--- title: Incidente de segurança com dados pessoais description: "**Atualizado em:** **Responsável pelo processo de negócio:** Comissão LGPD --- São atividades relacionadas a incidentes de segurança com dados pessoais: comunicação, avaliação e adoção de medidas. 💻 Saiba mais O art. 46 da LGPD estabelece que os agentes de tratamento…" url: "https://gestaodoconhecimento.detran.al.gov.br/assuntos/incidente-de-seguranca-com-dados-pessoais/" updated: "2025-04-02" category: Gestão da documentação e da informação tags: - Comissão Permanente da Lei Geral de Proteção de Dados Pessoais - Todos os setores --- # Incidente de segurança com dados pessoais **Atualizado em:** **Responsável pelo processo de negócio:** Comissão LGPD --- São atividades relacionadas a incidentes de segurança com dados pessoais: comunicação, avaliação e adoção de medidas. 💻 Saiba mais O art. 46 da LGPD estabelece que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, e que tais medidas de segurança deverão ser observadas desde a concepção do produto ou serviço até a sua execução. ([MGISP, 2023](http://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/ppsi/guia_resposta_incidentes.pdf)) ## Procedimento Para o bom desempenho dessa atividade, segue abaixo o **procedimento operacional padrão** a ser adotado. ### Quem faz? 1. Servidor ou colaborador que identificou o incidente, lotado em [qualquer setor](https://gestaodoconhecimento.detran.al.gov.br/assuntos-tag/todos-os-setores/) do DETRAN/AL 2. [Comissão Permanente da Lei Geral de Proteção de Dados Pessoais](https://gestaodoconhecimento.detran.al.gov.br/assuntos-tag/comissao-permanente-da-lei-geral-de-protecao-de-dados-pessoais/) - CPLGPD ### Passo-a-passo ![](https://gestaodoconhecimento.detran.al.gov.br/wp-content/uploads/fluxo-informacao-incidente.png) #### 🔹 Comunicar incidente de segurança Esta atividade é executado pelo servidor ou colaborador que identificou o incidente de segurança. 1. Acesse o link [https://sei.al.gov.br/](https://sei.al.gov.br/) 2. Efetue login no sistema 3. No menu lateral esquerdo, clique em **Iniciar processo** 4. Escolha o tipo do processo SEI **LGPD: Incidente de Segurança com Dados Pessoais** 5. Preencha os campos - **Especificação**: Descreva a especificação do processo - **Classificação por assunto**: 001 – Modernização e reforma administrativa - **Interessados**: Indique o setor ou pessoa que está comunicando o incidente - **Nível de acesso**: público - Os demais são opcionais 6. Clique em **Salvar** 7. No menu superior, clique em **Incluir documento** 8. Escolha o tipo do documento SEI **Comunicação de Incidente de Segurança** 9. Preencha os campos com nível de acesso **Restrito: LGPD: Dados Pessoais (Inciso I, Art. 5º da Lei nº 13.709/2018)** 10. Clique em **Confirmar dados** 11. Preencha todos os campos do documento 12. Clique em **Salvar** 13. Clique em **Assinar** e assine eletronicamente o documento SEI 14. Poderão ser anexados ainda documentos comprobatórios. 15. No menu superior, clique em **Enviar processo** 16. Preencha os campos - **Unidades**: CPLGPD DETRAN 17. Clique em **Enviar** #### 🔹 Recepcionar incidente de segurança Esta atividade é executada pela Comissão LGPD 1. Acesse o link [https://sei.al.gov.br/](https://sei.al.gov.br/) 2. Efetue login no sistema 3. Localize e abra o processo do incidente de segurança 4. Localize a ****Comunicação de Incidente de Segurança**** 5. No menu superior, clique em **Incluir documento** 6. Escolha o tipo do documento SEI **Despacho** 7. Preencha os campos com nível de acesso **Restrito: LGPD: Dados Pessoais (Inciso I, Art. 5º da Lei nº 13.709/2018)** 8. Escreva o despacho com as orientações ou encaminhamentos que precisam ser feitos 9. Clique em **Salvar** 10. Clique em **Assinar** e assine eletronicamente o documento SEI 11. No menu superior, clique em **Enviar processo** 12. Preencha os campos - **Unidades**: selecione o setor responsável por avaliar internamente o incidente de segurança 13. Clique em **Enviar** 💻 Saiba mais O Ministério da Gestão e da Inovação em Serviços Públicos publicou o [Guia de Resposta a Incidentes de Segurança](https://www.gov.br/governodigital/pt-br/privacidade-e-seguranca/ppsi/guia_resposta_incidentes.pdf). Este guia é especialmente recomendado para os órgãos e entidades da Administração Pública Federal (APF). Algumas orientações importantes incluem a avaliação interna, que prevê o levantamento de algumas informações: 1. **Vulnerabilidade explorada no evento:** quebre em categorias como acesso indevido aos dados, roubo de dados, ataques cibernéticos, erros de programação, engenharia social, descartes indevidos, repasse de dados pessoais, roubo e uso de dados, comprometimento de senhas, entre outros. 2. **Fonte dos dados pessoais:** como foram obtidos os dados, por exemplo, preenchimento de formulários, API, compartilhamento de dados, XML e cookies. 3. **Categoria de dados pessoais:** se são dados sensíveis ou dados de crianças e adolescentes. 4. **Extensão do vazamento:** quantifique os titulares e os dados comprometidos. 5. **Avaliação do impacto ao titular:** avalie os possíveis impactos do incidente para os titulares. ![](https://gestaodoconhecimento.detran.al.gov.br/wp-content/uploads/2023/09/image-1.png) Fonte: [MGISP, 2024](http://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/ppsi/guia_resposta_incidentes.pdf) ### Informações ou condições necessárias 1. Sistema SEI ### Documentos ou formulários necessários 1. Na abertura do processo SEI - Documento SEI **Comunicação de Incidente de Segurança** - Documentos comprobatórios do incidente 2. No decorrer do processo SEI - Documento SEI **Despacho** ``` Os modelos de documentos no SEI só podem ser acessados com login no sistema. Já os demais modelos, como formulários internos, só abrem em computadores conectados à rede do Estado (no trabalho ou via VPN). ``` ### Serviços relacionados 1. [Suporte técnico de tecnologia](https://gestaodoconhecimento.detran.al.gov.br/assuntos/controle-de-suporte-tecnico/) ## Conteúdo relacionado ### Inovação - Projeto [Implantação da LGPD](https://sei.al.gov.br/sei/modulos/pesquisa/md_pesq_processo_exibir.php?iI3OtHvPArITY997V09rhsSkbDKbaYSycOHqqF2xsM0IaDkkEyJpus7kCPb435VNEAb16AAxmJKUdrsNWVIqQ41zIdb561Ca7DAdO4tKU8rhIKF8G2hPp0oM7ryTtBEB) ### Textos e publicações 1. MGISP. [**Guia de Resposta a Incidentes de Segurança**](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/ppsi/guia_resposta_incidentes.pdf). (2023) ### Vídeos [Gestão de Incidentes de Segurança da Informação](https://www.youtube.com/embed/5ioqzGF6dn0?feature=oembed) [Estrutura de Segurança: Equipe de Prevenção, Tratamento e Respostas à Incidentes Cibernéticos (ETIR)](https://www.youtube.com/embed/DgZ9QUiFGNw?feature=oembed) ## Trilha de aprendizagem ![](https://cdn.evg.gov.br/cursos/1132_EVG/imagem_curso_1132.jpg) Segurança Cibernética: Controles 7 a 12 do CIS Controls [Saiba mais](https://www.escolavirtual.gov.br/curso/1132) ![](https://cdn.evg.gov.br/cursos/724_EVG/imagem_curso_724.png) Gestão de Riscos em Projetos de Transformação Digital [Saiba mais](https://www.escolavirtual.gov.br/programa/246/curso/724) ## Conformidade ### Base legal - [Decreto Estadual n.º 60.041, de 31 de julho de 2018](https://static.detran.al.gov.br/media/institucional/regimento_detran.pdf), que dispõe sobre o regimento interno do Departamento Estadual de Trânsito de Alagoas – DETRAN/AL ### Gestão documental - [Portaria DETRAN n.º 1.396, de 18 de agosto de 2014](https://gestaodoconhecimento.detran.al.gov.br/wp-content/uploads/2023/06/6.-PORTARIA.1396.2014-GDP.PLANO-DE-CLASSIFICACAO-E-TABELA-TEMPORALIDADE.pdf), que aprova o Plano de Classificação e Tabela de Temporalidade do DETRAN/AL - Alterada pela [Portaria n.º 1084/2021](https://sei.al.gov.br/sei/modulos/pesquisa/md_pesq_documento_consulta_externa.php?9LibXMqGnN7gSpLFOOgUQFziRouBJ5VnVL5b7-UrE5RLh9sGe_Q-Jt10c8I3s-3iZNLkGo07AT6mqr8fimtNMgNy71Vz5YlVpB6okdPNRhPwV3SuWv2sghDTqwhpA-mh) - [Portaria AN/MGI nº 174, de 23 de setembro de 2024](https://www.gov.br/arquivonacional/pt-br/servicos/gestao-de-documentos/orientacao-tecnica-1/codigo-de-classificacao-e-tabela-de-temporalidade-e-destinacao-de-documentos-de-arquivo/codigo-de-classificacao-e-tabela-de-temporalidade-e-destinacao-de-documentos-relativos-as-atividades-meio-do-poder-executivo-federal), que dispõe sobre o Código de Classificação e Tabela de Temporalidade e Destinação de Documentos relativos às atividades-meio do Poder Executivo Federal. - Orientação do Gabinete Civil: [e-SIC 975/2023](https://gestaodoconhecimento.detran.al.gov.br/wp-content/uploads/2023/06/e-SIC-Alagoas.pdf) | Código | Descrição | Fase corrente | Fase intermediária | Destinação final | | --- | --- | --- | --- | --- | | 066.91 | Controle do suporte técnico | 5 anos | - | Eliminação | ^O conteúdo desta tabela não substitui o publicado na versão certificada. ### Inventário de dados pessoais O Inventário de Dados Pessoais - IDP consiste no registro das operações de tratamento dos dados pessoais realizados pela instituição ([Art. 37 da Lei 13.709/2018 - LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm#:~:text=Art.%2037.%20O%20controlador%20e%20o%20operador%20devem%20manter%20registro%20das%20opera%C3%A7%C3%B5es%20de%20tratamento%20de%20dados%20pessoais%20que%20realizarem%2C%20especialmente%20quando%20baseado%20no%20leg%C3%ADtimo%20interesse.)) #### Agentes de tratamento e encarregado | Requisito | Descrição | | --- | --- | | Controlador | DETRAN/AL | | Operador | Não há operador designado para tratamento de dados | | Encarregado | [Saiba mais](https://www.detran.al.gov.br/conteudo/lgpd/#:~:text=A%C2%A0identidade%20e,al.gov.br) | ^Legenda: RIPD – Relatório de Impacto à Proteção de Dados. #### Natureza do tratamento 1. Os dados são **coletados** diretamente do titular de dados (colaborador) ou por encaminhamentos internos (cidadão); 2. Os dados são **processados** para fins de registro e análise de incidentes; 3. Os dados são **armazenados** em documento eletrônico SEI; 4. Os dados são **compartilhados** com operadores apenas quando este for o responsável pela resolução do incidente. 5. Os dados são **eliminados** em 5 anos. #### Escopo | Requisito | Descrição | | --- | --- | | Dados pessoais tratados | **Dados de identificação pessoal**: nome do responsável pela comunicação, cargo do responsável pela comunicação, CPF do responsável pela comunicação, telefone do responsável pela comunicação e e-mail do responsável pela comunicação Poderão se tratados dados pessoais dos titulares conforme incidente | | Quantidade de dados pessoais | 5 | | Quantidade de dados pessoais sensíveis | 0 | | Frequência | 8h às 14h em dias úteis | | Abrangência | Estadual | | Categoria do titular | **Colaborador**: servidor, estagiário, jovens aprendizes, terceirizados, credenciados e conveniados Poderão ser tratados dados pessoais de crianças e adolescentes | | Compartilhamento | **Compartilhado com**: operadores apenas quando este for o responsável pela resolução do incidente de segurança da informação **Dados compartilhados**: nome do responsável pela comunicação, cargo do responsável pela comunicação, CPF do responsável pela comunicação, telefone do responsável pela comunicação e e-mail do responsável pela comunicação **Finalidade do compartilhamento**: para resolução de incidentes de sua competência | | Finalidade | Para comunicação de incidente de segurança visando a análise de vulnerabilidade, tratamento e avaliação de impacto | | Resultados pretendidos para o titular de dados | Comunicar o incidente de segurança da informação | | Benefícios esperados para o órgão, entidade ou para a sociedade | Gestão de incidentes de segurança da informação | #### Necessidade e proporcionalidade | Requisito | Descrição | | --- | --- | | Hipótese legal | Execução de políticas públicas (Art. 7º, III da LGPD) | | Qualidade e minimização | Para melhor clareza de entendimento dos incidentes de segurança, poderá ser necessário o envio de dados pessoais ao suporte técnico. O envio desses dados deverá atender ao princípio da necessidade, *“(…) com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”*. (Art. 6º, III da LGPD) | | Transferência internacional | Não há | #### Identificação e avaliação de riscos | Risco identificado | Medida adotada | | --- | --- | | R01 Acesso não autorizado | Medida 1 Treinamento para os usuários subirem os documentos como restritos Medida 2 Treinamento para uso de senhas seguras Medida 3 Responsabilização pelo compartilhamento de senhas | | | | ## Histórico de versões Neste espaço são registradas alterações relevantes no conteúdo do documento, decorrentes de mudanças nos procedimentos ou ajustes necessários para fins de conformidade. Atualizações relacionadas a design, funcionalidades ou à sessão "Conteúdo relacionado" não são registradas aqui. | Data | Versão | Descrição | Autor | | --- | --- | --- | --- | | 02/04/2025 | 1.0 | Criação do documento | Comissão LGPD | | | | | |