RESOLUÇÃO Nº 01/2026
Institui a Política de Proteção de Dados Pessoais e Privacidade no âmbito da Câmara Municipal de Equador e dá outras providências.
Autor: Mesa diretora
A mesa diretora da CÂMARA MUNICIPAL DE EQUADOR, no uso de suas atribuições legais e regimentais, faz saber que a Câmara aprovou a seguinte Resolução:
A CÂMARA MUNICIPAL DE EQUADOR, no uso das atribuições que lhe confere o seu Regimento Interno, e
CONSIDERANDO o grau de indispensabilidade alcançado pela tecnologia de informação para a realização das funções institucionais e alcance dos objetivos estratégicos da Câmara Municipal de Equador;
CONSIDERANDO a velocidade de processamento de dados e quantidade de armazenamento de informações que a tecnologia de informação proporciona;
CONSIDERANDO o grande volume de recursos humanos, financeiros e patrimoniais vinculados à operacionalização e manutenção de bens e serviços de tecnologia de informação;
CONSIDERANDO a necessidade de adequar as práticas de gestão e controle de dados pessoais e privacidade da Câmara às diretrizes de boas práticas e governança em segurança da informação, conforme padrões internacionais reconhecidos;
CONSIDERANDO a importância de se incentivar uma abordagem correta na descrição de atividades internas e gestão de risco de privacidade e segurança da informação, mediante emprego de terminologia uniforme em processos e diretrizes organizacionais;
CONSIDERANDO os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de proteção de dados pessoais e segurança da informação dentro do contexto da organização, bem como as normas para avaliação e tratamento de riscos;
CONSIDERANDO as diretrizes para práticas de gestão de segurança da informação e normas de segurança da informação para as organizações, incluindo a seleção, a implementação e o gerenciamento de controles, levando em consideração os ambientes de risco de segurança da informação da organização;
CONSIDERANDO que a Lei nº 12.527, de 18 de novembro de 2011, mais conhecida como Lei de Acesso à Informação (LAI), fixa como diretriz para a administração pública a observância da publicidade como preceito geral e do sigilo como exceção;
CONSIDERANDO que a Lei de Acesso à Informação (LAI) consigna que a administração pública deve pautar-se na utilização de meios de comunicação viabilizados pela tecnologia da informação;
CONSIDERANDO que a Lei nº 13.709, de 14 de agosto de 2018, também chamada de Lei Geral de Proteção de Dados Pessoais (LGPD), dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural;
CONSIDERANDO que a LGPD contém normas gerais sobre o tratamento de dados pessoais que são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios;
CONSIDERANDO que a Câmara Municipal de Equador deve construir uma cultura organizacional pautada na harmonização entre os preceitos da Lei de Acesso à Informação (LAI) e as normas sobre tratamento de dados pessoais constituídas pela Lei Geral de Proteção de Dados (LGPD);
CONSIDERANDO que se faz necessário a padronização do uso de recursos de tecnologia de informação, bem como para o armazenamento e tratamento de dados em meio digital, para que os processos de trabalho possuam o requisito de medidas de segurança e privacidade compatíveis com o grau de relevância do que eles se revestem, em consonância com os princípios da LAI e da LGPD;
CONSIDERANDO que a proteção de dados pessoais, a privacidade e a segurança da informação e comunicação, digital ou física, são temas de permanente acompanhamento e aperfeiçoamento, devendo ser constantemente revistas e atualizadas, visando a melhoria contínua da qualidade dos processos internos e ao respeito aos direitos dos titulares de dados;
RESOLVE:
CAPÍTULO I - DISPOSIÇÕES GERAIS E PRINCIPIOLÓGICAS
SEÇÃO I - Das Disposições Gerais
Art. 1º Fica instituída a Política de Proteção de Dados Pessoais e Privacidade da Câmara Municipal de Equador (PPDP), que observará os princípios, os objetivos e as diretrizes estabelecidas nesta resolução, bem como as disposições constitucionais, legais e regimentais vigentes, em especial a Lei nº 13.709/2018 (LGPD) e a Lei nº 12.527/2011 (LAI).
§ 1º Membros, servidores, terceirizados, estagiários e qualquer pessoa que tenham acesso aos ativos de informação ou dados pessoais pertencentes à Câmara Municipal de Equador se sujeitam aos termos estabelecidos nesta resolução e são responsáveis por garantir a segurança e a privacidade dos ativos físicos e lógicos a que tenham acesso em razão do exercício de suas funções.
Art. 2º Casos de omissões não tratados de forma expressa nesta resolução, caberá aos membros, servidores e colaboradores da Câmara buscar a preservação da segurança e da privacidade das informações e dados pessoais que estejam sob suas responsabilidades, em consonância com os princípios e normas aplicáveis.
Art. 3º É dever de todos que possuam acesso aos ativos ou dados pessoais pertencentes à Câmara zelar pela proteção de dados, pela privacidade e pela segurança da informação.
SEÇÃO II - Dos Princípios da Proteção de Dados Pessoais e Privacidade
Art. 4º A atividade de proteção de dados pessoais e privacidade no âmbito da Câmara será desenvolvida com observância, entre outros, dos seguintes princípios, em conformidade com a LGPD e a LAI:
I - Proteção aos direitos humanos e respeito aos princípios constitucionais da atividade administrativa, com especial atenção aos direitos fundamentais de liberdade, intimidade e privacidade dos titulares de dados;
II - Orientação de suas práticas pela ética profissional, cultuando-se os valores fundamentais do Estado Democrático de Direito e a boa-fé no tratamento dos dados pessoais;
III - Atuação preventiva e proativa, de modo a possibilitar antecipação às ameaças, vulnerabilidades e incidentes de segurança que possam comprometer a privacidade e a segurança dos dados, e sua neutralização.
IV - Integração da Câmara com outros órgãos essenciais à atividade de proteção de dados, especialmente com a Autoridade Nacional de Proteção de Dados (ANPD);
V - Orientação da atividade de ameaças reais ou potenciais à instituição e a seus integrantes, inclusive no que tange aos efeitos de acidentes naturais, visando salvaguardar os dados pessoais sob sua custódia;
VI - Salvaguarda da imagem da instituição, evitando-se sua exposição e exploração midiática negativa decorrente de incidentes de privacidade ou segurança da informação;
VII - Incentivo à participação colaborativa e coordenada com o objetivo de construir uma cultura de segurança ativa e uma cultura de proteção de dados;
VIII - Gestão de riscos voltada para a salvaguarda de ativos da Câmara e, especialmente, dos dados pessoais tratados;
IX - Proteção da vida, do patrimônio e do meio ambiente, considerando o impacto da proteção de dados nesses aspectos;
X - Finalidade: realização de tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
XI - Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
XII - Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
XIII - Livre Acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
XIV - Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade do seu tratamento;
XV - Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observado os segredos comercial e industrial;
XVI - Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
XVII - Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
XVIII - Não discriminação: impossibilidade de realização de tratamento para fins discriminatórios ilícitos ou abusivos;
XIX - Responsabilização e prestação de contas: demonstração, pelo agente de tratamento, da adoção de medidas eficazes e capazes de comprovar o cumprimento das normas de proteção de dados pessoais, inclusive, da eficácia dessas medidas.
SEÇÃO III - Dos Conceitos Fundamentais
Art. 5º Para efeitos desta Resolução, são considerados os seguintes conceitos:
I - Ativo de informação: recurso utilizado na produção, processamento, armazenamento, transmissão e recuperação de informação, incluindo a própria informação, sistemas de informação, equipamentos de rede, telecomunicações, computadores, dispositivos móveis, dispositivos de armazenamento, programas, banco de dados, locais onde se encontram esses meios e as pessoas que a eles têm acesso;
II - Ciclo de vida da informação: conjunto de eventos relacionados à criação ou obtenção, à classificação, à distribuição, ao uso, ao armazenamento, ao descarte ou à guarda permanente da informação;
III - Informação: conjunto de dados armazenados em meio eletrônico ou físico, nos equipamentos de propriedade e uso da Câmara, devendo a informação ser classificada, segundo o grau de sigilo por ela exigido;
IV - Classificação da informação: ação que define o grau de sigilo e os grupos de acesso atribuído à informação, visando a garantir um nível adequado de proteção;
V - Autenticidade: assegura a correspondência entre o autor de determinada informação e a pessoa, processo ou sistema a quem se atribui a autoria;
VI - Confidencialidade: garante de que a informação seja acessada somente pelos usuários ou processos autorizados;
VII - Disponibilidade: garante de que usuários possam ter pronta acesso às informações segundo sua demanda e em conformidade com a política de proteção de dados e segurança;
VIII - Integridade: garante de que a informação não foi modificada ou destruída de maneira não autorizada ou acidental, inclusive quanto a origem, trânsito e destino;
IX - Não repúdio: garante de que o emissor da mensagem não irá negar posteriormente a autoria da mensagem ou transação, permitindo a sua identificação;
X - Incidentes de segurança da informação e de dados pessoais: qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação da segurança de dados pessoais, como acesso não autorizado, acidentais ou ilícitos de destruição, perda, alteração, comunicação ou difusão de dados pessoais;
XI - Informação sigilosa: aquela abrangida pelas hipóteses legais de restrição de acesso ou a classificada como sigilosa, submetida temporariamente a restrição de acesso público, em razão de sua imprescindibilidade para a segurança da sociedade e do Estado, ou para a proteção da privacidade e dados pessoais;
XII - Gestão de risco de segurança da informação e privacidade: conjunto de processos que permite identificar e implementar as medidas de proteção necessárias para minimizar os riscos a que estão sujeitos os seus ativos de informação e dados pessoais, e equilibrá-los com os custos operacionais e financeiros envolvidos;
XIII - Usuário interno: autoridade, servidor, colaborador terceirizado, estagiário ou qualquer pessoa que tenha acesso às informações produzidas ou recebidas pela Câmara no exercício de suas funções;
XIV - Usuário externo: pessoa física ou jurídica que tenha acesso às informações produzidas ou recebidas pela Câmara e que não seja caracterizado como usuário interno;
XV - Gestor da informação: agente público, titular da direção de setor específico da Câmara, que tem como responsabilidade gerir e gerenciar informação para o sistema;
XVI - Conta: registro que identifica cada usuário, através de nome e senha personalizados, garantindo-lhe direito de acesso a determinados recursos computacionais da Câmara;
XVII - Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;
XVIII - Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
XIX - Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
XX - Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XXI - Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
XXII - Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
XXIII - Encarregado (DPO): pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
XXIV - Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XXV - Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de ser associado, direta ou indiretamente, a um indivíduo;
XXVI - Pseudonimização: tratamento por meio do qual um dado é processado de tal forma que não possa mais ser atribuído a um titular sem o uso de informação adicional, desde que essa informação adicional seja mantida separadamente e sujeita a medidas técnicas e organizacionais adequadas para garantir que os dados pessoais não sejam atribuídos a uma pessoa natural identificada ou identificável.
SEÇÃO IV - Dos Objetivos da Política
Art. 6º A Política de Proteção de Dados Pessoais e Privacidade da Câmara tem como objetivo:
I - Garantir a autoria da responsabilidade pelo envio e tratamento da informação e dos dados pessoais;
II - Garantir que os ativos de informação e os dados pessoais, bem como os ativos de processamento e armazenamento de dados, sejam protegidos contra acesso não autorizado, destruição, perda, alteração, comunicação ou difusão indevida;
III - Garantir que os dados pertencentes ao órgão estejam, sempre que possível e necessário, disponíveis ao solicitante, em conformidade com as leis de acesso à informação e proteção de dados;
IV - Garantir a consistência e segurança das informações e dados pessoais armazenados ou transmitidos pelo órgão;
V - Promover a conscientização e o comprometimento dos membros, servidores, terceirizados e estagiários da Câmara, para a preservação da confidencialidade, da integridade e da disponibilidade das informações, da segurança nas operações e da proteção dos dados pessoais tratados, bem como a qualidade das atividades desempenhadas;
VI - Divulgar informações de interesse público, independentemente de solicitações, observando as diretrizes da LAI e os limites da LGPD;
VII - Contribuir para a otimização do uso dos meios de comunicação viabilizados pela tecnologia da informação, de forma segura e respeitosa à privacidade;
VIII - Fomentar o desenvolvimento da cultura de transparência na administração pública, em harmonia com a proteção dos dados pessoais;
IX - Contribuir para o desenvolvimento do controle social da administração pública, permitindo que os cidadãos exerçam seus direitos como titulares de dados;
X - Garantir o livre exercício dos direitos dos titulares de dados pessoais, conforme previsto na LGPD;
XI - Estabelecer e manter um Encarregado de Dados Pessoais (DPO) como canal de comunicação entre a Câmara, os titulares de dados e a ANPD;
XII - Assegurar que o tratamento de dados pessoais seja realizado em estrita obediência aos princípios da LGPD e demais legislações pertinentes.
Parágrafo único. Os objetivos da Política de Proteção de Dados Pessoais e Privacidade deverão estar alinhados ao plano estratégico da Câmara e ao plano diretor de tecnologia da informação do órgão.
CAPÍTULO II - DO TRATAMENTO DE INFORMAÇÕES E DADOS PESSOAIS
SEÇÃO I - Da Classificação da Informação
Art. 7º A classificação da informação e dos dados pessoais tem por objetivo assegurar que recebam um nível adequado de proteção.
Parágrafo único. A informação e os dados pessoais serão classificados para indicar a necessidade, as prioridades e o nível esperado de proteção quanto ao tratamento durante todo o seu ciclo de vida.
Art. 8º A classificação da informação quanto ao grau de sigilo se dará na forma de norma específica a ser elaborada pela Câmara Municipal de Equador, que disporá sobre o acesso à informação e a aplicação da Lei de Acesso à Informação e da Lei Geral de Proteção de Dados Pessoais no âmbito da Câmara.
Parágrafo único. Poderá ser considerado sigilosa qualquer informação ou dado pessoal que:
I - provoque riscos à vida, à honra, à segurança ou à saúde da população ou dos titulares de dados;
II - provoque riscos à defesa, economia ou relações federativas/municipais do Estado e do Município;
III – provoque assimetria competitiva ou privilégio entre pessoas jurídicas;
IV – exponha a Câmara a ataques, fraudes ou sanções decorrentes de não conformidade com a legislação de proteção de dados;
V – seja relativa a autorizações, estudos, processos internos e fiscalizações que componham processo não concluído, cujo dados pessoais não possam ser divulgados sem prejuízo aos direitos dos titulares;
VI – notícia de fato apresentada por meio de denúncia ou representação, ainda não conhecida pelo vereador relator, nos termos do Regimento Interno da Câmara Municipal de Equador.
9º A Unidade ou Comitê responsável pela gestão estratégica de informações e dados na Câmara Municipal de Equador terá competência para classificar suas informações e dados pessoais de acordo com o grau de sigilo e a sensibilidade dos dados.
Art. 10. Para os fins desta Resolução, considera-se informação pessoal o dado relacionado à pessoa natural identificada ou identificável, à vida privada, à honra ou à imagem, conforme definido na Lei Geral de Proteção de Dados Pessoais.
Parágrafo único. As disposições deste artigo aplicam-se, no que couber, às pessoas jurídicas, no que tange a informações que possam levar à identificação de pessoas naturais a elas vinculadas.
SEÇÃO II - Das Obrigações do Gestor de Informação e dos Dados Pessoais
Art. 11. São responsabilidades dos gestores de informação e dos dados pessoais, no que concerne às informações e dados sob sua gestão, produzidos ou custodiados pela Câmara:
I - Manter atualizada a relação dos usuários que tenham acesso às informações e dados pessoais sob sua responsabilidade, especificando o nível de acesso e a finalidade;
II - Coordenar as atividades de identificação, classificação e enquadramento das informações e dados pessoais, observando os princípios da LGPD;
III - Garantir o cumprimento das normas e procedimentos relativos à proteção de dados pessoais e segurança das informações;
IV - Definir procedimentos e grupos de acesso, observados os dispositivos legais e regimentais relativos ao sigilo, à LAI, à LGPD e a outros requisitos de segurança pertinentes;
V - Conscientizar usuários internos em relação aos conceitos e às práticas de proteção de dados pessoais, privacidade e segurança da informação;
VI - Tomar as medidas administrativas necessárias para que sejam aplicadas ações corretivas nos casos de comprometimento da segurança da informação ou de dados pessoais por parte dos usuários internos;
VII - Rotular a informação sigilosa e os dados pessoais sensíveis em matéria de sua competência ou inerente à sua área de atuação, enquadrado em hipótese legal de sigilo ou de segredo de justiça, ou que exija maior grau de proteção de acordo com a LGPD.
SEÇÃO III - Do Ciclo de Vida da Informação e dos Dados Pessoais
Art. 12. O ciclo de vida da informação e dos dados pessoais é composto pelas etapas de manuseio, armazenamento, transporte e descarte, assim caracterizadas:
I - Manuseio: momento em que a informação ou o dado pessoal é criado e manipulado, seja sob a forma física ou eletrônica, devendo ser observados os princípios da LGPD, especialmente finalidade, necessidade e segurança;
II - Armazenamento: fase em que há o armazenamento propriamente dito da informação ou do dado pessoal, seja em papel, arquivo físico, banco de dados ou qualquer outro tipo de mídia, exigindo medidas técnicas e administrativas de segurança para sua proteção;
III - Transporte: etapa em que a informação ou o dado pessoal é transportado, seja em papel, mídia ou por meio remoto em uma rede de computadores, devendo ser empregados mecanismos de segurança para prevenir acesso não autorizado;
IV - Descarte: momento em que a informação ou o dado pessoal é descartado, em formato físico ou eletrônico, de forma segura e irrecuperável, em conformidade com a legislação aplicável e com a LGPD, evitando vazamentos e acesso indevido.
Art. 13. Caberá a cada gestor de informação e de dados pessoais tomar as devidas providências em relação ao ciclo de vida da informação e dos dados sob sua responsabilidade, que se encontrem em seu setor.
SEÇÃO IV - Do Tratamento dos Ativos de Informação e Dados Pessoais
Art. 14. As unidades que compõem a Câmara deverão atribuir a um ou mais servidores a responsabilidade de classificar e documentar seus ativos e dados pessoais de acordo com seu valor, sensibilidade, criticidade e requisitos legais de proteção.
§ 1º A atribuição dos responsáveis pela classificação e documentação dos ativos e dados pessoais deve ser feita de forma hábil e, sempre que possível, após criação ou transferência do respectivo ativo ou dado à unidade.
§ 2º O tempo máximo para a atribuição dos responsáveis pela classificação e documentação de ativo será tratado em norma específica.
