materia nº 3/2026

PROJETO DE RESOLUÇÃO Nº 3/2026



EMENTA: Regulamenta, no âmbito da Câmara Municipal de Cabrobó – PE, as Políticas Institucionais de Privacidade e Proteção de Dados Pessoais, de Segurança da Informação e de Gerenciamento de Incidentes de Segurança da Informação, e dá outras providências.



A Mesa Diretora da Câmara Municipal de Vereadores de Cabrobó, submete à apreciação do Plenário o seguinte Projeto de Resolução:

CONSIDERANDO a Lei Federal nº 13.709/2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), que disciplina o tratamento de dados pessoais por entes públicos e privados;

CONSIDERANDO o art. 5º, inciso LXXIX, da Constituição Federal, que reconhece a proteção de dados pessoais como direito fundamental;

CONSIDERANDO a necessidade de regulamentar procedimentos, fluxos institucionais e diretrizes gerais para o tratamento adequado de dados pessoais e para a adoção de medidas de segurança da informação no âmbito da Câmara Municipal;

CONSIDERANDO a importância de instaurar políticas formais como instrumentos essenciais de governança, integridade, segurança e gestão de riscos;

RESOLVE:

CAPÍTULO I – DAS DISPOSIÇÕES GERAIS

	Art. 1º Ficam regulamentadas, no âmbito da Câmara Municipal de Cabrobó – PE, as seguintes políticas institucionais:

I – Política Institucional de Privacidade e Proteção de Dados Pessoais;

II – Política Institucional de Segurança da Informação;

III – Política Institucional de Gerenciamento de Incidentes de Segurança da Informação.

	§ 1º As políticas referidas nos incisos I, II e III integram a presente Resolução como Anexo I, Anexo II e Anexo III, respectivamente.



	§ 2º O cumprimento das diretrizes e procedimentos das políticas mencionadas é obrigatório para todas as unidades administrativas, gabinetes parlamentares, servidores, estagiários, colaboradores e demais agentes que realizem operações de tratamento de dados pessoais no âmbito da Câmara Municipal.

CAPÍTULO II – DAS RESPONSABILIDADES INSTITUCIONAIS

	Art. 2º Compete às unidades administrativas e gabinetes parlamentares:

	I – observar e aplicar integralmente as diretrizes estabelecidas pelas políticas objeto desta Resolução;

	II – adotar medidas técnicas, organizacionais e administrativas compatíveis com o risco associado ao tratamento de dados pessoais;

	III – manter articulação permanente com o Encarregado pelo Tratamento de Dados Pessoais (DPO) para fins de orientação, alinhamento e governança;

	IV – assegurar a atualização e a manutenção dos registros das operações de tratamento de dados pessoais sob sua responsabilidade;

	V – comunicar ao Encarregado (DPO), de forma imediata, qualquer evento, falha, suspeita ou risco relacionado a incidente de segurança da informação.

CAPÍTULO III – DA VIGÊNCIA

Art. 3º Esta Resolução entra em vigor na data de sua publicação.



Câmara Municipal de Cabrobó, aos 10 dias do mês de fevereiro de 2026.



Paulo Gonçalves do Nascimento

Presidente



Glênio Rodrigues Nogueira

1º Vice-Presidente



Arnaldo Freire da Silva

2º Vice-Presidente



Edézio Manoel da Silva Filho

1º Secretário



Francisco Helder Saraiva Moreira

2º Secretário









ANEXO I

POLÍTICA DE GERENCIAMENTO DE INCIDENTES DE SEGURANÇA DA INFORMAÇÃO - CÂMARA MUNICIPAL DE VEREADORES DE CABROBÓ – PE



Capítulo I – Finalidade

Art. 1º Esta Política tem por finalidade estabelecer princípios, diretrizes, responsabilidades e procedimentos destinados ao adequado gerenciamento de incidentes de segurança da informação, com especial atenção aos eventos que envolvam dados pessoais tratados no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE.

§1º A adoção desta Política possui como objetivos:

I – proteger os ativos de informação institucionais contra acesso não autorizado, indisponibilidade, alteração indevida, perda, destruição acidental ou ilícita;

II – assegurar o cumprimento da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), especialmente quanto às obrigações relativas à prevenção, detecção, resposta e comunicação de incidentes de segurança;

III – implementar controles de resposta, tratamento, registro, análise e melhoria contínua de incidentes conforme os referenciais técnicos da ABNT NBR ISO/IEC 27002:2022;

IV – promover a responsabilização, a transparência e a governança institucional no tratamento de dados pessoais, em observância ao princípio da responsabilização e prestação de contas.

Capítulo II – Abrangência

Art. 2º Esta Política aplica-se a todos os agentes que, direta ou indiretamente, realizem tratamento de informações sob responsabilidade da Câmara Municipal de Vereadores de Cabrobó – PE, incluindo:

I – servidores efetivos;

II – ocupantes de cargos comissionados;

III – contratados temporários;

IV – estagiários e voluntários;

V – prestadores de serviço;

VI – quaisquer terceiros com acesso a informações institucionais ou dados pessoais.

Parágrafo único. Todos os agentes mencionados submetem-se aos deveres de confidencialidade, sigilo, diligência, comunicação imediata de incidentes de segurança da informação e responsabilidade funcional, civil e, quando cabível, penal.

Capítulo III – Definições

Art. 3º Para fins desta Política, considera-se:

I – Incidente de Segurança da Informação: evento adverso, confirmado ou suspeito, que comprometa ou possa comprometer a confidencialidade, integridade, disponibilidade ou autenticidade das informações institucionais ou dos dados pessoais tratados;

II – Violação de Dados Pessoais: qualquer acesso não autorizado, perda, destruição, alteração, comunicação, difusão ou tratamento inadequado ou ilícito de dados pessoais;

III – Dado pessoal: informação relacionada a pessoa natural identificada ou identificável, nos termos da legislação de proteção de dados pessoais;

IV – Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

V – Encarregado pelo Tratamento de Dados Pessoais (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados;

VI – Ciclo de resposta a incidentes: conjunto estruturado de etapas que compreende identificação, análise, contenção, erradicação, recuperação, comunicação institucional e regulatória, registro e lições aprendidas;

VII – Ampla divulgação do incidente em meios de comunicação: providência que pode ser determinada pela ANPD ao controlador, nos termos da legislação aplicável, mediante publicação em sítio eletrônico, redes sociais ou outros meios adequados;

VIII – Autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por pessoa física, sistema, equipamento, órgão ou entidade devidamente identificados;

IX – Categoria de dados pessoais: classificação dos dados pessoais conforme o contexto de utilização, incluindo dados de identificação, autenticação, financeiros ou outros necessários à atividade institucional;

X – Comunicação de incidente de segurança: ato formal do controlador que informa à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante;

XI – Confidencialidade: propriedade pela qual se assegura que o dado pessoal não esteja disponível ou não seja revelado a pessoas, sistemas, órgãos ou entidades não autorizados;

XII – Dado de autenticação em sistemas: dado pessoal utilizado como credencial para acesso ou confirmação de identidade em sistemas, como logins, senhas, tokens ou certificados digitais;

XIII – Dado financeiro: dado pessoal relacionado a transações econômicas, contratações, pagamentos ou operações financeiras do titular;

XIV – Dado pessoal afetado: dado pessoal cuja confidencialidade, integridade, disponibilidade ou autenticidade tenha sido comprometida em incidente de segurança;

XV – Dado protegido por sigilo legal, judicial ou profissional: dado pessoal submetido a dever específico de sigilo decorrente de norma jurídica, decisão judicial ou exercício profissional;

XVI – Disponibilidade: propriedade pela qual se assegura que o dado pessoal esteja acessível e utilizável sob demanda por pessoa, sistema ou entidade autorizados;

XVII – Incidente de segurança envolvendo dados pessoais: evento adverso confirmado relacionado à violação das propriedades de segurança aplicáveis aos dados pessoais;

XVIII – Integridade: propriedade pela qual se assegura que o dado pessoal não foi modificado ou destruído de maneira não autorizada ou acidental;

XIX – Medidas de segurança: medidas técnicas, administrativas e organizacionais destinadas a proteger dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

XX – Natureza dos dados pessoais: classificação dos dados em pessoais comuns ou sensíveis, conforme a legislação de proteção de dados;

XXI – Procedimento de apuração de incidente de segurança: procedimento instaurado pela ANPD para verificar a ocorrência de incidente não comunicado pelo controlador;

XXII – Procedimento de comunicação de incidente de segurança: procedimento instaurado no âmbito da ANPD após o recebimento da comunicação do incidente;

XXIII – Processo de comunicação de incidente de segurança: processo administrativo que abrange os procedimentos de apuração e comunicação do incidente perante a ANPD;

XXIV – Relatório de tratamento de incidente: documento técnico elaborado pelo controlador contendo informações necessárias à descrição do incidente, às medidas adotadas e à mitigação de seus efeitos.

Capítulo IV – Diretrizes Gerais

Art. 4º O gerenciamento de incidentes de segurança da informação observará, no mínimo, as seguintes diretrizes:

I – comunicação imediata e formal de qualquer indício de incidente ao setor competente e ao Encarregado pelo Tratamento de Dados Pessoais;

II – classificação da gravidade considerando a natureza e a sensibilidade dos dados, o número de titulares potencialmente afetados, o impacto institucional, a probabilidade de dano e o risco aos direitos e liberdades fundamentais;

III – adoção de medidas técnicas, administrativas e organizacionais de contenção, erradicação, recuperação, mitigação e prevenção de recorrência;

IV – preservação da cadeia de custódia das evidências, da rastreabilidade das ações realizadas e da integridade dos registros;

V – observância do sigilo funcional, da proporcionalidade, da transparência responsável e das normas de transparência pública aplicáveis;

VI – atuação coordenada entre as unidades administrativas, a área de tecnologia da informação, o Controle Interno e o Encarregado pelo Tratamento de Dados Pessoais;

VII – registro integral das decisões, medidas adotadas e comunicações realizadas no âmbito do tratamento do incidente.

Capítulo V – Ciclo de Gerenciamento de Incidentes

Art. 5º O tratamento dos incidentes de segurança da informação observará ciclo contínuo, estruturado, integrado e progressivo, composto pelas seguintes etapas:

I – Identificação

§1º A detecção de possível incidente poderá ocorrer por meio de:

I – comunicação espontânea de servidores, colaboradores ou terceiros;

II – monitoramento contínuo de sistemas, redes ou ativos informacionais;

III – alertas emitidos por ferramentas de segurança da informação;

IV – comunicação de usuários externos, órgãos de controle ou imprensa;

V – mecanismos automatizados de detecção de anomalias, registros de auditoria ou análises de vulnerabilidades.

§2º Identificado o evento, deverá ser realizado registro formal imediato, contendo, no mínimo:

I – data e hora da identificação;

II – unidade administrativa envolvida;

III – descrição preliminar do ocorrido;

IV – indicação inicial de possível comprometimento de dados pessoais;

V – responsável pelo registro e providências iniciais adotadas.

II – Contenção e Análise

§1º A fase de contenção tem por finalidade impedir a ampliação dos danos, mediante:

I – isolamento de sistemas ou ativos comprometidos;

II – suspensão temporária de acessos ou credenciais;

III – adoção de medidas emergenciais de segurança;

IV – preservação das evidências digitais necessárias à apuração do incidente.

§2º A análise técnica subsequente deverá identificar:

I – origem do incidente, inclusive falha humana, técnica ou ação maliciosa;

II – sistemas, bases de dados ou titulares potencialmente afetados;

III – extensão do comprometimento e nível de criticidade;

IV – necessidade de instauração de procedimento administrativo ou de comunicação a autoridades competentes, inclusive à Autoridade Nacional de Proteção de Dados, quando aplicável;

V – existência de vulnerabilidades exploradas e medidas necessárias à sua correção.

III – Erradicação e Recuperação

§1º Superada a contenção, deverão ser adotadas medidas de:

I – eliminação da vulnerabilidade explorada;

II – correção de falhas de configuração, atualização de sistemas ou revisão de permissões;

III – restauração segura de dados a partir de cópias de segurança íntegras;

IV – validação técnica da retomada segura das operações;

V – monitoramento reforçado do ambiente afetado para prevenção de reincidência.

IV – Lições Aprendidas

§1º Encerrado o tratamento do incidente, deverá ser elaborado relatório técnico conclusivo, contendo:

I – análise de causa-raiz;

II – identificação de falhas organizacionais, procedimentais ou tecnológicas;

III – avaliação da efetividade das medidas adotadas;

IV – recomendações de melhoria dos controles internos, da segurança da informação e da capacitação institucional;

V – plano de ação para mitigação de riscos residuais e prevenção de novos incidentes.

§2º Havendo envolvimento de dados pessoais, o relatório será submetido ao Encarregado pelo Tratamento de Dados Pessoais, para avaliação quanto à necessidade de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, nos termos da legislação e regulamentação aplicáveis.

Capítulo VI – Comunicação e Registro

Art. 6º O registro e a comunicação dos incidentes obedecerão às seguintes diretrizes:

I – Registro obrigatório

Todos os incidentes deverão ser formalmente registrados, contendo:

data e hora da ocorrência e da identificação;

descrição sintética do evento;

ativos e setores afetados;

classificação de gravidade;

medidas de contenção, erradicação e recuperação adotadas;

identificação dos responsáveis pela resposta;

indicação da existência de dados pessoais envolvidos;

indicação preliminar do nível de risco aos titulares e das providências iniciais adotadas.

II – Comunicação interna

§1º O agente que tomar conhecimento do incidente deverá comunicá-lo de forma imediata e documentada:

I – à autoridade interna competente;

II – ao setor de tecnologia da informação, quando existente;

III – ao Encarregado pelo Tratamento de Dados Pessoais.

§2º O prazo máximo para comunicação interna será de até 24 (vinte e quatro) horas, contadas da ciência do evento.

III – Relatório técnico conclusivo

§3º Após o tratamento do incidente, deverá ser elaborado relatório técnico conclusivo, contendo:I – diagnóstico técnico detalhado;

II – avaliação do impacto institucional e dos riscos aos titulares de dados pessoais;

III – medidas corretivas implementadas;

IV – riscos residuais identificados;

V – recomendações preventivas;

VI – indicação quanto à necessidade de comunicação à ANPD e aos titulares.

§4º O relatório será mantido sob guarda institucional pelo prazo mínimo de 5 (cinco) anos, podendo ser disponibilizado a órgãos de controle mediante requisição formal, sem prejuízo de prazos superiores previstos na legislação ou em tabela de temporalidade documental.

IV – Comunicação à autoridade nacional e aos titulares

§5º Nos casos de incidente que envolva dados pessoais, caberá ao Encarregado pelo Tratamento de Dados Pessoais avaliar, de forma fundamentada e documentada, a existência de risco ou dano relevante aos direitos e liberdades fundamentais dos titulares, considerando:

I – natureza e sensibilidade dos dados afetados;

II – quantidade de titulares envolvidos;

III – medidas técnicas e administrativas de proteção existentes;

IV – potenciais impactos à liberdade, privacidade, imagem ou reputação dos titulares;V – ocorrência de tratamento em larga escala ou envolvendo grupos vulneráveis.

§6º Verificada a necessidade de comunicação, o Controlador, por intermédio do Encarregado, deverá promover a notificação à Autoridade Nacional de Proteção de Dados e aos titulares eventualmente afetados no prazo máximo de 3 (três) dias úteis contados do conhecimento do incidente, observando:

I – descrição da natureza e categoria dos dados pessoais afetados;

II – número estimado de titulares envolvidos;

III – riscos e impactos potenciais aos titulares;

IV – medidas técnicas e administrativas adotadas antes e após o incidente;

V – providências adotadas para mitigação ou reversão dos efeitos;

VI – identificação do Controlador e do Encarregado, com respectivos meios de contato.

§7º A comunicação aos titulares deverá ocorrer em linguagem clara, acessível e transparente, preferencialmente de forma direta e individualizada, admitindo-se divulgação pública quando inviável a identificação dos titulares afetados.

§8º Todos os incidentes de segurança envolvendo dados pessoais deverão ser registrados, documentados e mantidos sob guarda institucional segura, ainda que não comunicados à ANPD ou aos titulares, pelo prazo mínimo previsto na legislação aplicável ou na tabela de temporalidade documental vigente, assegurada a rastreabilidade das providências adotadas.

§9º A Autoridade Nacional de Proteção de Dados poderá requisitar informações adicionais, determinar medidas preventivas, instaurar procedimento fiscalizatório ou processo administrativo sancionador, nos termos da legislação e da regulamentação vigente.

Capítulo VII – Responsabilidades

Art. 7º Compete aos agentes institucionais observar e cumprir integralmente esta Política, nos seguintes termos:

I – Servidores, estagiários e colaboradores

comunicar imediatamente qualquer indício, suspeita ou confirmação de incidente de segurança da informação;

cooperar com as atividades de contenção, análise, erradicação e recuperação;

utilizar adequadamente os sistemas, credenciais e ativos informacionais institucionais;

preservar o sigilo das informações acessadas em razão das atribuições funcionais.

II – Setor de Tecnologia da Informação, quando existente

realizar o diagnóstico técnico do incidente;

executar medidas de contenção, erradicação e recuperação;

manter registros íntegros, auditáveis e rastreáveis das ações adotadas;

propor melhorias estruturais, atualizações de segurança e controles preventivos.

III – Encarregado pelo Tratamento de Dados Pessoais (DPO)

avaliar a existência de risco ou dano relevante aos titulares de dados pessoais;

elaborar parecer técnico quanto à necessidade de comunicação à Autoridade Nacional de Proteção de Dados e aos titulares;

atuar como canal de comunicação com a autoridade reguladora;

recomendar medidas corretivas, preventivas e de governança em articulação com a Presidência e o Controle Interno.

IV – Presidência da Câmara Municipal

assegurar recursos técnicos, administrativos e institucionais para cumprimento desta Política;

designar formalmente responsáveis internos pela resposta a incidentes;

determinar a adoção das medidas corretivas indicadas nos relatórios técnicos;

promover cultura institucional de segurança da informação e proteção de dados pessoais.

Capítulo VIII – Penalidades e Sanções

Art. 8º O descumprimento das disposições desta Política poderá ensejar responsabilização nas esferas administrativa, civil e, quando cabível, penal.

I – Responsabilização funcional

aplicação das penalidades previstas no regime jurídico dos servidores públicos municipais;

instauração de procedimento administrativo disciplinar, quando necessário.

II – Responsabilização contratual

aplicação de sanções contratuais a prestadores de serviço ou terceiros;

possibilidade de rescisão contratual por infração às normas de segurança da informação e proteção de dados.

III – Responsabilização por danos

obrigação de reparação por danos causados à Administração Pública;

responsabilização por prejuízos aos titulares de dados pessoais ou à coletividade, nos termos da legislação aplicável.

Parágrafo único. A aplicação de sanções observará a gravidade da conduta, o dano causado e os princípios do devido processo legal e da proporcionalidade.

Capítulo IX – Revisão e Atualização

Art. 9º Esta Política deverá ser revisada periodicamente para assegurar sua aderência à legislação vigente, às normas técnicas e à realidade institucional.

I – Periodicidade mínima

revisão obrigatória a cada 12 (doze) meses;

revisão extraordinária sempre que houver alteração legislativa, normativa ou estrutural relevante;

revisão após ocorrência de incidente grave de segurança da informação.

Capítulo X – Disposições Finais

Art. 10. Esta Política entra em vigor na data de sua aprovação e publicação no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE.

I – Divulgação institucional

a Política deverá ser amplamente divulgada a todos os servidores, colaboradores e terceiros;

o documento integrará o conjunto de normas institucionais de segurança da informação, governança e proteção de dados pessoais.

II – Integração normativa

a aplicação desta Política observará a Lei Geral de Proteção de Dados Pessoais, normas da Autoridade Nacional de Proteção de Dados e referenciais técnicos de segurança da informação;

eventuais lacunas interpretativas deverão ser resolvidas à luz dos princípios da legalidade, finalidade, necessidade, segurança e responsabilização.

III – Vigência

esta Política produzirá efeitos imediatos após sua aprovação formal pela Presidência;

permanecerá vigente até eventual revogação ou substituição por norma posterior.



Câmara Municipal de Cabrobó, aos 10 dias do mês de fevereiro de 2026.



Paulo Gonçalves do Nascimento

Presidente



Glênio Rodrigues Nogueira

1º Vice-Presidente



Arnaldo Freire da Silva

2º Vice-Presidente



Edézio Manoel da Silva Filho

1º Secretário



Francisco Helder Saraiva Moreira

2º Secretário

















ANEXO II





POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS PESSOAIS

CÂMARA MUNICIPAL DE VEREADORES DE CABROBÓ – PE

Versão 1.0 – fevereiro/2025

Capítulo I – Disposições Gerais



Art. 1º Esta Política de Privacidade e Proteção de Dados Pessoais tem por finalidade estabelecer os princípios, diretrizes e responsabilidades que regem o tratamento de dados pessoais no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE, em conformidade com:

I – a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD);

II – a Resolução CD/ANPD nº 18/2024;

III – as normas técnicas aplicáveis, notadamente a ISO/IEC 27701:2019 e a ISO/IEC 27001:2022;

IV – demais atos normativos, orientações e guias expedidos pela Autoridade Nacional de Proteção de Dados (ANPD), quando aplicáveis ao setor público.

Art. 2º Esta Política aplica-se a todos os agentes públicos, servidores, colaboradores, estagiários, prestadores de serviços, fornecedores e quaisquer terceiros que, no exercício de suas atribuições, realizem operações de tratamento de dados pessoais em nome da Câmara Municipal de Vereadores de Cabrobó – PE, inclusive quando houver acesso indireto, eventual ou remoto.

Parágrafo único. O cumprimento desta Política constitui dever funcional e condição para acesso a informações, sistemas e ativos institucionais que envolvam dados pessoais.

Art. 3º O disposto nesta Política abrange o tratamento de dados pessoais em qualquer meio ou formato (físico, digital, audiovisual ou outro), por meios automatizados ou manuais, incluindo:

I – armazenamento, descarte, análise, consulta, reprodução e extração;

II – anonimização, pseudonimização ou qualquer outra operação prevista na LGPD;

III – compartilhamento com terceiros e transferências entre órgãos públicos ou privados;

IV – publicações em sítios eletrônicos oficiais ou outros canais institucionais;

V – integração de sistemas, bases de dados e serviços digitais utilizados pela Câmara Municipal.

Art. 4º O tratamento de dados pessoais no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE observará os princípios previstos no art. 6º da LGPD, em especial:

I – Finalidade: realização do tratamento para propósitos legítimos, específicos e explícitos;

II – Adequação: compatibilidade do tratamento com as finalidades informadas ao titular;

III – Necessidade: limitação do tratamento ao mínimo necessário;

IV – Livre acesso: garantia de consulta facilitada e gratuita sobre a forma e duração do tratamento;

V – Qualidade dos dados: exatidão, clareza, relevância e atualização dos dados;

VI – Transparência: informações claras, precisas e acessíveis sobre o tratamento e os responsáveis;

VII – Segurança: uso de medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados, perdas, destruições ou alterações acidentais ou ilícitas;

VIII – Prevenção: adoção de medidas proativas para evitar a ocorrência de danos;

IX – Não discriminação: vedação ao uso de dados para fins discriminatórios ilícitos ou abusivos;

X – Responsabilização e prestação de contas (accountability): comprovação da adoção de medidas eficazes e capazes de demonstrar a observância à legislação;

XI – Boa-fé e interesse público, especialmente no tratamento de dados pessoais realizado pela Administração Pública.

Art. 5º A Câmara Municipal de Vereadores de Cabrobó – PE compromete-se a manter um Programa Contínuo de Governança em Proteção de Dados Pessoais, com base nas diretrizes da ANPD e nas normas técnicas aplicáveis, objetivando:

I – promover a cultura institucional de privacidade e proteção de dados;

II – fomentar ações educativas e de capacitação interna;

III – assegurar o monitoramento de riscos e a melhoria contínua das práticas de conformidade;

IV – integrar a proteção de dados pessoais aos processos de gestão, controle interno, transparência e transformação digital da Câmara Municipal.



Capítulo II – Definições



Art. 6º Para fins desta Política, adotam-se as seguintes definições, em conformidade com a Lei nº 13.709/2018 (LGPD) e referenciais técnicos de segurança da informação:

I – Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II – Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III – Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento;

IV – Banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V – Titular: pessoa natural a quem se referem os dados pessoais objeto de tratamento;

VI – Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, sendo, no âmbito desta Política, a Câmara Municipal de Vereadores de Cabrobó – PE;

VII – Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII – Encarregado (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

IX – Agentes de tratamento: o controlador e o operador;

X – Tratamento: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração;

XI – Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII – Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para finalidade determinada;

XIII – Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados;

XIV – Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

XV – Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

XVI – Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre estes e entes privados, reciprocamente, com autorização específica;

XVII – Relatório de Impacto à Proteção de Dados Pessoais (RIPD): documento elaborado pelo controlador contendo a descrição dos processos de tratamento de dados pessoais que possam gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de riscos;

XVIII – Órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta, ou pessoa jurídica de direito privado sem fins lucrativos, legalmente constituída no Brasil, que inclua em sua missão institucional ou em seu objetivo social a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;

XIX – Autoridade Nacional: a Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional;

XX – Autenticidade: propriedade que assegura que a informação foi produzida, expedida, modificada ou destruída por pessoa, sistema ou entidade autorizada;

XXI – Confidencialidade: propriedade pela qual a informação não está disponível ou não é revelada a pessoas, entidades ou processos não autorizados;

XXII – Disponibilidade: propriedade pela qual a informação esteja acessível e utilizável sob demanda por pessoa, entidade ou processo autorizado;

XXIII – Governança em Proteção de Dados: conjunto estruturado de políticas, processos, funções, responsabilidades e controles adotados por uma organização para assegurar o cumprimento da LGPD e das diretrizes da ANPD;

XXIV – Incidente de segurança com dados pessoais: qualquer evento adverso confirmado relacionado à violação da segurança de dados pessoais, como acessos não autorizados, destruição, perda, alteração, vazamento ou qualquer forma de tratamento inadequado ou ilícito;

XXV – Integridade: propriedade que garante que a informação não foi modificada ou destruída de maneira não autorizada ou acidental;

XXVI – Segurança da informação: conjunto de medidas administrativas, técnicas e físicas destinadas a proteger os ativos de informação contra perda, uso indevido, acesso não autorizado, alteração ou destruição, garantindo sua confidencialidade, integridade, disponibilidade e autenticidade;

XXVII – Programa de Governança em Privacidade: estrutura organizacional e normativa destinada a implementar, manter e aprimorar continuamente as práticas de proteção de dados pessoais no âmbito da Câmara Municipal.

Capítulo III – Finalidades e Bases Legais



Art. 7º A Câmara Municipal de Vereadores de Cabrobó – PE realiza o tratamento de dados pessoais exclusivamente para cumprir sua função pública. As principais finalidades são:

I – prestar serviços administrativos e legislativos à população;

II – cumprir leis e normas que exijam o tratamento de dados, inclusive obrigações fiscais, previdenciárias, trabalhistas e de transparência;

III – responder a pedidos de cidadãos, órgãos de controle e fiscalização, Ministério Público e Poder Judiciário;

IV – garantir o acesso à informação pública, conforme a Lei nº 12.527/2011 (Lei de Acesso à Informação – LAI);

V – executar contratos, convênios ou outros instrumentos firmados com terceiros;

VI – garantir a segurança das dependências, autoridades, servidores e visitantes da Câmara;

VII – defender os direitos e interesses da instituição em processos administrativos ou judiciais;

VIII – realizar a gestão interna de pessoal, folha de pagamento, controle de frequência, benefícios e demais procedimentos de recursos humanos;

IX – promover ações de capacitação, comunicação institucional, eventos públicos e atividades de interesse coletivo;

X – aperfeiçoar processos internos, promover inovação, modernização administrativa e melhoria contínua dos serviços prestados ao cidadão;

XI – assegurar a transparência ativa e passiva das informações públicas, observando simultaneamente a proteção de dados pessoais e a legislação arquivística aplicável;

XII – implementar políticas de governança digital, segurança da informação e proteção de dados no âmbito institucional.

Parágrafo único. Todo tratamento de dados pessoais deverá ser compatível com a finalidade informada, observando-se o princípio da minimização, limitando-se ao mínimo necessário para o cumprimento da função pública e garantindo medidas adequadas de segurança, bem como registro formal da finalidade no ROPA e nos instrumentos de governança institucional.

Art. 8º A base legal de cada tratamento será definida conforme o tipo de dado e a finalidade:

I – para dados pessoais comuns, aplicam-se as hipóteses legais do art. 7º da LGPD, como o cumprimento de obrigação legal ou a execução de políticas públicas;

II – para dados pessoais sensíveis, aplicam-se as hipóteses do art. 11 da LGPD, sendo necessária a justificativa da real necessidade e a adoção de medidas específicas de proteção;

III – para atividades típicas de órgão público, aplica-se também o art. 23 da LGPD, que autoriza o tratamento sempre que necessário para a execução de políticas públicas e atribuições legais;

IV – quando aplicável, poderão ser utilizadas bases legais complementares previstas na LGPD, como a proteção do crédito, a tutela da saúde ou a proteção da vida, desde que compatíveis com a atuação institucional do Poder Legislativo municipal.

§1º A identificação da base legal aplicável a cada operação de tratamento será registrada no Registro das Operações de Tratamento de Dados Pessoais (ROPA), mantido pela Câmara Municipal de Vereadores de Cabrobó – PE, conforme recomendação da ANPD.

§2º Esta Política de Privacidade é complementada pelo ROPA, que detalha, por setor, as finalidades específicas, bases legais, dados tratados, operações, prazos de retenção, medidas de segurança e compartilhamentos realizados, constituindo instrumento essencial de governança e prestação de contas em proteção de dados pessoais.

Art. 9º É vedado o uso de dados pessoais para finalidades alheias às funções públicas da Câmara ou que possam gerar discriminação, abuso ou violação de direitos fundamentais, sob pena de responsabilização administrativa, civil e penal, nos termos da legislação vigente.



Capítulo IV – Direitos dos Titulares de Dados Pessoais



Art. 10. Os titulares de dados pessoais têm direito a obter da Câmara Municipal de Vereadores de Cabrobó – PE, a qualquer momento e mediante requisição:

I – confirmação da existência de tratamento;

II – acesso aos dados pessoais tratados;

III – correção de dados incompletos, inexatos ou desatualizados;

IV – anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;

V – portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa e observadas as normas da Autoridade Nacional de Proteção de Dados (ANPD);

VI – eliminação dos dados pessoais tratados com base no consentimento, salvo nas hipóteses legais de guarda obrigatória;

VII – informação sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

VIII – informação sobre a possibilidade de não fornecer consentimento e sobre as consequências dessa negativa;

IX – revogação do consentimento, nos termos da legislação vigente;

X – revisão de decisões automatizadas que afetem seus interesses, quando aplicável, conforme a LGPD.

Art. 11. Os direitos previstos neste Capítulo serão exercidos mediante solicitação expressa do titular, enviada ao canal institucional de atendimento ao titular, disponível no sítio eletrônico oficial da Câmara Municipal de Vereadores de Cabrobó – PE, ou por e-mail diretamente ao Encarregado de Dados.

§1º A Câmara responderá às solicitações no prazo máximo de 15 (quinze) dias úteis, contado da data do recebimento da requisição, podendo haver prorrogação justificada, nos termos do art. 18, §5º, da LGPD, mediante comunicação fundamentada ao titular.

§2º O atendimento poderá ser negado, de forma motivada, quando envolver informações protegidas por sigilo legal, segredo de justiça, interesses de terceiros ou quando o atendimento for tecnicamente inviável, devendo o titular ser informado sobre as razões da negativa e, quando cabível, sobre a possibilidade de reclamação à ANPD.

§3º Todas as solicitações, respostas e eventuais indeferimentos serão registrados em sistema próprio, garantindo a rastreabilidade, a transparência do processo e a evidência de conformidade com os princípios de responsabilização e prestação de contas da LGPD.

Capítulo V – Compartilhamento de Dados Pessoais



Art. 12. O compartilhamento de dados pessoais tratados pela Câmara Municipal de Vereadores de Cabrobó – PE será realizado com observância do interesse público, da finalidade legítima, da transparência e da segurança da informação, respeitados os direitos do titular.

§1º O compartilhamento de dados com terceiros será precedido de avaliação da necessidade e da adequação da finalidade, com a identificação da base legal para cada operação, bem como registro formal da decisão administrativa correspondente.

§2º Os dados pessoais somente poderão ser compartilhados nos seguintes casos:

I – com órgãos e entidades da Administração Pública, quando necessário ao cumprimento de obrigações legais, execução de políticas públicas, prestação de contas ou cumprimento de ordens judiciais;

II – com prestadores de serviços contratados pela Câmara, desde que exclusivamente para a finalidade contratual, mediante cláusulas de proteção de dados;

III – com o público em geral, quando exigido por normas de transparência e acesso à informação;

IV – mediante consentimento expresso do titular, quando esta for a base legal aplicável;

V – com entidades privadas em situações de cooperação institucional autorizada por norma ou convênio específico, respeitados os princípios da LGPD;

VI – em hipóteses de compartilhamento obrigatório previstas em legislação específica ou determinação de autoridade competente.

Art. 13. Nos casos de compartilhamento com operadores ou terceiros contratados, será exigida a celebração de cláusulas contratuais específicas que assegurem:

I – a definição clara da finalidade e da base legal do tratamento;

II – a limitação do uso dos dados ao mínimo necessário para execução da atividade contratada;

III – a adoção de medidas técnicas e organizacionais de segurança compatíveis com os dados tratados;

IV – a proibição de repasse não autorizado dos dados;

V – a obrigatoriedade de confidencialidade e a responsabilidade em caso de violação;

VI – a previsão de auditoria, fiscalização e eventual rescisão contratual em caso de descumprimento das obrigações de proteção de dados pessoais.

Art. 14. Toda operação de compartilhamento será registrada no Registro das Operações de Tratamento de Dados Pessoais (ROPA), incluindo a base legal, as entidades destinatárias e as medidas de segurança adotadas, assegurando rastreabilidade, transparência e prestação de contas perante os órgãos de controle e a Autoridade Nacional de Proteção de Dados.



Capítulo VI – Cookies e Tecnologias Semelhantes



Art. 15. O sítio eletrônico oficial da Câmara Municipal de Vereadores de Cabrobó – PE poderá utilizar cookies ou tecnologias semelhantes para finalidades institucionais legítimas, como melhoria da navegação, funcionalidades básicas e coleta de dados estatísticos anonimizados.

§1º A utilização de cookies respeitará os princípios da LGPD, especialmente os da transparência, necessidade e minimização, podendo ser detalhada, quando necessário, em política específica, com disponibilização de aviso de privacidade visível ao usuário do portal eletrônico.

§2º O titular poderá gerenciar o uso de cookies diretamente nas configurações de seu navegador, podendo ativá-los ou desativá-los conforme sua preferência, sem prejuízo do funcionamento essencial dos serviços digitais institucionais.

Capítulo VII – Responsabilidades Institucionais



Art. 16. A proteção de dados pessoais é dever institucional da Câmara Municipal de Vereadores de Cabrobó – PE e responsabilidade de todos os agentes públicos que, no exercício de suas atribuições, tratem dados pessoais sob sua guarda, devendo ser observadas as normas internas de segurança da informação e governança em privacidade.



Art. 17. São responsáveis pela observância e implementação desta Política:

I – Alta Administração da Câmara: promover a cultura da privacidade, apoiar as ações de adequação à LGPD e garantir os meios institucionais para a governança em proteção de dados;

II – Servidores, colaboradores e prestadores de serviços: observar as orientações, normas internas e boas práticas relacionadas ao tratamento adequado de dados pessoais, especialmente no exercício de suas funções;

III – Encarregado pelo Tratamento de Dados Pessoais (DPO): atuar como canal de comunicação entre a Câmara, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), zelar pelo cumprimento da legislação e prestar orientações técnicas sobre proteção de dados pessoais;IV – Controladoria Interna: acompanhar a conformidade institucional, recomendar melhorias e integrar a proteção de dados aos mecanismos de controle e governança administrativa.**

§1º Os agentes públicos que tratarem dados pessoais em desconformidade com esta Política, com a LGPD ou com as normas internas da Câmara poderão responder administrativa, civil e penalmente pelos danos decorrentes, sem prejuízo da apuração por órgãos de controle competentes.

§2º A atuação do Encarregado (DPO) será exercida com independência técnica e funcional, com acesso às informações necessárias ao cumprimento de suas atribuições, vedada qualquer forma de interferência indevida em sua atuação.

§3º Em caso de impedimento, ausência, afastamento ou vacância do Encarregado pelo Tratamento de Dados Pessoais (DPO), a substituição legal será exercida, de forma automática, pelo(a) Controlador(a) Interno(a) da Câmara Municipal de Vereadores de Cabrobó – PE, até ulterior designação formal da Presidência.

§4º A Câmara promoverá ações contínuas de capacitação e sensibilização dos agentes públicos quanto às boas práticas de proteção de dados pessoais, com o objetivo de fortalecer a cultura institucional de privacidade, incluindo programas periódicos de treinamento, campanhas educativas e avaliação de maturidade em proteção de dados.



Capítulo VIII – Segurança e Boas Práticas



Art. 18. A Câmara Municipal de Vereadores de Cabrobó – PE adotará medidas técnicas e administrativas destinadas a garantir a segurança dos dados pessoais sob sua responsabilidade, prevenindo acessos não autorizados, vazamentos, alterações indevidas, perdas acidentais ou qualquer forma de tratamento inadequado ou ilícito.

§1º As medidas de segurança da informação serão compatíveis com a sensibilidade dos dados tratados, os riscos identificados e a criticidade dos processos institucionais envolvidos, observando abordagem baseada em risco e melhoria contínua.

§2º Serão observados, de forma integrada, os princípios da confidencialidade, integridade, disponibilidade e autenticidade das informações, conforme previsto na legislação vigente e nas boas práticas nacionais e internacionais, especialmente aquelas constantes das normas ISO/IEC aplicáveis à segurança da informação e à privacidade.

Art. 19. A Câmara Municipal de Vereadores de Cabrobó – PE manterá controles organizacionais e operacionais que compreenderão, entre outros:

I – definição de perfis de acesso baseados em atribuições funcionais e no princípio do menor privilégio;

II – inventário e classificação das bases de dados institucionais que contenham dados pessoais;

III – registros de atividades de tratamento com mecanismos de rastreabilidade e logs de acesso;

IV – política formal de guarda, descarte e eliminação de dados pessoais;

V – adoção de medidas de prevenção e resposta a incidentes de segurança, com registros e providências formais;

VI – avaliação periódica da efetividade dos controles de segurança e privacidade implementados;

VII – integração entre segurança da informação, gestão de riscos e governança em proteção de dados pessoais.

Art. 20. A Política de Segurança da Informação (PSI) da Câmara Municipal de Vereadores de Cabrobó – PE será implementada como instrumento normativo independente e complementar, com o objetivo de regulamentar, de forma mais detalhada, os controles técnicos, operacionais e procedimentais voltados à proteção das informações institucionais, inclusive os dados pessoais.

Parágrafo único. Esta Política de Privacidade mantém interface com a PSI no que se refere aos princípios e diretrizes de segurança da informação, sem prejuízo das normas específicas previstas na política própria, devendo ambas ser interpretadas de forma integrada e sistêmica no âmbito da governança institucional.

Art. 21. A Câmara Municipal de Vereadores de Cabrobó – PE manterá práticas de governança voltadas à segurança da informação, incluindo:

I – avaliações periódicas de riscos e vulnerabilidades;

II – atualizações nos controles com base em evolução tecnológica e normativa;

III – capacitações internas sobre proteção de dados e segurança da informação;

IV – revisão constante de fluxos e processos que envolvam dados pessoais;

V – monitoramento contínuo de conformidade com a LGPD, normas da ANPD e políticas institucionais vigentes.

Art. 22. Em caso de incidente de segurança com dados pessoais, a Câmara Municipal de Vereadores de Cabrobó – PE adotará imediatamente as providências cabíveis, incluindo:

I – registro e contenção da ocorrência;

II – avaliação da gravidade e do impacto sobre os titulares;

III – comunicação à Autoridade Nacional de Proteção de Dados (ANPD), nos termos da legislação;

IV – comunicação ao titular, quando aplicável, com orientações sobre mitigação de riscos;

V – reavaliação dos controles e ajustes necessários para evitar reincidência;

VI – elaboração de relatório interno de incidente, com identificação de causas, medidas corretivas e lições aprendidas, para fins de governança e prevenção futura.

Capítulo IX – Tratamento de Dados Pessoais em Comunicação Institucional e Eventos Públicos



Art. 23. A Câmara Municipal de Vereadores de Cabrobó – PE, no exercício de suas competências constitucionais e legais, poderá realizar o tratamento de dados pessoais, inclusive de imagem e som, de titulares que participem de eventos, sessões, audiências públicas, solenidades e outras ações institucionais de interesse público, observando-se os limites da finalidade institucional e a proteção dos direitos fundamentais dos titulares.



Art. 24. O tratamento de dados pessoais nesse contexto observará os princípios previstos no art. 6º da LGPD, em especial:

I – a finalidade pública da comunicação institucional;

II – a necessidade e a minimização da exposição de dados;

III – a transparência e a segurança dos registros divulgados;

IV – a proporcionalidade entre a publicidade dos atos administrativos e a proteção da privacidade dos titulares envolvidos.

Art. 25. As bases legais aplicáveis ao tratamento de dados pessoais em comunicação institucional e eventos públicos serão:

I – cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II, da LGPD), no que se refere à publicidade dos atos e ações do Poder Legislativo;

II – execução de políticas públicas previstas em normas e regulamentos (art. 7º, III, e art. 23, caput, da LGPD);

III – consentimento do titular (art. 7º, I), quando se tratar de participação voluntária de cidadãos sem vínculo funcional ou quando a divulgação envolver dados sensíveis;

IV – exercício regular de direitos em processo administrativo, legislativo ou judicial, quando necessário à defesa institucional ou à instrução de procedimentos oficiais.

Art. 26. O tratamento de registros de imagem, som, nome e voz coletados em eventos, reuniões, sessões públicas, audiências ou outras atividades institucionais promovidas pela Câmara Municipal de Vereadores de Cabrobó – PE será realizado independentemente de consentimento do titular, quando:

I – houver finalidade de divulgação em mídias oficiais da Câmara, como sítio eletrônico institucional, redes sociais, boletins e materiais informativos;

II – for necessário à prestação de contas à sociedade e à promoção da transparência pública;

III – estiver relacionado a ações educativas, culturais, de memória institucional ou de interesse coletivo vinculadas à atuação da Câmara;

IV – decorrer de transmissão oficial de sessões legislativas, audiências públicas ou atos solenes, nos termos do Regimento Interno e da legislação aplicável.

§1º Considera-se legítimo o tratamento previsto neste artigo, com base nos arts. 7º, II e III, e 23 da LGPD, em consonância com o princípio da publicidade e o dever de transparência da Administração Pública.

§2º Sempre que possível, deverão ser adotadas medidas de minimização de dados e anonimização de terceiros que não estejam no exercício de função pública ou representação institucional, especialmente em registros audiovisuais disponibilizados em meios digitais.

§3º Quando houver presença relevante de crianças ou adolescentes, deverão ser observadas as salvaguardas previstas no art. 14 da LGPD e na legislação de proteção integral, com adoção de medidas adicionais de proteção à imagem e à identidade.

Art. 27. Os servidores públicos, agentes políticos, representantes de entidades convidadas e demais participantes que atuem oficialmente em eventos, reuniões ou sessões públicas promovidas ou apoiadas pela Câmara Municipal de Vereadores de Cabrobó – PE poderão ter seus nomes, imagens, vozes e demais dados correlatos divulgados sem necessidade de consentimento, desde que vinculados à sua atuação funcional ou representação institucional.

Parágrafo único. Esta hipótese de tratamento fundamenta-se no interesse público, na natureza institucional dos atos praticados, no princípio da publicidade (Constituição Federal, art. 37, caput), na transparência (LGPD, art. 6º, VI) e nas permissões legais conferidas à Administração Pública pelo art. 23 da LGPD, devendo ser sempre observados os limites da finalidade institucional e da proteção da dignidade da pessoa humana.

Art. 28. A participação de cidadãos em eventos, reuniões, sessões públicas ou outras atividades institucionais de caráter aberto e coletivo poderá ensejar o tratamento de dados pessoais, como imagem, nome e voz, sem necessidade de consentimento, quando esse tratamento for necessário:

I – à execução de políticas públicas e ações institucionais de interesse social ou cultural;

II – à promoção da transparência dos atos administrativos;

III – ao cumprimento do dever constitucional de publicidade (CF, art. 37, caput) e das finalidades públicas da Administração (LGPD, art. 23);

IV – à preservação da memória institucional, histórica e cultural do Poder Legislativo municipal.

§1º Nessas hipóteses, deverão ser adotadas medidas razoáveis de informação e transparência, como avisos sobre a captação de imagens e sons, preferencialmente em linguagem clara, acessível e visível ao público participante.

§2º Sempre que possível e proporcional, poderão ser adotadas:

I – anonimização, mediante uso de imagens amplas, sem foco em indivíduos;

II – pseudonimização, com designações genéricas (ex.: “participante”, “morador local”);

III – consentimento específico, nos casos de entrevistas, depoimentos ou destaques individuais voluntários;

IV – limitação temporal de divulgação em meios digitais, quando não houver interesse público permanente.

Art. 29. Sempre que possível, a Câmara Municipal de Vereadores de Cabrobó – PE afixará avisos de captação de imagem e som nos locais dos eventos, informando sobre a finalidade da captação, os canais de atendimento ao titular e a possibilidade de oposição, observados os princípios da transparência e da boa-fé previstos na LGPD.

Art. 30. O titular poderá requerer, a qualquer tempo, a exclusão ou a limitação do uso de sua imagem ou nome, quando não houver obrigação legal que justifique a manutenção da divulgação, mediante solicitação ao Encarregado de Dados (DPO) pelos canais institucionais.

Parágrafo único. A solicitação de exclusão ou limitação de uso poderá ser indeferida, de forma justificada, quando os dados pessoais estiverem inseridos em registros necessários para o cumprimento de obrigação legal, execução de políticas públicas, exercício regular de direitos ou interesse público relevante, nos termos dos arts. 7º, II e III, e 16 da LGPD, devendo a decisão ser formalmente motivada e comunicada ao titular.

Capítulo X – Disposições Finais



Art. 31. Esta Política de Privacidade é de observância obrigatória por todos os agentes públicos da Câmara Municipal de Vereadores de Cabrobó – PE, bem como por terceiros contratados que, no exercício de suas atividades, tenham acesso a dados pessoais sob responsabilidade institucional, constituindo norma interna de governança e conformidade em proteção de dados pessoais.



Art. 32. Esta Política será revisada periodicamente, preferencialmente a cada 12 (doze) meses, ou sempre que houver:

I – alteração na legislação ou nas diretrizes da ANPD;

II – modificação significativa nos processos de tratamento de dados pessoais;

III – identificação de riscos relevantes, incidentes de segurança ou auditorias com recomendações de aprimoramento;

IV – recomendações do Encarregado pelo Tratamento de Dados Pessoais (DPO) ou da Controladoria Interna, no exercício de suas competências institucionais.

Art. 33. As atualizações desta Política serão publicadas no Portal da Transparência da Câmara Municipal de Vereadores de Cabrobó – PE e comunicadas, sempre que possível, aos servidores, colaboradores e titulares de dados por meio dos canais institucionais disponíveis, assegurando ampla publicidade e acesso permanente à informação. 

Art. 34. O uso de cookies e tecnologias semelhantes no sítio eletrônico institucional, quando existente, poderá ser objeto de normatização complementar específica, por meio de política própria, em consonância com as orientações da ANPD e as boas práticas de transparência digital.

Art. 35. Esta Política entra em vigor na data de sua publicação oficial, revogando eventuais versões anteriores, devendo ser amplamente divulgada internamente e disponibilizada ao público no portal eletrônico institucional.





Câmara Municipal de Cabrobó, aos 10 dias do mês de fevereiro de 2026.



Paulo Gonçalves do Nascimento

Presidente



Glênio Rodrigues Nogueira

1º Vice-Presidente



Arnaldo Freire da Silva

2º Vice-Presidente



Edézio Manoel da Silva Filho

1º Secretário



Francisco Helder Saraiva Moreira

2º Secretário

































ANEXO III

POLÍTICA DE SEGURANÇA DA INFORMAÇÃO CÂMARA MUNICIPAL DE VEREADORES DE CABROBÓ – PE



Versão 1.0 – fevereiro/2025

Capítulo I – Disposições Gerais

Art. 1º - Esta Política de Segurança da Informação tem como finalidade estabelecer diretrizes, princípios e responsabilidades voltados à proteção das informações tratadas no âmbito da administração legislativa da Câmara Municipal de Vereadores de Cabrobó – PE, pessoa jurídica de direito público interno, inscrita no CNPJ sob o nº 11.411.964/0001-49, com sede na Av. João Pires da Silva, nº 701 – Centro, Cabrobó – PE, CEP: 56180-000.

§1º O disposto neste instrumento assegura a conformidade com:

I – a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018);

II – os controles normativos da ISO/IEC 27002:2022;

III – os registros e recomendações constantes do Registro das Operações de Tratamento de Dados Pessoais (ROPA);

IV – o Relatório Consolidado de Riscos elaborado pelo Encarregado de Proteção de Dados (DPO);

V – as diretrizes de governança, segurança da informação e continuidade administrativa adotadas institucionalmente pela Câmara Municipal.

Art. 2º -  Esta Política aplica-se a todos os servidores efetivos, comissionados, estagiários, contratados e prestadores de serviços que, de forma direta ou indireta, tenham acesso a informações, dados pessoais e ativos institucionais sob responsabilidade da Câmara Municipal de Vereadores de Cabrobó – PE.

Parágrafo único. Os agentes abrangidos por esta Política submetem-se integralmente aos deveres de sigilo funcional, proteção de dados pessoais, observância das normas de segurança da informação e comunicação imediata de incidentes.

Capítulo II – Glossário

Art. 3º -  Para os fins desta Política, adotam-se as seguintes definições:

I – Agente de Tratamento: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais, como controlador ou operador;

II – Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

III – Ativo de Informação: qualquer dado, sistema, hardware, software, documento ou recurso que contenha ou viabilize acesso à informação institucional;

IV – Autenticidade: garantia de que a informação foi produzida, modificada ou acessada por indivíduo ou sistema autorizado;

V – Backup: cópia de segurança dos dados, realizada periodicamente para garantir a recuperação em caso de incidentes;

VI – Base Legal: fundamento jurídico que autoriza o tratamento de dados pessoais, conforme previsto nos arts. 7º e 11 da LGPD;

VII – Ciclo de Vida da Informação: conjunto de fases pelas quais a informação passa, desde sua criação ou coleta, processamento, uso, compartilhamento, armazenamento até o seu descarte seguro;

VIII – Confidencialidade: propriedade pela qual se assegura que a informação não esteja disponível ou não seja revelada a pessoas, sistemas, órgãos ou entidades não autorizados;

IX – Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

X – Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

XI – Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;

XII – Dado Pessoal de Criança e Adolescente: dado referente a pessoa com idade inferior a 18 anos, sujeito a regime jurídico protetivo mais rigoroso, conforme o Estatuto da Criança e do Adolescente e a LGPD;

XIII – Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

XIV – Disponibilidade: propriedade pela qual se assegura que a informação esteja acessível e utilizável, sob demanda, por pessoas físicas ou sistemas devidamente autorizados;

XV – Encarregado (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

XVI – Incidente de Segurança da Informação: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de informação, que comprometa ou ameace a integridade, a confidencialidade, a disponibilidade ou a autenticidade das informações;

XVII – Informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;

XVIII – Integridade: propriedade pela qual se assegura que a informação não foi modificada ou destruída de maneira não autorizada ou acidental;

XIX – LGPD: Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018);

XX – Minimização de Dados: princípio que exige o tratamento do mínimo necessário de dados pessoais para atingir sua finalidade;

XXI – Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

XXII – Privacidade: direito fundamental relacionado à autonomia da pessoa natural quanto ao controle sobre seus dados pessoais e à proteção contra usos indevidos ou abusivos;

XXIII – Pseudonimização: tratamento por meio do qual um dado perde a possibilidade de associação direta a um indivíduo sem o uso de informações adicionais mantidas separadamente;

XXIV – Segurança da Informação: ações que objetivam viabilizar e assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações;XXV – Titular do Dado: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

XXVI – Tratamento de Dados Pessoais: toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração;

XXVII – Violação de Dados Pessoais: qualquer incidente de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizado a dados pessoais;

XXVIII – Classificação da Informação: processo de categorização das informações institucionais conforme nível de criticidade, sensibilidade e impacto institucional, para fins de definição de controles de segurança adequados.

Capítulo III – Objetivo

Art. 4º A presente Política de Segurança da Informação tem por objetivo estabelecer normas e medidas que assegurem a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações institucionais, promovendo uma cultura de segurança e mitigando os riscos de vazamentos, acessos indevidos, perdas ou violações de dados pessoais no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE.

Parágrafo único. As medidas previstas neste artigo deverão observar, de forma integrada, os princípios da prevenção, da responsabilização e da governança em proteção de dados pessoais, conforme a Lei nº 13.709/2018.

Capítulo IV – Abrangência

Art. 5º Esta Política aplica-se a todos os setores administrativos e gabinetes parlamentares da Câmara Municipal de Vereadores de Cabrobó – PE, incluindo:

I – servidores efetivos;

II – ocupantes de cargos comissionados;

III – estagiários e colaboradores temporários;

IV – fornecedores e parceiros que, de forma direta ou indireta, tenham acesso a informações sob responsabilidade institucional.

Parágrafo único. A aplicação desta Política estende-se aos ambientes físicos, digitais, sistemas de informação, bases de dados, documentos e quaisquer meios de tratamento de informações institucionais.

Capítulo V – Princípios Fundamentais

Art. 6º A Política de Segurança da Informação rege-se pelos seguintes princípios:

I – Confidencialidade, entendida como a garantia de que as informações sejam acessíveis apenas a pessoas autorizadas;

II – Integridade, assegurando que as informações sejam exatas, completas e não sofram alterações indevidas durante o armazenamento, processamento ou transmissão;

III – Disponibilidade, garantindo que os dados estejam acessíveis e utilizáveis pelos responsáveis autorizados sempre que necessário, assegurando a continuidade dos serviços institucionais;

IV – Autenticidade, confirmando a identidade de usuários, sistemas ou processos que acessam os dados, prevenindo uso indevido ou não autorizado;

V – Responsabilidade, definindo a obrigação institucional de adotar controles, registrar atividades e comprovar a implementação de medidas técnicas e administrativas adequadas à proteção dos dados pessoais;

VI – Não repúdio, assegurando que o autor de uma ação ou comunicação não possa negar sua realização.

Parágrafo único. Os princípios previstos neste artigo deverão orientar todas as decisões administrativas relacionadas à segurança da informação, à proteção de dados pessoais e à governança institucional.

Capítulo VI – Diretrizes Gerais

Art. 7º São diretrizes gerais da Política de Segurança da Informação:

I – o uso de recursos tecnológicos institucionais, tais como correio eletrônico, internet, redes sociais e dispositivos móveis, deve respeitar os limites do interesse público, sendo vedada sua utilização para fins pessoais que comprometam a segurança da informação ou a reputação institucional da Câmara;

II – cada servidor ou pessoa autorizada é responsável pelo uso correto dos equipamentos e sistemas que lhe forem confiados, sendo vedada a instalação de programas sem autorização prévia do setor competente;

III – é obrigatória a participação de todos os agentes públicos e colaboradores autorizados em treinamentos e campanhas periódicas de conscientização sobre segurança da informação, conforme previsto na ISO/IEC 27002:2022;

IV – devem ser aplicados controles de acesso baseados em níveis hierárquicos, com autenticação segura e uso de senhas complexas, conforme definido em política interna específica;

V – procedimentos de backup e recuperação de dados devem ser mantidos atualizados, a fim de garantir a continuidade dos serviços em caso de incidentes;

VI – a informação deve ser tratada como ativo institucional e protegida de forma compatível com seu nível de criticidade;

VII – os acessos a sistemas, bases de dados e documentos devem ser controlados e restritos de acordo com o perfil do servidor ou da pessoa autorizada;

VIII – documentos físicos e digitais devem ser armazenados de maneira segura e descartados mediante procedimentos apropriados;

IX – é vedado o compartilhamento de senhas, credenciais e acessos sem autorização expressa da autoridade competente;

X – incidentes de segurança devem ser reportados imediatamente ao Encarregado pelo Tratamento de Dados (DPO);

XI – dados pessoais somente poderão ser compartilhados com terceiros mediante previsão legal, consentimento válido ou obrigação contratual;

XII – toda operação de tratamento de dados deverá ser documentada e registrada no Registro das Operações de Tratamento de Dados Pessoais (ROPA);

XIII – políticas de backup, controle de versão e uso de criptografia devem ser implementadas sempre que aplicáveis;

XIV – as diretrizes previstas neste artigo deverão ser periodicamente revisadas para assegurar aderência às evoluções tecnológicas, normativas e institucionais relacionadas à segurança da informação.

XV – o uso de assinaturas eletrônicas em documentos e sistemas institucionais constitui medida de segurança da informação e de controle de autenticidade, devendo observar a legislação vigente e as normas internas do Poder Legislativo Municipal que regulam o Processo Legislativo Eletrônico, assegurados os requisitos de autenticidade, integridade, segurança da informação e não repúdio.

Capítulo VI – Gestão de Incidentes de Segurança

Art. 8º Todo incidente de segurança da informação deverá ser imediatamente comunicado ao Encarregado de Dados (DPO) da Câmara Municipal de Vereadores de Cabrobó – PE, que deverá:

I – analisar o fato e registrar formalmente o ocorrido, mantendo histórico documentado para fins de auditoria e governança;

II – adotar as providências cabíveis para contenção e mitigação dos riscos, inclusive com articulação junto aos setores técnicos e administrativos competentes;

III – promover, quando necessário, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares de dados pessoais, em conformidade com a Lei nº 13.709/2018 (LGPD);

IV – seguir as orientações constantes da ISO/IEC 27035, bem como demais normas técnicas aplicáveis à gestão de incidentes de segurança da informação.

Capítulo VII – Classificação das Informações

Art. 9º As informações institucionais da Câmara Municipal de Vereadores de Cabrobó – PE deverão ser classificadas nos seguintes níveis:

I – Pública: disponível para qualquer pessoa, sem restrições, observado o disposto na legislação de transparência e acesso à informação;

II – Restrita: acessível apenas a determinados servidores ou setores autorizados, mediante necessidade funcional e controle de acesso adequado;

III – Confidencial: de acesso limitado a pessoas expressamente autorizadas, devendo possuir controles reforçados de armazenamento, transmissão e registro de acesso.

Parágrafo único. A classificação deverá considerar a existência de dados pessoais ou dados pessoais sensíveis, bem como os riscos decorrentes de divulgação não autorizada.

Capítulo VIII – Responsabilidades

Art. 10. São responsabilidades quanto à aplicação desta Política na Câmara Municipal de Vereadores de Cabrobó – PE:

I – Presidência: assegurar os recursos e as condições necessárias à implementação desta Política, bem como promover ambiente institucional favorável à segurança da informação e à proteção de dados pessoais;

II – Servidores e Colaboradores: cumprir as diretrizes estabelecidas e zelar pela segurança das informações sob sua guarda, respondendo por eventual uso indevido, negligente ou não autorizado;

III – Controladoria Interna: supervisionar o cumprimento dos controles internos e recomendar medidas de melhoria, inclusive quanto à aderência à LGPD e às normas de segurança da informação;

IV – Encarregado de Dados (DPO): promover a cultura de proteção de dados, revisar e atualizar esta Política, orientar os setores e responder às solicitações dos titulares e da ANPD, atuando como elemento de integração entre governança, conformidade e gestão de riscos informacionais.

Capítulo IX – Monitoramento e Revisão

Art. 11. Esta Política será revisada:

I – anualmente;

II – sempre que houver alteração legislativa;

III – diante de mudanças estruturais relevantes;

IV – em razão de recomendações oriundas do ROPA ou do Relatório de Análise de Riscos;

V – quando verificada a ocorrência de incidente de segurança relevante que indique necessidade de aprimoramento dos controles institucionais.

Parágrafo único. O Encarregado de Dados (DPO) será o responsável pela coordenação da revisão desta Política, podendo contar com o apoio da Controladoria Interna, da Assessoria Jurídica e dos setores técnicos competentes.

Capítulo X – Gerenciamento de Acessos

Art. 12. O acesso físico e lógico aos sistemas, arquivos, redes e dependências da Câmara Municipal de Vereadores de Cabrobó – PE deverá observar:

I – controle, limitação e concessão com base nos princípios da necessidade de conhecimento e do menor privilégio, mediante definição prévia de perfis de acesso e autorização formal da autoridade competente;

II – registro e auditoria de todos os acessos realizados, assegurando rastreabilidade, integridade dos logs e possibilidade de verificação posterior;

III – autenticação segura e, quando possível, uso de múltiplos fatores de autenticação, em conformidade com a ISO/IEC 27002:2022, especialmente para acessos privilegiados ou a informações classificadas como restritas ou confidenciais.

Capítulo XI – Gestão de Continuidade

Art. 13. Devem ser adotadas medidas que assegurem a continuidade das operações críticas da Câmara Municipal de Vereadores de Cabrobó – PE em situações de falhas técnicas, desastres naturais ou incidentes de segurança.

Parágrafo único. Para os fins do caput, deverão ser implementados planos de contingência, políticas de backup e testes periódicos de recuperação, em conformidade com a ISO/IEC 27002:2022, assegurando a rápida restauração dos serviços essenciais e a minimização de impactos institucionais.

Capítulo XII – Auditoria e Conformidade

Art. 14. A observância desta Política será verificada por meio de auditorias internas periódicas conduzidas pelo Encarregado de Dados (DPO) da Câmara Municipal de Vereadores de Cabrobó – PE.

§1º Os resultados das auditorias deverão ser devidamente documentados, com indicação de não conformidades, riscos identificados e recomendações de melhoria.

§2º Quando necessário, os resultados serão utilizados para revisão dos controles aplicáveis, em conformidade com a ISO/IEC 27002:2022, bem como para atualização desta Política e dos procedimentos institucionais correlatos.

Capítulo XIII – Segurança Física e Ambiental

Art. 15. A Câmara Municipal de Vereadores de Cabrobó – PE deverá adotar medidas de segurança física e ambiental para proteção das instalações e equipamentos, incluindo:

I – controle de acesso por chaves ou dispositivos eletrônicos, com definição de responsáveis pela guarda e gestão das credenciais físicas;

II – videomonitoramento de áreas estratégicas, observadas as normas de proteção de dados pessoais e a finalidade institucional do tratamento de imagens;

III – trancamento de áreas restritas, com limitação de acesso apenas a pessoas autorizadas;IV – registro de entrada e saída de visitantes, com identificação mínima necessária e controle de permanência nas dependências institucionais.

Parágrafo único. As medidas previstas neste artigo observarão os controles da ISO/IEC 27002:2022, bem como demais diretrizes técnicas aplicáveis à segurança física e ambiental da informação.

Capítulo XIV – Controle de Dispositivos Móveis e Teletrabalho

Art. 16. O uso de dispositivos móveis e a realização de atividades remotas no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE deverão observar regras de proteção compatíveis, incluindo:

I – autenticação de acesso, preferencialmente com uso de múltiplos fatores;

II – uso de criptografia para proteção de dados armazenados ou transmitidos;

III – utilização de canais seguros de comunicação, vedado o compartilhamento de informações institucionais por meios não autorizados.

Parágrafo único. O trabalho remoto somente poderá ocorrer com autorização prévia e mediante adoção de controles compatíveis, nos termos da ISO/IEC 27002:2022, devendo ser formalizado por instrumento interno que estabeleça responsabilidades, limites de acesso e medidas de segurança aplicáveis.

Capítulo XV – Segurança na Contratação de Terceiros

Art. 17. Os contratos firmados com terceiros, incluindo prestadores de serviços e fornecedores da Câmara Municipal de Vereadores de Cabrobó – PE, deverão conter cláusulas específicas que assegurem a proteção de dados pessoais e das informações institucionais, incluindo deveres de confidencialidade, requisitos mínimos de segurança da informação e previsão de responsabilização por incidentes.

Parágrafo único. A responsabilidade solidária será observada quando aplicável, em conformidade com a ISO/IEC 27002:2022, bem como com a legislação de proteção de dados pessoais e normas administrativas pertinentes.

Capítulo XVI – Treinamentos e Capacitações Regulares

Art. 18. A Câmara Municipal de Vereadores de Cabrobó – PE manterá cronograma de capacitação obrigatória em segurança da informação e proteção de dados pessoais, dirigido a todos os servidores e colaboradores.

§1º Os treinamentos deverão abordar:

I – fundamentos da Lei Geral de Proteção de Dados Pessoais – LGPD;

II – boas práticas de segurança da informação;

III – procedimentos de resposta a incidentes;

IV – manuseio seguro de documentos físicos e digitais;

V – responsabilidades individuais quanto ao uso de sistemas, dispositivos e informações institucionais.

§2º O disposto neste artigo observa o controle 6.3 da ISO/IEC 27002:2022, devendo os registros de participação ser mantidos para fins de auditoria e comprovação de conformidade.

Capítulo XVII – Gestão de Riscos Setorial

Art. 19. Cada setor administrativo da Câmara Municipal de Vereadores de Cabrobó – PE deverá acompanhar periodicamente seus riscos operacionais relacionados à segurança da informação e à privacidade, devendo:

I – atualizar os registros no Registro das Operações de Tratamento de Dados Pessoais (ROPA);

II – implementar ações corretivas conforme o Relatório de Análise de Riscos;

III – comunicar ao Encarregado de Dados eventuais alterações relevantes no tratamento de dados pessoais ou nos controles de segurança adotados.

Parágrafo único. A gestão de riscos observará as orientações da ISO/IEC 27005, bem como os princípios de prevenção, responsabilização e melhoria contínua previstos na LGPD.

Capítulo XVIII – Plano de Resposta a Incidentes com Dados Pessoais

Art. 20. Será mantido plano de resposta a incidentes com dados pessoais no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE, o qual deverá conter:

I – definição clara de responsabilidades;

II – prazos para resposta;

III – fluxos de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, nos termos da LGPD e da ISO/IEC 27035;

IV – procedimentos de contenção, mitigação, registro e lições aprendidas após a ocorrência do incidente.

Capítulo XIX – Uso do Correio Eletrônico Institucional

Art. 21. O correio eletrônico institucional é o único meio autorizado para o envio de informações sensíveis e documentos oficiais da Câmara Municipal de Vereadores de Cabrobó – PE.

Parágrafo único. É vedado o uso de e-mails pessoais para envio ou recebimento de informações institucionais ou dados pessoais, salvo em situações excepcionais devidamente justificadas e autorizadas pela autoridade competente, com posterior registro formal.

Capítulo XX – Controle de Impressões e Documentos Físicos

Art. 22. O uso de impressoras no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE deverá ser restrito à impressão de documentos institucionais.

§1º Documentos que contenham dados pessoais deverão ser impressos apenas quando estritamente necessários, devendo ser adotadas medidas de guarda segura durante sua utilização.

§2º O descarte de documentos com dados pessoais será realizado mediante uso de fragmentadoras ou outro método de eliminação segura, de modo a impedir reconstrução ou acesso indevido às informações descartadas.

Capítulo XXI – Registro de Acesso a Sistemas

Art. 23. Todos os sistemas utilizados na Câmara Municipal de Vereadores de Cabrobó – PE deverão manter registros (logs) de acesso, autenticação e operações críticas, assegurando rastreabilidade das ações realizadas pelos usuários.

§1º Os registros deverão ser armazenados de forma segura e por período compatível com sua finalidade, observadas as exigências legais, regulatórias e de auditoria aplicáveis.

§2º Os registros deverão ser auditáveis e utilizados para fins de monitoramento, responsabilização e apuração de incidentes, vedada sua alteração ou exclusão não autorizada.

Capítulo XXII – Segregação de Funções

Art. 24. Deverá ser implementado o princípio da segregação de funções, especialmente em atividades que envolvam autorização, execução e controle de processos relacionados ao tratamento de dados pessoais no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE.

Parágrafo único. A medida prevista no caput tem como objetivo mitigar riscos de abuso de privilégios e fraudes, em conformidade com a ISO/IEC 27002:2022, assegurando independência entre funções críticas e rastreabilidade das responsabilidades atribuídas.

Capítulo XXIII – Controle de Dispositivos de Armazenamento Removível

Art. 25. O uso de mídias removíveis, como pen drives, HDs externos e cartões de memória, somente será permitido mediante autorização prévia do setor competente da Câmara Municipal de Vereadores de Cabrobó – PE.

§1º O uso autorizado deverá observar medidas de proteção, como criptografia e antivírus atualizado, bem como restrição de acesso às informações armazenadas.

§2º O disposto neste artigo está em conformidade com a ISO/IEC 27002:2022, devendo eventuais exceções ser formalmente justificadas e registradas.

Capítulo XXIV – Gestão de Senhas e Credenciais

Art. 26. Todos os servidores e pessoas autorizadas deverão utilizar senhas únicas, fortes e confidenciais, observando:

I – troca periódica de senhas;

II – bloqueio automático após tentativas inválidas consecutivas;

III – autenticação em múltiplos fatores, sempre que disponível;

IV – vedação ao compartilhamento de credenciais entre usuários, ainda que para fins operacionais.

Parágrafo único. A gestão de senhas seguirá os controles previstos na ISO/IEC 27002:2022, devendo ser adotadas políticas formais de criação, armazenamento, redefinição e revogação de credenciais.

Capítulo XXV – Gestão de Ativos de Informação

Art. 27. Todos os ativos de informação, físicos ou digitais, pertencentes ou utilizados pela Câmara Municipal de Vereadores de Cabrobó – PE, deverão ser inventariados, classificados e gerenciados desde a sua aquisição até o descarte seguro.

Parágrafo único. O controle deverá incluir movimentação, cessão, manutenção e eliminação de ativos, em conformidade com a ISO/IEC 27002:2022, assegurando rastreabilidade e responsabilidade sobre cada ativo ao longo de seu ciclo de vida.

Capítulo XXVI – Controles Criptográficos

Art. 28. Dados sensíveis e informações classificadas como confidenciais deverão ser protegidos mediante o uso de técnicas adequadas de criptografia durante o armazenamento e a transmissão, observados padrões técnicos reconhecidos e gestão segura de chaves criptográficas.

Capítulo XXVII – Gestão de Vulnerabilidades e Atualizações

Art. 29. Todos os sistemas, aplicativos e dispositivos utilizados pela Câmara Municipal de Vereadores de Cabrobó – PE deverão ser mantidos com atualizações regulares de segurança.

§1º Deverão ser adotadas rotinas para identificação e correção de vulnerabilidades técnicas, incluindo monitoramento contínuo, aplicação de correções e testes de verificação.

§2º O disposto neste artigo observa a ISO/IEC 27002:2022, bem como demais boas práticas aplicáveis à gestão de vulnerabilidades.

Capítulo XXVIII – Uso de Senhas Administrativas

Art. 30. Contas com privilégios administrativos deverão ser utilizadas exclusivamente para atividades de configuração ou suporte técnico no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE.

Parágrafo único. É vedado o uso dessas contas para acesso a e-mails, internet ou documentos institucionais, em conformidade com a ISO/IEC 27002:2022, devendo sua utilização ser registrada e periodicamente revisada para fins de controle e auditoria.

Capítulo XXIX – Proteção contra Código Malicioso

Art. 31. A Câmara Municipal de Vereadores de Cabrobó – PE deverá manter sistema atualizado de proteção contra códigos maliciosos (vírus, malwares, ransomwares, entre outros), abrangendo estações de trabalho, servidores, dispositivos móveis e demais ativos tecnológicos institucionais.

§1º Deverão ser realizadas varreduras periódicas e quarentena de arquivos suspeitos, com atualização automática de assinaturas e mecanismos de detecção.

§2º Todo incidente relacionado deverá ser registrado para posterior análise, permitindo a adoção de medidas corretivas e preventivas.

Capítulo XXX – Controle de Transferência de Informações

Art. 32. A transferência de informações, seja por meios físicos ou eletrônicos, no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE, deverá ser controlada e monitorada, garantindo que apenas destinatários autorizados recebam os dados.

Parágrafo único. Sempre que possível, deverão ser utilizados mecanismos de proteção, como criptografia e autenticação, em conformidade com a ISO/IEC 27002:2022, bem como registro da transferência para fins de rastreabilidade e auditoria.

Capítulo XXXI – Política de Mídia Social e Comunicações Públicas

Art. 33. As publicações institucionais e comunicações em mídias sociais da Câmara Municipal de Vereadores de Cabrobó – PE deverão observar as diretrizes de segurança da informação e de proteção de dados pessoais.

§1º É permitida a divulgação de imagens, vídeos e áudios relacionados a atos públicos oficiais da Câmara, em razão de seu caráter institucional e interesse público, observados os princípios da finalidade, necessidade e transparência previstos na LGPD.

§2º É vedada a publicação de dados pessoais ou de conteúdos de terceiros sem respaldo legal ou consentimento do titular, ressalvadas as hipóteses legais de dispensa previstas na legislação vigente.

Capítulo XXXII – Avaliação de Impacto à Proteção de Dados Pessoais (DPIA)

Art. 34. Sempre que houver operações de tratamento de dados pessoais que representem alto risco aos titulares, deverá ser realizada Avaliação de Impacto à Proteção de Dados Pessoais (DPIA), conforme previsto no art. 38 da Lei nº 13.709/2018 (LGPD), considerando a natureza dos dados, a finalidade do tratamento e os riscos potenciais aos direitos fundamentais dos titulares.

Parágrafo único. O Encarregado de Dados (DPO) será responsável pela orientação e supervisão da atividade prevista no caput, podendo solicitar informações adicionais aos setores envolvidos e recomendar medidas de mitigação de riscos.

Capítulo XXXIII – Indicadores de Conformidade e Monitoramento Contínuo

Art. 35. Serão implementados indicadores de conformidade com a LGPD e com a ISO/IEC 27002:2022, no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE, incluindo:

I – métricas de incidentes de segurança da informação;

II – quantidade de treinamentos realizados;

III – atualizações de inventário de dados e ativos;

IV – execução de auditorias e revisões periódicas;

V – acompanhamento de ações corretivas decorrentes de não conformidades identificadas.

Parágrafo único. O acompanhamento dos indicadores será realizado sob supervisão do Encarregado de Dados (DPO), com comunicação periódica à Presidência e à Controladoria Interna para fins de governança e melhoria contínua.

Capítulo XXXIV – Política de Backup e Recuperação de Dados

Art. 36. A Câmara Municipal de Vereadores de Cabrobó – PE manterá política específica de backup periódico, com planos de recuperação testados regularmente, assegurando a continuidade dos serviços essenciais e a integridade das informações institucionais.

Parágrafo único. As cópias de segurança deverão ser armazenadas em local seguro e preferencialmente segregado, em conformidade com a ISO/IEC 27002:2022, com controle de acesso restrito, proteção contra perda, dano ou acesso não autorizado e verificação periódica de sua integridade.

Capítulo XXXV – Tratamento de Dados Sensíveis

Art. 37. O tratamento de dados pessoais sensíveis no âmbito da Câmara Municipal de Vereadores de Cabrobó – PE observará controles reforçados de segurança, incluindo:

I – autorização formal para operações que envolvam tais dados;

II – registros detalhados de todas as operações realizadas, permitindo rastreabilidade e auditoria;

III – mecanismos restritivos de acesso, baseados no princípio do menor privilégio e na necessidade de conhecimento.

Parágrafo único. As medidas previstas neste artigo observarão o art. 11 da Lei nº 13.709/2018 (LGPD) e os controles da ISO/IEC 27002:2022, bem como demais normas aplicáveis à proteção de dados pessoais sensíveis.

Capítulo XXXVI – Prevenção contra Perda de Dados (DLP)

Art. 38. Poderão ser adotadas soluções tecnológicas de Data Loss Prevention (DLP) pela Câmara Municipal de Vereadores de Cabrobó – PE para prevenir a perda, o vazamento ou a extração não autorizada de informações classificadas como sensíveis, internas ou confidenciais, incluindo monitoramento de tráfego, bloqueio de transferências indevidas e geração de alertas de segurança.

Capítulo XXXVII – Gestão de Mudanças e Controle de Configurações

Art. 39. Toda mudança significativa em sistemas, processos ou estrutura de Tecnologia da Informação e Comunicação (TIC) da Câmara Municipal de Vereadores de Cabrobó – PE, que possa impactar a segurança da informação, deverá ser previamente:

I – avaliada quanto aos riscos de segurança e privacidade;

II – documentada de forma adequada;

III – autorizada pela autoridade competente;

IV – rastreável e reversível, assegurando possibilidade de retorno ao estado anterior em caso de falhas ou incidentes.

Capítulo XXXVIII – Política de Gerenciamento de Identidades e Acessos (IAM)

Art. 40. A Câmara Municipal de Vereadores de Cabrobó – PE deverá manter processos formalizados para a gestão de identidades e acessos, incluindo:

I – criação, alteração e revogação de contas de usuários;

II – revisões periódicas de privilégios concedidos;

III – monitoramento de acessos aos sistemas institucionais, com registro de eventos relevantes para fins de auditoria e responsabilização.

Parágrafo único. O disposto neste artigo segue os controles previstos na ISO/IEC 27002:2022, devendo ser periodicamente revisado para garantir aderência às melhores práticas de segurança da informação.

Capítulo XXXIX – Gestão de Documentos e Registros

Art. 41. Informações documentadas e registros institucionais da Câmara Municipal de Vereadores de Cabrobó – PE deverão ser mantidos conforme políticas de retenção específicas, assegurando:

I – armazenamento seguro durante sua vigência;

II – descarte seguro ao final do ciclo de vida, impedindo acesso, recuperação ou reconstrução indevida das informações;

III – observância aos princípios da transparência, finalidade e responsabilidade previstos na LGPD.

Capítulo XL – Uso de Aparelhos Móveis Pessoais para Fins Institucionais

Art. 42. O uso de aparelhos móveis pessoais por servidores, agentes públicos ou colaboradores da Câmara Municipal de Vereadores de Cabrobó – PE para fins institucionais é permitido, desde que:

I – haja autorização prévia do setor competente;

II – sejam integralmente observadas as diretrizes de segurança da informação;

III – sejam respeitados os princípios da proteção de dados pessoais previstos na Lei nº 13.709/2018 (LGPD).

§1º A utilização de dispositivos pessoais para fins institucionais deverá atender, no mínimo, aos seguintes requisitos de segurança:

I – adoção de autenticação robusta, por meio de senha forte, biometria ou autenticação multifator;

II – utilização, sempre que tecnicamente possível, de mecanismos de criptografia para proteção dos dados institucionais armazenados;

III – proibição expressa de armazenamento local de informações sensíveis, estratégicas ou classificadas, salvo quando houver mecanismos de segurança compatíveis com o risco envolvido;

IV – instalação de aplicativos apenas por meio de fontes oficiais, com verificação prévia de segurança;

V – adoção de práticas de bloqueio automático de tela, atualização regular do sistema e dos aplicativos utilizados para fins institucionais;

VI – possibilidade de aplicação de controles de gestão de dispositivos móveis (MDM), quando tecnicamente viável, para proteção dos dados institucionais.

§2º Em caso de perda, roubo, extravio, acesso indevido ou qualquer incidente de segurança envolvendo dados institucionais tratados em dispositivo pessoal, o fato deverá ser comunicado imediatamente ao Encarregado pelo Tratamento de Dados (DPO) ou à autoridade designada, para fins de apuração e mitigação dos riscos, inclusive com eventual bloqueio remoto ou exclusão segura das informações.

§3º A autorização de uso de dispositivos móveis pessoais para atividades laborais não exime o agente público da responsabilidade pela integridade, confidencialidade, autenticidade e disponibilidade das informações acessadas ou tratadas por meio desses meios, respondendo o agente por uso indevido ou negligente.

Capítulo XLI – Uso de Aplicativos de Comunicação Instantânea para Fins Institucionais

Art. 43. É autorizado o uso de aplicativos de comunicação instantânea, como WhatsApp, Telegram ou similares, por servidores, agentes públicos e colaboradores da Câmara Municipal de Vereadores de Cabrobó – PE, para fins institucionais, inclusive quando utilizados em dispositivos pessoais, desde que observados:

I – as diretrizes da Lei Geral de Proteção de Dados Pessoais (LGPD); 

II – os princípios da segurança da informação;

III – o interesse público e a finalidade institucional.

§1º O uso permitido desses aplicativos está condicionado ao cumprimento das seguintes diretrizes:

I – é vedado o compartilhamento de dados pessoais, dados pessoais sensíveis ou informações institucionais classificadas como estratégicas, exceto em hipóteses excepcionais e devidamente justificadas, com adoção de medidas técnicas adequadas de proteção;

II – informações institucionais relevantes ou administrativas não devem permanecer exclusivamente nesses aplicativos, devendo ser formalizadas em meios oficiais da Câmara, como e-mails institucionais ou sistemas documentais;

III – não é permitido realizar atos administrativos formais, decisões ou comunicações oficiais exclusivamente por esses canais;

IV – grupos criados para fins institucionais deverão, sempre que possível, conter apenas integrantes vinculados às unidades organizacionais envolvidas, sendo recomendável que sua administração fique a cargo de servidor formalmente designado;

V – o uso de dispositivos pessoais para fins de trabalho não exime o agente público da responsabilidade pela proteção das informações acessadas, devendo observar, no mínimo:

autenticação por senha;

bloqueio automático de tela;

atualização periódica dos aplicativos;

VI – é terminantemente proibido o uso desses canais para envio, retransmissão, armazenamento ou disseminação de conteúdos ofensivos, discriminatórios, político-partidários, falsos ou que comprometam a imagem, a reputação e a integridade institucional da Câmara;

VII – as conversas, arquivos e registros que contenham dados pessoais ou informações institucionais deverão adotar mecanismo de eliminação automatizada de conteúdo, assegurando que as informações sejam excluídas de forma automática em até 7 (sete) dias, preferencialmente no prazo de 24 (vinte e quatro) horas, salvo quando a preservação for estritamente necessária para registro oficial em sistemas administrativos, observadas as normas de arquivamento público e transparência administrativa.

§2º O descumprimento das disposições deste artigo poderá acarretar responsabilização administrativa, civil e/ou penal, conforme a legislação aplicável e a gravidade da conduta.

§3º O Encarregado pelo Tratamento de Dados Pessoais (DPO) poderá:

I – emitir diretrizes complementares sobre o uso de aplicativos de comunicação;

II – capacitar agentes públicos sobre boas práticas;

III – realizar auditorias para verificação do cumprimento deste artigo;

IV – recomendar restrições adicionais ou suspensão do uso desses aplicativos em caso de risco relevante à segurança da informação ou à proteção de dados pessoais.

Capítulo XLII – Uso Adequado da Internet Institucional

Art. 44. O acesso à internet por servidores, agentes públicos, estagiários e colaboradores da Câmara Municipal de Vereadores de Cabrobó – PE deverá ocorrer exclusivamente para fins institucionais, em conformidade com os princípios da legalidade, finalidade, necessidade, minimização, segurança da informação e proteção de dados pessoais previstos na Lei nº 13.709/2018 (LGPD).

§1º É expressamente vedado o uso da internet institucional para:

I – acesso a conteúdos ofensivos, ilícitos, discriminatórios, obscenos, de incitação à violência, jogos, apostas ou qualquer material que comprometa a integridade institucional ou o bom uso dos recursos públicos;

II – realização de downloads de arquivos ou softwares sem autorização prévia do setor de tecnologia ou do responsável designado;

III – acesso a plataformas de entretenimento não relacionadas às funções laborais, salvo em situações autorizadas expressamente pela Presidência;

IV – compartilhamento de informações institucionais sensíveis, dados pessoais ou documentos oficiais por meio de serviços não autorizados;

V – instalação de plugins, extensões de navegador ou outros recursos que possam comprometer a segurança dos sistemas institucionais.

§2º Para fins de segurança e rastreabilidade, será realizado o registro de logs de navegação e de conexões, nos termos da legislação vigente, com observância à confidencialidade das informações e às diretrizes da LGPD, garantindo-se o uso proporcional dessas informações exclusivamente para fins de segurança, auditoria e responsabilização.

§3º A Câmara Municipal de Vereadores de Cabrobó – PE poderá implementar filtros e restrições automáticas de acesso a conteúdos considerados impróprios, bem como sistemas de monitoramento, desde que respeitados os princípios da proporcionalidade, finalidade e necessidade.

§4º O uso indevido da internet institucional sujeitará o agente público às sanções administrativas, civis e penais cabíveis, nos termos da legislação aplicável e desta Política.

§5º O Encarregado pelo Tratamento de Dados Pessoais (DPO), em conjunto com o setor competente, poderá emitir diretrizes complementares, realizar auditorias técnicas e propor atualizações a esta seção, considerando a evolução normativa, tecnológica e os riscos identificados no ambiente institucional.

Capítulo XLIII – Gravação e Armazenamento de Sessões Plenárias

Art. 45. As sessões plenárias da Câmara Municipal de Vereadores de Cabrobó – PE poderão ser gravadas em áudio e/ou vídeo, conforme previsão regimental, garantindo-se a publicidade e a transparência do processo legislativo.

§1º Os arquivos gravados deverão ser armazenados em ambiente seguro, com controle de acesso e proteção contra alterações indevidas ou perdas, assegurando sua integridade e autenticidade.

§2º O acesso aos arquivos será restrito aos servidores designados, e sua divulgação pública ocorrerá exclusivamente pelos canais oficiais da Câmara.

§3º Recomenda-se a definição de prazo de guarda conforme legislação arquivística vigente, salvo disposição legal diversa, observados também os princípios da necessidade e minimização previstos na LGPD.

Capítulo XLIV – Controle e Renovação dos Termos de Responsabilidade

Art. 46. Todos os servidores, prestadores e pessoas autorizadas da Câmara Municipal de Vereadores de Cabrobó – PE deverão assinar Termo de Responsabilidade para acesso a informações, sistemas e ativos institucionais.

§1º Os Termos de Responsabilidade deverão ser renovados anualmente ou sempre que houver mudança de função, desligamento ou reconfiguração de acesso.

§2º A gestão e arquivamento dos termos ficará sob responsabilidade da Presidência, com apoio do DPO, devendo ser assegurada sua guarda segura e disponibilidade para auditorias internas ou externas.

Capítulo XLV – Uso de E-mail Institucional

Art. 47. Todos os setores administrativos da Câmara Municipal de Vereadores de Cabrobó – PE deverão utilizar exclusivamente endereços de e-mail institucional para comunicações oficiais internas e externas.

§1º É vedado o uso de contas de e-mail pessoais para tratar informações institucionais ou dados pessoais vinculados às atividades administrativas.

§2º A criação, controle e revogação de contas de e-mail institucional serão realizadas pelo setor de Tecnologia da Informação, sob a supervisão da Presidência e com apoio do DPO.

§3º Os e-mails institucionais deverão ser utilizados em conformidade com as normas de segurança da informação, sendo obrigatório o cumprimento das diretrizes desta Política e do Termo de Responsabilidade.

§4º A desativação de contas deverá ocorrer imediatamente após o desligamento, cessação de vínculo ou mudança de função do servidor ou colaborador, assegurando-se a preservação de registros institucionais quando necessário.

Capítulo XLVI – Responsabilização e Sanções

Art. 48. A violação às disposições desta Política sujeitará o infrator às sanções disciplinares cabíveis, sem prejuízo de responsabilização civil, penal ou funcional, conforme a legislação em vigor, observados o devido processo legal, a ampla defesa e o contraditório.

Capítulo XLVII – Vigência e Publicidade

Art. 49. Esta Política entrará em vigor na data de sua aprovação pelo Plenário da Câmara Municipal de Vereadores de Cabrobó – PE e deverá ser amplamente divulgada a todos os agentes públicos e colaboradores, por meio de comunicação institucional formal.

Parágrafo único. O texto integral da Política será publicado no portal eletrônico oficial da Câmara, assegurando transparência, ampla publicidade e acesso permanente pela sociedade.

Câmara Municipal de Cabrobó, aos 10 dias do mês de fevereiro de 2026.



Paulo Gonçalves do Nascimento

Presidente



Glênio Rodrigues Nogueira

1º Vice-Presidente



Arnaldo Freire da Silva

2º Vice-Presidente



Edézio Manoel da Silva Filho

1º Secretário



Francisco Helder Saraiva Moreira

2º Secretário