Regras de acesso, senha, backup, uso de e-mail e resposta a incidente. Não há lei que imponha o documento; a LGPD cobra o resultado que ele organiza.
Quando a Casa quer transformar em regra escrita o que hoje é hábito: quem tem acesso a quê, o que acontece quando um servidor sai, quem responde por um incidente.
Sendo honesto sobre a natureza deste documento: NÃO há lei federal que obrigue a Câmara Municipal a editar uma política de segurança da informação. O que existe é o art. 46 da LGPD, que impõe medidas técnicas e administrativas aptas a proteger dados pessoais, e o art. 48, que obriga a comunicar incidente relevante. A política é o instrumento usual para demonstrar esse cumprimento — não o cumprimento em si.
Vale especialmente para quem já teve susto: pendrive perdido, planilha de servidores por e-mail pessoal, sistema com senha compartilhada. É nesse momento que a política deixa de ser burocracia.
Baixar este modelo em Word (.docx) — formatado em padrão de documento oficial, sem cadastro.
ATO DA MESA Nº [número], DE [dia] DE [mês] DE [ano] Institui a Política de Segurança da Informação da Câmara Municipal de [Município]. A MESA DA CÂMARA MUNICIPAL DE [MUNICÍPIO], no uso de suas atribuições regimentais, e considerando o disposto nos arts. 46 a 48 da Lei nº 13.709, de 2018, resolve: Art. 1º Fica instituída a Política de Segurança da Informação da Câmara Municipal de [Município], aplicável a servidores, vereadores, estagiários, prestadores de serviço e a qualquer pessoa com acesso aos ativos de informação da Casa. Art. 2º São princípios da Política: I – confidencialidade; II – integridade; III – disponibilidade; IV – privilégio mínimo, concedendo-se o acesso estritamente necessário ao exercício da função; V – responsabilização pelo uso. CAPÍTULO — DO CONTROLE DE ACESSO Art. 3º O acesso a sistemas e a informações será individual, identificado e concedido mediante autorização do titular da unidade, com registro. § 1º É vedado o compartilhamento de credenciais. § 2º O desligamento, a cessão ou a mudança de função implicam revisão imediata dos acessos, no prazo de [X] dia(s). Art. 4º As senhas observarão requisitos mínimos de complexidade e serão trocadas [periodicidade]. Onde disponível, será adotada autenticação em dois fatores. CAPÍTULO — DO USO DOS RECURSOS Art. 5º Os equipamentos, o correio eletrônico e a rede da Câmara destinam-se ao exercício das funções institucionais. Art. 6º É vedado transmitir informação de acesso restrito por canal não institucional, inclusive aplicativos de mensagem e e-mail pessoal. CAPÍTULO — DA CÓPIA DE SEGURANÇA Art. 7º As informações institucionais serão objeto de cópia de segurança [periodicidade], com pelo menos uma cópia mantida fora das dependências da Câmara e teste de restauração [periodicidade]. Parágrafo único. Backup não testado não é considerado cópia de segurança para os fins deste Ato. CAPÍTULO — DOS INCIDENTES Art. 8º Todo incidente de segurança será comunicado imediatamente a [setor/cargo] e ao Encarregado pelo Tratamento de Dados Pessoais. Art. 9º Havendo incidente que possa acarretar risco ou dano relevante aos titulares, a Câmara comunicará a Autoridade Nacional de Proteção de Dados e os titulares, nos termos do art. 48 da Lei nº 13.709, de 2018. Art. 10. Os incidentes serão registrados, com a descrição, as medidas adotadas e as providências de prevenção de recorrência. CAPÍTULO — DISPOSIÇÕES FINAIS Art. 11. O descumprimento sujeita o infrator às sanções administrativas cabíveis, sem prejuízo das responsabilidades civil e penal. Art. 12. Esta Política será revista, no mínimo, [periodicidade]. Art. 13. Este Ato entra em vigor na data de sua publicação. [Município], [dia] de [mês] de [ano]. [Nome] — Presidente [Nome] — 1º Secretário [Nome] — 2º Secretário
Lei 13.709/2018 (LGPD), arts. 46, 47, 48 e 50; Lei 12.527/2011, art. 6º, III (proteção da informação sigilosa e pessoal). Não há norma federal que imponha ao Legislativo municipal a edição de política de segurança da informação.
O documento em si, não. O resultado que ele organiza, sim: o art. 46 da LGPD exige medidas de segurança e o art. 48 obriga a comunicar incidentes relevantes. A política é a forma usual de demonstrar que essas medidas existem.
Não há exigência de cargo específico. Em câmara pequena costuma recair sobre o setor de TI ou sobre o servidor responsável pelos sistemas, articulado com o Encarregado da LGPD, que tem papel distinto.
Não. A comunicação é devida quando o incidente possa acarretar risco ou dano relevante aos titulares (art. 48). Todos os incidentes, porém, devem ser registrados internamente — é o registro que permite avaliar a relevância.
Modelo de referência, para adaptação. Cada Casa tem seu Regimento Interno e sua Lei Orgânica, e é neles que estão o rito, os prazos e os quóruns aplicáveis. Confira o texto com a assessoria jurídica da Câmara antes de protocolar.