Art. 15. Após a devida classificação, os ativos e dados pessoais deverão ser atribuídos a proprietários ou responsáveis pelo tratamento, que ficarão responsáveis pelo seu ciclo de vida e sua segurança e privacidade, mantendo a respectiva documentação atualizada e revisando-a sempre que houver mudanças que justifiquem a sua atualização, nos termos definidos em norma complementar.
Parágrafo único. O proprietário atribuído ao ativo ou responsável pelo tratamento de dados pessoais não tem direitos de propriedade sobre o ativo ou os dados, mas sim a responsabilidade sobre sua gestão e proteção.
Art. 16. As instruções para a classificação, documentação, rotulamento e tratamento dos ativos de informação e dados pessoais de forma adequada serão objeto de norma específica.
Art. 17. Fica sob a responsabilidade da sua respectiva direção, de proprietário ou de quem esteja com a responsabilidade sobre o ativo ou dados pessoais, autorizar ou rejeitar o seu acesso ou sua retirada do estabelecimento.
§ 1º A autorização de retirada de ativo ou dados pessoais será feita para permitir a continuidade das atividades do órgão, desde que garantido a seu segurança e a privacidade dos titulares.
§ 2º Apenas servidores da Câmara Municipal poderão retirar, com a devida autorização, os ativos ou dados pessoais do estabelecimento, observando-se os termos de confidencialidade aplicáveis.
§ 3º O servidor realizará a devolução do ativo ou dados pessoais ao órgão quando cessarem os motivos para a retirada ou no caso de encerramento de seu vínculo com a Câmara, garantindo a integridade e a devida eliminação de cópias indevidas.
Art. 18. Os ativos de informação, os dados pessoais e os recursos de armazenamento e processamento de dados deverão ser utilizados de forma aceitável, nos termos definidos em norma complementar e em conformidade com a LGPD.
Art. 19. A norma definirá as regras para a utilização de recursos computacionais pessoais dos funcionários dentro das instalações da Câmara ou em regime de teletrabalho, no exercício das funções, sempre com garantia de segurança e privacidade para os dados da instituição e dados pessoais tratados.
SEÇÃO V - Do Gerenciamento de Eventos e Incidentes
Art. 20. Procedimentos para identificar e tratar os eventos decorrentes dos equipamentos de armazenamento e processamento de dados devem ser implementados e documentados, visando evitar que surjam incidentes que possam comprometer a disponibilidade, a integridade, a confidencialidade ou a privacidade dos serviços de TI e dos dados pessoais da Câmara.
Parágrafo único. A classificação dos eventos de acordo com a sua criticidade, bem como os procedimentos necessários para tratá-los de forma apropriada, serão definidos em norma específica, incluindo a comunicação à ANPD e aos titulares em caso de incidentes de dados pessoais.
Art. 21. A Unidade Responsável pela Tecnologia de Informação (URTI) manterá um núcleo de gerenciamento de incidentes que deverá garantir a restauração dos serviços de TI de forma hábil, nos prazos e termos definido em norma, minimizando eventuais efeitos negativos aos processos do órgão e aos direitos dos titulares de dados.
SEÇÃO VI - Do Gerenciamento de Problemas
Art. 22. A Unidade Responsável pela Tecnologia de Informação (URTI) manterá um núcleo de gerenciamento de problemas, que visa minimizar a interrupção nos serviços de TI, buscando reduzir a quantidade de incidentes e evitar sua recorrência, especialmente aqueles que possam impactar a segurança e a privacidade dos dados pessoais.
§ 1º O núcleo de gerenciamento de problemas analisará as causas dos incidentes recorrentes ou de grande impacto para os serviços de TI e a proteção de dados pessoais.
§ 2º Será mantido um banco de dados de erros conhecidos que conterá todas as soluções produzidas pelo núcleo de gerenciamento de problemas.
§ 3º Os procedimentos necessários para analisar e tratar os problemas serão dispostos em norma específica.
SEÇÃO VII - Da Gestão de Riscos
Art. 23. A Câmara deverá elaborar um plano de gerenciamento de riscos que objetive mensurar ameaças, riscos e seus potenciais danos à organização, especialmente aqueles relacionados à privacidade e aos dados pessoais, de modo a fornecer subsídios para melhoria da segurança institucional e da proteção de dados.
Parágrafo único. Critérios para determinar quais riscos são aceitáveis e quais necessitam de controles especiais serão estabelecidos de acordo com os possíveis impactos à Câmara e aos direitos e liberdades dos titulares de dados.
SEÇÃO VIII - Da Gestão de Continuidade
Art. 24. Serão adotados procedimentos emergenciais e formais, através da definição de um Sistema de Gestão de Continuidade de Negócios (SGCN), para a eventualidade de ocorrência de algum incidente de segurança da informação ou de dados pessoais que possa causar interrupção na continuidade de processos organizacionais decorrentes de desastres ou falhas em recursos de tecnologia da informação e comunicação nesta Câmara Municipal.
Art. 25. O Sistema de Gestão de Continuidade de Negócios se responsabiliza pela realização das cópias de segurança dos ativos de informação e dados pessoais para proteção contra desastres, que devem ser hospedados em locais próprios, acessíveis e distintos das instalações da Câmara, com as devidas medidas de segurança.
SEÇÃO IX - Da Auditoria e Conformidade
Art. 26. Todos os ativos de informação e processos que envolvem tratamento de dados pessoais desta Câmara Municipal poderão ser objetos de auditoria por equipe designada pela Unidade Responsável pela Tecnologia de Informação, pelo Encarregado de Dados ou por comitê específico, de acordo com os termos definidos em norma específica.
SEÇÃO X - Dos Controles de Acesso
Art. 27. A política de controle de acesso terá como objetivo limitar os acessos às informações e aos dados pessoais, bem como aos recursos de processamento e armazenamento de informação e, através das normas dispostas nesta política e em norma específica, tratará dos seguintes aspectos:
I - Controle de acesso físico e lógico às informações sigilosas e dados pessoais;
II - Definição dos papéis que possuem acesso privilegiado a dados pessoais e externos;
III - Requisitos para autorização formal de acesso às informações fiscais e a quaisquer dados pessoais sensíveis;
IV - Procedimentos para remoção e atribuição de privilégios de usuários, garantindo o princípio da necessidade e minimização de dados;
V - Controles sobre o gerenciamento das senhas de acesso, incluindo, dentre outros aspectos, o tempo de validade, os parâmetros mínimos de qualidade, as condições para os provimentos de senhas temporárias e as condições de bloqueio;
VI - Requisitos para acesso às redes e aos serviços de rede, com segmentação e monitoramento adequados;
VII - Definição de termos sobre o controle de entrada física nas instalações, escritórios e salas da Câmara de acordo com seus níveis de criticidade e a presença de dados pessoais.
Art. 28. O acesso aos ativos de informação, físico e de software, assim como o acesso às áreas físicas protegidas devem ser permitidos apenas a pessoas devidamente autorizadas, de acordo com os termos definidos em norma, e com a finalidade específica de tratamento de dados.
Art. 29. Os servidores e colaboradores da Câmara Municipal que tiverem acesso a dados pessoais ou informações sigilosas deverão assinar termo de confidencialidade relativo a esses dados.
Art. 30. Os servidores ou qualquer pessoa que, em virtude de exercício de cargo, função ou emprego público, tenham acesso a dados pessoais ou informações fiscais relativas a autoridades e a servidores públicos, sujeitam-se às penalidades prescritas nesta resolução por infração às disposições pertinentes ao dever de sigilo sobre as informações de natureza fiscal e patrimonial de terceiros, e ao dever de proteção de dados pessoais.
Art. 31. Os dados compartilhados pela Câmara Municipal de Equador com outros órgãos e entes públicos estarão sujeitos aos termos de acordos de cooperação ou instrumentos congêneres assinados, para fins de controle de acesso e responsabilidades sobre o tratamento desses dados, em conformidade com a LGPD.
Art. 32. Todos os servidores devem ser orientados a manter a confidencialidade das informações de autenticação que lhes pertencem.
§ 1º A senha de autenticação deve possuir um padrão mínimo de qualidade de acordo com as regras dispostas em norma específica, devendo ser alterada toda vez que a sua confidencialidade for comprometida.
§ 2º Os usuários ficam responsáveis pelos danos causados pela divulgação não autorizada das informações de autenticação que lhes pertencem.
§ 3º As informações de autenticação não devem ser anotadas, a menos que seja feito por procedimento seguro e aprovado.
Art. 33. O acesso relacionado aos sistemas corporativos será provido via perfis de trabalho ou autoridade quando pessoal pelo seu responsável, observando-se o princípio do privilégio mínimo.
Art. 34. O cadastro de usuário interno para utilização dos recursos de TI será realizado pela Unidade Responsável pela Tecnologia de Informação (URTI) mediante requisição do chefe de unidade organizacional.
Art. 35. Após o fim do vínculo do usuário interno com a Câmara, suas contas de usuário serão cessadas e todos os seus direitos de acesso serão removidos, sendo garantida a eliminação ou anonimização de dados pessoais, conforme a finalidade.
Art. 36. Serão definidos perímetros de segurança física a partir dos quais devem haver níveis de proteção específicos contra acesso indevido, de acordo com a criticidade dos recursos e dados pessoais que a eles pertencem.
Parágrafo único. Procedimentos para proteção contra acesso físico não autorizado serão estabelecidos de acordo com os perímetros de segurança física definidos, com foco na proteção de dados pessoais.
Art. 37. Os locais de entrega e carregamento de materiais físicos e documentação com dados pessoais devem ser controlados e separados das demais áreas restritas da Câmara.
SEÇÃO XI - Do Tratamento dos Dados Pessoais
Art. 38. A Câmara deverá de forma clara e objetiva especificar a finalidade e o método utilizado no tratamento dos dados pessoais para seu titular, garantindo a transparência e o livre acesso.
Art. 39. Somente os dados pessoais estritamente necessários ao atendimento de finalidade pública e ao desempenho das funções típicas da Câmara Municipal serão tratados, observando-se os princípios da necessidade e minimização.
§ 1º Nas hipóteses nas quais a Câmara Municipal estiver desempenhando funções não típicas de sua atuação parlamentar e administrativa, os dados pessoais de pessoas naturais deverão ser tratados de acordo com as bases legais indicadas na Lei Federal nº 13.709/2018 (LGPD), priorizando-se o consentimento quando aplicável e outras bases legais apropriadas.
§ 2º O consentimento do titular só será necessário quando desempenhadas funções atípicas e nas específicas situações em que a Lei Geral de Proteção de Dados Pessoais exigir, sempre de forma livre, informada e inequívoca.
Art. 40. A Câmara deverá garantir a integridade dos dados pessoais, disponibilizando o direito ao titular de conferir a exatidão, clareza e atualização desses dados de acordo com a necessidade e cumprimento da finalidade de tratamento, bem como o direito à correção, eliminação, anonimização e portabilidade.
Art. 41. A Câmara deverá garantir a proteção dos dados pessoais em qualquer meio, e não apenas os digitais, incluindo o físico.
Art. 42. É vedado o uso de dados pessoais com a intenção de discriminar ou promover qualquer tipo de abuso contra os respectivos titulares ou contra qualquer outra pessoa.
Art. 43. Todos os sistemas da Câmara que coletem informações pessoais deverão ter seu termo de uso e política de privacidade destacando sua finalidade e bases legais de tratamento, bem como os direitos dos titulares.
Art. 44. Em caso de compartilhamento de dados com outros órgãos e entes públicos ou privados, a Câmara Municipal deverá estar atenta às determinações contidas em específica legislação de regência sobre proteção de dados pessoais, firmando os termos contratuais ou convênios necessários que garantam a proteção dos dados.
Art. 45. Os servidores e sistemas da Câmara devem possuir criptografia, controle de sessão e logs, de modo a prevenir a realizar auditorias em caso de vazamento de dados pessoais para terceiros, ou qualquer outra forma de incidente de segurança.
Art. 46. Em caso de incidente de segurança envolvendo dados pessoais armazenados pela Câmara, é obrigatório que o Encarregado de Dados Pessoais (EDP) seja notificado, o que este avalie a necessidade de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares dos dados, nos prazos e termos definidos em lei.
SEÇÃO XII - Do Correio Eletrônico Institucional
Art. 47. O uso de serviço de correio eletrônico, através de endereço institucional da Câmara, deve ser exclusivo para realização de trabalhos operacionais e comunicação oficial da Câmara.
Art. 48. Todos os membros e servidores internos da Câmara Municipal poderão solicitar à Unidade Responsável pela Tecnologia de Informação (URTI) um endereço de correio eletrônico institucional para fins de comunicação e trabalho.
Art. 49. Todas as comunicações por meio de correio eletrônico que sejam feitas em nome da Câmara deverão, sempre que possível, utilizar endereços institucionais.
Art. 50. As mensagens transmitidas entre os servidores deverão, prioritariamente, ter como destinatário endereços institucionais, visando a rastreabilidade e segurança da informação.
Art. 51. Regras para a utilização segura do serviço de correio eletrônico, limitação de espaço de armazenamento, cópias de segurança, responsabilidades, direitos e penalidades referentes ao uso dessas contas serão especificadas através de norma complementar, com atenção à proteção de dados pessoais contidos nas comunicações.
SEÇÃO XIII - Do Acesso à Internet
Art. 52. Todos os funcionários da Câmara terão acesso à internet, ficando restritos aos endereços permitidos pelas regras dispostas em norma complementar, com o objetivo de proteger a rede e os dados da Câmara.
Art. 53. Cabe à Unidade Responsável pela Tecnologia de Informação (URTI) implantar os controles de acesso e mecanismos de auditoria que garantam o monitoramento do acesso à internet pela rede corporativa da Câmara, sempre em conformidade com a legislação e políticas internas de privacidade.
Art. 54. Os usuários são responsáveis pelo conteúdo dos endereços acessados por eles, bem como por qualquer download que possa comprometer a segurança da rede ou o conteúdo de dados pessoais.
SEÇÃO XIV - Da Publicação de Informação
Art. 55. A Assessoria de Comunicação Social, a Secretaria Legislativa e demais unidades competentes da Câmara Municipal de Equador possuem competência para fazer publicações sobre notícias e transmissão ao vivo de eventos, sempre em conformidade com a LGPD e a LAI.
Parágrafo único. O Presidente da Câmara poderá conceder autorização a outras unidades administrativas para que realizem publicação de notícias e transmissão ao vivo de eventos, observando-se as diretrizes de proteção de dados pessoais e privacidade.
Art. 56. A utilização de perfis institucionais mantidos em redes sociais com o objetivo de divulgar ou compartilhar informações da Câmara deverá estar em consonância com a Política de Proteção de Dados Pessoais e Privacidade quanto os objetivos estratégicos da instituição, observando-se as políticas de uso das plataformas e os direitos dos titulares de dados.
SEÇÃO XV - Da Segurança em Recursos Humanos
Art. 57. As obrigações contratuais estabelecidas aos novos servidores, estagiários e terceirizados, ou aos que decorrem de renovação de contrato, devem estar em consonância com esta Política de Proteção de Dados Pessoais e Privacidade, incluindo cláusulas específicas sobre confidencialidade e tratamento de dados pessoais.
Art. 58. Os membros, servidores, estagiários e terceirizados da Câmara observarão, no exercício das suas funções, os padrões éticos de conduta que lhes são inerentes, norteando-se pelos princípios da transparência, prudência, integridade profissional e pessoal, dignidade, probidade, lisura no que concerne à relação entre suas atividades públicas e particulares, garantindo assim a preservação da segurança da informação e a proteção de dados pessoais inerente ao exercício da função pública.
§ 1º Os membros, servidores, estagiários e terceirizados da Câmara conduzirão suas atividades de maneira a prevenir a violação das informações e dos dados pessoais e a continuidade dos serviços.
§ 2º Em caso de desligamento do servidor, terceirizado ou estagiário, por iniciativa própria ou não, os direitos de acesso serão removidos e as senhas compartilhadas deverão ser alteradas, com a devida eliminação ou anonimização dos dados pessoais sob sua responsabilidade, conforme a finalidade e prazo legais.
§ 3º Em caso de demissão, as ações de segurança e proteção de dados deverão ser feitas em paralelo ao ato de formalização do desligamento.
CAPÍTULO III - GOVERNANÇA E ATUALIZAÇÃO
Art. 59. A Câmara instituirá um Comitê de Proteção de Dados Pessoais e Privacidade (CPDPP), de caráter permanente, que tem por finalidade formular e conduzir diretrizes impostas por esta política, avaliar periodicamente sua efetividade, propor normas e mecanismos institucionais para melhoria contínua, bem como assessorar o Encarregado de Dados Pessoais (DPO) e as unidades organizacionais responsáveis pela segurança da informação.
§ 1º É de competência do CPDPP a reunião, no máximo a cada 2 (dois) anos ou sempre que se fizer necessário, em função de alterações na legislação pertinente, novas tecnologias ou novos requisitos corporativos, de modo a atender aos novos desafios e oportunidades na proteção de dados.
§ 2º Fica sob a responsabilidade do CPDPP a criação de termos específicos, em norma complementar, que definirão a forma adequada de realização de cópias de segurança dos ativos de informação e dados pessoais pertencentes ao órgão, com especial atenção à proteção e criptografia.
§ 3º A composição e o regulamento do CPDPP serão estabelecidos por ato da Presidência da Câmara Municipal.
Art. 60. A Câmara Municipal de Equador designará um Encarregado de Dados Pessoais (DPO), com a função de atuar como canal de comunicação entre a instituição, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), além de solicitar e fiscalizar a aplicação desta política.
CAPÍTULO IV - DAS PENALIDADES
Art. 61. Ações que violem esta Política ou qualquer de suas diretrizes, normas ou procedimentos, ou que infrinjam os controles de proteção de dados pessoais e segurança da informação e comunicações, deverão ser comunicados à Corregedoria da Câmara Municipal de Equador ou órgão disciplinar competente, para que sejam devidamente apuradas.
Parágrafo único. Caberá à Corregedoria da Câmara Municipal de Equador ou órgão disciplinar competente aplicar aos responsáveis as penalidades dispostas nas normas internas da Câmara e na legislação aplicável ao regime jurídico dos servidores municipais, sem prejuízo de outras sanções administrativas e civis cabíveis, conforme a LGPD.
CAPÍTULO V - DAS DISPOSIÇÕES FINAIS Art.
62. Casos omissos serão decididos pelo Presidente da Câmara Municipal de Equador, consultando-se o Comitê de Proteção de Dados Pessoais e Privacidade (CPDPP) e o Encarregado de Dados (DPO), quando couber.
Art. 63. Esta resolução entra em vigor na data de sua publicação.
SALA DAS SESSÕES DA CÂMARA MUNICIPAL DE EQUADOR AOS 14 de MAIO DE 2026.