DOE 17/12/2025 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVII Nº238 | FORTALEZA, 17 DE DEZEMBRO DE 2025

27

do art. 37, da LGPD.

§2º. O modelo de Relatório de Operações de Tratamento será definido em ato próprio, aprovado pelas instâncias de governança em privacidade e proteção de dados pessoais, nos termos das Portarias n.º 2112/2025–GAB, n.º 2113/2025–GAB e n.º 2285/2025–GAB. §3º. As unidades responsáveis pelos serviços ou sistemas deverão manter seus Relatórios de Operações atualizados e disponibilizá-los ao Encarregado e às instâncias de governança, sempre que solicitado. Art. 7º. A governança em privacidade e proteção de dados pessoais, no âmbito da Seduc, observará a seguinte estrutura: I – Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação, instância deliberativa e estratégica, instituído pela Portaria n.º 2112/2025–GAB; II – Comitê de Privacidade, Proteção de Dados Pessoais e Segurança da Informação, instância técnica, consultiva e recomendativa, instituído pela Portaria n.º 2113/2025–GAB; III – Encarregado de Proteção de Dados Pessoais e seu suplente, designados em ato próprio; IV – Gestor de Dados, nos termos do Decreto Estadual n.º 36.077, de 2024, e designado em ato próprio; V – unidades finalísticas e de apoio da Seduc, responsáveis pela execução das atividades de tratamento de dados pessoais. §1º. As atribuições específicas das instâncias de governança serão definidas em atos próprios, especialmente nas Portarias n.º 2112/2025–GAB, n.º 2113/2025– GAB, n.º 1857/2025–GAB, n.º 2074/2025–GAB e n.º 2285/2025–GAB, devendo observar os princípios da necessidade, proporcionalidade, prevenção, responsabilização e prestação de contas. §2º. O Encarregado de Proteção de Dados Pessoais atuará com independência técnica e funcional, sem prejuízo de seu vínculo institucional com o Gabinete da Seduc, nos termos do art. 41 da LGPD e da legislação estadual. §3º. Os fluxos decisórios em matéria de privacidade e proteção de dados pessoais deverão ser documentados e alinhados às deliberações do Colegiado e às recomendações do Comitê. CAPÍTULO II – DO TRATAMENTO DE DADOS PESSOAIS Art. 8º. O tratamento de dados pessoais, no âmbito da Seduc, será realizado, predominantemente, para atendimento do interesse público, execução de políticas públicas educacionais e cumprimento de competências legais e regulamentares, nos termos dos arts. 7º, incisos II e III, 23 e 26, da LGPD, sem prejuízo de outras bases legais previstas na LGPD, quando aplicáveis, notadamente as previstas nos arts. 7º e 11. Art. 9º. O tratamento de dados pessoais sensíveis observará a Seção II, do Capítulo II, da LGPD e será limitado às hipóteses estritamente necessárias ao cumprimento de obrigação legal, à execução de políticas públicas, adotando-se medidas técnicas e organizacionais proporcionais aos riscos envolvidos. Parágrafo único. Tratamentos que envolvam dados de saúde, deficiência, origem racial ou étnica, convicção religiosa ou outros dados sensíveis de estudantes, profissionais da educação, familiares ou responsáveis deverão observar, adicionalmente, as normas específicas de proteção à pessoa com deficiência, à criança, ao adolescente e às populações vulneráveis. Art. 10. O tratamento de dados pessoais de crianças e adolescentes observará o Estatuto da Criança e do Adolescente (Lei n.º 8.069, de 13 de julho de 1990), a LGPD e o princípio do melhor interesse, garantindo-se, sempre que possível, a participação e a informação adequada aos pais ou responsáveis legais. Parágrafo único. Nos casos em que o tratamento de dados pessoais de crianças e adolescentes depender de consentimento, este deverá ser obtido de, pelo menos, um dos pais ou responsável legal, nos termos do art. 14, da LGPD. Art. 11. O uso compartilhado de dados pessoais pela Seduc com outros órgãos e entidades públicas observará o disposto no art. 26, da LGPD, na Lei Estadual n.º 18.699/2024, no Decreto Estadual n.º 36.077/2024 e demais normas aplicáveis, devendo:

Art. 8º. O tratamento de dados pessoais, no âmbito da Seduc, será realizado, predominantemente, para atendimento do interesse público, execução de políticas públicas educacionais e cumprimento de competências legais e regulamentares, nos termos dos arts. 7º, incisos II e III, 23 e 26, da LGPD, sem prejuízo de outras bases legais previstas na LGPD, quando aplicáveis, notadamente as previstas nos arts. 7º e 11.

• I – ser limitado ao mínimo necessário para o atendimento de finalidades públicas específicas;

• II – constar dos Registros das Operações de Tratamento;

III – assegurar salvaguardas técnicas e organizacionais adequadas ao risco, inclusive trilhas de auditoria.

Parágrafo único. Quando envolver compartilhamento com entidades privadas, deverão ser observadas, adicionalmente, as condições previstas no art. 26, §1º, da LGPD e da legislação estadual pertinente. Art. 12. A transferência internacional de dados pessoais somente será admitida nas hipóteses previstas nos arts. 33 a 36, da LGPD e, quando aplicável, será condicionada à avaliação prévia de risco, à elaboração de Relatório de Impacto à Proteção de Dados Pessoais e à adoção de salvaguardas contratuais, técnicas e organizacionais adequadas.

