INSTRUÇÃO NORMATIVA SUPERINTENDENTE/SUSEP n.º 7

SUPERINTENDÊNCIA DE SEGUROS PRIVADOS

INSTRUÇÃO NORMATIVA SUPERINTENDENTE/SUSEP Nº 7, DE 14 DE MAIO DE 2026


Estabelece diretrizes e procedimentos para o
tratamento de incidentes de segurança
envolvendo dados pessoais no âmbito da
Superintendência de Seguros Privados - Susep
.
O SUPERINTENDENTE DA SUPERINTENDÊNCIA DE SEGUROS PRIVADOS – SUSEP
,
no uso das
atribuições que lhe confere o inciso X do art. 48 do Regimento Interno anexo à Resolução CNSP nº 490, de 12 de
março de 2026, considerando o disposto na Lei nº 13.709, de 14 de agosto de 2018, na Resolução Susep nº 50, de 16
de abril de 2025, e na Resolução Susep nº 45, de 17 de outubro de 2024, bem como o que consta do Processo Susep
nº 15414.616040/2026-21,

R E S O L V E :

Art.
1
º
Esta Instrução Norma=va estabelece diretrizes e procedimentos para o tratamento de
incidentes de segurança envolvendo dados pessoais no âmbito da Susep, em conformidade com a legislação de
proteção de dados pessoais.
Art.
2
º
Para fins desta Instrução Normativa, consideram-se:
I
-
incidente de segurança com dados pessoais: evento adverso confirmado que resulte ou
possa resultar em comprome=mento da confidencialidade, integridade ou disponibilidade de dados
pessoais;
II
-
dados pessoais: informação relacionada a pessoa natural iden=ficada ou iden=ficável,
nos termos da Lei nº 13.709, de 14 de agosto de 2018;
III
-
dados pessoais sensíveis: dados pessoais sobre origem racial ou étnica, convicção
religiosa, opinião polí=ca, filiação a sindicato ou organização de caráter religioso, filosófico ou polí=co,
dados referentes à saúde ou à vida sexual, dados gené=cos ou biométricos, nos termos da Lei nº 13.709,
de 14 de agosto de 2018;
IV
-
encarregado pelo tratamento de dados pessoais: pessoa indicada pela Susep para atuar
como canal de comunicação entre a Autarquia, os =tulares de dados e a Autoridade Nacional de
Proteção de Dados -ANPD;
V
-
agente
de tratamento:
o controlador ou o operador, nos termos da Lei nº 13.709,
de 14
de agosto
de 2018;
VI
-
equipe
de resposta a incidentes:
grupo responsável pela análise e tratamento técnico
de incidentes de segurança da informação.
Art.
3
º
Compete ao encarregado pelo tratamento de dados pessoais:
I
-
atuar como canal de comunicação entre a Susep, os titulares de dados e a ANPD;
INSTRUÇÃO NORMATIVA 7 (2758772) SEI 15414.616040/2026-21 / pg. 1
II
-
apoiar
a avaliação do impacto de incidentes de segurança envolvendo dados pessoais; e
III
-
coordenar a comunicação de incidentes à ANPD
e aos =tulares impactados
, quando
aplicável
,
nos termos da legislação de proteção de dados pessoais.
Art.
4
º
Compete à
unidade

responsável pela
segurança
da informação:
I
-
monitorar eventos de segurança da informação;
II
-
identificar e analisar
incidentes de segurança;
III
-
executar medidas técnicas de contenção, erradicação e recuperação relacionadas aos
incidentes identificados
; e
IV
-
realizar, por meio da Equipe de Tratamento e Resposta a Incidentes - ETIR, a análise
técnica e o tratamento de incidentes de segurança envolvendo dados pessoais, observada a
regulamentação específica aplicável.
Art.
5
º
Às unidades gestoras dos sistemas e dados afetados compete:
I
-
apoiar a avaliação do impacto do incidente nos sistemas e dados sob sua
responsabilidade; e
II
-
colaborar
na adoção das medidas necessárias à recuperação dos sistemas afetados.
Art.
6
º
O tratamento de incidentes de segurança envolvendo dados pessoais no âmbito da
Susep observará o fluxo de tratamento de incidentes formalmente instituído pela Administração.
Parágrafo único.
O fluxo de que trata o
caput
será disponibilizado na intranet institucional da
Susep, em ferramenta de modelagem de processos.
Art.
7
º
O processo de tratamento de incidentes de segurança envolvendo dados pessoais
observará
, no mínimo, as seguintes etapas:
I
-
notificação
do incidente;
II
-
identificação e análise;
III
-
classificação do incidente;
IV
-
contenção;
V
-
erradicação;
VI
-
recuperação; e
VII
-
comunicação do incidente de segurança à ANPD e aos =tulares de dados, quando
aplicável.
Art.
8
º
O fluxo de tratamento de incidentes de segurança envolvendo dados pessoais será
atualizado, no mínimo, semestralmente, pela unidade responsável pela segurança da informação,
mediante publicação na intranet institucional, dispensada a alteração desta Instrução Normativa.
Art.
9
º
Esta
Instrução

Normativa

entra
em vigor na data de
sua

publicação
.


Documento assinado eletronicamente por
ALESSANDRO SERAFIN OCTAVIANI LUIS (MATRÍCULA
1860655)
,
Superintendente da Susep
, em 20/05/2026, às 18:37, conforme horário oficial de Brasília,
de acordo com o art. 6º do Decreto nº 8.539/2015.
INSTRUÇÃO NORMATIVA 7 (2758772) SEI 15414.616040/2026-21 / pg. 2
A autenticidade do documento pode ser conferida no site
https://sei.susep.gov.br/sei/controlador_externo.php?
acao=documento_conferir&acao_origem=documento_conferir&id_orgao_acesso_externo=0 informando
o código verificador
2758772
e o código CRC
F6C340E5
.

Referência:
Processo nº 15414.616040/2026-21
SEI nº 2758772
INSTRUÇÃO NORMATIVA 7 (2758772) SEI 15414.616040/2026-21 / pg. 3