A Superintendência Nacional de Previdência Complementar (Previc) decidiu centralizar a governança de dados, segurança da informação, proteção de dados pessoais e tecnologia da autarquia e estabeleceu que as novas regras também alcançarão informações mantidas sob custódia de empresas contratadas. A mudança consta de duas portarias publicadas nesta sexta-feira (11) no Diário Oficial da União.
A Portaria Previc nº 701 institui a Política de Governança de Dados da autarquia e determina que ela será aplicada a todos os dados sob responsabilidade da Previc, “incluindo aqueles custodiados por terceiros”. As regras deverão ser observadas por servidores, demais colaboradores e fornecedores.
O alcance dessa determinação é um dos pontos relevantes do novo modelo. A Previc é responsável pela supervisão e fiscalização das entidades fechadas de previdência complementar e administra informações relacionadas a um setor que movimenta grandes volumes de recursos e reúne dados regulatórios, financeiros e pessoais. Com a nova política, a responsabilidade institucional sobre essas informações não termina quando seu armazenamento ou processamento é realizado fora da infraestrutura própria da autarquia.
A portaria passa a considerar formalmente os dados como “ativos estratégicos institucionais” e estabelece como princípios sua qualidade, disponibilidade, integridade, reutilização e interoperabilidade. Também determina segurança, privacidade, preservação e proteção das informações, além de transparência, ressalvados os casos sujeitos a sigilo ou restrição de acesso.
O modelo abrange todo o ciclo de vida das informações, desde sua criação até o descarte, passando pela utilização, armazenamento, compartilhamento e preservação. A Previc pretende ainda ampliar o uso dos dados na tomada de decisões e desenvolver uma cultura institucional baseada em evidências.
A política cria uma cadeia de responsabilidades para administrar essas informações. A Diretoria Colegiada passa a ser o órgão superior de governança digital e de dados. A Coordenação-Geral de Inteligência e Riscos ficará responsável por coordenar a implantação da política e as atividades de gestão dos dados, enquanto a Coordenação-Geral de Tecnologia da Informação assumirá sua chamada “curadoria técnica”.
Essa atribuição da área de tecnologia envolve arquitetura, infraestrutura, armazenamento, integração, processamento, disponibilização e administração dos ambientes tecnológicos associados aos dados. A política também cria a figura do “curador negocial”, um servidor que ficará responsável por conjuntos específicos de informações e deverá cuidar de aspectos como qualidade, consistência, integridade, autenticidade, proteção, reutilização e identificação de riscos.
O encarregado de dados pessoais e o gestor de segurança da informação também passam a integrar formalmente essa estrutura. Com isso, atividades que poderiam funcionar separadamente, como tecnologia, LGPD, segurança, gestão de riscos e administração dos dados, passam a fazer parte de um mesmo sistema de governança.
A segunda medida publicada pela Previc, a Portaria nº 702, cria justamente o Comitê de Governança Digital e de Dados (CGDD), que funcionará como instância estratégica e deliberativa desse modelo.
O colegiado terá representantes da Diretoria Colegiada e das diretorias de Normas, Licenciamento e Fiscalização e Monitoramento, além dos responsáveis por Tecnologia da Informação, Inteligência e Gestão de Riscos, proteção de dados pessoais e segurança da informação.
Na prática, o comitê terá poder para deliberar sobre diretrizes, programas e planos institucionais relacionados à governança digital e de dados, acompanhar a implementação das políticas, supervisionar as estruturas responsáveis e acompanhar riscos e incidentes relevantes. Também poderá propor à Diretoria Colegiada a criação ou revisão de políticas e normas.
A Coordenação-Geral de Inteligência e Riscos funcionará como secretaria-executiva. A portaria permite ainda a criação simultânea de até três subcomitês, cada um com no máximo sete integrantes, destinados a executar planos e desenvolver normas e ações decorrentes das decisões estratégicas do CGDD.
Apesar da amplitude das atribuições, as reuniões ordinárias do comitê ocorrerão apenas semestralmente. Reuniões extraordinárias poderão ser convocadas pelo presidente ou solicitadas, de forma fundamentada, por pelo menos um terço dos integrantes.
As duas normas não estabelecem, por enquanto, requisitos específicos sobre localização física dos dados, utilização de serviços de nuvem ou contratação de provedores nacionais ou estrangeiros. Também não trazem regras próprias para emprego de inteligência artificial sobre as bases da autarquia. A Portaria 701 estabelece, porém, que a implementação será gradual e autoriza o CGDD a editar os atos necessários à regulamentação da política, deixando parte importante das regras operacionais para uma etapa posterior.
A inclusão expressa dos dados custodiados por terceiros torna relevante, a partir de agora, identificar quais empresas armazenam, processam ou têm acesso às bases da Previc e quais contratos de tecnologia estão submetidos ao novo modelo. A política determina que os fornecedores deverão obedecer às suas disposições, mas não relaciona os atuais prestadores desses serviços.
A reorganização também substitui uma estrutura anterior. A Portaria 702 revoga a Portaria Previc nº 457, de junho de 2020, e adapta a governança da autarquia ao modelo estabelecido posteriormente pelo governo federal, especialmente pelo Decreto nº 12.198/2024 e pela Portaria SGD/MGI nº 6.618/2024.
Os dois atos tiveram origem no mesmo Processo SEI, de nº 44011.000764/2026-99. Os documentos que instruíram esse processo podem esclarecer o diagnóstico que levou à mudança, a situação atual das bases de dados da autarquia e as medidas previstas para sua implementação.
Com as novas regras, portanto, a Previc não definiu apenas uma política interna de tecnologia. Criou uma estrutura única para decidir como seus dados serão administrados, protegidos, compartilhados e utilizados e deixou claro que essa governança também alcança as informações entregues à custódia de terceiros. Resta saber como essas diretrizes serão transformadas em regras concretas e quais fornecedores e ambientes tecnológicos já estarão sujeitos a elas.
