DOE 19/11/2025 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVII Nº219 | FORTALEZA, 19 DE NOVEMBRO DE 2025

45

IV – medidas de segurança da informação (controle de acesso, criptografia, segregação de ambientes, autenticação forte, trilhas de auditoria); V – regras para suboperadores (anuência prévia e responsabilidade solidária/subsidiária, conforme o caso), lista nominal de suboperadores mantida atualizada, com notificação prévia mínima de 15 (quinze) dias úteis, via SUITE, para inclusão/substituição de suboperadores ou mudança de região/país (incluídos backups e DR), condicionadas à anuência prévia da SEDUC quando houver novo país/região ou risco adicional, assegurado direito de oposição/veto e plano de mitigação/rollback pelo operador, com flow-down integral das obrigações aos suboperadores e exceção emergencial com notificação imediata e RIPD atualizado.; VI – logs e auditoria, inclusive direito de auditoria da SEDUC;

VII – retenção, devolução e eliminação segura dos dados, com comprovação;

VIII – comunicação de incidentes e cooperação com o Encarregado pelo Tratamento de Dados Pessoais, prazos e conteúdo mínimo; IX – responsabilidades, sanções e rescisão, incluindo multas proporcionais ao risco e dano, rescisão motivada por violação relevante e obrigação de custear medidas corretivas e notificações; X – eliminação segura dos dados pessoais ao término do uso ou, quando pesquisa acadêmica, em até 60 (sessenta) dias contados da defesa/apresentação dos resultados, com comprovação formal por Termo de Eliminação/Relatório de Descarte (método, data, ambientes/sistemas, inclusão de backups e ambientes de teste, e confirmação por suboperadores, quando houver) e relatório de wiping ou criptodestruição com hash/ID de evidências, quando tecnicamente viável; XI – ressalva de que dados efetivamente anonimizados e estatísticos resultantes do processamento não integram o rol de descarte obrigatório, vedada a reidentificação;

XII – plano de resposta a incidentes do recebedor/pesquisador, descrevendo procedimentos para detecção, contenção e mitigação, com prazos de notificação ao Encarregado pelo Tratamento de Dados Pessoais; XIII – pré-avaliação de segurança e privacidade do terceiro (operador/recebedor), prévia à assinatura do Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais, mediante questionário técnico e evidências comprobatórias (ISO/IEC 27001, ISO/IEC 27701, SOC 2, relatórios de testes/ varreduras, políticas de acesso e criptografia), com classificação de risco e, se necessário, plano de remediação com prazos;

XIV – Quando houver transferência internacional de dados pessoais, deverão ser adotadas salvaguardas reforçadas, com comprovação do atendimento aos arts. 33 a 36 da LGPD, incluindo, no mínimo: indicação do mecanismo jurídico adotado (decisão de adequação, cláusulas contratuais padrão, normas corporativas globais, cooperação internacional, consentimento específico e em destaque ou outro admitido em lei/regulação); identificação do(s) país(es) de destino, do destinatário e da cadeia de suboperadores, com mapeamento das transferências subsequentes; descrição das garantias técnicas e organizacionais aplicadas (criptografia em trânsito e em repouso, gestão de chaves, segregação de ambientes, controle de acesso e trilhas de auditoria), bem como da política de retenção e eliminação; vedação de alteração de região/país de processamento ou de inclusão/substituição de suboperadores sem notificação prévia à SEDUC, com janela mínima de oposição de 15 (quinze) dias e anuência quando houver risco adicional; avaliação do regime jurídico do(s) país(es) de destino e implementação de medidas suplementares quando necessárias à equivalência de garantias; obrigação de notificar à SEDUC, na máxima medida permitida em lei, acerca de solicitações de acesso por autoridades estrangeiras, impugnando pedidos excessivos ou desproporcionais e documentando as medidas adotadas; e juntada, no processo SUITE, da documentação comprobatória (contratos/cláusulas padrão, certificações, relatório de risco e, quando cabível, RIPD). Parágrafo único. A aprovação do Acordo de Compartilhamento de Dados/Contrato de Tratamento de Dados Pessoais fica condicionada à conclusão satisfatória da pré-avaliação de segurança e privacidade, inclusive, quando proporcional ao risco, à realização de teste de segurança (varredura de vulnerabilidades ou pentest em ambiente representativo), à apresentação de evidências atualizadas e à aceitação formal do plano de remediação pelo terceiro. O resultado, a classificação de risco e as evidências deverão ser anexados ao processo SUITE.

Art. 22. O Gestor de Dados manterá catálogo atualizado de acordos vigentes e prazos de revisão.

Parágrafo único. O catálogo indicará versão, data de início e data de revisão; os acordos serão revalidados ao menos a cada 24 meses ou a cada mudança relevante de escopo/tecnologia.

CAPÍTULO VII SEGURANÇA DA INFORMAÇÃO

Art. 23. Os tratamentos de dados observarão a POSIC/CE e a PGSI/SEDUC e demais normativas, devendo ser adotadas medidas técnicas e administrativas proporcionais ao risco.

Art. 24. São medidas mínimas obrigatórias, sem prejuízo de outras:

I – gestão de identidades e de acessos por perfil e MFA quando tecnicamente viável;

II – criptografia em repouso e em trânsito para dados sensíveis;

III – segregação de ambientes (desenvolvimento, teste e produção) e gestão de mudanças;

IV – backup e plano de continuidade;

V – logs de acesso e de extração;

VI – testes de segurança e avaliações periódicas.

• § 1º. Os logs de acesso e de extração serão mantidos por no mínimo 12 (doze) meses, salvo prazo diverso previsto em norma específica ou tabela de temporalidade documental.

• § 2º. Os logs devem assegurar integridade e imutabilidade dos registros, conter identificador do usuário, data/hora, origem, ação (consulta/extração/alteração) e objeto acessado, sendo amostrados trimestralmente nos termos do art. 26, inciso IV.

• § 3º. A retenção e o descarte de dados observarão a Tabela de Temporalidade Documental aplicável e as orientações do arquivo público competente, devendo o plano de retenção constar dos autos quando do compartilhamento/contratação.

§ 4º. A eliminação prevista nesta Portaria não se aplicará enquanto vigente ordem de preservação por determinação legal, auditoria, investigação, processo

judicial ou controle externo, devendo o bloqueio ser formalizado e revisitado periodicamente. CAPÍTULO VIII

DIREITOS DOS TITULARES E LAI

Art. 25. Os pedidos de titulares previstos na LGPD (acesso, correção, anonimização, eliminação, portabilidade, informação de compartilhamentos e revisão de decisões automatizadas) serão recebidos, preferencialmente por meio de requerimentos via SUITE, facultado o uso do e-mail institucional do Encarregado pelo Tratamento de Dados Pessoais ou atendimento presencial, sem ônus ao titular, e tramitados conforme rito próprio.

• § 1º. Os pedidos serão autenticados por mecanismo de identidade do Estado ou por prova de identidade adequada ao risco.

• § 2º. O atendimento observará prazo interno de triagem de até 5 dias úteis e prazo para resposta conforme LGPD e rito próprio.

• § 3º. Em caso de conflito entre o direito de acesso à informação e a proteção de dados pessoais, prevalecerão as hipóteses de restrição e sigilo previstas na LGPD e no art. 31 da LAI, aplicando-se teste de ponderação com registro fundamentado no processo.

• § 4. A SEDUC assegurará mecanismos acessíveis e inclusivos para titulares com barreiras digitais, garantindo atendimento assistido, linguagem simples e apoio a pessoas com deficiência, na forma da legislação aplicável.

Art. 26. Os pedidos de acesso à informação com fundamento na LAI deverão ser apresentados via Plataforma Ceará Transparente, observando: prazos, graus de acesso, restrições, recursos e instâncias recursais previstas na legislação.

• § 1º. O acesso à informação, conforme estabelecido pela LAI, observará o disposto no art. 31 desta lei.

• § 2º. Quando o pedido envolver dados pessoais ou informações protegidas, o atendimento observará a LGPD e as hipóteses de sigilo, com orientação do

Encarregado pelo Tratamento de Dados Pessoais e da Assessoria Jurídica (ASJUR). CAPÍTULO IX

INCIDENTES COM DADOS PESSOAIS

Art. 27. Qualquer suspeita ou confirmação de incidente de segurança com dados pessoais deverá ser comunicada IMEDIATAMENTE ao Encarregado pelo Tratamento de Dados Pessoais e ao Gestor de Dados, em até 24 (vinte e quatro) horas do conhecimento do fato.

§ 1º. O Escritório de Privacidade coordenará a resposta inicial, a classificação e a recomendação de comunicação à ANPD e aos titulares, nos termos do art. 48 da LGPD.

§ 2º. O Plano de Resposta a Incidentes definirá papéis, prazos e artefatos;

§ 3º. As comunicações a titulares e à ANPD conterão, no mínimo, a descrição do incidente, a natureza dos dados afetados, a quantidade estimada de titulares, as medidas técnicas e de segurança adotadas, os riscos envolvidos, as medidas mitigatórias e o canal do Encarregado pelo Tratamento de Dados Pessoais,

devendo a avaliação inicial ocorrer em até 72 (setenta e duas) horas do conhecimento do fato. CAPÍTULO X

AUDITORIA, MÉTRICAS E MONITORAMENTO

Art. 28. O Encarregado pelo Tratamento de Dados Pessoais coordenará as auditorias previstas nesta Portaria, com parecer técnico do Comitê e deliberação do Colegiado quando envolverem risco elevado ou impacto estratégico.

Art. 29. Deverão ser monitorados, no mínimo, os seguintes indicadores:

I – Prazo médio de atendimento das solicitações;

II – Percentual de pedidos com RIPD ou com dispensa motivada; III – Tempo médio de provisão e revogação de acessos;