Diretrizes para Proteção de Dados
Definição
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/18, ou simplesmente “LGPD”) estabelece normas sobre como os Agentes de Tratamento devem tratar Dados Pessoais nos meios físicos ou digitais, de forma segura e transparente. A promulgação da Emenda Constitucional nº 115, em fevereiro de 2022, trouxe o reconhecimento da importância da proteção dos Dados Pessoais no Brasil, incluindo este tema ao rol de direitos e garantias fundamentais de nossa Constituição Federal.
A LGPD dispõe que as instituições poderão formular políticas e regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de Titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no Tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao Tratamento de Dados Pessoais.
Com o objetivo de reforçar o compromisso institucional com os direitos fundamentais à privacidade e à proteção de Dados Pessoais e garantir a conformidade com a regulamentação, o Banrisul estabeleceu o Programa de Governança em Privacidade e Proteção de Dados Pessoais, que contempla não somente os aspectos legais, mas a governança em privacidade de Dados Pessoais como um todo.
Considerando que o Banrisul – diretamente ou por meio de seus representantes, colaboradores ou fornecedores – realiza inúmeras Operações de Tratamento de Dados Pessoais, faz-se necessário fortalecer a cultura de comprometimento com a proteção de dados, de maneira a garantir que essas operações estejam alinhadas com as exigências legais e com as melhores práticas em proteção de Dados Pessoais.
Para garantir e demonstrar a conformidade contínua com a proteção de Dados Pessoais, o Banrisul mantém e atualiza as Diretrizes para Proteção de Dados Pessoais, integrantes do Programa de Governança em Privacidade e Proteção de Dados Pessoais, reafirmando seu compromisso com a privacidade, a segurança e os direitos dos Titulares.
Abrangência
Estas Diretrizes aplicam-se aos fornecedores, prestadores de serviços e parceiros do Banrisul e seus respectivos prepostos, trabalhadores e colaboradores, referenciados neste documento pelos termos “Terceiro” ou “Terceiros”, que, no escopo de determinada contratação, realizem Tratamento de Dados Pessoais em atividades conjuntas com o Banco, na condição de Agentes de Tratamento.
Objetivo
Esta Política tem por objetivo estabelecer princípios, regras, atribuições e responsabilidades no Tratamento de Dados Pessoais, de modo a garantir a conformidade do Banrisul à LGPD, com a regulamentação expedida pela Agência Nacional de Proteção de Dados (“também conhecida como ANPD”) e com as demais normas aplicáveis à proteção de Dados Pessoais e à privacidade.
O Banrisul declara, através deste documento, o seu compromisso com a manutenção do equilíbrio entre seus interesses econômicos e a proteção de Dados Pessoais dos Titulares - sejam clientes, parceiros ou colaboradores.
Princípios
Os princípios que estão no cerne da LGPD são fundamentais para a adoção de boas práticas de proteção de dados, devendo ser observados em todo o ciclo de vida do Dado Pessoal.
A boa-fé no Tratamento de Dados Pessoais é uma premissa básica adotada pelo Banrisul em todas as suas atividades e pressupõe a coerência entre as finalidades, as características dos Tratamentos de Dados Pessoais e as informações prestadas aos Titulares. Essas ações passam por avaliações sistemáticas de impactos e riscos à privacidade, considerando aspectos como o objetivo e a finalidade do Tratamento, a necessidade dos dados para a realização das atividades, a adequação da quantidade de Dados Pessoais tratados para a finalidade pretendida, a exigência de Consentimento do Titular, os riscos de discriminação, entre outros. No Banrisul, os valores desses princípios-chave devem nortear todas as práticas relacionadas ao Tratamento de Dados Pessoais:
- Finalidade: o Tratamento deve seguir propósitos legítimos, específicos, explícitos e informados ao Titular, sem possibilidade de Tratamento posterior de forma incompatível com a finalidade originalmente informada. O Tratamento deve estar vinculado ao objetivo assinalado para sua coleta e utilização, a fim de garantia da denominada “privacidade contextual”, evitando a utilização para outros fins, ou fins incompatíveis com aquele declarado.
- Adequação: o Tratamento deve ocorrer de forma compatível com as finalidades informadas ao Titular, de acordo com o contexto do Tratamento realizado no caso concreto.
- Necessidade: o Tratamento deve ser realizado apenas com os Dados Pessoais que sejam estritamente necessários para alcançar as finalidades pretendidas, isto é, sem utilização de Dados Pessoais excessivos ou impertinentes. Deve-se adotar postura crítica a todo Tratamento de Dados Pessoais.
- Livre acesso: os Titulares devem ter acesso à consulta facilitada e gratuita sobre a forma e a duração do Tratamento dos Dados Pessoais que lhe dizem respeito, bem como sobre a integralidade de seus Dados Pessoais.
- Qualidade dos dados: os Dados Pessoais mantidos pelo Banrisul devem ser exatos, claros e atuais, bem como relevantes ao propósito do negócio, à necessidade e à finalidade de seu Tratamento.
- Transparência: os Titulares devem ter fácil acesso a informações claras e precisas sobre os Tratamentos de seus Dados Pessoais realizados nas diversas atividades do Banrisul, observados os segredos comercial e industrial.
- Segurança: o Banrisul deve adotar medidas técnicas e administrativas — como procedimentos, tecnologias e soluções — que garantam maior proteção dos Dados Pessoais e previnam a ocorrência de Incidentes de Segurança, como acessos não autorizados e situações acidentais ou ilícitas que possam resultar em destruição, perda, alteração ou vazamento de Dados Pessoais.
- Prevenção: devem ser adotadas medidas proativas para antecipar e mitigar riscos relacionados ao Tratamento de Dados Pessoais, buscando evitar a ocorrência de Incidentes de Segurança.
- Não discriminação: o Tratamento de Dados Pessoais não deve ser realizado com objetivos de discriminar ou de promover abusos contra os Titulares, ou seja, é vedado valer-se de Dados Pessoais — especialmente Dados Pessoais Sensíveis, como aqueles relacionados à origem racial ou étnica, filiação à organização de caráter político ou informações de saúde — para prejudicar, estigmatizar ou criar distinções injustas entre as pessoas.
- Responsabilidade e prestação de contas: o Banrisul deve cumprir a legis-lação e demonstrar sua conformidade, mediante evidências da adoção de medidas e procedimentos eficazes para a proteção dos Dados Pessoais, du-rante todo o seu ciclo de vida, observados os segredos comercial e indus-trial.
Tratamento de Dados Pessoais no Banrisul
Todo e qualquer Tratamento de Dados Pessoais no Banrisul ou em seu favor deverá contar com uma finalidade legítima, específica e amparada em pelo menos uma das Hipóteses Legais de Tratamento previstas na LGPD, sendo que nenhum Dado Pessoal deverá ser tratado de forma diversa daquela informada ao Titular.
Devem ser empreendidos esforços para que o Titular seja adequadamente informado acerca do Tratamento de seus Dados Pessoais. Em caso de compartilhamento de Dados Pessoais com Terceiros (inclusive do mesmo grupo econômico), o Banrisul deverá garantir a disponibilização de informações claras acerca do compartilhamento, incluindo qual é a sua respectiva finalidade.
O Banrisul disponibilizará, na sua Política de Privacidade, as informações necessárias e atualizadas para que o Titular tenha conhecimento dos Tratamentos realizados, bem como dos canais disponíveis para que possa exercer os direitos previstos na LGPD.
Tratamento de Dados de Criança e Adolescente
Os Dados Pessoais de crianças e adolescentes deverão ser tratados com máxima cautela, tendo o melhor interesse e a proteção da criança e do adolescente como princípio orientador, cuja aplicação será avaliada no caso concreto, nos termos da legislação aplicável.
Conforme o entendimento da Agência Nacional de Proteção de Dados (ANPD) no Brasil, o Tratamento de Dados Pessoais de crianças e adolescentes pode se basear em qualquer uma das Hipóteses Legais previstas na LGPD, inclusive quando aplicável o Consentimento de pelo menos um dos pais ou do responsável legal. Quando o Tratamento depender do Consentimento de pelo menos um dos pais ou do responsável legal, este deve ser expresso, específico e destacado, sendo indicada a finalidade que será atendida pelo Tratamento. Embora o Consentimento represente uma Hipótese Legal possível para Tratamento de Dados Pessoais, não é a única opção, sendo as demais Hipóteses Legais da LGPD válidas e, inclusive, mais apropriadas em determinadas situações.
É proibida qualquer forma de Tratamento de Dados Pessoais para classificar crianças e adolescentes em grupos ou perfis com o objetivo de direcionar publicidade comercial a menores, incluindo eventuais análises emocionais.
Todo e qualquer produto, serviço ou sistema voltado a crianças e adolescentes ou com acesso provável por esse público deverá adotar, por padrão, as configurações mais protetivas de privacidade e de proteção de Dados Pessoais disponíveis, além de fornecer informações claras aos responsáveis legais sobre os eventuais riscos identificados, as medidas de segurança adotadas e as ferramentas de supervisão parental disponibilizadas pelo Banrisul, em local de fácil acesso. As ferramentas de supervisão parental devem permitir que os pais ou responsáveis legais visualizem, configurem e gerenciem as opções de privacidade aplicáveis.
O Banrisul buscará revisar periodicamente as medidas de proteção adotadas, considerando a natureza do produto ou serviço, o contexto do Tratamento, os riscos envolvidos e as normas aplicáveis à proteção de crianças e adolescentes no ambiente digital.
Tratamento de Dados Pessoais por Terceiros
Sempre que o Banrisul celebrar contrato ou parceria com um Terceiro — como um fornecedor ou parceiro de negócios — cujo objeto requeira o Tratamento de Dados Pessoais, deve-se estabelecer cláusulas contratuais que definam as responsabilidades e obrigações de cada parte para a proteção de Dados Pessoais, incluindo o dever de observância ao sigilo e à confidencialidade dos dados compartilhados.
As regras e exigências para as contratações e/ou relacionamentos que envolvam compartilhamento de Dados Pessoais constarão nas cláusulas dos respectivos contratos, aditivos e/ou termos de declaração, observadas as peculiaridades e natureza de cada relação negocial e, sempre que possível, serão utilizadas medidas de pseudonimização ou demais técnicas que contribuam para a proteção e a confidencialidade dos Dados Pessoais.
Previamente à pactuação de qualquer relacionamento/contratação com Terceiros que envolvam o Tratamento de Dados Pessoais, todos os envolvidos devem ser orientados a acessar as Diretrizes para Proteção de Dados Pessoais e a Política de Privacidade do Banrisul, no site da instituição, e a cumprir as normas de proteção de dados aplicáveis, notadamente a LGPD e as regulamentações das autoridades competentes.
Firmar contratos com disposições inequívocas e específicas com fornecedores e parceiros garante que todos possuam ciência de suas obrigações no âmbito de proteção de Dados Pessoais. O não atendimento de quaisquer exigências contratuais deverá ser documentado e poderá gerar a responsabilização do Terceiro, no contexto do respectivo relacionamento.
Privacidade desde a concepção e por padrão no desenvolvimento de produtos e serviços
Em conformidade com as diretrizes da LGPD e boas práticas de mercado, os produtos, serviços e sistemas desenvolvidos pelo Banrisul deverão incorporar medidas de segurança, técnicas e administrativas de acordo com a presente Política e aptas a proteger os Dados Pessoais desde a fase de concepção até a operacionalização, adotando os princípios de Privacy by Design e Privacy by Default, isto é, Privacidade desde a Concepção e por Padrão.
Medidas de segurança e boas práticas
O Banrisul deve adotar medidas de segurança, técnicas e administrativas, visando à proteção dos Dados Pessoais contra acesso não autorizado, manipulação acidental ou intencional, perda e destruição. Os Dados Pessoais tratados no Banrisul serão transmitidos somente quando necessário e mediante conexões seguras.
A concessão de acessos aos Dados Pessoais tratados pelo Banrisul deve ser restrita aos colaboradores autorizados e que necessitarem realizar o Tratamento desses Dados Pessoais para o desempenho de suas funções, observados os princípios previstos neste documento.
Exclusão e retenção de Dados Pessoais
As áreas que tratam Dados Pessoais devem estabelecer procedimentos para a sua exclusão após esgotada a finalidade do Tratamento, bem como definir o prazo de retenção desses Dados Pessoais. O tempo de armazenamento dos Dados Pessoais tratados dependerá do propósito e da natureza do Tratamento realizado e observará a legislação e regulamentação aplicável.
Os Dados Pessoais tratados deverão ser mantidos pelo período necessário para o cumprimento das finalidades atribuídas aos seus Tratamentos e para o atendimento de obrigações legais e/ou regulatórias e contratuais a elas inerentes ou aplicáveis.
Treinamento e conscientização
O Banrisul deve promover treinamentos periódicos sobre o tema Privacidade e Proteção de Dados, disseminando as políticas e procedimentos vigentes, as melhores práticas de mercado e quais as responsabilidades de todos os abrangidos nestas Diretrizes.
Devem ser criadas ações para capacitar e conscientizar todos aqueles que tratam Dados Pessoais em nome do Banrisul, acerca do compromisso do Banrisul para com os Titulares no que se refere a devida proteção de seus Dados Pessoais e efetivação de seus direitos.
Incidente de segurança
O Banrisul possui Diretrizes para Prevenção e Resposta a Incidentes com Dados Pessoais que estabelecem os processos e responsabilidades para a gestãode Incidentes de Segurança, especialmente daqueles que possam acarretar risco ou dano relevante aos Titulares. Todos os colaboradores do Banrisul e suas empresas controladas devem seguir as orientações preventivas à ocorrência de Incidentes de Segurança, bem como observar os procedimentos internos em caso de identificação ou suspeita de Incidente de Segurança.
Os Incidentes de Segurança com Dados Pessoais deverão ser avaliados pelas estruturas e alçadas estabelecidas para deliberação quanto à necessidade das comunicações aos Titulares e/ou à ANPD, conforme determina a LGPD. A comunicação observará o conteúdo, a forma e os prazos definidos no Regulamento de Comunicação de Incidente de Segurança da ANPD e nas Diretrizes internas do Banrisul.
Em razão de seu caráter confidencial, as Diretrizes para Prevenção e Resposta a Incidentes com Dados Pessoais não são públicas, entretanto, diretrizes gerais sobre segurança da informação e cibernética são publicizadas no site da instituição, em compromisso com a transparência.
Direitos dos titulares de Dados Pessoais
O Banrisul disponibiliza canais específicos para recebimento das solicitações dos direitos dos Titulares, garantindo que as requisições dos Titulares sejam atendidas dentro do prazo estabelecido pela LGPD, com a segurança e qualidade necessária, sem expor dados de Terceiros e observados os segredos de negócio. O Encarregado – também conhecido como “Data Protection Officer” (DPO) – atuará como canal de comunicação entre o Controlador (Banrisul), os Titulares e a ANPD e conduzirá as atividades a ele atribuídas.
Transferência internacional de dados
A depender do produto ou serviço disponibilizado, da forma de relacionamento mantida com o Titular, das tecnologias utilizadas ou da atuação de fornecedores, parceiros comerciais e empresas do Grupo Banrisul, os Dados Pessoais poderão ser enviados para outros países, desde que adotado mecanismo válido de transferência internacional e assegurado nível adequado de proteção aos Dados Pessoais.
A transferência internacional poderá ocorrer, entre outras hipóteses, em razão da utilização de serviços de tecnologia, infraestrutura, armazenamento em nuvem, segurança da informação, suporte técnico, prevenção a fraudes, análise de dados, processamento de transações, execução de contratos, operações financeiras, serviços de pagamento, seguros, câmbio, investimentos, prevenção à lavagem de dinheiro, combate a fraudes, cumprimento de obrigações legais ou regulatórias, ou atendimento a solicitações de autoridades competentes, quando permitido ou exigido pela legislação aplicável.
As áreas responsáveis por operações que envolvam transferência internacional de Dados Pessoais deverão assegurar que tais transferências sejam previamente avaliadas, justificadas, documentadas e realizadas em conformidade com a LGPD, com as regulamentações da ANPD e com as normas internas aplicáveis, adotando mecanismo válido de transferência — tais como decisão de adequação ou cláusulas-padrão contratuais — conforme o caso. Também deverão ser observados os princípios da necessidade, finalidade, adequação, segurança, transparência, prevenção, responsabilização e prestação de contas.
Sempre que houver participação de Terceiros na transferência internacional de Dados Pessoais, o Banrisul deverá exigir padrões compatíveis de segurança, confidencialidade, governança, proteção de Dados Pessoais e respeito aos direitos dos Titulares. Para tanto, deverão ser adotadas, quando aplicáveis, medidas contratuais, técnicas e organizacionais destinadas a proteger os Dados Pessoais contra acessos não autorizados, perda, alteração, divulgação indevida ou qualquer forma de Tratamento inadequado ou ilícito.
Os direitos dos Titulares deverão permanecer assegurados independentemente do país em que os Dados Pessoais venham a ser tratados, cabendo às áreas envolvidas manter evidências da conformidade da transferência internacional e acionar as instâncias responsáveis sempre que houver dúvidas quanto ao mecanismo aplicável, aos riscos envolvidos ou às medidas de proteção necessárias.
Relatório de Impacto à Proteção de Dados Pessoais (RIPD)
Nas operações de Tratamento que possam gerar alto risco aos direitos e liberdades dos Titulares, o Banrisul elaborará Relatório de Impacto à Proteção de Dados Pessoais (RIPD), contendo a descrição do Tratamento, os riscos identificados e as medidas de mitigação adotadas, nos termos da LGPD e das regulamentações da ANPD.
As áreas gestoras, com apoio do Encarregado, são responsáveis por identificar as operações que demandam RIPD e por mantê-lo atualizado.
Programa de Governança em Privacidade e Proteção de Dados Pessoais
O Banrisul possui um Programa de Governança em Privacidade e Proteção de Dados Pessoais que contempla as políticas, os procedimentos e as práticas adotadas para assegurar a observância dos princípios da proteção de dados pessoais e privacidade, bem como a conformidade com o ecossistema regulatório, permeando as atividades da instituição como um todo.
Periodicidade de revisão
As Diretrizes para Proteção de Dados Pessoais poderão sofrer alterações sempre que o Banrisul entender necessário, ou para cumprimento de exigência legal ou regulatória.
O Banrisul adota o compromisso de revisar e atualizar esta Política regularmente para refletir as boas práticas observadas no setor, bem como as informações obtidas no monitoramento contínuo e avaliações periódicas do Tratamento de Dados Pessoais.
GLOSSÁRIO
Agente de Tratamento: o Controlador e o Operador, que realizam Tratamento de Dados Pessoais.
Agência Nacional de Proteção de Dados ou ANPD: autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública, responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.
Banrisul ou Banco: Banrisul e empresas controladas do Grupo Banrisul.
Consentimento: manifestação livre, informada e inequívoca pela qual o Titular concorda com o Tratamento de seus Dados Pessoais para uma finalidade determinada.
Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento de Dados Pessoais.
Dado Pessoal: qualquer informação relacionada a uma pessoa natural identificada ou identificável.
Dado Pessoal Sensível: podem revelar aspectos da intimidade do indivíduo – Dado Pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Encarregado ou DPO (Data Protection Officer): Pessoa indicada pelo controlador ou operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Agência Nacional de Proteção de Dados (ANPD).
Hipótese legal de Tratamento: condições previstas nos arts. 7º (Dados Pessoais) e 11 (Dados Pessoais Sensíveis) da LGPD que legitimam o Tratamento de Dados Pessoais.
Incidente de Segurança: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de Dados Pessoais.
Mecanismo Válido de Transferência Internacional: hipóteses previstas nos inci-sos I a IX do art. 33 da Lei nº 13.709, de 14 de agosto de 2018, que autorizam uma transferência internacional de Dados Pessoais.
Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador.
Operação de Tratamento de Dado Pessoal ou OTD: macro atividade de Tratamento de Dado Pessoal mapeada, registrada e enquadrada em, ao menos, uma Hipótese Legal prevista no art. 7º (Dado Pessoal) ou 11 (Dado Pessoal Sensível) da LGPD pelo Banrisul.
Privacy by Design: Privacidade desde a Concepção é uma metodologia que prevê que qualquer projeto que envolva o Tratamento de Dados Pessoais deve garantir que a privacidade e a proteção de Dados Pessoais sejam incorporadas durante todo o seu ciclo de vida.
Privacy by Default: Privacidade por Padrão é uma metodologia que significa que as configurações mais seguras de privacidade deverão ser aplicadas automaticamente por padrão, sem nenhuma intervenção ou providência do usuário para proteger seus Dados Pessoais.
Terceiro: fornecedores, prestadores de serviços e parceiros do Banco e seus respectivos prepostos e colaboradores, que, no escopo de determinada contratação, realizem Tratamento de Dados Pessoais em atividades conjuntas com o Banco, na condição de Agentes de Tratamento.
Titular de Dados Pessoais: pessoa natural a quem se referem os Dados Pessoais que são objeto de Tratamento.
Transferência Internacional de Dados: transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.
Tratamento de Dados Pessoais: toda operação realizada com Dados Pessoais como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Atualizado em outubro/2026.