Parágrafo único. As exceções de que trata o caput deverão ser formalmente registradas, com indicação da base legal utilizada, do país de destino, do destinatário, de eventuais suboperadores, das garantias adotadas e do prazo de vigência da transferência. CAPÍTULO III – RELATÓRIO DE IMPACTO À PROTEÇÃO DE DADOS PESSOAIS (RIPD)

Art. 13. Nos termos do art. 38 da LGPD e da legislação estadual, será obrigatória a elaboração de Relatório de Impacto à Proteção de Dados Pessoais – RIPD sempre que o tratamento de dados pessoais, em especial dados sensíveis, for suscetível de gerar alto risco aos titulares. §1º. Considera-se de alto risco, entre outros:

• I – o tratamento de dados pessoais sensíveis em larga escala;

• II – o tratamento sistemático de dados pessoais de crianças e adolescentes, com uso de técnicas de monitoramento, rastreamento ou perfilamento; III – o monitoramento sistemático de espaços acessíveis ao público ou do uso de serviços educacionais digitais; IV – a utilização de decisões automatizadas que produzam efeitos relevantes sobre os titulares;

• V – o cruzamento massivo de bases de dados que permita inferências sensíveis ou potencialmente discriminatórias;

• VI – a adoção de tecnologias inovadoras cujo uso possa impactar significativamente direitos e liberdades dos titulares.

• §2º. A necessidade de elaboração de RIPD será avaliada, caso a caso, pelo Gestor de Dados, pela unidade responsável pelo tratamento e pelo Encarregado de Proteção de Dados Pessoais.

• §3º. O Encarregado coordenará a elaboração do RIPD, emitirá parecer quanto à adequação das medidas propostas e manterá registro atualizado dos relatórios elaborados.

• §4º. A metodologia, o conteúdo mínimo e o fluxo de elaboração, aprovação e revisão do RIPD serão detalhados em ato próprio, observadas as orientações da Agência Nacional de Proteção de Dados – ANPD e da legislação estadual.

§5º. O RIPD deverá ser revisto sempre que houver alteração relevante no tratamento, mudança significativa nos riscos ou ocorrência de incidente de segurança com impacto relevante sobre os titulares. CAPÍTULO IV – INTEROPERABILIDADE E COMPARTILHAMENTO

Art. 14. Os tratamentos decorrentes de interoperabilidade e de compartilhamento de dados, no âmbito da Seduc, observarão a legislação aplicável, em especial a LGPD, a LAI, a Lei Estadual n.º 18.699/2024, o Decreto Estadual n.º 36.077/2024 e o Decreto Estadual n.º 36.552/2025, assegurando:

• I – a adoção de salvaguardas técnicas e organizacionais proporcionais ao risco;

II – a implementação de trilhas de auditoria adequadas;

III – o registro das operações nos Relatórios de Operações de Tratamento;

IV – a vedação de compartilhamento posterior incompatível com as finalidades originalmente informadas, salvo novo fundamento legal ou consentimento válido, quando cabível. Parágrafo único. As condições específicas, fluxos e mecanismos de interoperabilidade e compartilhamento serão disciplinados em ato próprio, alinhado ao Decreto Estadual n.º 36.077/2024 e às diretrizes desta Política. CAPÍTULO V – OPERADORES E TERCEIROS Art. 15. Operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza tratamento de dados pessoais em nome da Seduc, nos termos do art. 5º, inciso VII, da LGPD.

Art. 16. O operador deverá observar, no mínimo, as normas de segurança da informação e de proteção de dados pessoais vigentes no âmbito do Estado do Ceará, em especial a Política de Segurança da Informação e Comunicação – POSIC, instituída pelo Decreto Estadual n.º 34.100/2021, e a Política Geral de Segurança da Informação (PGSI) da Seduc, aprovada pela Portaria n.º 0723/2023–GAB, incluindo, entre outras, as seguintes medidas:

I – controles de acesso compatíveis com o princípio da necessidade;

II – segregação de funções, de modo a reduzir o risco de fraudes e erros;

III – registro e guarda de trilhas de auditoria (logs) das operações relevantes;

IV – gestão de vulnerabilidades e aplicação de correções em prazos compatíveis com o risco;

• V – mecanismos de continuidade de negócios e de recuperação de desastres;

VI – manutenção de evidências técnicas que permitam comprovar a conformidade às obrigações assumidas;

VII – alinhamento dos suboperadores e demais fornecedores às mesmas exigências de segurança e de proteção de dados;

VIII – adoção de medidas técnicas e organizacionais que assegurem confidencialidade, integridade, disponibilidade e resiliência dos dados e sistemas. Parágrafo único. A forma de implementação e o detalhamento dos controles de que trata este artigo observarão, prioritariamente, a POSIC, a PGSI da Seduc e demais normas técnicas específicas. Art. 17. O operador deverá informar à Seduc, em até 24 (vinte e quatro) horas contadas da ciência, quaisquer incidentes de segurança que possam acarretar risco ou dano relevante aos titulares ou à Administração Pública, contendo, no mínimo:

I – a natureza do incidente;

II – as categorias e o volume estimado de dados pessoais afetados;

III – as categorias e o número estimado de titulares afetados;

IV – a descrição das medidas técnicas e organizacionais já adotadas e das que se pretende adotar para mitigar os efeitos do incidente;

• V – os possíveis impactos sobre os titulares e sobre as atividades da Seduc.

§1º. A Seduc avaliará a necessidade de comunicação do incidente à ANPD, aos titulares e, quando cabível, a outros órgãos de controle, nos termos do art. 48 da LGPD e da legislação estadual.

§2º. O operador deverá preservar as evidências técnicas necessárias à apuração do incidente e cooperar com as investigações internas e externas, nos limites da legislação.

• §3º. Procedimentos detalhados para resposta a incidentes de segurança de dados pessoais serão definidos em plano próprio, alinhado à POSIC, à PGSI da Seduc e a esta Política.