O DIRETOR-GERAL DA CÂMARA DOS DEPUTADOS, no exercício das atribuições que lhe confere o art. 147, XV, da Resolução n. 20, de 30 de novembro de 1971, c/c o art. 274 do Regimento Interno, e considerando o disposto na Lei n. 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), na Política de Governança de Dados, instituída pela Portaria n. 226, de 23 de dezembro de 2025, resolve:

CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
     Art. 1º  Esta Portaria institui o procedimento de resposta a incidentes de segurança com dados pessoais no âmbito da Câmara dos Deputados (Procedimento).

     Art. 2º  O Procedimento tem por objetivo estabelecer diretrizes para a identificação, análise, tratamento e comunicação de incidentes de segurança envolvendo dados pessoais, assegurando a conformidade com a legislação e a mitigação de riscos institucionais.

     Art. 3º  O Procedimento aplica-se a:

     I - todos os sistemas de informação;

     II - todas as unidades administrativas;

     III - todos os dados pessoais tratados pela Câmara dos Deputados.

CAPÍTULO II
DAS RESPONSABILIDADES
     Art. 4º Compete à Diretoria de Inovação e Tecnologia da Informação (Ditec), no que diz respeito aos recursos de Tecnologia da Informação e Comunicação (TIC) sob sua responsabilidade, adotar as seguintes providências relativas a incidentes de cibersegurança relacionados a dados pessoais:

     I - identificar incidentes de segurança da informação;

     II - adotar medidas técnicas de contenção, mitigação e restauração;

     III - realizar análise técnica do incidente;

     IV - preservar evidências digitais, quando viável;

     V - providenciar o reestabelecimento dos níveis e condições de segurança cibernética definidos pela Câmara dos Deputados.

     § 1º Nos casos em que o incidente envolver sistemas, bases de dados ou infraestruturas não geridas pela Ditec, caberá à unidade responsável adotar as medidas técnicas correspondentes aos incisos I a IV.

     § 2º A Ditec não será responsável por recursos tecnológicos ou soluções mantidas sob gestão exclusiva de outras unidades administrativas ou de terceiros contratados por estas unidades.

     Art. 5º Compete aos gestores de dados:

     I - avaliar os dados pessoais afetados e as atividades de tratamento envolvidas;

     II - analisar os riscos decorrentes do incidente;

     III - apoiar a definição de medidas corretivas.

     Art. 6º Compete ao Centro de Documentação e Informação (Cedi):

     I - realizar a análise informacional;

     II - orientar quanto à retenção e preservação de dados;

     III - apoiar a rastreabilidade das informações.

     Art. 7º Compete ao Encarregado de Proteção de Dados Pessoais:

     I - avaliar o incidente sob a perspectiva regulatória;

     II - decidir quanto à necessidade de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares;

     III - coordenar as ações institucionais relacionadas ao incidente.

     Art. 8º Compete ao Grupo de Trabalho para proteção de dados pessoais (GT-LGPD):

     I - validar as análises realizadas;

     II - deliberar sobre medidas de governança;

     III - acompanhar a conformidade das ações adotadas.

CAPÍTULO III
DO PROCEDIMENTO DE RESPOSTA A INCIDENTES
     Art. 9º O procedimento de resposta a incidentes de segurança da informação com dados pessoais observará, no mínimo, as seguintes etapas:

     I - detecção/identificação do incidente, por qualquer unidade administrativa ou agente público;

     II - comunicação ao Encarregado de Proteção de Dados Pessoais, pela unidade que identificou o fato;

     III - acionamento do gestor de dados responsável, pelo Encarregado de Proteção de Dados Pessoais;

     IV - levantamento técnico, pela Ditec, quando envolver ativos sob sua responsabilidade, e pelo Cedi, quanto aos aspectos informacionais;

     V - análise preliminar da ocorrência, sob coordenação do Encarregado de Proteção de Dados Pessoais;

     VI - avaliação de risco à proteção de dados pessoais, conduzida pelo Encarregado de Proteção de Dados Pessoais com apoio do gestor de dados;

     VII - decisão quanto às providências administrativas e técnicas, sob coordenação do Encarregado de Proteção de Dados Pessoais;

     IX - registro da ocorrência, pelo Encarregado de Proteção de Dados Pessoais;

     X - atualização do Registro de Operações de Tratamento de Dados Pessoais (ROPA) e elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD), quando aplicável, sob responsabilidade do Encarregado de Proteção de Dados Pessoais, com apoio do gestor de dados;

     XI - deliberação de governança, pelo GT-LGPD, quando necessário;

     XII - comunicação à ANPD e aos titulares, quando cabível, pelo Encarregado de Proteção de Dados Pessoais;

     XIII - adoção de medidas corretivas, pela área responsável pelos recursos comprometidos, com apoio técnico da Ditec, quando for o caso.

CAPÍTULO IV
DA COMUNICAÇÃO DE INCIDENTES

     Art. 10. A comunicação de incidentes à ANPD deverá ocorrer em prazo razoável, observado o limite de até 3 (três) dias úteis a contar da ciência do incidente, nos termos da regulamentação vigente, contendo:

     I - a natureza e a categoria de dados pessoais afetados;

     II - o número de titulares afetados, discriminando, quando aplicável, o número de crianças, de adolescentes ou de idosos;

     III - as medidas técnicas e administrativas utilizadas para a proteção dos dados pessoais, adotadas antes e após o incidente;

     IV - os riscos relacionados ao incidente com identificação dos possíveis impactos aos titulares;

     V - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do incidente sobre os titulares;

     VI - a data da ocorrência do incidente, quando possível determiná-la, e a de seu conhecimento pelo controlador;

     VII - os dados do encarregado ou de quem represente o controlador;

     VIII - a identificação do controlador;

     IX - a identificação do operador, quando aplicável;

     X - a descrição do incidente, incluindo a causa principal, caso seja possível identificá-la.

     Art. 11. A comunicação aos titulares dos dados pessoais deverá ser realizada de forma clara, objetiva e adequada, contendo:

     I - a descrição do incidente;

     II - a natureza e a categoria dos dados pessoais afetados;

     III - os riscos envolvidos e os possíveis impactos aos titulares;

     IV - as medidas técnicas e administrativas adotadas para proteção de dados pessoais;

     V - a data de conhecimento do incidente;

     VI - o contato para obtenção de informações e, quando aplicável, os dados de contato do Encarregado de Proteção de Dados Pessoais.

CAPÍTULO V
DO REGISTRO

     Art. 12. O registro formal dos incidentes envolvendo dados pessoais será de responsabilidade do Encarregado de Proteção de Dados Pessoais, contando com informações fornecidas pelas unidades envolvidas.

     Parágrafo único. O registro deverá conter, no mínimo:

     I - identificação do incidente;

     II - descrição do incidente, indicando causa e impacto;

     III - dados afetados, indicando quantidade e categoria;

     IV - classificação de risco e possíveis impactos aos titulares;

     V - decisões adotadas.

CAPÍTULO VI
DAS DISPOSIÇÕES FINAIS

     Art. 13. O procedimento instituído por esta Portaria deverá observar:

     I - a Política de Governança de Dados;

     II - a Política de Segurança da Informação e Cibernética;

     III - as demais normas internas de segurança da informação;

     IV - a legislação e as normas internas de proteção de dados pessoais.

     Art. 14. Esta Portaria entra em vigor na data de sua publicação.

GUILHERME BARBOSA BRANDÃO
Diretor-Geral