A PRESIDENTE DO TRIBUNAL REGIONAL ELEITORAL DO MARANHÃO, no uso de suas atribuições legais e regimentais,

CONSIDERANDO que a Emenda Constitucional nº 115/2022 elevou a proteção de dados pessoais à categoria de direito e garantia fundamental (Art. 5º, inciso LXXIX, da Constituição Federal);

CONSIDERANDO as disposições da Lei nº 13.709, de 14 de agosto de 2018  (Lei Geral de Proteção de Dados Pessoais - LGPD), em especial o seu Art. 50, que preconiza o estabelecimento de ações educativas e regras de boas práticas e governança;

CONSIDERANDO a Resolução CNJ nº 363, de 12 de janeiro de 2021, que institui as medidas de adequação à LGPD no âmbito do Poder Judiciário, bem como os critérios de avaliação do Ciclo de Monitoramento do Conselho Nacional de Justiça;

CONSIDERANDO as diretrizes de governança e os índices de maturidade estabelecidos pelo Tribunal de Contas da União (TCU) e pelo Tribunal Superior Eleitoral (TSE) para proteção de dados pessoais e manutenção da privacidade, a salvaguarda de ativos de informação e mitigação de riscos cibernéticos; e

CONSIDERANDO a necessidade premente de consolidar uma cultura proativa de proteção de dados pessoais e privacidade que engaje todo o corpo funcional deste Tribunal,

RESOLVE:

Art. 1º Fica instituído o Programa Institucional de Conscientização e Capacitação em Proteção de Dados Pessoais, Privacidade e Segurança da Informação do Tribunal Regional Eleitoral do Maranhão, nos termos do Anexo Único desta Portaria.

Art. 2º As diretrizes, trilhas de aprendizagem, metodologias e Indicadores-Chave de Desempenho (KPIs) constantes no Anexo Único possuem caráter mandatório e aplicam-se, integralmente, a:

I – Magistrados e Magistradas;

II – Servidores e Servidoras do quadro efetivo, requisitados(as) e ocupantes de cargos em comissão, em exercício no 1º e 2º Graus de Jurisdição;

III – Colaboradores e Colaboradoras terceirizados(as);

IV – Estagiários(as) e residentes.

Art. 3º Compete ao Núcleo de Segurança da Informação (NSI), sob a supervisão do Encarregado pelo Tratamento de Dados Pessoais, a curadoria técnica dos conteúdos, o planejamento das campanhas de simulação de ameaças e a consolidação dos relatórios estatísticos de efetividade.

Art. 4º Compete à Secretaria de Gestão de Pessoas (SGP) e à Escola Judiciária Eleitoral (EJE) a inclusão oficial das ações formativas no Plano Anual de Capacitação (PAC) do Tribunal, a gestão das inscrições e a respectiva averbação para fins de Adicional de Qualificação (AQ), quando cabível.

Art. 5º Compete à Coordenadoria de Imprensa e Comunicação Institucional (COIMC) o apoio na diagramação, adaptação de linguagem e ampla difusão das campanhas de endomarketing nos canais oficiais de comunicação interna e externa do Tribunal.

Art. 6º Os gestores e fiscais de contratos administrativos deverão assegurar que as empresas prestadoras de serviços terceirizados viabilizem a participação de seus colaboradores nas trilhas de integração e aculturamento obrigatórias.

Art. 7º O Comitê Gestor de Proteção de Dados (CGPD) avaliará, semestralmente, os resultados dos indicadores de desempenho obtidos, propondo revisões ou atualizações no Programa sempre que houver inovação normativa ou tecnológica.

Art. 8º Esta Portaria entra em vigor na data de sua publicação.

São Luís - MA, datado e assinado eletronicamente.

 

Desembargadora Maria Francisca Gualberto de Galiza

Presidente do TRE-MA

 

ANEXO

 

PROGRAMA INSTITUCIONAL DE CONSCIENTIZAÇÃO E CAPACITAÇÃO EM PROTEÇÃO DE DADOS PESSOAIS, PRIVACIDADE E SEGURANÇA DA INFORMAÇÃO

 

1. FUNDAMENTAÇÃO LEGAL E JUSTIFICATIVA

A proteção de dados pessoais e a segurança da informação representam pilares fundamentais da governança corporativa no âmbito do Poder Judiciário. Historicamente, os incidentes de segurança cibernética e os vazamentos de dados não decorrem exclusivamente de falhas tecnológicas ou insuficiência de ativos de rede, mas, precipuamente, do fator humano. A engenharia social, o desconhecimento dos fluxos normativos e a negligência operacional configuram as principais vulnerabilidades institucionais.

Diante deste cenário, a instituição de um programa educacional contínuo transcende a mera adoção de boas práticas, consubstanciando-se em um dever jurídico e normativo fundamentado nas seguintes premissas:

·Constituição Federal de 1988: A Emenda Constitucional nº 115/2022 elevou a proteção de dados pessoais à categoria de direito e garantia fundamental (Art. 5º, inciso LXXIX).

·Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018): O caput do Art. 50 preconiza a formulação de regras de boas práticas e de governança, exigindo expressamente o estabelecimento de "ações educativas" e "mecanismos internos de supervisão e de mitigação de riscos".

·Conselho Nacional de Justiça (Resolução CNJ nº 363/2021): O monitoramento da conformidade à LGPD no Judiciário, notadamente em seu Item 15, exige a comprovação documental de um programa de conscientização estruturado, abrangente e periódico, sob pena de rebaixamento no índice de governança do Tribunal.

·Tribunal de Contas da União (Acórdão nº 1384/2022 – Plenário): Estabelece o Índice de Governança de Dados Pessoais (iLGPD), o qual avalia o grau de maturidade institucional com base na capacitação da força de trabalho para a salvaguarda de informações sensíveis e pessoais.

 

2. OBJETIVOS INSTITUCIONAIS

2.1. Objetivo Geral

Instituir, consolidar e manter uma cultura organizacional proativa de privacidade, proteção de dados e segurança cibernética no Tribunal Regional Eleitoral do Maranhão (TRE-MA), alinhando a atuação de todo o corpo funcional aos ditames constitucionais e infraconstitucionais vigentes.

2.2. Objetivos Específicos

·Capacitar integralmente a força de trabalho para o reconhecimento e a aplicação prática dos conceitos, princípios e bases legais da LGPD nas rotinas administrativas e judiciais.

·Mitigar de forma mensurável os riscos de incidentes de segurança da informação decorrentes de falhas humanas (ex.: phishing, compartilhamento indevido de credenciais e descarte irregular de documentos).

·Demonstrar responsabilização e prestação de contas (accountability) perante os órgãos de controle externo e a Agência Nacional de Proteção de Dados (ANPD) por meio de métricas objetivas.

·Garantir que a proteção de direitos fundamentais dos titulares (cidadãos(ãs), eleitores(as), servidores(as) e magistrados(as)) seja o vetor central no desenho de qualquer novo processo de trabalho no Tribunal.

 

3. PÚBLICO-ALVO (ABRANGÊNCIA GERAL)

Em estrita observância à exigência de abrangência total determinada pelo CNJ, este Programa destina-se, em caráter mandatório, a todos os agentes que realizam o tratamento de dados pessoais em nome do TRE-MA:

1. Magistrados e Magistradas: Membros da Corte, Juízes e Juízas Eleitorais e Juízes e Juízas Auxiliares.

2. Servidores e Servidoras (1º e 2º Graus de Jurisdição): Servidores e Servidoras do quadro efetivo, requisitados e ocupantes de cargos em comissão.

3. Colaboradores e Colaboradoras Terceirizados: Profissionais vinculados a empresas prestadoras de serviços (apoio administrativo, tecnologia da informação, limpeza, vigilância e atendimento ao público).

4. Estagiários e Estagiárias e Residentes: Estudantes vinculados a programas de estágio e residência jurídica ou técnica.

 

4. RESPONSABILIDADES PELA IMPLEMENTAÇÃO

A execução do Programa pressupõe atuação sistêmica e colaborativa entre as seguintes unidades:

·Comitê Gestor de Proteção de Dados (CGPD): Patrocínio executivo, aprovação do plano e deliberação sobre as diretrizes macro.

·Encarregado de Dados e Núcleo de Segurança da Informação (NSI): Curadoria técnica do conteúdo, planejamento das campanhas, gestão das plataformas de simulação (ex: KnowBe4) e extração de métricas de conformidade.

·Secretaria de Gestão de Pessoas (SGP) e Escola Judiciária Eleitoral (EJE): Inserção oficial dos cursos de formação no Plano Anual de Capacitação (PAC), controle de inscrições, averbação para fins de Adicional de Qualificação (AQ) e suporte acadêmico.

·Coordenadoria de Imprensa e Comunicação Institucional (COIMC): Tradução da linguagem técnica para formatos acessíveis, diagramação de peças publicitárias, gestão de disparos institucionais e publicações em canais oficiais.

·Unidades Gestoras de Contratos: Fiscalização do cumprimento das trilhas de integração por parte das empresas terceirizadas.

 

5. METODOLOGIA, FORMATOS E TRILHAS DE APRENDIZAGEM

O programa consagra a metodologia de aprendizagem híbrida, mesclando ações assíncronas, síncronas e campanhas de marketing interno, divididas nas seguintes trilhas estratégicas:

 

Trilha 1: Boas Vindas (Integração e Aculturamento Inicial)

·Objetivo: Estabelecer a base de conhecimento normativo no momento de ingresso na instituição, prevenindo infrações por desconhecimento prévio.

·Público-Alvo: Recém-empossados, novos estagiários e colaboradores terceirizados recém-alocados.

·Formatos Sugeridos (exemplos):

o Vídeo institucional obrigatório (máximo de 10 minutos) reproduzido durante o acolhimento promovido pela Secretaria de Gestão de Pessoas - SGP.

o Cartilha Executiva Digitalizada (Manual de Sobrevivência em Privacidade).

o Assinatura eletrônica de Termo de Ciência e Responsabilidade no sistema SEI antes da concessão de credenciais de rede.

·Periodicidade: Contínua (aplicada individualmente no ato de ingresso).

 

Trilha 2: Formação Básica e Aperfeiçoamento Contínuo

·Objetivo: Aprofundamento teórico-prático com avaliação de retenção de conhecimento.

·Público-Alvo: Servidores e servidoras de 1º e 2º Graus e Chefias.

·Formatos Sugeridos (exemplos):

o Módulos de EAD (Educação a Distância) autoinstrucionais via plataforma KnowBe4 ou Moodle, com avaliações ao final de cada módulo.

o Webinars interativos com especialistas convidados.

o Jogos interativos de perguntas e respostas sobre diversos temas.

·Periodicidade: Anual (ciclos de recertificação a cada exercício).

 

Trilha 3: Comunicação Contínua e Marketing Interno

·Objetivo: Combater a curva de esquecimento, inserindo a cultura de segurança na rotina diária e no ambiente visual do Tribunal.

·Público-Alvo: Todo o corpo funcional.

·Formatos Sugeridos (exemplos):

o "Minuto da Privacidade": Boletins via e-mail marketing com cartões visuais focados em um único tema (ex.: "A importância da mesa limpa").

o Papéis de parede e telas de bloqueio padronizados e controlados via diretiva de rede (GPO) nos computadores institucionais.

o Banners físicos em murais de elevadores e cartazes nos cartórios eleitorais.

·Periodicidade: Mensal.

 

Trilha 4: Simulação Prática e Treinamento Ativo de Ameaças

·Objetivo: Avaliar empiricamente o comportamento dos usuários diante de tentativas reais de intrusão e extorsão de dados.

·Público-Alvo: Usuários com credenciais ativas de rede e e-mail institucional.

·Formatos Sugeridos (exemplos):

o Disparos controlados de Phishing Simulado (e-mails falsos imitando comunicados de bancos, STF ou RH).

o Microtreinamento de remediação imediata (vídeo de 3 minutos) direcionado automaticamente apenas aos usuários que clicarem no link malicioso simulado.

·Periodicidade: Bimestral ou Trimestral.

 

Trilha 5: Capacitação Executiva e Jurisdicional

·Objetivo: Promover o engajamento da alta gestão e auxiliar a magistratura na ponderação da LGPD nos autos processuais, respeitando a escassez de tempo de agenda destas autoridades.

·Público-Alvo: Magistrados, Direção-Geral, Secretários e Comitês/Comissões.

·Formatos Sugeridos (exemplos):

o Reuniões Executivas (reuniões de 30 minutos focadas em riscos corporativos).

o Guias Rápidos Impressos ("LGPD e o Processo Eleitoral: Guia de Bolso").

o Rodas de conversa ou painéis durante Encontros de Magistrados promovidos pela EJE.

·Periodicidade: Anual.

 

6. MÉTRICAS DE EFETIVIDADE (KPIs)

Para comprovar materialmente aos órgãos de controle (CNJ/TCU) que o presente Programa é gerenciado, auditável e gera resultados práticos, serão adotados Indicadores-Chave de Desempenho (do inglês, Key Performance Indicators - KPIs).

Os KPIs traduzem os esforços administrativos em dados matemáticos, demonstrando a evolução da maturidade institucional. A aferição dar-se-á pelas seguintes fórmulas e métricas:

 

6.1. Taxa de Conclusão do Treinamento EAD

Mede o engajamento e a aderência funcional aos cursos formais obrigatórios.

 

Taxa de Conclusão = ( Número de Servidores que concluíram o módulo/ Total de Servidores convocados ou ativos) * 100

Meta institucional: Superior a 90% ao final de cada ciclo anual.

 

6.2. Taxa de Suscetibilidade a Phishing (PPP - Phish-Prone Percentage)

Mede o nível de vulnerabilidade humana a ataques de engenharia social. Representa o percentual de usuários que falharam no teste prático.

 

PPP = (Número de usuários(as) que clicaram no link simulado/Total de e-mails de phishing entregues na campanha) * 100

Meta institucional: Manutenção de uma curva decrescente, objetivando um índice final inferior a 5% ao ano.

 

6.3. Índice de Cobertura Contratual (Terceirizados e Estagiários)

Assegura perante as auditorias que a mão de obra auxiliar não está marginalizada do plano de conformidade.

 

Índice de Cobertura = ( Termos de Ciência ou Confidencialidade assinados/Total de profissionais ativos nestas categorias) * 100

Meta institucional: 100% de cobertura no momento do ingresso (Trilha de Onboarding).

 

6.4. Volume de Engajamento Multicanal

Indicador de produtividade focado na cadência da comunicação contínua para evitar a descontinuidade do programa. Mede-se pelo somatório absoluto de entregas realizadas no período:

 

Volume de Ações = Somatório(E-mails disparados + Posts Publicados + Cartilhas Lançadas)

Meta institucional: Mínimo de 1 (uma) ação comunicacional distinta mensal.