DOE 28/07/2026 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVIII Nº137 | FORTALEZA, 28 DE JULHO DE 2026

29

XXXII – compartilhamento específico: categoria de compartilhamento de maior restrição, condicionada à análise individualizada, regras complementares, justificativa robusta, salvaguardas adicionais e decisão do Gestor de Dados;

XXXIII – Termo de Responsabilidade para Compartilhamento de Dados: instrumento previsto na Resolução nº 01/2026 do Subcomitê de Governança de Dados, por meio do qual o órgão ou entidade recebedora assume obrigações quanto ao uso, sigilo, finalidade, gerenciamento de usuários, segurança, proteção de dados pessoais e responsabilização;

XXXIV – Acordo de Compartilhamento de Dados, Contrato de Tratamento de Dados Pessoais ou instrumento congênere: instrumento jurídico que disciplina finalidades, bases legais, medidas de segurança, prazos de retenção e eliminação, suboperadores, auditoria, incidentes, responsabilidades e, quando aplicável, transferência internacional de dados;

XXXV – ambiente seguro de acesso ou data room virtual: ambiente físico ou digital controlado, com restrição de download, impressão, cópia, extração, logs de sessão, identificação de usuário e demais medidas de segurança necessárias ao acesso supervisionado a dados;

XXXVI – reuso: utilização dos dados para finalidade, escopo, público, método, integração, enriquecimento, estudo, produto, projeto ou política diversa daquela originalmente autorizada.

CAPÍTULO II GOVERNANÇA, PAPÉIS E RESPONSABILIDADES

Art. 3º. A Seduc, por meio de sua autoridade máxima, atuará como Controladora dos dados pessoais sob sua responsabilidade, nos termos da LGPD, da Lei Estadual n.º 18.699/2024 e da Política Geral de Privacidade e Proteção de Dados da Seduc, sem prejuízo de sua atuação como responsável, gestora ou custodiante de dados institucionais, conforme a natureza da informação e a legislação aplicável.

Parágrafo único. As competências operacionais da Controladora poderão ser exercidas pelas unidades finalísticas e de apoio da Seduc, conforme suas atribuições institucionais, sem prejuízo da responsabilidade da Controladora, da supervisão estratégica e da observância das orientações do Encarregado pelo Tratamento de Dados Pessoais e do Gestor de Dados. Art. 4º. O Gestor de Dados da Seduc, designado em ato específico publicado no Diário Oficial do Estado, exercerá as atribuições de governança de dados, especialmente:

I – coordenar a governança dos conjuntos de dados sob responsabilidade ou custódia da Seduc;

II – promover a categorização dos dados em níveis de compartilhamento amplo, restrito ou específico, nos termos do Decreto Estadual n.º 37.059/2026, da Resolução n.º 01/2026 e desta Portaria; III – manter, em articulação com as unidades responsáveis, o Catálogo de Dados da Seduc ou as informações necessárias à sua integração ao Catálogo de Dados estadual; IV – avaliar solicitações de compartilhamento de dados, especialmente quanto à aderência documental, finalidade, categoria de compartilhamento, escopo, periodicidade e viabilidade operacional;

V – definir regras complementares para compartilhamento de dados de nível específico;

