conta outros elementos técnicos, jurídicos ou operacionais apontados pela , pela equipe de segurança da informação ou pelo(a) — os exemplos acima são apenas ilustrativos, não uma lista fechada.
Regras finais
Pontos importantes para manter o processo funcionando ao longo do tempo.
Os formulários e relatórios ficam registrados. O FAPP (quando indicar tratamento de dados), o Checklist, o RIPD e as orientações emitidas durante a avaliação são encaminhados à ASSINT e guardados em repositório institucional, para garantir integridade, rastreabilidade e disponibilidade em auditorias.
Contratos precisam ter cláusula de proteção de dados. Todo edital, contrato ou termo que envolva tratamento ou acesso a dados pessoais por fornecedores deve conter uma cláusula específica, seguindo a LGPD. Se não houver tratamento de dados na contratação, isso precisa ser justificado nos autos do processo. Ter a cláusula não substitui as demais medidas de governança, segurança da informação e privacidade previstas nesta portaria.
O RIPD é revisado a cada 2 anos ou sempre que houver uma mudança relevante no tratamento dos dados.
Projetos que já estão em andamento têm 120 dias, a partir da publicação desta portaria, para passar por essa avaliação — os de alto risco são analisados primeiro.
Casos não previstos nesta portaria são resolvidos diretamente pela Presidência do Tribunal.
Esta portaria já está em vigor desde a data da sua publicação.
Anexos: os formulários na prática
A portaria tem 4 anexos. São os documentos que a equipe do projeto realmente preenche, e o fluxograma que mostra como eles se conectam.
Anexo I · Ver o fluxograma oficial completo
Este é o desenho técnico (BPMN) que serviu de base para a seção "Quem faz o quê", com todas as 16 etapas e os 4 setores responsáveis lado a lado.
Anexo I · Fluxo do processo
É o mapa visual que amarra os outros três: mostra a ordem de preenchimento do FAPP, do Checklist e do RIPD, e quando cada setor entra em ação. Veja o desenho completo acima.
Anexo II ·
Preenchido pela unidade demandante, é o ponto de partida. Tem 11 partes:
- Identificação do projeto e prazos
- Descrição resumida do tratamento
- Tipos de dados tratados (inclusive se envolve crianças e adolescentes)
- Quem são os titulares dos dados
- Se há compartilhamento, inclusive internacional
- Base legal predominante
- Riscos identificados
- Classificação do risco (baixo, médio ou alto)
- Medidas de mitigação propostas
- Conclusão: precisa ou não de RIPD
- Próximo passo: aplicar o Checklist ou seguir sem ele
Anexo III ·
Preenchido pela unidade demandante quando há dado pessoal. Também vale para contratações e serviços. Tem 6 partes:
- Identificação inicial (dado sensível? compartilhamento? tecnologia nova?)
- Finalidade e necessidade do tratamento
- Mapeamento dos dados (tipos, fluxos, acessos, prazo de guarda)
- Avaliação de risco e, se alto, pedido de RIPD
- Medidas de proteção (controle de acesso, criptografia, logs, treinamento)
- Transparência: aviso de privacidade e direitos das pessoas titulares
Termina com uma declaração do(a) gestor(a) de que seguiu as diretrizes de Privacy by Design.
Anexo IV ·
Preenchido pela unidade demandante só quando o risco é alto. É o mais detalhado, com 8 partes:
- Identificação do tratamento e do(a) responsável pelo relatório
- Finalidade, fluxo de dados e categorias tratadas
- Base legal e necessidade, com medidas de minimização
- Riscos e impactos antes de qualquer proteção ser aplicada
- Medidas de mitigação, com responsáveis e prazos
- Risco residual, depois das medidas, e como tratar incidentes
- Prazo de retenção, descarte e revisão periódica
- Anexos opcionais: inventário de dados, fluxogramas e contratos
Nenhum resultado encontrado para essa busca. Tente outra palavra.
Este é um documento simplificado
Este texto foi adaptado em linguagem simples para facilitar a compreensão. Ele não substitui o texto oficial da Portaria nº 195/2026/PRES. Para fins legais, jurídicos ou de citação formal, consulte sempre o documento original publicado pelo TRE-RN.
Acessar o texto oficial da Portaria