norma nº 34/2024

ESTADO DE MINAS GERAIS
CÂMARA MUNICIPAL DE JACUÍ
CÂMARA MUNICIPAL DE JACUÍ
RESOLUÇÃO Nº 34/2024
RESOLUÇÃO Nº 34 DE 14 DE NOVEMBRO DE 2024
Institui o Plano de Resposta e Remediação de
Incidentes de Segurança de Dados da Câmara
Municipal de Jacuí/MG.
O PRESIDENTE DA CÂMARA MUNICIPAL DE
JACUÍ/MG, Estado de São Paulo, no uso de suas atribuições
legais,
CONSIDERANDO a previsão constitucional (art. 5º, inc.
LXXIX - incluído pela Emenda Constitucional nº 115/22), as
disposições da Lei nº 13.709/2018 (Lei Geral de Proteção de
Dados - LGPD), da Lei nº 12.965/2014 (Lei do Marco Civil da
Internet), da Lei nº 12.527/2011 (Lei de Aceso à Informação),
bem como as boas práticas de governança de dados e segurança
da informação;
CONSIDERANDO que os responsáveis pelo tratamento de
dados em desconformidade com a lei poderão incidir nas
sanções do regime jurídico próprio, da Lei de Improbidade
Administrativa, da Lei de Acesso à Informação e da Lei nº
13.709/18;
CONSIDERANDO que o art. 46 da Lei Geral de Proteção de
Dados Pessoais estabelece que os agentes de tratamento devem
adotar medidas de segurança, técnicas e administrativas aptas a
proteger os dados pessoais de acessos não autorizados e de
situações acidentais ou ilícitas de destruição, perda, alteração,
comunicação ou qualquer forma de tratamento inadequado ou
ilícito, e que tais medidas de segurança deverão ser observadas
desde a concepção do produto ou serviço até a sua execução;
CONSIDERANDO que o art. 48 da Lei Geral de Proteção de
Dados Pessoais prevê que o controlador deverá comunicar à
autoridade nacional e ao titular a ocorrência de incidente de
segurança que possa acarretar risco ou dano relevante aos
titulares;
CONSIDERANDO que o art. 50 da mesma lei estabelece que
controladores e operadores, no âmbito de suas competências,
poderão formular regras de boas práticas de governança para o
tratamento de dados pessoais; e o inciso I do § 2º do referido
artigo dispõe que deve ser implementado um Programa de
Governança em Privacidade que conte com planos de resposta
a incidentes e remediação;
CONSIDERANDO que a Câmara Municipal de Jacuí, tem
competência para deliberar através de resolução sobre assuntos
de autonomia interna, conforme determina o artigo 25, inciso
XXIII da Lei Orgânica Municipal;
A Câmara Municipal – MG, no uso de suas atribuições legais,
que lhes são conferidas pela Lei Orgânica Municipal, aprovou
e o Presidente da Câmara promulga a seguinte resolução:
Art. 1º Fica aprovada a Resolução que Institui o Plano de
Resposta e Remediação de Incidentes de Segurança de Dados
da Câmara Municipal de Jacuí/MG.
Art. 2º O Plano de Resposta e Remediação de Incidentes de
Segurança de Dados consiste de um documento interno que
deve ser amplamente conhecido por todos os
servidores/funcionários/colaboradores e que dispõe sobre as
medidas que devem ser adotadas no caso de um Incidente de
Segurança em Dados Pessoais, constante no Anexo I desta
Resolução.
Art. 3º A fim de conferir plena efetividade as medidas a serem
adotadas, todos os departamentos da Câmara Municipal de
Jacuí/MG deverão seguir as orientações contidas no Anexo I
desta Resolução.
Da Gestão de Incidentes de Segurança
Art. 4º - Caso ocorra incidente que coloque em risco a
segurança de dados pessoais, devem ser realizados os seguintes
procedimentos:
I - avaliar internamente o incidente com o objetivo de obter
informações iniciais sobre impacto do evento, natureza,
categoria e quantidade de titulares de dados pessoais afetados;
categoria e quantidade de dados afetados, consequências do
incidente para os titulares e a entidade, criticidade e
probabilidade; além disso, é necessário preservar todas as
evidências do incidente;
II - comunicar a Encarregada de Dados Pessoais do Câmara
Municipal de Jacuí/MG a existência do incidente, caso envolva
dados pessoais;
III - comunicar a Encarregada de Dados da Câmara Municipal
de Jacuí/MG, nos termos da LGPD, a existência do incidente,
caso envolva dados pessoais;
IV - comunicar à Autoridade Nacional de Proteção de Dados
(ANPD) e ao titular de dados pessoais, conforme art. 48 da
LGPD, a existência do incidente;
V - comunicar ao Departamento de Tecnologia da Informação e
de Comunicação, em caso de incidentes na infraestrutura de
tecnologia de informação;
VI - emitir o relatório final com todas as informações
coletadas, as ações realizadas para o tratamento efetivo do
evento e as considerações necessárias para promover a
melhoria contínua no atendimento de incidentes e para
atualizar o Relatório de Impacto à Proteção de Dados Pessoais
(RIPD).
Art. 5º - É dever do servidor, estagiário ou terceirizado da
Câmara Municipal de Jacuí/MG que tenha ciência de evento
que possa configurar incidente de segurança, comunicá-lo
imediatamente a Encarregada de Dados preenchendo o
Formulário disponível no Anexo II deste instrumento, bem
como no site através de link inserido na página que trata da
LGPD.
Art. 6º - É facultado a qualquer interessado que tenha ciência
de evento que possa configurar um incidente de segurança, a
comunicação a Encarregada de Dados, preenchendo o
Formulário disponível no Anexo II deste instrumento, bem
como no site através de link inserido na página que trata da
LGPD.
Art. 7º - Nas hipóteses dos artigos 3º e 4º, o comunicante
deverá fornecer as seguintes informações:
I - nome completo, identidade, nº de inscrição no CPF/ CNPJ,
conforme o caso, telefone e e-mail;
II - descrição resumida do suposto incidente;
III - motivos pelos quais entende que o suposto incidente tenha
relação com a gestão de dados do Ministério Público do Estado
do Rio de Janeiro;
IV - data do suposto incidente ou data provável, caso não tenha
certeza da data;
V - caso o comunicado não tenha sido feito imediatamente
após o suposto incidente ou sua ciência, a justificativa para a
demora;
VI - apontamento de dados pessoais dos quais seja titular, que
o comunicante suspeita tenham sido atingidos pelo incidente,
se houver;
VII - se possível for a identificação, o apontamento de dados
pessoais de terceiros que o comunicante suspeita tenham sido
atingidos pelo incidente, se houver;
VIII - se possível for a identificação, quantidade de titulares de
dados pessoais que o comunicante estima tenham sido
atingidos pelo incidente;
IX - se possível for, a identificação e a natureza da relação
entre os titulares de dados supostamente atingidos e o
controlador.
§ 1º - A critério da encarregada de Dados Pessoais da Câmara
Municipal de Jacuí/MG, o OPERADOR E/OU
OPERADORES poderão ser provocado a colaborar na
investigação do incidente devendo fornecer todas as
informações necessárias para o esclarecimento e apuração de
responsabilidade em face do ocorrido.
§ 2º: A critério da encarregada de Dados Pessoais da Câmara
Municipal de Jacuí/MG, o OPERADOR E/OU
OPERADORES poderão ser provocado para contribuir na
elaboração do Relatório de Impacto à Proteção de Dados
Pessoais (RIPD), conforme a sensibilidade e o risco inerente
dos serviços objeto do eventual contrato firmado entre
operador e controlador, no tocante a dados pessoais.
Art. 8º - Caso a comunicação não contenha todos os requisitos
previstos nos artigos 5º ou 6º, conforme o caso, desta
Resolução, a Encarregada de Dados poderá solicitar ao
comunicante a complementação das informações no prazo de
24 (vinte e quatro) horas.
Art. 9º - Após verificar o preenchimento dos requisitos do art.
7º ou 8º, conforme o caso, desta Resolução, a Encarregada de
Proteção de Dados Pessoais deverá avaliar a veracidade e
relevância do incidente, e, caso entenda que há elementos
suficientes que possam comprovar a possibilidade de
vazamento de dados, enviará o procedimento ao
Departamento de Tecnologia da Informação e de
Comunicação, para confirmação do possível vazamento e
início da fase de triagem, análise e resposta.
Art. 10 - O Departamento de Tecnologia da Informação e
de Comunicação apresentará PARECER sobre a
possibilidade de comprovação do incidente reportado, e, em
caso de confirmação, apresentará relatório do incidente ao
Comitê Estratégico de Proteção de Dados Pessoais, do qual
deverão constar:
I - a data e hora da detecção do incidente;
II - a data e hora do incidente e sua duração;
III - qual vulnerabilidade foi explorada no evento, abrangendo
situações como acesso indevido aos dados pessoais; roubo de
dados; ataques cibernéticos; erros de programação de
aplicativos e sistemas internos; engenharia social; descartes
indevidos; repasse de dados pessoais; roubo, venda e utilização
de dados tutelados pela entidade; comprometimento de senhas
de acesso;
IV - a fonte dos dados pessoais, assim considerado o meio pelo
qual foram obtidos os dados pessoais, tais como preenchimento
de formulário eletrônico ou não eletrônico por parte do titular,
API, uso compartilhado de dados, XML e cookies;
V - a extensão do vazamento, assim considerada a descrição
dos dados pessoais e as informações afetadas, tais como
natureza e conteúdo dos dados pessoais, categoria e quantidade
de dados e de titulares afetados;
VI - resumo do incidente de segurança com dados pessoais,
com indicação da localização física e meio de armazenamento;
VII - avaliação do impacto ao titular, abrangendo possíveis
consequências e efeitos negativos sobre os titulares dos dados
afetados;
VIII - avaliação do impacto para a Instituição, abrangendo os
impactos que o incidente pode gerar a Câmara Municipal de
Jacuí/MG como perda de confiabilidade do cidadão, ações
judiciais, danos à imagem da Instituição em âmbito nacional e
internacional, e impacto total ou parcial nas atividades
desenvolvidas;
IX - resumo das medidas técnicas implementadas até o
momento para controlar os possíveis danos;
X - possíveis problemas de natureza transfronteiriça (travessia
de uma fronteira político-territorial);
XI - outras informações úteis às pessoas afetadas para proteger
seus dados ou prevenir possíveis danos.
Parágrafo único – O Departamento de Tecnologia da
Informação e de Comunicação deverá apresentar
RELATÓRIO com a maior brevidade possível e, de
preferência, no prazo indicativo de 1 (um) dia útil, contado da
data do conhecimento do incidente, sem prejuízo de posterior
complementação.
Art. 11 - Recebido o relatório do Departamento de
Tecnologia da Informação e de Comunicação, e coletada as
demais informações necessárias, o Encarregado pela Proteção
de Dados Pessoais da Câmara Municipal de Jacuí/MG
comunicará à Autoridade Nacional de Proteção de Dados
(ANPD) a ocorrência de incidente de segurança que possa
acarretar risco ou dano relevante.
§ 1º - A avaliação acerca da relevância do risco ou dano será
feita com cautela e em atenção aos princípios da prevenção,
responsabilização e prestação de contas, de modo que, em caso
de dúvida, a comunicação à ANPD deverá ser realizada.
§ 2º - A comunicação será feita, de preferência, no prazo
indicativo de 2 (dois) dias úteis, seguindo os termos da Lei
Geral de Proteção de Dados Pessoais, salvo circunstâncias
excepcionais, contados da data do conhecimento do incidente,
sem prejuízo de posterior complementação.
§ 3º - A comunicação deverá conter as informações exigidas no
art. 48, § 1º, da Lei nº 13.709/18 e no formulário de informe de
incidentes de segurança da ANPD, incluindo:
I - identificação e dados de contato da Encarregada de Dados;
II - indicação se a notificação é completa ou parcial e, em caso
de comunicação parcial, indicar se o caso versa sobre uma
comunicação preliminar ou uma comunicação complementar;
III - data e hora da detecção do incidente;
IV - data e hora do incidente e sua duração;
V - circunstâncias em que ocorreu a violação de segurança de
dados pessoais, tais como: perda, roubo, cópia e vazamento;
VI - descrição dos dados pessoais e das informações afetadas,
tais como natureza e conteúdo dos dados pessoais, categoria e
quantidade de dados e de titulares afetados;
VII - resumo do incidente de segurança com dados pessoais,
com indicação da localização física e meio de armazenamento;
VIII - possíveis consequências e efeitos negativos sobre os
titulares dos dados afetados;
IX - medidas de segurança, técnicas e administrativas, de
caráter preventivo, tomadas pelo controlador de acordo com a
LGPD;
X - resumo das medidas implementadas até o momento para
controlar os possíveis danos;
XI - possíveis problemas de natureza transfronteiriça;
XII - outras informações úteis às pessoas afetadas para proteger
seus dados ou prevenir possíveis danos.
§ 4º - Caso não seja possível fornecer todas as informações no
momento da comunicação preliminar, informações adicionais
poderão ser fornecidas posteriormente, sendo que no momento
da comunicação preliminar, deverá ser informado à ANPD se
serão fornecidas mais informações posteriormente, bem
como quais meios estão sendo utilizados para obtê-las,
ressaltando-se que a ANPD também poderá requerer
informações adicionais a qualquer momento.
Art. 12 –A Encarregada de Dados comunicará aos titulares a
ocorrência de incidente de segurança relacionado a dados
pessoais que possa acarretar risco ou dano relevante aos
direitos e liberdades individuais dos titulares afetados.
§ 1º - Quando da avaliação da relevância do risco ou dano,
deverão ser considerados com maior peso as situações em que
o incidente:
I - envolver dados sensíveis ou de pessoas em situação de
vulnerabilidade, como crianças e adolescentes; e
II - tiver potencial de ocasionar danos materiais ou morais, tais
como discriminação, violação do direito à imagem e à
reputação, fraudes financeiras e roubo de identidade.
§ 2º - Ainda no momento da avaliação da relevância do risco
ou dano, deverá ser considerado o volume de dados
envolvidos, o quantitativo de indivíduos afetados, a boa-fé e
as intenções dos terceiros que tiveram acesso aos dados após
o incidente e a facilidade de identificação dos titulares por
terceiros não autorizados.
§ 3º - A comunicação aos titulares será realizada em prazo
razoável e deverá indicar o seguinte:
I - as informações objeto do incidente;
II - se o titular de dados pessoais pode ser vítima de fraude em
razão do incidente;
III - se o incidente foi devidamente comunicado às autoridades;
IV - a existência de medidas que o titular possa tomar em
benefício da sua proteção;
V - onde o titular pode obter mais informações sobre o
incidente.
§ 4º - Se, pela natureza do incidente, não for possível
identificar individualmente os titulares afetados, devem ser
comunicados todos os presentes na base de dados
comprometida.
§ 5º - A depender da gravidade do incidente e do número de
titulares afetados, a Encarregada de Dados Pessoais poderá
recomendar a divulgação do fato no sítio eletrônico, nas redes
sociais e em outros meios de comunicação oficiais da Câmara
Municipal de Jacuí/MG, bem como a articulação junto à
Ouvidoria para informe à sociedade civil.
Art. 13 – À Encarregada pelo Tratamento de Dados Pessoais
caberá a elaboração do Relatório de Impacto à Proteção de
Dados Pessoais (RIPD);
I - quando houver infração à LGPD em decorrência do
tratamento de dados pessoais por órgãos públicos, conforme
dispõem os arts. 31 e 32 da LGPD, combinados;
II - a qualquer momento, sob determinação da ANPD, como
preceitua o art. 38 da LGPD;
III - quando constatar a possibilidade de ocorrer impacto na
privacidade dos dados pessoais.
Art. 14 Esta Resolução entra em vigor na data de sua
publicação.
Câmara Municipal de Jacuí/MG aos 14 de novembro de 2024.
HERNANE LOPES DE SIQUEIRA
Presidente da Câmara Municipal de Jacuí
Publicado por:
Thalita Cintra de Pádua
Código Identificador:47A3A350
Matéria publicada no Diário Oficial dos Municípios Mineiros
no dia 19/11/2024. Edição 3900
A verificação de autenticidade da matéria pode ser feita
informando o código identificador no site:
https://www.diariomunicipal.com.br/amm-mg/