DOE 19/11/2025 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVII Nº219 | FORTALEZA, 19 DE NOVEMBRO DE 2025

44

VIII – Pesquisa em Saúde: Aprovação do Comitê de Ética (CEP) da Instituição de Ensino Superior ou justificativa formal da Instituição de Ensino Superior dos motivos de sua ausência, ou justificativa do próprio pesquisador quando não possuir vínculo com Instituição de Ensino Superior; IX – Termo de Compromisso de Confidencialidade, disponível no sítio da secretaria, assinado pelo pesquisador.

Parágrafo único. Pesquisadores sem vínculo com IES poderão solicitar anuência para pesquisa desde que comprovem vínculo com a SEDUC ou vínculo de pesquisa como bolsista de agência ou fundação de fomento à pesquisa (CAPES, CNPq, FUNCAP, dentre outras). Art. 15. O requerimento de anuência será analisado:

I – pela Coordenadoria de Acompanhamento e Desenvolvimento Escolar para Resultados de Aprendizagem (COADE), coordenadoria gestora dos dados desta secretaria, que emitirá parecer técnico de aderência, de disponibilidade, de minimização, de formato e de viabilidade técnica e/ou disponibilidade dos dados solicitados; II – pelo Escritório de Privacidade e Proteção de Dados Pessoais da SEDUC, responsável pela avaliação de riscos, que emitirá o parecer técnico baseado em fundamentação legal, salvaguardas, Relatório de Impacto à Proteção de Dados Pessoais (RIPD) ou emitirá despacho simplificado apresentando justificativa de sua dispensabilidade; III – pela Assessoria Jurídica, que analisará conformidade e mérito jurídico para emissão de parecer jurídico, inclusive minuta de Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais; IV – da Controladora, representada pela Direção Superior da Secretaria e a quem cabe a anuência à solicitação ou, quando cabível, deliberação do Colegiado. Art. 16. Requerimentos de Acordo de Cooperação Técnica, de parcerias ou de contratos serão submetidos à análise:

I – da coordenadoria/assessoria demandante, que emitirá parecer técnico de aderência e de cumprimento de políticas públicas, na qual precisará explicitar a qual/quais políticas está vinculada, viabilidade técnica, manifestar explícito interesse institucional e a proposta de classificação de risco do tratamento (baixo/ médio/alto), com indicação de controles mínimos esperados do terceiro;

II – da Coordenadoria de Acompanhamento e Desenvolvimento Escolar para Resultados de Aprendizagem (COADE), coordenadoria gestora dos dados desta secretaria, que emitirá parecer técnico de aderência, de disponibilidade, de minimização, de formato e de viabilidade técnica; assim como, exigirá questionário de segurança e privacidade, evidências (certificações/relatórios) e, quando aplicável, teste de segurança proporcional ao risco; III – do Escritório de Privacidade e Proteção de Dados Pessoais da SEDUC, responsável pela avaliação de riscos, que emitirá o parecer técnico baseado na fundamentação legal e nas salvaguardas previstas no Relatório de Impacto à Proteção de Dados Pessoais (RIPD) ou despacho simplificado quando apresentado justificativa de sua dispensabilidade; IV – da Assessoria Jurídica, que analisará conformidade jurídica; minuta de Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais e cláusulas especiais; o mérito e emitirá parecer jurídico; V – da Controladora, representada pela Direção Superior da Secretaria e a quem cabe a anuência à solicitação ou, quando cabível, deliberação do Colegiado. § 1º. A assinatura do Acordo de Cooperação, parceria ou contrato que envolva tratamento de dados pessoais fica condicionada à aprovação da conformidade de segurança e privacidade e à incorporação, no Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais, das ações de remediação eventualmente pactuadas, com prazos e marcos de verificação. § 2º. Nas renovações, prorrogações ou aditivos que alterem escopo, volume, sensibilidade dos dados, arquitetura ou cadeia de suboperadores, a conformidade deverá ser revalidada e o Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais atualizado antes da vigência do novo instrumento. § 3º. Quando o tratamento for classificado como de alto risco, o Escritório de Privacidade poderá determinar avaliação técnica independente (auditoria/ asseveração) às expensas do terceiro, bem como restringir o ambiente para data room seguro. § 4º. A coordenadoria demandante deverá acostar aos autos, quando cabível, as devidas comprovações de que a instituição que deseja formalizar Acordo de Cooperação Técnica ou parceria está devidamente cadastrada como Organização da Sociedade Civil (OSC), junto a esta secretaria, antes de despachar processo para a COADE. Art. 17. Os prazos para análise e tramitação das solicitações de que tratam o capítulo IV desta portaria são: § 1º. Prazo máximo de 10 dias úteis para análise realizada pela COADE. § 2º. Prazo máximo de 15 dias úteis para análise a ser realizada pelo Escritório de Privacidade e pela ASJUR, respectivamente. § 3º. Prazo máximo de 10 dias úteis para deliberação da controladora. § 4º. Em caso de solicitação de documentação adicional ou esclarecimentos ao solicitante será fixado pela unidade demandante o prazo máximo para obtenção de resposta. § 5º. Os prazos contam a partir da instrução completa do processo, conforme disposto nos arts. 11 a 14. § 6º. Os prazos ficarão suspensos enquanto estiverem pendentes documentos essenciais ou diligências externas devidamente justificadas, com controle de prazos no SUITE. § 7º. É admitida prorrogação única e motivada por etapa, proporcional à complexidade do caso, com ciência do interessado e registro no SUITE. Art. 18. Nos requerimentos que envolvam dados pessoais sensíveis (LGPD, art. 5º, II e art. 11) e/ou dados pessoais de crianças e adolescentes (LGPD, art. 14), além das demais exigências desta Portaria, deverão ser observadas as seguintes salvaguardas reforçadas: I – finalidade pública específica e base legal claramente justificadas (LGPD, arts. 7º, 11 e, quando cabível, 23 a 26), incluindo a demonstração do melhor interesse da criança e do adolescente (LGPD, art. 14, §1º); II – minimização de dados e, quando viável, pseudonimização/anonimização; III – acesso restrito por perfis e registro de logs de consulta e extração; IV – formato e volume estritamente necessários ao objetivo declarado, com vedação à reidentificação de dados anonimizados; V – RIPD obrigatório quando caracterizado alto risco aos titulares, nos termos do art. 18 desta Portaria; VI – quando a base legal for consentimento, observar-se-á a coleta do consentimento específico e em destaque do responsável legal, quando aplicável (LGPD, art. 14, §1º). § 1º. Solicitações que envolvam dados pessoais sensíveis ou dados de crianças e adolescentes terão prioridade de avaliação e salvaguardas reforçadas. § 2º. A tramitação observará a segregação de funções e o princípio do menor privilégio. CAPÍTULO V BASES LEGAIS E RIPD Art. 19. A definição da base legal será realizada caso a caso, priorizando os fundamentos previstos nos arts. 7º e 11 da LGPD e observando os arts. 23 a 26 (tratamento pelo poder público), com justificativa explicitada no processo. Art. 20. O Relatório de Impacto à Proteção de Dados – RIPD será exigido quando o tratamento puder gerar alto risco aos titulares, especialmente em hipóteses com dados sensíveis ou tratar dados de crianças e/ou adolescentes, grandes volumes, perfilamento ou tecnologias de alto impacto. § 1º. A dispensa de RIPD deverá ser motivada por parecer do Escritório de Privacidade e homologada pelo Encarregado pelo Tratamento de Dados Pessoais. § 2º. O RIPD e seus anexos podem conter informações restritas, observadas a LAI e a proteção de informações pessoais e de segurança. § 3º. Para os fins desta Portaria, considera-se alto risco o tratamento que, isolada ou cumulativamente, apresente potencial significativo de impacto aos direitos e liberdades dos titulares, caracterizado, entre outros, pelos seguintes critérios objetivos: I – grande volume de dados pessoais (número elevado de titulares ou frequência/abrangência de operações), inclusive em tratamentos contínuos ou em larga escala; II – envolvimento de dados pessoais sensíveis (LGPD, art. 5º, II e art. 11) e/ou de dados pessoais de crianças e adolescentes (LGPD, art. 14); III – realização de perfilamento, monitoramento sistemático de comportamento, ou decisões automatizadas com efeitos relevantes ao titular; IV – uso de tecnologias emergentes ou de alto impacto, incluindo, sem se limitar, a inteligência artificial com modelos de aprendizado de máquina em escala, reconhecimento biométrico/facial, geolocalização persistente ou correlação massiva de bases; V – transferência internacional de dados pessoais (LGPD, arts. 33 a 36) ou cadeia com transferências subsequentes; VI – múltiplas integrações e cruzamentos entre sistemas/bancos de dados, especialmente quando houver enriquecimento de dados por terceiros; VII – tratamento que possa dificultar o exercício de direitos dos titulares (acesso, correção, eliminação, oposição, portabilidade) ou envolver grupos vulneráveis; VIII – contexto de incidentes anteriores, histórico de não conformidades ou maturidade de segurança insuficiente do operador/recebedor. § 4º. A presença de qualquer critério dos incisos II a IV, ou a combinação de dois ou mais dentre os demais incisos, caracteriza alto risco e impõe a elaboração de RIPD e a adoção de salvaguardas reforçadas previstas nesta Portaria. § 5º. O Encarregado pelo Tratamento de Dados Pessoais, fundamentadamente, poderá classificar como de alto risco tratamentos não enquadrados nos incisos, quando verificado potencial relevante de impacto a direitos e liberdades, devendo registrar a motivação no processo SUITE. CAPÍTULO VI

ACORDO DE COMPARTILHAMENTO DE DADOS/CONTRATO DE TRATAMENTO DE DADOS PESSOAIS E GESTÃO DE TERCEIROS Art. 21. O Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais deverá incluir, no mínimo: I – objeto, escopo e finalidade específica; II – bases legais e categorias de dados; III – regras de minimização, pseudonimização/anonimização quando cabível;