DOE 28/07/2026 - Diario Oficial do Estado do Ceara - Caderno 1

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVIII Nº137 | FORTALEZA, 28 DE JULHO DE 2026

30

I – utilizar os dados exclusivamente para a finalidade autorizada, vedado o reuso, a redistribuição, a cessão, a publicação, a transferência ou o compartilhamento subsequente sem autorização específica da Seduc;

II – observar os princípios da finalidade, adequação, necessidade, minimização, segurança, prevenção, transparência, responsabilização e prestação de contas; III – observar o acesso baseado em papéis, a segregação de funções e o princípio do menor privilégio, quando houver múltiplos usuários ou perfis de acesso; IV – manter registros das operações de tratamento, acessos, consultas, extrações, compartilhamentos e demais logs cabíveis, especialmente quando houver tratamento de dados pessoais; V – assegurar, no âmbito de sua atuação, a confidencialidade, a integridade, a disponibilidade, a autenticidade e a auditabilidade dos dados recebidos ou acessados; VI – adotar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação, difusão ou qualquer forma de tratamento inadequado ou ilícito;

VII – limitar o acesso aos dados apenas às pessoas previamente autorizadas e diretamente vinculadas à finalidade aprovada;

VIII – comunicar imediatamente à Seduc qualquer incidente, suspeita de incidente, uso indevido, acesso não autorizado, perda, vazamento, alteração, destruição ou compartilhamento irregular de dados;

IX – eliminar, anonimizar, devolver ou interromper o acesso aos dados ao término da finalidade autorizada, do prazo de vigência ou por determinação da Seduc, ressalvadas as hipóteses de guarda obrigatória por obrigação legal ou regulatória;

X – comprovar, quando solicitado, a adoção das medidas de segurança, confidencialidade, retenção, eliminação, anonimização, devolução ou encerramento do acesso;

XI – cumprir as normas vigentes, os instrumentos jurídicos aplicáveis, os termos de responsabilidade firmados e as orientações do Encarregado pelo Tratamento de Dados Pessoais, do Gestor de Dados, da Astin, da Asjur e das instâncias de governança da Seduc.

§1º. Quando o atendimento envolver tratamento de dados pessoais por terceiros em nome da Seduc, o acesso somente ocorrerá após a formalização de instrumento jurídico adequado, incluindo, conforme o caso, Acordo de Compartilhamento de Dados, Contrato de Tratamento de Dados Pessoais, contrato administrativo, acordo de cooperação técnica, convênio, termo de responsabilidade, termo de confidencialidade ou instrumento congênere, contendo finalidades, bases legais, medidas de segurança, prazos de retenção e eliminação, regime de auditoria e logs, regras para suboperadores, procedimentos de resposta a incidentes e responsabilidades das partes. §2º. Quando o compartilhamento ocorrer entre órgãos e entidades da Administração Pública Estadual direta ou indireta, inclusive por meio da plataforma de interoperabilidade, serão observados o Decreto Estadual n.º 37.059/2026, a Resolução n.º 01/2026 do Subcomitê de Governança de Dados, o Catálogo de Dados, a categorização aplicável e o Termo de Responsabilidade, quando exigido, sem prejuízo de manifestação do Encarregado pelo Tratamento de Dados Pessoais sempre que houver dados pessoais, dados pessoais sensíveis, crianças, adolescentes, alto risco ou alto impacto.

§3º. Quando o compartilhamento envolver entidade privada, organização da sociedade civil, fundação, instituto, consultoria, empresa, organismo internacional, instituição de ensino superior privada, pesquisador ou outro terceiro externo à Administração Pública Estadual, deverão ser observadas a LGPD, a Lei Estadual n.º 18.699/2024, esta Portaria, a Política Geral de Privacidade e Proteção de Dados da Seduc e o instrumento jurídico cabível, não se aplicando automaticamente o rito simplificado da plataforma de interoperabilidade.

§4º. O descumprimento das obrigações previstas neste artigo poderá ensejar suspensão ou revogação do acesso, interrupção do compartilhamento, comunicação às autoridades competentes, responsabilização administrativa, civil, contratual ou penal, sem prejuízo das demais medidas cabíveis. CAPÍTULO III CATEGORIZAÇÃO, CATÁLOGO DE DADOS E MATRIZ EDUCACIONAL Art. 12. Os conjuntos de dados sob responsabilidade ou custódia da Seduc deverão ser classificados, sempre que aplicável, em categorias de compartilhamento amplo, restrito ou específico, observadas as regras do Decreto Estadual n.º 37.059/2026, da Resolução n.º 01/2026 e desta Portaria. §1º. A categorização deverá considerar, no mínimo:

I – natureza do dado;

II – existência de dado pessoal ou dado pessoal sensível;

III – possibilidade de identificação direta ou indireta de pessoa natural;

IV – existência de crianças, adolescentes ou grupos vulneráveis entre os titulares;

V – finalidade pública do compartilhamento;

VI – grau de sigilo ou restrição de acesso;

VII – risco de uso indevido, discriminação, estigmatização, exposição, reidentificação ou dano ao titular;

VIII – possibilidade de atendimento por dado agregado, anonimizado, pseudonimizado ou minimizado;

IX – necessidade de acesso individualizado, massivo, contínuo, periódico ou pontual;

X – medidas de segurança e auditabilidade disponíveis.

§2º. A categorização deverá ocorrer, sempre que possível, no nível mais aberto compatível com a legislação, a segurança da informação e a proteção de dados pessoais. §3º. Quando houver combinação de informações de diferentes categorias e não for tecnicamente viável sua separação, o conjunto deverá ser classificado pela categoria mais restritiva. §4º. O Gestor de Dados poderá classificar determinado conjunto como específico, ainda que regra geral estadual indique nível menos restritivo, desde que a decisão seja motivada e documentada. Art. 13. Para fins de orientação interna, a Seduc adotará matriz preliminar de categorização educacional, constante do Anexo I desta Portaria, sem prejuízo de análise específica em cada caso. Parágrafo único. A matriz preliminar de que trata o caput poderá ser atualizada por ato próprio, orientação técnica, deliberação do Colegiado ou revisão desta Portaria, conforme evolução normativa, tecnológica ou institucional. Art. 14. A Seduc deverá manter Catálogo de Dados ou documentação equivalente dos conjuntos de dados sob sua governança, contendo, sempre que aplicável: I – identificação do conjunto de dados;

II – unidade responsável;

III – sistema, base ou repositório de origem;

IV – descrição do conteúdo informacional;

V – tipo de informação, se consulta de registro único, conjunto de informações, base estruturada, documento, imagem, áudio, vídeo ou outro formato; VI – categoria de compartilhamento;

VII – dados de entrada e saída, quando houver API ou consulta estruturada;

VIII – bases legais e finalidades públicas associadas;

IX – restrições de acesso, sigilo ou segurança;

X – periodicidade de atualização;

XI – requisitos para compartilhamento específico, quando aplicável;

XII – prazo de revisão da categorização.

Art. 15. A categorização dos dados deverá ser revista: I – quando houver alteração normativa;

II – quando o Subcomitê de Governança de Dados editar nova regra ou orientação aplicável; III – quando houver mudança relevante na finalidade, no sistema, na base, no nível de risco ou no público atingido; IV – quando houver incidente de segurança, falha de controle, uso indevido ou recomendação de auditoria;

V – no mínimo a cada 12 (doze) meses, para os conjuntos de dados classificados como específicos ou que envolvam dados pessoais sensíveis. CAPÍTULO IV

ACESSO INTERNO, COMPARTILHAMENTO E INTEROPERABILIDADE

Art. 16. O acesso interno a sistemas, bases, documentos e conjuntos de dados da Seduc será concedido com base na necessidade funcional, no perfil de acesso, na finalidade institucional, na segregação de funções e no princípio do menor privilégio.

§1º. O acesso interno deverá possuir responsável, justificativa, perfil, escopo e, sempre que possível, prazo de validade.

§2º. Os perfis de acesso deverão ser revisados periodicamente pelas unidades responsáveis, com apoio da Astin, do Gestor de Dados e do Encarregado, quando houver dados pessoais.

§3º. É vedado o compartilhamento de credenciais, o uso de usuário genérico não autorizado, o acesso por conveniência pessoal, a consulta sem finalidade institucional e a extração de base de dados sem autorização.

Art. 17. O compartilhamento de dados entre órgãos e entidades da Administração Pública Estadual ocorrerá preferencialmente por meio da plataforma de interoperabilidade do Estado do Ceará, observadas as regras do Decreto Estadual n.º 37.059/2026, da Resolução n.º 01/2026 e desta Portaria. §1º. O compartilhamento de que trata o caput deverá ser precedido, quando aplicável, de: