Incidente de segurança com dados pessoais

---

São atividades relacionadas a incidentes de segurança com dados pessoais: comunicação, avaliação e adoção de medidas.

Para o bom desempenho dessa atividade, segue abaixo o procedimento operacional padrão a ser adotado.

Quem faz?

1. Servidor ou colaborador que identificou o incidente, lotado em qualquer setor do DETRAN/AL
2. Comissão Permanente da Lei Geral de Proteção de Dados Pessoais – CPLGPD

Passo-a-passo

🔹 Comunicar incidente de segurança

Esta atividade é executado pelo servidor ou colaborador que identificou o incidente de segurança.

1. Acesse o link https://sei.al.gov.br/
2. Efetue login no sistema
3. No menu lateral esquerdo, clique em Iniciar processo
4. Escolha o tipo do processo SEI LGPD: Incidente de Segurança com Dados Pessoais
5. Preencha os campos
   • Especificação: Descreva a especificação do processo
   • Classificação por assunto: 001 – Modernização e reforma administrativa
   • Interessados: Indique o setor ou pessoa que está comunicando o incidente
   • Nível de acesso: público
   • Os demais são opcionais
6. Clique em Salvar
7. No menu superior, clique em Incluir documento
8. Escolha o tipo do documento SEI Comunicação de Incidente de Segurança
9. Preencha os campos com nível de acesso Restrito: LGPD: Dados Pessoais (Inciso I, Art. 5º da Lei nº 13.709/2018)
10. Clique em Confirmar dados
11. Preencha todos os campos do documento
12. Clique em Salvar
13. Clique em Assinar e assine eletronicamente o documento SEI
14. Poderão ser anexados ainda documentos comprobatórios.
15. No menu superior, clique em Enviar processo
16. Preencha os campos
    • Unidades: CPLGPD DETRAN
17. Clique em Enviar

🔹 Recepcionar incidente de segurança

Esta atividade é executada pela Comissão LGPD

1. Acesse o link https://sei.al.gov.br/
2. Efetue login no sistema
3. Localize e abra o processo do incidente de segurança
4. Localize a Comunicação de Incidente de Segurança
5. No menu superior, clique em Incluir documento
6. Escolha o tipo do documento SEI Despacho
7. Preencha os campos com nível de acesso Restrito: LGPD: Dados Pessoais (Inciso I, Art. 5º da Lei nº 13.709/2018)
8. Escreva o despacho com as orientações ou encaminhamentos que precisam ser feitos
9. Clique em Salvar
10. Clique em Assinar e assine eletronicamente o documento SEI
11. No menu superior, clique em Enviar processo
12. Preencha os campos
    • Unidades: selecione o setor responsável por avaliar internamente o incidente de segurança
13. Clique em Enviar

Informações ou condições necessárias

1. Sistema SEI

1. Na abertura do processo SEI
   • Documento SEI Comunicação de Incidente de Segurança
   • Documentos comprobatórios do incidente
2. No decorrer do processo SEI
   • Documento SEI Despacho

Os modelos de documentos no SEI só podem ser acessados com login no sistema. Já os demais modelos, como formulários internos, só abrem em computadores conectados à rede do Estado (no trabalho ou via VPN).

1. Suporte técnico de tecnologia

• Projeto Implantação da LGPD

Textos e publicações

1. MGISP. Guia de Resposta a Incidentes de Segurança. (2023)

Vídeos

Base legal

• Decreto Estadual n.º 60.041, de 31 de julho de 2018, que dispõe sobre o regimento interno do Departamento Estadual de Trânsito de Alagoas – DETRAN/AL

Gestão documental

• Portaria DETRAN n.º 1.396, de 18 de agosto de 2014, que aprova o Plano de Classificação e Tabela de Temporalidade do DETRAN/AL
  • Alterada pela Portaria n.º 1084/2021
• Portaria AN/MGI nº 174, de 23 de setembro de 2024, que dispõe sobre o Código de Classificação e Tabela de Temporalidade e Destinação de Documentos relativos às atividades-meio do Poder Executivo Federal.
  • Orientação do Gabinete Civil: e-SIC 975/2023

Código	Descrição	Fase corrente	Fase intermediária	Destinação final
066.91	Controle do suporte técnico	5 anos	–	Eliminação

Inventário de dados pessoais

O Inventário de Dados Pessoais – IDP consiste no registro das operações de tratamento dos dados pessoais realizados pela instituição (Art. 37 da Lei 13.709/2018 – LGPD)

Agentes de tratamento e encarregado

Requisito	Descrição
Controlador	DETRAN/AL
Operador	Não há operador designado para tratamento de dados
Encarregado	Saiba mais

Natureza do tratamento

1. Os dados são coletados diretamente do titular de dados (colaborador) ou por encaminhamentos internos (cidadão);
2. Os dados são processados para fins de registro e análise de incidentes;
3. Os dados são armazenados em documento eletrônico SEI;
4. Os dados são compartilhados com operadores apenas quando este for o responsável pela resolução do incidente.
5. Os dados são eliminados em 5 anos.

Escopo

Requisito	Descrição
Dados pessoais tratados	Dados de identificação pessoal: nome do responsável pela comunicação, cargo do responsável pela comunicação, CPF do responsável pela comunicação, telefone do responsável pela comunicação e e-mail do responsável pela comunicação Poderão se tratados dados pessoais dos titulares conforme incidente
Quantidade de dados pessoais	5
Quantidade de dados pessoais sensíveis	0
Frequência	8h às 14h em dias úteis
Abrangência	Estadual
Categoria do titular	Colaborador: servidor, estagiário, jovens aprendizes, terceirizados, credenciados e conveniados Poderão ser tratados dados pessoais de crianças e adolescentes
Compartilhamento	Compartilhado com: operadores apenas quando este for o responsável pela resolução do incidente de segurança da informação Dados compartilhados: nome do responsável pela comunicação, cargo do responsável pela comunicação, CPF do responsável pela comunicação, telefone do responsável pela comunicação e e-mail do responsável pela comunicação Finalidade do compartilhamento: para resolução de incidentes de sua competência
Finalidade	Para comunicação de incidente de segurança visando a análise de vulnerabilidade, tratamento e avaliação de impacto
Resultados pretendidos para o titular de dados	Comunicar o incidente de segurança da informação
Benefícios esperados para o órgão, entidade ou para a sociedade	Gestão de incidentes de segurança da informação

Necessidade e proporcionalidade

Requisito	Descrição
Hipótese legal	Execução de políticas públicas (Art. 7º, III da LGPD)
Qualidade e minimização	Para melhor clareza de entendimento dos incidentes de segurança, poderá ser necessário o envio de dados pessoais ao suporte técnico. O envio desses dados deverá atender ao princípio da necessidade, “(…) com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”. (Art. 6º, III da LGPD)
Transferência internacional	Não há

Identificação e avaliação de riscos

Risco identificado	Medida adotada
R01 Acesso não autorizado	Medida 1 Treinamento para os usuários subirem os documentos como restritos Medida 2 Treinamento para uso de senhas seguras Medida 3 Responsabilização pelo compartilhamento de senhas