DOE 28/07/2026 - Diario Oficial do Estado do Ceara - Caderno 2

TEXTO OFICIAL · ÍNTEGRA

DIÁRIO OFICIAL DO ESTADO | SÉRIE 3 | ANO XVIII Nº137 | FORTALEZA, 28 DE JULHO DE 2026

71

VI – acompanhar projetos que envolvam tratamento relevante de dados pessoais; VII – encaminhar ao Colegiado matérias que demandem deliberação estratégica. §2º. A atuação do Comitê não substitui as atribuições legais do Controlador, do Encarregado, do representante do Gestor de Dados, da Astin ou da Asjur. Art. 12. O Encarregado pelo Tratamento de Dados Pessoais e seu suplente serão designados por ato específico publicado no Diário Oficial do Estado. §1º. Compete ao Encarregado: I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; II – receber comunicações da ANPD e adotar providências; III – orientar os agentes públicos, colaboradores, operadores e terceiros sobre as práticas de proteção de dados pessoais; IV – orientar e acompanhar o atendimento dos direitos dos titulares;

V – emitir recomendações sobre tratamentos, projetos, compartilhamentos, contratos e medidas de segurança; VI – coordenar o Escritório de Privacidade; VII – coordenar ou orientar a elaboração e a revisão dos ROPA e RIPD; VIII – apoiar a avaliação de incidentes e a preparação das comunicações à ANPD e aos titulares; IX – promover ações de conscientização, capacitação e monitoramento; X – recomendar anonimização, pseudonimização, minimização, restrição de acesso, revisão de escopo ou outras salvaguardas; XI – recomendar a suspensão ou a adequação de tratamento que apresente desconformidade ou risco relevante; XII – desempenhar as demais atribuições previstas na legislação e nos atos da ANPD. §2º. O Encarregado deverá possuir autonomia técnica, acesso direto à alta administração e recursos adequados ao desempenho de suas atribuições. §3º. O Encarregado não será responsável pela decisão final sobre as finalidades e os meios essenciais do tratamento, nem substituirá: I – a decisão do Controlador; II – a deliberação do Colegiado; III – as atribuições de governança de dados; IV – a análise técnica da Astin; V – a análise jurídica da Asjur; VI – a responsabilidade operacional das unidades. §4º. Deverá ser evitada situação que possa gerar conflito de interesses no exercício das atribuições do Encarregado. Art. 13. A Seduc, na condição de Gestor de Dados, exercerá suas atribuições por intermédio de representante formalmente designado. §1º. Compete ao representante do Gestor de Dados: I – coordenar a governança dos conjuntos de dados da Seduc; II – coordenar a categorização dos dados em compartilhamento amplo, restrito ou específico; III – manter e encaminhar as Fichas de Categorização e o Catálogo de Dados; IV – estabelecer regras complementares para o compartilhamento específico; V – avaliar o atendimento dos requisitos das solicitações de compartilhamento; VI – decidir operacionalmente sobre o compartilhamento específico, observadas as competências do Controlador e das demais instâncias; VII – coordenar, com a Astin, a disponibilização de dados por API ou outro mecanismo seguro; VIII – assegurar a qualidade, integridade, atualização, disponibilidade e rastreabilidade dos dados; IX – revisar as categorias de compartilhamento quando houver alteração normativa, de risco ou de contexto; X – representar a Seduc perante o gestor da plataforma estadual de interoperabilidade e o Subcomitê de Governança de Dados; XI – manter evidências das decisões e autorizações relacionadas à governança e ao compartilhamento de dados. §2º. As atribuições previstas neste artigo não abrangem, isoladamente, a definição das bases legais, a análise jurídica dos instrumentos ou a atuação como canal com a ANPD. Art. 14. Compete à Astin, no âmbito de suas atribuições: I – avaliar arquitetura, infraestrutura, sistemas, integrações, APIs, extrações e ambientes tecnológicos; II – implementar ou recomendar controles de acesso, autenticação, criptografia, segregação, monitoramento e registro de eventos; III – avaliar vulnerabilidades e riscos técnicos; IV – apoiar a elaboração de ROPA e RIPD quanto aos aspectos tecnológicos; V – apoiar a categorização e a disponibilização de dados na plataforma de interoperabilidade; VI – manter mecanismos de continuidade, backup e recuperação de desastres; VII – apoiar a prevenção, detecção, contenção, erradicação e recuperação de incidentes; VIII – preservar, quando cabível, evidências técnicas; IX – fiscalizar, no âmbito técnico, o cumprimento dos requisitos de segurança por fornecedores; X – desempenhar outras atribuições previstas na PoSIC, na PGSI da Seduc e nos atos internos. Art. 15. Compete à Asjur: I – analisar a validade jurídica dos contratos, convênios, acordos, termos, parcerias e demais instrumentos que envolvam tratamento de dados pessoais; II – orientar quanto à adequação jurídica das cláusulas de proteção de dados, confidencialidade, segurança, auditoria, incidentes, retenção, eliminação, responsabilização e transferência internacional; III – manifestar-se sobre dúvidas jurídicas relativas a bases legais, competências institucionais, compartilhamento com entidades privadas e controladoria conjunta; IV – analisar matérias que envolvam conflito normativo, repercussão jurídica relevante ou responsabilização; V – apoiar a elaboração e a revisão dos atos normativos de privacidade e proteção de dados; VI – adotar as providências jurídicas cabíveis em caso de descumprimento contratual, incidente ou tratamento irregular. Art. 16. O Escritório de Privacidade constitui arranjo funcional de apoio técnico e operacional ao Encarregado. §1º. O Escritório de Privacidade será composto por agentes públicos designados ou indicados para apoiar as ações de conformidade. §2º. Compete ao Escritório de Privacidade:

I – apoiar a manutenção dos ROPA;

II – apoiar a elaboração e o monitoramento dos RIPD;

III – organizar evidências de conformidade;

IV – apoiar o atendimento de titulares;

• V – apoiar a gestão de incidentes;

VI – elaborar materiais, orientações e ações de capacitação;

• VII – acompanhar planos de ação e recomendações; VIII – apoiar auditorias e avaliações de conformidade. §3º. Os membros consultivos do Comitê poderão integrar ou colaborar com o Escritório de Privacidade, observado o ato de designação ou o registro em ata. Art. 17. Compete às unidades finalísticas e de apoio da Seduc, compreendidas as Coordenadorias, Assessorias, Células, Crede, Sefor, unidades escolares e demais unidades administrativas:

• I – identificar os tratamentos de dados pessoais realizados no âmbito de suas atividades;

• II – informar as finalidades, bases legais, dados, titulares, sistemas, fluxos, destinatários, riscos e prazos de retenção; III – manter atualizados os registros e as evidências das operações de tratamento;

IV – assegurar a qualidade, integridade, fidedignidade e atualização dos dados;

• V – aplicar os princípios da finalidade, adequação, necessidade e minimização;

• VI – adotar controles de acesso baseados em papéis, menor privilégio e segregação de funções;

VII – comunicar imediatamente incidentes, suspeitas, vulnerabilidades ou tratamentos incompatíveis; VIII – atender às orientações e recomendações das instâncias competentes;

• IX – apoiar o atendimento dos direitos dos titulares;

• X – implementar os planos de ação e as medidas corretivas sob sua responsabilidade.

Parágrafo único. As unidades previstas no caput integram a estrutura do Controlador e não constituem controladores independentes pelo simples exercício de suas competências administrativas.

CAPÍTULO III

DO TRATAMENTO DE DADOS PESSOAIS

Art. 18. O tratamento de dados pessoais pela Seduc será realizado para atendimento de finalidade pública, execução de políticas públicas educacionais e cumprimento de competências legais e regulamentares.

§1º. Deverão ser identificadas e documentadas as bases legais aplicáveis, especialmente as previstas nos arts. 7º, 11, 14, 23 e 26 da LGPD. §2º. O consentimento somente será utilizado quando: