Resolução SEIA 84 - 16 de Julho de 2026

Publicado no Diário Oficial nº. 12193 de 24 de Julho de 2026

Súmula:

Estabelece as competências, os fluxos de trabalho e os critérios de articulação do Comitê Gestor de Proteção de Dados Pessoais – CGPD, do Grupo de Trabalho de Proteção de Dados Pessoais – GTPDP, do(a) Encarregado(a) pelo Tratamento dos Dados Pessoais e do(a) Encarregado(a) Adjunto(a) e Substituto(a) pelo Tratamento dos Dados Pessoais, no âmbito da Secretaria de Estado da Inovação e Inteligência Artificial – SEIA.

O SECRETÁRIO DE ESTADO DA INOVAÇÃO E INTELIGÊNCIA ARTIFICIAL, noexercício de suas atribuições legais conferidas pelo inciso II, do art. 90 da Constituição do Estado do Paraná e pelo art. 4º da Lei Estadual n.º 21.352, de 1º de janeiro de 2023, nomeado pelo Decreto Estadual nº 13.332/2026, de 14 de abril de 2026, e protocolo nº. 26.222.126-1, e considerando:

a Lei Federal nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), em especial seus arts. 5º, 37, 38, 41, 46, 47, 48 e 50; o art. 37, caput, da Constituição Federal, que impõe à Administração Pública o dever de eficiência, publicidade e legalidade no tratamento de informações; o Decreto Estadual nº 474, de 14 de dezembro de 2020, e sua alteração pelo Decreto Estadual nº 9.185, de 26 de outubro de 2021, que regulamentam a LGPD no âmbito da Administração Pública Estadual do Paraná; a Resolução CGE nº 13, de 3 de março de 2021, que disciplina a indicação do(a) Encarregado(a) pelo Tratamento dos Dados Pessoais nos órgãos do Poder Executivo do Paraná; as diretrizes da Autoridade Nacional de Proteção de Dados – ANPD para estruturação de programas de governança em privacidade (art. 50, § 2º, I, da LGPD); a necessidade de estabelecer com clareza as competências, os limites de atuação entre as instâncias do programa de governança de dados pessoais da SEIA, de modo a prevenir sobreposições, lacunas e conflitos de atribuição.

CAPÍTULO I

DAS DISPOSIÇÕES GERAIS

Art. 1º Esta Resolução estabelece as competências e os mecanismos de articulação entre o Comitê Gestor de Proteção de Dados Pessoais – CGPD, o Grupo de Trabalho de Proteção de Dados Pessoais – GTPDP, o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais e o(a) Encarregado(a) Adjunto(a) e substituto(a) pelo Tratamento dos Dados Pessoais, no âmbito da Secretaria de Estado da Inovação e Inteligência Artificial – SEIA.

Art. 2º Para os fins desta Resolução, aplicam-se as definições previstas no art. 5º da Lei Federal nº 13.709, de 14 de agosto de 2018 – Lei Geral de Proteção de Dados Pessoais (LGPD), bem como as seguintes:

I - Encarregado(a) pelo Tratamento dos Dados Pessoais: instância de coordenação técnica e metodológica do programa de governança de dados pessoais da SEIA, responsável pela orientação normativa, pela interlocução com a Autoridade Nacional de Proteção de Dados – ANPD e com os titulares de dados pessoais, nos termos do art. 41 da LGPD, da Resolução CGE nº 13/2021 e demais normas aplicáveis, atuando como elo de articulação entre o Comitê Gestor de Proteção de Dados Pessoais – CGPD e o Grupo de Trabalho de Proteção de Dados Pessoais – GTPDP;

II - Encarregado(a) Adjunto(a) e Substituto(a) pelo Tratamento dos Dados Pessoais: instância de apoio permanente ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais, com atribuições de suporte técnico-operacional, representação interna e substituição integral do(a) titular nos casos de ausência, impedimento ou vacância;

III – Comitê Gestor de Proteção de Dados Pessoais – CGPD: instância consultiva, propositiva e de alta governança em proteção de dados pessoais, responsável pela orientação estratégica, aprovação de políticas, deliberação sobre temas relevantes e monitoramento da conformidade institucional;

IV – Grupo de Trabalho de Proteção de Dados Pessoais – GTPDP: instância técnica e operacional de apoio à implementação da LGPD, responsável pela execução, acompanhamento e suporte às atividades práticas de adequação e manutenção da conformidade em proteção de dados pessoais.

CAPÍTULO II

DO COMITÊ GESTOR DE PROTEÇÃO DE DADOS PESSOAIS – CGPD

Seção I – Natureza

Art. 3º O CGPD é instância consultiva, propositiva e de alta governança em proteção de dados pessoais, sem caráter executivo ou operacional, com a missão de orientar estrategicamente a SEIA no cumprimento da LGPD e demais normas aplicáveis.

§ 1º O caráter consultivo do CGPD fundamenta-se nos arts. 37 e 74 da Constituição Federal, que impõem à Administração Pública a organização de sistemas internos de controle e orientação, e no art. 50, § 2º, inciso I, alínea “a”, da LGPD, que prevê a adoção de políticas e salvaguardas por meio de estruturas de governança com funções de orientação, avaliação e monitoramento

2º A composição do CGPD deve ser preferencialmente formada por gestores e ocupantes de posições de liderança nas unidades organizacionais da SEIA, em razão de que:

a) a efetividade das políticas de privacidade depende do engajamento e da autoridade decisória dos gestores em suas respectivas áreas, nos termos do 37, caput, da Constituição Federal;

b) a responsabilização pelo tratamento de dados pessoais recai sobre o controlador – no caso, a SEIA enquanto órgão público –, devendo seus representantes internos deter poderes suficientes para adotar medidas corretivas, nos termos do art. 46 da LGPD;

II Seção – Competências do CGPD

Art. 4º Compete ao CGPD:

I – orientar estrategicamente a SEIA quanto à implementação da LGPD e das normas de proteção de dados aplicáveis ao setor público;

II – propor e aprovar políticas, normas internas e regulamentos relacionados à proteção de dados pessoais, com base nas minutas elaboradas pelo GTPDP e revisadas pelo(a) Encarregado(a) pelo Tratamento dos Dados Pessoais;

III - deliberar sobre medidas corretivas estruturais decorrentes de incidentes de segurança com dados pessoais, com base no relatório técnico apresentado pelo(a) Encarregado(a) pelo Tratamento dos Dados Pessoais;

IV - aprovar o Plano Anual de Capacitação e Conscientização em proteção de dados pessoais, bem como os critérios de capacitação contínua de seus membros, proposto pelo(a) Encarregado(a) com o apoio operacional do GTPDP;

V – monitorar e avaliar, periodicamente, o cumprimento da LGPD e o desempenho do programa de governança de dados pessoais da SEIA;

VI - propor diretrizes para o aprimoramento contínuo dos mecanismos de proteção de dados pessoais da SEIA, nos termos do art. 50, § 2º, I, da LGPD.

Parágrafo único. As decisões e diretrizes propostas pelo CGPD serão submetidas ao Secretário de Estado da Inovação e Inteligência Artificial para aprovação e formalizadas por meio da publicação de Resoluções ou Portarias.

CAPÍTULO III

DO GRUPO DE TRABALHO DE PROTEÇÃO DE DADOS PESSOAIS – GTPDP

Seção I – Natureza

Art. 5º O GTPDP é instância técnica e operacional, de caráter complementar ao CGPD, com a missão de executar as atividades práticas de implementação da LGPD na SEIA, sob orientação do(a) Encarregado(a) pelo Tratamento dos Dados Pessoais e alinhado às diretrizes aprovadas pelo CGPD.

Seção II – Competências do GTPDP

Art. 6º Compete ao GTPDP

I - executar o mapeamento e o inventário dos fluxos de tratamento de dados pessoais nas unidades organizacionais da SEIA;

II – elaborar os Relatórios de Impacto à Proteção de Dados Pessoais – RIPD;

III - apoiar a adequação de sistemas, processos, formulários e fluxos de trabalho às

IV – auxiliar operacionalmente no atendimento de solicitações de titulares de dados;

V - atuar na fase técnica e operacional da resposta a incidentes de segurança com dados pessoais, compreendendo as etapas de apuração, contenção e documentação do incidente, e a proposição de medidas imediatas ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais;

VI - produzir conteúdos, materiais e executar as ações de capacitação e conscientização prevista no Plano aprovado no Plano Anual pelo CGPD;

VII - manter atualização contínua em proteção de dados pessoais, sendo exigida a comprovação de participação em cursos, treinamentos ou eventos na área como condição para ingresso e permanência no GTPDP.

§ 1º Para fins de ingresso no GTPDP, o membro designado deverá concluir curso, treinamento ou evento na área de proteção de dados pessoais, com carga horária mínima de 2 (duas) horas, e apresentar o respectivo certificado ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais no prazo de até 30 (trinta) dias corridos contados da data de publicação de sua designação, sob pena de desligamento

§ 2º Para fins de permanência no GTPDP, cada membro deverá comprovar, semestralmente, a realização de capacitação contínua em temas relacionados à Lei Geral de Proteção de Dados Pessoais (LGPD), por meio de cursos, treinamentos, palestras, seminários ou eventos correlatos, com carga horária mínima obrigatória de 2 (duas) horas por semestre

§ 3º Os certificados ou comprovantes de participação deverão ser apresentados ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais para fins de registro e controle de conformidade

§ 4º Como medida de incentivo ao desenvolvimento profissional e ao aprimoramento técnico do Grupo, recomenda-se que os membros busquem atingir a meta de 10 (dez) horas de capacitação a cada semestre.

§ 5º A título exemplificativo, os membros poderão utilizar a oferta formativa da Escola de Gestão do Paraná – EGP para o cumprimento das metas de capacitação,sem prejuízo da participação em outras ações compatíveis com a temática de proteção de dados pessoais.

§ 6º A avaliação da participação ativa de cada membro no GTPDP considerará, cumulativamente: a assiduidade nas reuniões e atividades do Grupo, ressalvadas as ausências justificadas por férias, atestado médico ou outros motivos;o cumprimento das entregas e atividades atribuídas no âmbito do GTPDP, nos prazos estabelecidos

§ 7º O membro que deixar de cumprir as exigências previstas nos § 1º, 2º e 3º estará sujeito ao desligamento do GTPDP.

CAPÍTULO IV

DO(A) ENCARREGADO(A) PELO TRATAMENTO DOS DADOS PESSOAIS

Art. 7º O(A) Encarregado(a) pelo Tratamento dos Dados Pessoais titular e o(a) Encarregado(a) Adjunto(a) e Substituto(a) são designados(as) por Resolução SEIA específica, nos termos do art. 41 da Lei Federal nº 13.709/2018 e da Resolução CGE nº 13/2021.

Art. 8º Compete ao(à) Encarregado(a) pelo Tratamento de Dados Pessoais, além das atribuições previstas no art. 41 da LGPD e na Resolução CGE nº 13/2021:

I – participar do programa de governança de dados pessoais da SEIA, articulando as ações do CGPD e do GTPDP;

II - orientar os trabalhos do GTPDP, garantindo alinhamento com as diretrizes aprovadas pelo CGPD;

III - revisar os produtos elaborados pelo GTPDP antes de submetê-los ao CGPD para deliberação;

IV – responder e assinar as comunicações dirigidas a titulares de dados e à ANPD;

V - decidir sobre a comunicação de incidentes de segurança à ANPD, nos termos do art. 48 da LGPD, com base no relatório técnico do GTPDP

VI - expedir orientações, notas técnicas e comunicados internos sobre proteção de dados pessoais.

CAPÍTULO V

DOS FLUXOS DE TRABALHO E ARTICULAÇÃO ENTRE AS INSTÂNCIAS

Seção I – Fluxo Geral

Art. 9º O fluxo entre as instâncias obedece à seguinte sequência:

I - o GTPDP executa a atividade técnica ou operacional e entrega o produto ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais;

II - o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais revisa, valida e, quando necessário, submete ao CGPD para deliberação;

III - o CGPD delibera, aprova ou devolve com orientações;

IV - o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais dará cumprimento à deliberação do CGPD, adotando as providências necessárias de publicação, comunicação institucional ou divulgação aos servidores;

V - o GTPDP executa as medidas decorrentes da deliberação.

Seção II – Fluxo de Resposta a Incidentes de Segurança

Art. 10 Em caso de incidente de segurança que envolva dados pessoais, o fluxo de resposta observará as seguintes etapas, nos termos do art. 48 da LGPD:

I - identificação: qualquer servidor, colaborador ou terceiro que tome conhecimento de um incidente de segurança ou indício de vazamento comunicará imediatamente ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais;

II. contenção e apuração: o GTPDP, acompanhado do(a) Encarregado(a) pelo Tratamento dos Dados Pessoais e em articulação com a área de Tecnologia da Informação, adotará medidas técnicas imediatas de contenção e apresentará relatório técnico preliminar sobre a extensão do incidente no prazo máximo de 24 (vinte e quatro) horas;

III - avaliação: o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais avalia o risco aos titulares, com base no relatório do GTPDP;

IV - comunicação: quando cabível, o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais elabora e assina as comunicações à ANPD e aos titulares afetados, em nome da SEIA, observando o prazo regulamentar de 3 (três) dias úteis estabelecido na Resolução CD/ANPD nº 15/2024, contado do conhecimento de que o incidente afetou dados pessoais que possam acarretar risco ou dano relevante aos titulares;

V - deliberação corretiva: o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais apresenta o caso ao CGPD, que delibera sobre medidas corretivas estruturais;

VI – implementação: o GTPDP, em conjunto com as áreas afetadas, executará as medidas corretivas estruturais aprovadas pelo CGPD nos prazos por ele estipulados.

Seção III – Fluxo de Atendimento a Titulares de Dados

Art. 11 O atendimento às solicitações de titulares de dados, nos termos dos arts. 17 a 22 da LGPD, observará o seguinte fluxo:

I – o pedido é recebido por qualquer canal oficial da SEIA, incluindo o endereço eletrônico institucional e a Ouvidoria, e encaminhado ao(à) Encarregado(a) pelo Tratamento dos Dados Pessoais;

II - o GTPDP apoia operacionalmente o(a) Encarregado(a) pelo Tratamento de Dados Pessoais na triagem, classificação e instrução do pedido;

III - o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais analisa o pedido, verifica sua adequação aos direitos previstos na LGPD, elabora e assina a resposta;

IV – o(a) Encarregado(a) pelo Tratamento dos Dados Pessoais registra o atendimento e reporta ao CGPD, periodicamente, os indicadores de solicitações recebidas e respondidas.

Parágrafo único. A resposta ao titular é atribuição exclusiva do(a) Encarregado(a) pelo Tratamento dos Dados Pessoais, sendo vedado ao CGPD e ao GTPDP responder diretamente a solicitações de titulares de dados.

CAPÍTULO VI

DO QUADRO-SÍNTESE DE COMPETÊNCIAS

Art. 12 O quadro a seguir sintetiza a distribuição de competências entre as instâncias para os principais processos do programa de governança de dados pessoais da SEIA:

Processo GTPDP Encaregado (a) CGPD

Normas e políticas Elabora a minuta Revisa e submete Aprova e delibera

Mapeamento e inventário Executa Orienta e valida Homologa

RIPD Elabora Revisa e valida Homologa

Resposta a incidentes Apura e documenta Decide comunicação à ANPD Delibera corretivos estruturais

Atendimento a titulares Apoia operacionalmente Responde e assina Monitora indicadores

Capacitação e conscientização Produz e executa Coordena Aprova o Plano Anual

Capacitação contínua do GTPDP Cumpre e comprova Verifica e propõe desligamento Aprova critérios no Plano Anual

CAPÍTULO VII

DAS DISPOSIÇÕES FINAIS

Art. 13 Esta Resolução complementa os demais normativos internos relacionados à governança de dados, proteção de dados pessoais, segurança da informação e gestão de riscos, devendo ser aplicada em harmonia com eles. Em caso de conflito, prevalecerão as disposições da Lei Geral de Proteção de Dados Pessoais – LGPD e da regulamentação estadual pertinente.

Art. 14 O Programa de Governança de Dados Pessoais instituído por esta Resolução será submetido a processo de revisão sempre que sobrevierem novas diretrizes vinculantes da Autoridade Nacional de Proteção de Dados (ANPD).

Art. 15 Esta Resolução entra em vigor na data de sua publicação.

Curitiba, 16 de julho de 2026

Marcos Vitorio Stamm
Secretário de Estado da Inovação e Inteligência Artificial

Este texto não substitui o publicado no Diário Oficial do Estado

ANEXOS:

	Arquivo	Observações