Plano do MGI sobre incidentes com dados pessoais, organizações, papéis, fluxos e prazos
O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) publicou um plano de incidentes MGI para dados pessoais. O documento organiza papéis, fluxos e prazos internos para lidar com incidentes no âmbito do Órgão.
Na prática, o plano define rotinas para resposta e comunicação. Ele indica quem aciona quem, quando registra o incidente e como comunicar comunicações, inclusive quando ainda há informações incompletas.
Contexto do ato
A aprovação do plano foi formalizada pelo ato do Comitê de Proteção de Dados Pessoais do MGI. O texto entra em vigor na data de publicação do ato, conforme a resolução citada nas fontes.
O que está confirmado
-
O MGI publicou o Plano de Gestão de Incidentes com Dados Pessoais (PGI-DP), em PDF.
-
O plano se apresenta como parte da governança em privacidade do Órgão.
-
O texto declarado à LGPD e os referenciais de segurança e resposta a incidentes, relatados no próprio documento.
-
O modelo de gestão tem quatro fases: Preparação; Detecção e análise; Contenção, erradicação e recuperação; Atividades pós-incidente.
-
O plano define papéis e responsabilidades, incluindo Alta Administração, CPDP, Encarregado, ETIR, Unidade Responsável e notificadores.
-
O documento contém registros e tramitação do caso em processo SEI com acesso sigiloso, com documentos de suporte (por exemplo, denúncia, notificação e comunicado).
Prazos e marco interno (conforme o plano)
-
O plano usa como marco interno a coleta, pelo Carregador, da Notificação de Incidente de Segurança (NIS).
-
A partir desse marco, o texto indica a necessidade de avaliar a comunicação à ANPD e aos titulares quando houver risco ou dano relevante.
-
O plano também descreve prazos internos para apoiar a gestão do caso, incluindo encaminhamentos na janela curta e comunicação em prazo compatível com as orientações da ANPD, quando aplicável.
O que não foi detalhado
-
O plano não substitui normas gerais da LGPD nem orientações externas aplicáveis. Ele descreve um procedimento interno do Órgão.
-
O texto não aprofunda procedimentos técnicos de contenção, erradicação e recuperação. Esses pontos ficam no âmbito da ETIR e das normas de segurança correlatas.
-
O plano não detalha ferramentas, arquitetura ou controles tecnológicos específicos.
-
O documento não desenvolve uma metodologia completa para medir “risco ou dano relevante”. Ele remete à avaliação no caso concreto.
-
O texto menciona comunicações parciais e complementares, mas não descreve um roteiro externo detalhado além do alinhamento ao formulário e às exigências regulatórias.
Implicações
O plano tende a padronizar a governança do incidente no órgão. Ele ajuda a organizar trilha de auditorias, registros e responsabilidades. Também pode reduzir o ruído interno em situações de pressão.
Outro ponto é o uso de prazos internos curtos. Eles são úteis para evitar atrasos na organização do caso e apoiar a comunicação quando ela for necessária, conforme critérios e orientações da ANPD.
Por que importa
-
Defina responsabilidades e etapas para responder a incidentes com dados pessoais.
-
Reforça rastreabilidade, com registros e documentação do tratamento do caso.
-
Ajuda a organizar a linha do tempo, com marco interno e fluxo de registro.
-
Facilitar o alinhamento com a ANPD quando houver necessidade de comunicação.
-
Cria base para revisão pós-incidente e melhoria contínua.
Em termos gerais, planos desse tipo funcionam melhor com treinamento, testes e revisão periódica. A maturidade do processo depende de registros consistentes e avaliação caso a caso do risco aos titulares, em linha com a LGPD e com o regulador.
Fontes
MGI — Plano de Gestão de Incidentes com Dados Pessoais (PGI-DP) (PDF) (jan/2026): https://www.gov.br/gestao/pt-br/assuntos/noticias/2026/janeiro/plano-de-gestao-de-incidentes-com-dados-pessoais.pdf
MGI — Notícia “MGI aprova documentos que fortalecem a proteção de dados pessoais” (14/01/2026): https://www.gov.br/gestao/pt-br/assuntos/noticias/2026/janeiro/mgi-aprova-documentos-que-fortalecem-a-protecao-de-dados-pessoais
MGI — Resolução CPDP/MGI nº 3, de 19/12/2025: https://www.gov.br/gestao/pt-br/acesso-a-informacao/estrategia-e-governanca/estrutura-de-governanca/cpdp/SEI_56479979_Resolucao_3.pdf
ANPD — Comunicado de Incidente de Segurança (CIS) e orientações (Resolução CD/ANPD nº 15/2024): https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis
