DOE 19/11/2025 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVII Nº219 | FORTALEZA, 19 DE NOVEMBRO DE 2025

43

CAPÍTULO II GOVERNANÇA E PAPÉIS

Art. 3º. A SEDUC, por meio de sua autoridade máxima, atuará como CONTROLADORA dos dados sob sua responsabilidade (pessoais e institucionais), nos termos da legislação vigente.

Parágrafo único. As competências da Controladora poderão ser delegadas, por ato próprio, às unidades finalísticas e de apoio, sem prejuízo da responsabilidade da Controladora e da supervisão estratégica.

Art. 4º. O Gestor de Dados, nos termos do Decreto Estadual n.º 36.077/2024, é a autoridade designada em ato específico, publicado em Diário Oficial, com as atribuições de coordenar a governança de dados, definir padrões de interoperabilidade, manter o catálogo de dados e autorizar compartilhamentos, em conformidade com a legislação, os decretos vigentes e esta portaria.

Art. 5º. O Encarregado pelo Tratamento de Dados Pessoais e seu suplente, conforme previsto na LGPD e na Lei Estadual n.º 18.699/2024, serão designados em ato específico, a ser publicado em Diário Oficial, e serão responsáveis por:

I – atuar como canal de comunicação entre a SEDUC, os titulares e a ANPD;

II – orientar as unidades quanto às práticas de proteção de dados;

III – coordenar o Escritório de Privacidade, inclusive a realização de Relatório de Impacto à Proteção de Dados – RIPD ou a justificativa de dispensa; IV – propor ações de capacitação, auditorias e monitoramento;

V – coordenar a resposta a incidentes de segurança com dados pessoais e apoiar as comunicações previstas na LGPD.

Art. 6º. O Comitê de Privacidade, Proteção de Dados Pessoais e Segurança da Informação é instância técnica e consultiva, responsável por emitir pareceres e recomendações em matérias de privacidade e proteção de dados, conforme Portaria n.º 2113/2025.

Art. 7º. O Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação é instância deliberativa, responsável por decidir matérias estratégicas de alto impacto ou alto risco e dirimir conflitos, conforme Portaria n.º 2112/2025.

Art. 8º. Compete aos solicitantes externos (pessoa física ou jurídica, pública ou privada) e às unidades vinculadas à SEDUC (Escolas, CREDE/SEFOR, Coordenadorias e Assessorias), estas na qualidade de unidades da Controladora:

I – assegurar a qualidade e a atualização dos dados;

II – observar os princípios da minimização e do acesso baseado em papéis;

III – manter registros de operações (logs) quando houver tratamento de dados pessoais;

IV – cumprir as normativas vigentes e as orientações do Encarregado pelo Tratamento de Dados Pessoais e do Gestor de Dados.

Parágrafo único. Quando o atendimento envolver tratamento por terceiros em nome da SEDUC ou compartilhamento externo de dados pessoais, o acesso somente ocorrerá após a formalização de Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais, indicando finalidades, bases legais (LGPD, arts. 7º e 11, e, no que couber, arts. 23 a 26), medidas de segurança, prazos de retenção e eliminação, regime de auditoria e logs, regras para

suboperadores e procedimentos de resposta a incidentes, sem prejuízo das demais exigências desta Portaria e do Decreto Estadual n.º 36.077/2024.

CAPÍTULO III

ACESSO E COMPARTILHAMENTO

Art. 9º. O acesso interno será concedido com base em perfil e nível de acesso, mediante registro, com prazo determinado e revisão periódica. Art. 10º. O compartilhamento externo observará o Decreto Estadual n.º 36.077/2024, devendo ser classificado como amplo, restrito ou específico, conforme a finalidade, o público e as salvaguardas aplicáveis.

Art. 11. É vedado ao recebedor/operador utilizar os dados para finalidade diversa da autorizada no processo SUITE e no Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais, bem como promover transferências subsequentes sem prévia e expressa anuência da SEDUC.

• I – Qualquer reuso (nova finalidade, público, método, escopo, integração ou enriquecimento de bases) dependerá de solicitação formal e nova análise nos termos dos arts. 11 a 14, inclusive reavaliação de base legal e, quando aplicável, de RIPD.

• II – O recebedor/operador deverá segregar ambientes e conjuntos de dados por finalidade, mantendo etiquetas/metadados de uso e trilhas de auditoria (logs) de acesso e extração, na forma do art. 22, §2º.

• III – Fica proibida a reidentificação de dados anonimizados e o enriquecimento com bases de terceiros que alterem o risco ou a finalidade originalmente autorizada, salvo autorização expressa da SEDUC.

IV – Em hipóteses de acesso para pesquisa, avaliação ou teste, deverá ser priorizado o acesso controlado em ambiente seguro (data room virtual) ou com técnicas de controle de divulgação (amostragem, supressão/perturbação, limitação de variáveis), quando tecnicamente viável.

V – O reuso não autorizado configurará incidente de conformidade e sujeitará o terceiro às cláusulas de responsabilidade e sanções previstas no art. 19, IX, inclusive rescisão motivada, multa contratual proporcional ao risco/dano, exigência de remediação e comunicação às autoridades competentes, sem prejuízo de outras medidas.

VI – A SEDUC poderá fiscalizar o cumprimento deste artigo por meio de auditorias amostrais e inspeções documentais/técnicas, conforme Capítulo X, inclusive com direito de auditoria previsto no art. 19, VI.

VII – O recebedor/operador deverá reportar imediatamente à SEDUC qualquer solicitação interna de reuso não previsto ou pedido externo de compartilhamento, abstendo-se de realizar o ato até deliberação da SEDUC. Art. 12. É vedado o uso secundário dos dados para finalidade diversa da autorizada, bem como a reidentificação, a tentativa de reidentificação ou a engenharia

reversa de dados anonimizados cujo descumprimento ensejará as sanções cabíveis e a rescisão do instrumento, sem prejuízo das responsabilidades legais. CAPÍTULO IV PESQUISA, AVALIAÇÃO E PARCERIAS

Art. 13. Toda solicitação de acesso, coleta, cessão ou compartilhamento de dados institucionais e/ou pessoais para a realização de pesquisas deverá ser formalizada por meio de requerimento, devidamente instruído em processo, protocolado junto a CREDE/SEFOR ou Protocolo Central desta Secretaria, por meio do Sistema Único Integrado de Tramitação Eletrônica (SUITE), mediante detalhamento de: I – Finalidade específica e legítima;

II – Base legal aplicável (LGPD, arts. 7º e 11) ou, quando cabível, consentimento do titular;

III – Identificação do(s) solicitante(s);

• IV – Descrição dos conjuntos de dados, categorias de titulares e sensibilidade, tipos e finalidade de cada dado pessoal requerido, prazo provável de conclusão da pesquisa;

• V – período de uso, retenção e plano de descarte/anonimização;

• VI - medidas de segurança do recebedor, quando houver compartilhamento externo;

• VII – indicação de eventual Relatório de Impacto à Proteção de Dados Pessoais (RIPD) anexado ou justificativa de dispensa;

• VIII – rascunho de Acordo de Compartilhamento/Acordo de Tratamento de Dados quando houver operador/terceiro (opcional);

• IX - elaborar quadro de mapeamento (atividade, base legal, categoria de dados, agentes, prazo);

• X – modo de acesso controlado (ambiente seguro/data room virtual) quando tecnicamente viável, evitando transferência massiva.

• §1º. Órgãos e entidades da Administração Pública Estadual poderão instruir processo diretamente no SUITE e encaminhar a solicitação à SEDUC. §2º. O data room virtual/ambiente seguro observará, no mínimo:

• I - sessões isoladas (VDI ou equivalente) sem download, sem impressão e com bloqueio de copiar/colar;

• II - marca-d’água dinâmica;

• III - logs de sessão (usuário, horário, ações);

• IV - time-out por inatividade;

• V - controle de captura de tela quando tecnicamente viável; e,

• VI - termo de uso específico.

Art. 14. Em toda solicitação de anuência para realização de pesquisa, o(s) requerente(s) deverá(ão) apresentar a seguinte documentação:

• I – Contatos do(s) pesquisador(es) descritos na solicitação (e-mail pessoal ou acadêmico, telefone, e, quando possível, WhatsApp);

II – Solicitação formal da Instituição de Ensino Superior (IES), para a anuência de pesquisa em escolas da rede estadual e/ou com dados institucionais e/ou com qualquer servidor e/ou em qualquer unidade vinculada a esta secretaria, quando aplicável;

III – Comprovação de matrícula em Instituição de Ensino Superior em curso de Graduação (Licenciatura ou Bacharelado), ou em Programa de Pós-Graduação (lato sensu ou stricto sensu), ou ainda, Declaração de Vínculo em Estágio Pós-Doutoral, quando aplicável;

• IV – Cópia do projeto de pesquisa com plano de trabalho (atividades, ciclos/iterações, cronograma e prazo provável de conclusão da pesquisa); V – Questionário de Privacidade, disponível no sítio da secretaria, devidamente respondido;

VI – Relação das escolas, de dados institucionais requeridos, de servidores que pretende entrevistar ou unidades da SEDUC onde o requerente pretende realizar a pesquisa, quando aplicável;

VII – Cópia dos Termos de Consentimento Livre e Esclarecido (TCLE), do roteiro de entrevista e dos questionários de pesquisa a serem aplicados junto ao público-alvo respondente, quando aplicável;