VI – autorizar, indeferir, suspender ou revogar compartilhamentos, acessos ou integrações, conforme os requisitos legais, técnicos e de governança aplicáveis; VII – promover, quando demandado e tecnicamente viável, a criação, documentação e conexão de APIs ou outros mecanismos de compartilhamento à plataforma de interoperabilidade; VIII – solicitar complementação documental ao solicitante de dados, quando necessário; IX – manter evidências de autorização, compartilhamento, revisão, suspensão, revogação ou encerramento de acessos; X – atuar em articulação com o Encarregado pelo Tratamento de Dados Pessoais, a Assessoria de Tecnologia da Informação – Astin, a Assessoria Jurídica – Asjur, o Comitê de Privacidade, Proteção de Dados Pessoais e Segurança da Informação e o Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação. Art. 5º. O Encarregado pelo Tratamento de Dados Pessoais e seu suplente, designados em ato específico publicado no Diário Oficial do Estado, exercerão as atribuições previstas na LGPD, na Lei Estadual n.º 18.699/2024 e nas normas internas da Seduc, especialmente: I – atuar como canal de comunicação entre a Seduc, os titulares de dados pessoais e a ANPD; II – orientar as unidades da Seduc quanto às práticas de proteção de dados pessoais; III – coordenar o Escritório de Privacidade, quando instituído, e apoiar a elaboração, revisão ou dispensa motivada de RIPD; IV – propor ações de capacitação, comunicação, auditoria, monitoramento e conformidade em proteção de dados pessoais; V – manifestar-se nos processos de compartilhamento, acesso, cessão, pesquisa ou interoperabilidade que envolvam dados pessoais, dados pessoais sensíveis, crianças, adolescentes, pessoas em situação de vulnerabilidade, alto risco ou alto impacto; VI – coordenar, no que couber, a resposta a incidentes de segurança com dados pessoais e apoiar as comunicações à ANPD, aos titulares e às demais autoridades competentes; VII – recomendar salvaguardas, restrições, anonimização, pseudonimização, minimização, ambiente seguro, revisão de escopo, elaboração de RIPD ou indeferimento, quando necessário à conformidade com a LGPD. Parágrafo único. A manifestação do Encarregado não substitui a decisão operacional do Gestor de Dados, a manifestação jurídica da Asjur, a análise técnica da Astin ou a deliberação das instâncias de governança, quando cabíveis. Art. 6º. O Comitê de Privacidade, Proteção de Dados Pessoais e Segurança da Informação é instância técnica, consultiva e recomendativa, responsável por emitir pareceres, recomendações e orientações em matérias de privacidade, proteção de dados, segurança da informação, interoperabilidade e governança de dados, observadas suas competências próprias. Art. 7º. O Colegiado de Privacidade, Proteção de Dados Pessoais e Segurança da Informação é instância deliberativa e estratégica, responsável por decidir matérias de alto impacto, alto risco, conflito institucional, relevância estratégica ou repercussão sensível, observadas suas competências próprias. Art. 8º. Compete à Astin: I – avaliar viabilidade técnica, segurança, arquitetura, integração, APIs, extrações, logs, autenticação, controle de acesso, segregação de ambientes, criptografia, backups e demais controles técnicos; II – apoiar o Gestor de Dados na implementação de mecanismos de compartilhamento e interoperabilidade; III – recomendar medidas técnicas de mitigação de riscos; IV – apoiar a resposta a incidentes de segurança da informação, em articulação com o Encarregado, o Gestor de Dados e demais unidades competentes. Art. 9º. Compete à Asjur: I – analisar a validade jurídica dos instrumentos de compartilhamento, contratos, acordos, termos, convênios, ACTs, termos aditivos e demais documentos submetidos à sua apreciação; II – orientar quanto à adequação jurídica de cláusulas de proteção de dados, sigilo, segurança da informação, responsabilização, auditoria, incidentes, retenção, eliminação e transferência internacional; III – manifestar-se em hipóteses de maior complexidade jurídica, conflito normativo, dúvida sobre competência institucional ou repercussão jurídica relevante. Art. 10. Compete às unidades finalísticas e de apoio da SEDUC, compreendidas, para os fins desta Portaria, as Coordenadorias, Assessorias, Células, Coordenadorias Regionais de Desenvolvimento da Educação (Crede), Superintendências das Escolas Estaduais de Fortaleza (Sefor), Unidades Escolares e demais unidades administrativas vinculadas à Secretaria: I – identificar, manter e atualizar os dados sob sua responsabilidade operacional;

II – assegurar, no âmbito de suas atribuições, a qualidade, a integridade, a atualização, a fidedignidade e a disponibilidade dos dados tratados; III – informar ao Gestor de Dados e ao Encarregado pelo Tratamento de Dados Pessoais as finalidades, bases legais, sistemas, fluxos, destinatários, riscos, medidas de segurança, prazos de retenção e hipóteses de compartilhamento dos dados sob sua responsabilidade; IV – manter registros e evidências de suas operações de tratamento, acessos, extrações, compartilhamentos, correções, eliminações, anonimizações ou demais operações realizadas com dados pessoais, quando aplicável; V – observar os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas;

VI – observar o acesso baseado em papéis, a segregação de funções, o princípio do menor privilégio e as orientações institucionais de segurança da informação; VII – comunicar imediatamente ao Encarregado pelo Tratamento de Dados Pessoais, ao Gestor de Dados e à Astin qualquer incidente, suspeita de incidente, vulnerabilidade, acesso indevido, uso incompatível, perda, alteração, vazamento, destruição ou compartilhamento não autorizado de dados; VIII – cumprir as normativas vigentes, os instrumentos institucionais aplicáveis e as orientações do Encarregado pelo Tratamento de Dados Pessoais, do Gestor de Dados, da Astin, da Asjur e das instâncias de governança da Seduc.

Parágrafo único. As unidades mencionadas no caput atuam como unidades integrantes da Controladora, no âmbito de suas competências institucionais e responsabilidades operacionais, não se confundindo com terceiros externos, operadores ou recebedores de dados, salvo quando expressamente definido em instrumento jurídico ou ato administrativo próprio.

Art. 11. Compete aos solicitantes de dados, aos recebedores de dados e aos terceiros autorizados, conforme a natureza da solicitação, do instrumento firmado ou da autorização concedida: