PROJETO DE RESOLUÇÃO Nº 34 DE 08 DE NOVEMBRO DE 2024
Institui o Plano de Resposta e Remediação de Incidentes de Segurança de Dados da Câmara Municipal de Jacuí/MG.
O PRESIDENTE DA CÂMARA MUNICIPAL DE JACUÍ/MG, Estado de São Paulo, no uso de suas atribuições legais,
CONSIDERANDO a previsão constitucional (art. 5º, inc. LXXIX - incluído pela Emenda Constitucional nº 115/22), as disposições da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados - LGPD), da Lei nº 12.965/2014 (Lei do Marco Civil da Internet), da Lei nº 12.527/2011 (Lei de Aceso à Informação), bem como as boas práticas de governança de dados e segurança da informação;
CONSIDERANDO que os responsáveis pelo tratamento de dados em desconformidade com a lei poderão incidir nas sanções do regime jurídico próprio, da Lei de Improbidade Administrativa, da Lei de Acesso à Informação e da Lei nº 13.709/18;
CONSIDERANDO que o art. 46 da Lei Geral de Proteção de Dados Pessoais estabelece que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, e que tais medidas de segurança deverão ser observadas desde a concepção do produto ou serviço até a sua execução;
CONSIDERANDO que o art. 48 da Lei Geral de Proteção de Dados Pessoais prevê que o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;
CONSIDERANDO que o art. 50 da mesma lei estabelece que controladores e operadores, no âmbito de suas competências, poderão formular regras de boas práticas de governança para o tratamento de dados pessoais; e o inciso I do § 2º do referido artigo dispõe que deve ser implementado um Programa de Governança em Privacidade que conte com planos de resposta a incidentes e remediação;
CONSIDERANDO que a Câmara Municipal de Jacuí, tem competência para deliberar através de resolução sobre assuntos de autonomia interna, conforme determina o artigo 25, inciso XXIII da Lei Orgânica Municipal;
A Câmara Municipal – MG, no uso de suas atribuições legais, que lhes são conferidas pela Lei Orgânica Municipal, aprovou e o Presidente da Câmara promulga a seguinte resolução:
Art. 1º Fica aprovada a Resolução que Institui o Plano de Resposta e Remediação de Incidentes de Segurança de Dados da Câmara Municipal de Jacuí/MG.
Art. 2º O Plano de Resposta e Remediação de Incidentes de Segurança de Dados consiste de um documento interno que deve ser amplamente conhecido por todos os servidores/funcionários/colaboradores e que dispõe sobre as medidas que devem ser adotadas no caso de um Incidente de Segurança em Dados Pessoais, constante no Anexo I desta Resolução.
Art. 3º A fim de conferir plena efetividade as medidas a serem adotadas, todos os departamentos da Câmara Municipal de Jacuí/MG deverão seguir as orientações contidas no Anexo I desta Resolução.
Da Gestão de Incidentes de Segurança
Art. 4º - Caso ocorra incidente que coloque em risco a segurança de dados pessoais, devem ser realizados os seguintes procedimentos:
I - avaliar internamente o incidente com o objetivo de obter informações iniciais sobre impacto do evento, natureza, categoria e quantidade de titulares de dados pessoais afetados; categoria e quantidade de dados afetados, consequências do incidente para os titulares e a entidade, criticidade e probabilidade; além disso, é necessário preservar todas as evidências do incidente;
II - comunicar a Encarregada de Dados Pessoais do Câmara Municipal de Jacuí/MG a existência do incidente, caso envolva dados pessoais;
III - comunicar a Encarregada de Dados da Câmara Municipal de Jacuí/MG, nos termos da LGPD, a existência do incidente, caso envolva dados pessoais;
IV - comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular de dados pessoais, conforme art. 48 da LGPD, a existência do incidente;
V - comunicar ao Departamento de Tecnologia da Informação e de Comunicação, em caso de incidentes na infraestrutura de tecnologia de informação;
VI - emitir o relatório final com todas as informações coletadas, as ações realizadas para o tratamento efetivo do evento e as considerações necessárias para promover a melhoria contínua no atendimento de incidentes e para atualizar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
Art. 5º - É dever do servidor, estagiário ou terceirizado da Câmara Municipal de Jacuí/MG que tenha ciência de evento que possa configurar incidente de segurança, comunicá-lo imediatamente a Encarregada de Dados preenchendo o Formulário disponível no Anexo II deste instrumento, bem como no site através de link inserido na página que trata da LGPD.
Art. 6º - É facultado a qualquer interessado que tenha ciência de evento que possa configurar um incidente de segurança, a comunicação a Encarregada de Dados, preenchendo o Formulário disponível no Anexo II deste instrumento, bem como no site através de link inserido na página que trata da LGPD.
Art. 7º - Nas hipóteses dos artigos 3º e 4º, o comunicante deverá fornecer as seguintes informações:
I - nome completo, identidade, nº de inscrição no CPF/ CNPJ, conforme o caso, telefone e e-mail;
II - descrição resumida do suposto incidente;
III - motivos pelos quais entende que o suposto incidente tenha relação com a gestão de dados do Ministério Público do Estado do Rio de Janeiro;
IV - data do suposto incidente ou data provável, caso não tenha certeza da data;
V - caso o comunicado não tenha sido feito imediatamente após o suposto incidente ou sua ciência, a justificativa para a demora;
VI - apontamento de dados pessoais dos quais seja titular, que o comunicante suspeita tenham sido atingidos pelo incidente, se houver;
VII - se possível for a identificação, o apontamento de dados pessoais de terceiros que o comunicante suspeita tenham sido atingidos pelo incidente, se houver;
VIII - se possível for a identificação, quantidade de titulares de dados pessoais que o comunicante estima tenham sido atingidos pelo incidente;
IX - se possível for, a identificação e a natureza da relação entre os titulares de dados supostamente atingidos e o controlador.
§ 1º - A critério da encarregada de Dados Pessoais da Câmara Municipal de Jacuí/MG, o OPERADOR E/OU OPERADORES poderão ser provocado a colaborar na investigação do incidente devendo fornecer todas as informações necessárias para o esclarecimento e apuração de responsabilidade em face do ocorrido.
§ 2º: A critério da encarregada de Dados Pessoais da Câmara Municipal de Jacuí/MG, o OPERADOR E/OU OPERADORES poderão ser provocado para contribuir na elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD), conforme a sensibilidade e o risco inerente dos serviços objeto do eventual contrato firmado entre operador e controlador, no tocante a dados pessoais.
Art. 8º - Caso a comunicação não contenha todos os requisitos previstos nos artigos 5º ou 6º, conforme o caso, desta Resolução, a Encarregada de Dados poderá solicitar ao comunicante a complementação das informações no prazo de 24 (vinte e quatro) horas.
Art. 9º - Após verificar o preenchimento dos requisitos do art. 7º ou 8º, conforme o caso, desta Resolução, a Encarregada de Proteção de Dados Pessoais deverá avaliar a veracidade e relevância do incidente, e, caso entenda que há elementos suficientes que possam comprovar a possibilidade de vazamento de dados, enviará o procedimento ao Departamento de Tecnologia da Informação e de Comunicação, para confirmação do possível vazamento e início da fase de triagem, análise e resposta.
Art. 10 - O Departamento de Tecnologia da Informação e de Comunicação apresentará PARECER sobre a possibilidade de comprovação do incidente reportado, e, em caso de confirmação, apresentará relatório do incidente ao Comitê Estratégico de Proteção de Dados Pessoais, do qual deverão constar:
I - a data e hora da detecção do incidente;
II - a data e hora do incidente e sua duração;
III - qual vulnerabilidade foi explorada no evento, abrangendo situações como acesso indevido aos dados pessoais; roubo de dados; ataques cibernéticos; erros de programação de aplicativos e sistemas internos; engenharia social; descartes indevidos; repasse de dados pessoais; roubo, venda e utilização de dados tutelados pela entidade; comprometimento de senhas de acesso;
IV - a fonte dos dados pessoais, assim considerado o meio pelo qual foram obtidos os dados pessoais, tais como preenchimento de formulário eletrônico ou não eletrônico por parte do titular, API, uso compartilhado de dados, XML e cookies;
V - a extensão do vazamento, assim considerada a descrição dos dados pessoais e as informações afetadas, tais como natureza e conteúdo dos dados pessoais, categoria e quantidade de dados e de titulares afetados;
VI - resumo do incidente de segurança com dados pessoais, com indicação da localização física e meio de armazenamento;
VII - avaliação do impacto ao titular, abrangendo possíveis consequências e efeitos negativos sobre os titulares dos dados afetados;
VIII - avaliação do impacto para a Instituição, abrangendo os impactos que o incidente pode gerar a Câmara Municipal de Jacuí/MG como perda de confiabilidade do cidadão, ações judiciais, danos à imagem da Instituição em âmbito nacional e internacional, e impacto total ou parcial nas atividades desenvolvidas;
IX - resumo das medidas técnicas implementadas até o momento para controlar os possíveis danos;
X - possíveis problemas de natureza transfronteiriça (travessia de uma fronteira político-territorial);
XI - outras informações úteis às pessoas afetadas para proteger seus dados ou prevenir possíveis danos.
Parágrafo único – O Departamento de Tecnologia da Informação e de Comunicação deverá apresentar RELATÓRIO com a maior brevidade possível e, de preferência, no prazo indicativo de 1 (um) dia útil, contado da data do conhecimento do incidente, sem prejuízo de posterior complementação.
Art. 11 - Recebido o relatório do Departamento de Tecnologia da Informação e de Comunicação, e coletada as demais informações necessárias, o Encarregado pela Proteção de Dados Pessoais da Câmara Municipal de Jacuí/MG comunicará à Autoridade Nacional de Proteção de Dados (ANPD) a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.
§ 1º - A avaliação acerca da relevância do risco ou dano será feita com cautela e em atenção aos princípios da prevenção, responsabilização e prestação de contas, de modo que, em caso de dúvida, a comunicação à ANPD deverá ser realizada.
§ 2º - A comunicação será feita, de preferência, no prazo indicativo de 2 (dois) dias úteis, seguindo os termos da Lei Geral de Proteção de Dados Pessoais, salvo circunstâncias excepcionais, contados da data do conhecimento do incidente, sem prejuízo de posterior complementação.
§ 3º - A comunicação deverá conter as informações exigidas no art. 48, § 1º, da Lei nº 13.709/18 e no formulário de informe de incidentes de segurança da ANPD, incluindo:
I - identificação e dados de contato da Encarregada de Dados;
II - indicação se a notificação é completa ou parcial e, em caso de comunicação parcial, indicar se o caso versa sobre uma comunicação preliminar ou uma comunicação complementar;
III - data e hora da detecção do incidente;
IV - data e hora do incidente e sua duração;
V - circunstâncias em que ocorreu a violação de segurança de dados pessoais, tais como: perda, roubo, cópia e vazamento;
VI - descrição dos dados pessoais e das informações afetadas, tais como natureza e conteúdo dos dados pessoais, categoria e quantidade de dados e de titulares afetados;
VII - resumo do incidente de segurança com dados pessoais, com indicação da localização física e meio de armazenamento;
VIII - possíveis consequências e efeitos negativos sobre os titulares dos dados afetados;
IX - medidas de segurança, técnicas e administrativas, de caráter preventivo, tomadas pelo controlador de acordo com a LGPD;
X - resumo das medidas implementadas até o momento para controlar os possíveis danos;
XI - possíveis problemas de natureza transfronteiriça;
XII - outras informações úteis às pessoas afetadas para proteger seus dados ou prevenir possíveis danos.
§ 4º - Caso não seja possível fornecer todas as informações no momento da comunicação preliminar, informações adicionais poderão ser fornecidas posteriormente, sendo que no momento da comunicação preliminar, deverá ser informado à ANPD se serão fornecidas mais informações posteriormente, bem como quais meios estão sendo utilizados para obtê-las, ressaltando-se que a ANPD também poderá requerer informações adicionais a qualquer momento.
Art. 12 –A Encarregada de Dados comunicará aos titulares a ocorrência de incidente de segurança relacionado a dados pessoais que possa acarretar risco ou dano relevante aos direitos e liberdades individuais dos titulares afetados.
§ 1º - Quando da avaliação da relevância do risco ou dano, deverão ser considerados com maior peso as situações em que o incidente:
I - envolver dados sensíveis ou de pessoas em situação de vulnerabilidade, como crianças e adolescentes; e
II - tiver potencial de ocasionar danos materiais ou morais, tais como discriminação, violação do direito à imagem e à reputação, fraudes financeiras e roubo de identidade.
§ 2º - Ainda no momento da avaliação da relevância do risco ou dano, deverá ser considerado o volume de dados envolvidos, o quantitativo de indivíduos afetados, a boa-fé e as intenções dos terceiros que tiveram acesso aos dados após o incidente e a facilidade de identificação dos titulares por terceiros não autorizados.
§ 3º - A comunicação aos titulares será realizada em prazo razoável e deverá indicar o seguinte:
I - as informações objeto do incidente;
II - se o titular de dados pessoais pode ser vítima de fraude em razão do incidente;
III - se o incidente foi devidamente comunicado às autoridades;
IV - a existência de medidas que o titular possa tomar em benefício da sua proteção;
V - onde o titular pode obter mais informações sobre o incidente.
§ 4º - Se, pela natureza do incidente, não for possível identificar individualmente os titulares afetados, devem ser comunicados todos os presentes na base de dados comprometida.
§ 5º - A depender da gravidade do incidente e do número de titulares afetados, a Encarregada de Dados Pessoais poderá recomendar a divulgação do fato no sítio eletrônico, nas redes sociais e em outros meios de comunicação oficiais da Câmara Municipal de Jacuí/MG, bem como a articulação junto à Ouvidoria para informe à sociedade civil.
Art. 13 – À Encarregada pelo Tratamento de Dados Pessoais caberá a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD);
I - quando houver infração à LGPD em decorrência do tratamento de dados pessoais por órgãos públicos, conforme dispõem os arts. 31 e 32 da LGPD, combinados;
II - a qualquer momento, sob determinação da ANPD, como preceitua o art. 38 da LGPD;
III - quando constatar a possibilidade de ocorrer impacto na privacidade dos dados pessoais.
Art. 14 Esta Resolução entra em vigor na data de sua publicação.
Câmara Municipal de Jacuí/MG aos 08 de novembro de 2024.
_____________________________________________
Hernane Lopes de Siqueira
Presidente da Câmara Municipal de Jacuí
______________________________________________
Célio Batista da Silva
Vice-Presidente da Câmara Municipal de Jacuí
________________________________________________
Paulo Antônio Soares
1ª Secretário da Câmara Municipal de Jacuí
JUSTIFICATIVA AO PROJETO DE RESOLUÇÃO Nº 34 DE 08 DE NOVEMBRO DE 2024
O presente Projeto de Resolução tem como objetivo estabelecer um conjunto sistemático de diretrizes para o enfrentamento e a remediação de incidentes de segurança relacionados a dados no âmbito da Câmara Municipal de Jacuí/MG. Mostra-se, portanto, crucial a adoção de um Plano de Resposta e Remediação de modo a garantir a integridade, a confidencialidade e a disponibilidade das informações gerenciadas.
Ademais, a imposição do cumprimento das orientações contidas no Anexo I deste Projeto de Resolução promove a uniformidade nas ações a serem tomadas, minimizando os impactos de possíveis incidentes. Tal iniciativa não apenas resguarda os dados pessoais, mas também reforça a confiança da população nas instituições públicas.
Por fim, a implementação deste plano reflete o compromisso desta Casa Legislativa com a proteção dos direitos dos cidadãos, conforme previsto na legislação vigente (Lei Geral de Proteção de Dados), contribuindo assim para um ambiente mais seguro e transparente para todos os interessados.
Câmara Municipal de Jacuí/MG aos 08 de novembro de 2024.
_____________________________________________
Hernane Lopes de Siqueira
Presidente da Câmara Municipal de Jacuí
______________________________________________
Célio Batista da Silva
Vice-Presidente da Câmara Municipal de Jacuí
________________________________________________
Paulo Antônio Soares
1ª Secretário da Câmara Municipal de Jacuí
ANEXO 1
Plano de Resposta e Remediação de Incidentes de Segurança de Dados da Câmara Municipal de Jacuí/MG.
1.DISPOSIÇOES GERAIS
INCIDENTE: evento, ação ou omissão que tenha permitido ou possa vir a permitir acesso não autorizado, interrupção ou mudança nas operações (inclusive pela tomada de controle), destruição, dano, deleção ou mudança da informação protegida, remoção ou limitação de uso da informação protegida ou, ainda, apropriação, disseminação e publicação indevida de informação protegida de algum ativo de informação crítico ou de alguma atividade crítica por um período de tempo inferior ao tempo objetivo de recuperação.
INCIDENTE DE SEGURANÇA: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores.
Nesse contexto, é importante que a organização crie critérios, com base na LGPD e nos normativos e nas orientações da ANPD, que definam o que é um incidente que possa acarretar risco ou dano relevante aos titulares. Especialmente nos incidentes que envolvam dados do titular, é importante que se elabore um procedimento para potenciais questionamentos que venham a surgir.
INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS: de acordo com a Autoridade Nacional de Proteção de Dados (ANPD), incidente de segurança à proteção de dados pessoais é qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação de dados pessoais, sendo acesso não autorizado, acidental ou ilícito que resulte em destruição, perda, alteração vazamento ou qualquer forma de tratamento de dados ilícita ou inadequada, que tem a capacidade de pôr em risco os direitos e as liberdades dos titulares dos dados pessoais. (https://www.gov.br/anpd/pt-br/assuntos/incidente-de-seguranca).
Anexo II
Formulário de Identificação de Incidente de Segurança com Dados Pessoais
Dados do Notificante / Representante Legal
Nome:
CNPJ/CPF:
Telefone:
E-mail:
Tipo de Comunicação
Completa
Todas as informações a respeito do incidente estão disponíveis e a comunicação aos titulares já foi realizada.
Preliminar
Nem todas as informações sobre o incidente estão disponíveis, justificadamente, ou a comunicação aos titulares ainda não foi realizada.
A complementação deverá ser encaminhada no prazo de 20 dias úteis a contar da data da comunicação – Art. 6º § 3º do Regulamento de Comunicação de Incidentes.
Complementar
Complementação de informações prestadas em comunicação preliminar.
Avaliação do Risco do Incidente
O incidente de segurança pode acarretar risco ou dano relevante aos titulares.
O incidente não acarretou risco ou dano relevante aos titulares. (Comunicação Complementar)
O risco do incidente aos titulares ainda está sendo apurado. (Comunicação Preliminar)
Justifique, se cabível, a avaliação do risco do incidente:
Da Ciência da Ocorrência do Incidente
Por qual meio se tomou conhecimento do incidente?
Identificado pelo próprio controlador.
Notificação do operador de dados.
Denúncia de titulares/terceiros.
Notícias ou redes sociais.
Notificação da ANPD.
Outros. (especifique)
Descreva, resumidamente, de que forma a ocorrência do incidente foi conhecida:
Caso o incidente tenha sido comunicado ao controlador por um operador, informe:
Dados do Operador
Razão Social / Nome:
CNPJ/CPF:
E-mail:
Da Tempestividade da Comunicação do Incidente
Informe as seguintes datas, sobre o incidente:
Quando ocorreu
Quando tomou ciência
Descrição do Incidente
Qual o tipo de incidente? (Informe o tipo mais específico)
Sequestro de Dados (ransomware) sem transferência de informações.
Sequestro de dados (ransomware) com transferência e/ou publicação de informações.
Exploração de vulnerabilidade em sistemas de informação.
Vírus de Computador / Malware.
Roubo de credenciais / Engenharia Social.
Violação de credencial por força bruta.
Publicação não intencional de dados pessoais.
Divulgação indevida de dados pessoais.
Envio de dados a destinatário incorreto.
Acesso não autorizado a sistemas de informação.
Negação de Serviço (DoS).
Alteração/exclusão não autorizada de dados.
Perda/roubo de documentos ou dispositivos eletrônicos.
Descarte incorreto de documentos ou dispositivos eletrônicos.
Falha em equipamento (hardware).
Falha em sistema de informação (software).
Outro tipo de incidente cibernético.
(especifique abaixo)
Outro tipo de incidente não cibernético.
(especifique abaixo)
Descreva, resumidamente, como ocorreu o incidente:
Explique, resumidamente, por que o incidente ocorreu (identifique a causa raiz, se conhecida):
Que medidas foram adotadas para corrigir as causas do incidente?
Impactos do Incidente Sobre os Dados Pessoais
De que forma o incidente afetou os dados pessoais (admite mais de uma marcação):
Confidencialidade
Houve acesso não autorizado aos dados, violando seu sigilo.
Integridade
Houve alteração ou destruição de dados de maneira não autorizada ou acidental.
Disponibilidade
Houve perda ou dificuldade de acesso aos dados por período significativo.
Se aplicável, quais os tipos de dados pessoais sensíveis foram violados? (admite mais de uma marcação)
Origem racial ou étnica.
Convicção religiosa.
Opinião política.
Referente à saúde.
Biométrico.
Genético.
Referente à vida sexual.
Filiação a organização sindical, religiosa, filosófica ou política.
Se aplicável, descreva os tipos de dados pessoais sensíveis violados:
Quais os demais tipos de dados pessoais violados? (admite mais de uma marcação)
Dados básicos de identificação
(ex: nome, sobrenome, data de nascimento, matrícula)
Número de documentos de identificação oficial.
(ex: RG, CPF, CNH, passaporte)
Dados de contato.
(ex: telefone, endereço, e-mail)
Dados de meios de pagamento.
(ex: cartão de crédito/débito)
Cópias de documentos de identificação oficial.
Dados protegidos por sigilo profissional/legal.
Dado financeiro ou econômico.
Nomes de usuário de sistemas de informação.
Dado de autenticação de sistema. (ex: senhas, PIN ou tokens)
Imagens / Áudio / Vídeo
Dado de geolocalização.
(ex: coordenadas geográficas)
Outros (especifique abaixo)
Descreva os tipos de dados pessoais não sensíveis violados:
Quais a categorias de titulares foram afetadas pelo incidente? (admite mais de uma marcação)
Funcionários.
Prestadores de serviços.
Estudantes/Alunos.
Clientes/Cidadãos.
Usuários.
Inscritos/Filiados.
Pacientes de serviço de saúde.
Ainda não identificadas.
Outros. (especifique abaixo)
Quais as prováveis consequências do incidente para os titulares? (admite mais de uma marcação)
Danos morais.
Danos materiais.
Violação à integridade física
Discriminação social.
Danos reputacionais.
Roubo de identidade.
Engenharia social / Fraudes.
Limitação de acesso a um serviço.
Exposição de dados protegidos por sigilo profissional/legal.
Restrições de direitos.
Perda de acesso a dados pessoais.
Outros (especifique abaixo).
Declaro, sob as penas da lei, serem verdadeiras as informações prestadas acima.
<ASSINATURA>
Câmara Municipal de Jacuí/MG aos 08 de novembro de 2024.
_____________________________________________
Hernane Lopes de Siqueira
Presidente da Câmara Municipal de Jacuí
______________________________________________
Célio Batista da Silva
Vice-Presidente da Câmara Municipal de Jacuí
________________________________________________
Paulo Antônio Soares
1ª Secretário da Câmara Municipal de Jacuí