DOE 17/12/2025 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVII Nº238 | FORTALEZA, 17 DE DEZEMBRO DE 2025

28

Art. 18. As operações de tratamento realizadas por operadores e terceiros deverão ser registradas em trilhas de auditoria adequadas, que contenham, no mínimo: I – identificador do agente responsável pela operação;

II – data e hora da operação;

III – tipo de operação realizada;

IV – indicação de sucesso ou falha;

V – metadados relevantes para fins de segurança, investigação e responsabilização.

Parágrafo único. A forma de implementação e os prazos de retenção das trilhas de auditoria observarão a POSIC, a PGSI da Seduc e as tabelas de temporalidade arquivística, quando existentes, devendo ser proporcionais ao risco do tratamento. Art. 19. O armazenamento de dados pessoais, incluindo cópias de segurança e ambientes de contingência, deverá ocorrer, preferencialmente, em infraestrutura localizada no território nacional. §1º. A utilização de infraestrutura localizada fora do território nacional será tratada como transferência internacional de dados pessoais, observados os arts. 33 a 36 da LGPD, além dos requisitos previstos nesta Política. §2º. Nas hipóteses do § 1º, deverão ser adotadas medidas adicionais de proteção, incluindo avaliação de risco, RIPD, salvaguardas contratuais adequadas e registro específico no Relatório de Operações de Tratamento.

Art. 20. Encerrado o tratamento de dados pessoais pelo operador ou terceiro, as operações deverão ser cessadas, devendo ocorrer, conforme o caso: I – devolução dos dados pessoais à Seduc;

II – eliminação segura dos dados pessoais;

III – anonimização dos dados pessoais, quando tecnicamente possível e juridicamente adequado.

§1º. A conservação de dados pessoais pelo operador ou terceiro, após o término da relação contratual, somente será admitida nas hipóteses previstas na legislação aplicável e deverá observar a limitação de acesso e as tabelas de temporalidade e destinação de documentos. §2º. O término do tratamento e a destinação dos dados pessoais deverão ser formalmente registrados.

Art. 21. A Seduc poderá realizar, diretamente ou por meio de entidades independentes, auditorias de conformidade em operadores e terceiros que tratem dados pessoais em seu nome, observados os princípios da finalidade, necessidade, proporcionalidade, confidencialidade e economicidade. Parágrafo único. As condições para realização de auditorias, inclusive quanto a periodicidade, escopo e forma de acesso às informações, deverão ser previstas em contrato, convênio, acordo de cooperação ou instrumento congênere.

Art. 22. Os operadores e terceiros que tratem dados pessoais em nome da Seduc poderão ser instados a encaminhar relatórios de conformidade, na forma e periodicidade definidas em ato próprio, observada a proporcionalidade em relação ao porte do operador e ao risco do tratamento, contemplando, entre outros aspectos:

I – acessos e trilhas de auditoria às bases de dados;

II – vulnerabilidades identificadas e ações de correção;

III – resultados de testes de continuidade de negócios e recuperação de desastres;

IV – incidentes de segurança registrados e medidas de resposta adotadas;

V – situação da cadeia de fornecimento, incluindo suboperadores contratados.

Art. 23. Contratos, convênios, acordos de cooperação técnica, termos de fomento, termos de colaboração e instrumentos congêneres que envolvam tratamento de dados pessoais em nome da Seduc deverão conter Aditivo de Tratamento de Dados Pessoais ou cláusulas específicas de proteção de dados pessoais aprovadas pelo Escritório de Privacidade, ouvida a Assessoria Jurídica.

§1º. O Aditivo ou as cláusulas de que trata o caput deverão estabelecer, no mínimo:

I – objeto e natureza do tratamento;

II – categorias de dados pessoais e de titulares;

III – obrigações de segurança e de confidencialidade;

IV – regime de auditorias e de prestação de contas;

V – obrigações relativas à notificação e à gestão de incidentes de segurança;

VI – regras para o término do tratamento, devolução, eliminação ou anonimização de dados; VII – condições para uso de suboperadores. §2º. As cláusulas padrão de proteção de dados pessoais observarão, quando aplicável, modelos aprovados pela ANPD, bem como as diretrizes da LGPD e da Lei Estadual n.º 18.699/2024. CAPÍTULO VI – FUNÇÕES E RESPONSABILIDADES Art. 24. Todo agente público ou contratado que trate dados pessoais no âmbito da Seduc deverá zelar pela privacidade e proteção dos dados, durante e após o término do vínculo institucional, adotando as medidas cabíveis para prevenir, mitigar e comunicar riscos e incidentes. Parágrafo único. O descumprimento do dever previsto no caput poderá ensejar responsabilização nas esferas disciplinar, civil e penal, nos termos da legislação aplicável. Art. 25. Compete ao Controlador, representado pelo titular da pasta, decidir sobre as finalidades e os meios essenciais de tratamento de dados pessoais sob sua responsabilidade. Parágrafo único. O Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação prestará assessoria ao Controlador nas matérias de sua competência, nos termos da Portaria n.º 2112/2025–GAB. Art. 26. O Encarregado de Proteção de Dados Pessoais e seu suplente serão designados por portaria específica, publicada no Diário Oficial do Estado, nos termos do art. 41, da LGPD e da Lei Estadual n.º 18.699/2024. Parágrafo único. As atribuições específicas do Encarregado, de seu suplente e do Gestor de Dados constarão de atos próprios, em consonância com o Guia Orientativo da Função do Encarregado da ANPD. CAPÍTULO VII – AUDITORIA E CONFORMIDADE Art. 27. A Seduc realizará avaliações periódicas de conformidade relativas ao tratamento de dados pessoais, com o objetivo de verificar a aderência desta Política, da LGPD, da Lei Estadual n.º 18.699/2024 e demais normas aplicáveis.

Parágrafo único. A metodologia, o escopo e a periodicidade das avaliações de que trata o caput serão definidos em plano de auditoria e conformidade elaborado pelo Escritório de Privacidade e aprovado pelas instâncias de governança em privacidade e proteção de dados pessoais, nos termos das Portarias n.º 2112/2025–GAB, n.º 2113/2025–GAB e n.º 2285/2025–GAB. Art. 28. O tratamento de dados pessoais, no âmbito da Seduc, deverá observar, cumulativamente, os requisitos legais, regulamentares, contratuais e desta Política. Art. 29. As unidades responsáveis pelo tratamento de dados pessoais deverão manter registros documentais suficientes para comprovar a conformidade às normas de proteção de dados pessoais, inclusive: I – Relatórios de Operações de Tratamento; II – Relatórios de Impacto à Proteção de Dados Pessoais, quando existentes; III – evidências de capacitação e de comunicação institucional; IV – registros de incidentes de segurança e respectivas respostas; V – registros de auditorias e de providências adotadas. CAPÍTULO VIII – PENALIDADES Art. 30. O descumprimento das disposições desta Política, sem prejuízo das sanções previstas na LGPD, sujeitará agentes públicos, operadores e terceiros às medidas administrativas cabíveis, resguardados o contraditório e a ampla defesa. Parágrafo único. As sanções observarão os princípios da proporcionalidade e da razoabilidade e serão aplicadas na forma da legislação de contratos administrativos, do regime jurídico dos servidores públicos, da Lei n.º 8.429/1992 (e suas alterações) e de outras normas de Direito Público e Civil pertinentes. CAPÍTULO IX – DISPOSIÇÕES FINAIS Art. 31. As solicitações de acesso, cessão, tratamento, compartilhamento, proteção e auditoria de dados pessoais observarão, quanto a fluxos, prazos e formalidades, a Portaria n.º 2285/2025–GAB, ou a norma que a substituir, sem prejuízo das diretrizes desta Política. Art. 32. O Comitê de Privacidade, Proteção de Dados Pessoais e Segurança da Informação, de natureza técnica, consultiva e recomendativa, instituído pela Portaria n.º 2113/2025–GAB, poderá propor instruções técnicas complementares para implementação desta Política, a serem apreciadas pelas instâncias de governança em privacidade e proteção de dados pessoais, nos termos das Portarias n.º 2112/2025–GAB, n.º 2113/2025–GAB e n.º 2285/2025–GAB, assegurado o alinhamento às diretrizes da ANPD, da Controladoria-Geral do Estado, do Comitê Estadual de Proteção de Dados Pessoais (CEPD) e da legislação aplicável. Art. 33. O Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação, de natureza deliberativa e estratégica, instituído pela Portaria n.º 2112/2025–GAB, exercerá as competências previstas em sua Portaria e na Portaria n.º 2285/2025–GAB, inclusive quanto à aprovação de diretrizes estratégicas em privacidade e proteção de dados pessoais, à apreciação de recomendações do Comitê de Privacidade, Proteção de Dados Pessoais e Segurança da Informação e à deliberação sobre matérias de alto impacto ou alto risco no tratamento de dados pessoais, em consonância com esta Política. Art. 34. Esta Política será revisada, no mínimo, a cada 12 (doze) meses, contados da publicação da versão vigente, podendo ser revista a qualquer tempo em razão de fato relevante, alteração normativa, evolução tecnológica ou determinação de autoridade competente.

Parágrafo único. As propostas de revisão desta Política serão submetidas ao Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação, para deliberação. Art. 35. Esta Política entra em vigor na data de sua publicação. Art. 36. Revogam-se disposições em contrário. SECRETARIA DA EDUCAÇÃO DO ESTADO DO CEARÁ, em Fortaleza, 15 de dezembro de 2025. Eliana Nunes Estrela SECRETÁRIA DA EDUCAÇÃO