ANPD publica novo formulário para a comunicação de incidentes de segurança

​No dia 23 de dezembro, a Autoridade Nacional de Proteção de Dados (ANPD), por meio da sua Coordenação-Geral de Fiscalização, publicou um novo formulário para a comunicação de incidentes de segurança à Autoridade. Conforme prevê o artigo 48 da Lei Geral de Proteção de Dados Pessoais (LGPD), esta comunicação é obrigatória aos controladores de dados pessoais no caso de  incidentes de segurança que possam acarretar "risco ou dano relevante aos titulares".

Em linhas gerais, o novo formulário possui novas opções de preenchimento e é mais completo que o antigo. Conforme comunicado pela ANPD, o novo formulário deverá ser utilizado a partir de 1º de janeiro de 2023 e submetido em formato PDF por meio do Peticionamento Eletrônico do SUPER-BR.

1. Tipos de notificação

Com a nova versão, a ANPD incluiu orientações no próprio formulário a fim de aumentar a qualidade das comunicações. Dentre elas, a ANPD esclareceu os tipos de notificação, suprimindo a categoria "parcial" presente no modelo anterior:

• Completa: todas as informações a respeito do incidente estão disponíveis e a comunicação aos titulares já foi realizada;

• Preliminar: nem todas as informações sobre o incidente estão disponíveis, justificadamente, ou a comunicação aos titulares ainda não foi realizada; e

• Complementar: complementação de informações prestadas em comunicação preliminar.

Ainda sobre os tipos de comunicado, a ANPD esclareceu que a comunicação preliminar é insuficiente para o cumprimento da obrigação estabelecida no artigo 48 da LGPD, e também dispôs que a complementação da comunicação preliminar deve ocorrer no prazo de 30 dias corridos.

2. Comunicação aos titulares

O novo formulário contém orientações para o comunicado de incidentes de segurança aos titulares afetados, o que também é uma obrigação nos termos do artigo 48 da LGPD. O comunicado deve incluir, ao menos:

• Resumo e data de ocorrência do incidente;

• Descrição dos dados pessoais afetados;

• Riscos e consequências aos titulares de dados;

• Medidas tomadas e recomendadas para mitigar seus efeitos, se cabíveis; e

• Dados de contato do controlador para obtenção de informações adicionais sobre o incidente.

 A ANPD ressalta que pode requisitar a qualquer momento uma cópia do comunicado feito aos titulares e que o controlador deve retificá-lo se não atender aos requisitos acima.

3. Impactos do incidente sobre os dados

O novo formulário também inclui uma seção sobre os impactos do incidente de segurança sobre dados pessoais, definindo três pilares da segurança da informação. Logo, caberá ao controlador identificar quais dos seguintes elementos foram afetados pelo incidente, isolada ou cumulativamente:

• Confidencialidade: acesso não autorizado aos dados, violando seu sigilo;

• Integridade: alteração ou destruição de dados de maneira não autorizada ou acidental; e

• Disponibilidade: perda ou dificuldade de acesso aos dados por período significativo.
  

4. Comunicação como agente de pequeno porte

Ao contrário do antigo, o novo formulário inclui seção específica na qual o controlador deve informar se é qualificado como um agente de tratamento de pequeno porte, nos termos do regulamento de aplicação da LGPD aprovado pela Resolução CD/ANPD nº 2/2022 (Regulamento). 

Vale ressaltar que a caracterização como agente de pequeno porte impacta diretamente na comunicação de incidentes de segurança, tendo em vista que o Regulamento lhes concede prazo em dobro para a comunicação à ANPD e aos titulares, salvo se houver potencial comprometimento à integridade dos titulares ou à segurança nacional.

>>> Este artigo foi escrito por nossos profissionais da área de Proteção de Dados e Cybersecurity: Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda.