ANPD realiza consulta pública sobre Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais
No dia 2 de maio, a Autoridade Nacional de Proteção de Dados ("ANPD") publicou a consulta pública da minuta de resolução sobre o Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais ("Regulamento"). A princípio, a consulta pública perduraria até o dia 31 de maio, porém foi prorrogada até o dia 15 de junho.
O Regulamento visa a regulamentar o processo de comunicação de incidente de segurança previsto no artigo 48 da Lei Geral de Proteção de Dados Pessoais ("LGPD"), que obriga o controlador a comunicar à ANPD e ao titular de dados pessoais a ocorrência de incidente de segurança que possa lhe acarretar risco ou dano relevante.
1. Gatilho para a comunicação
O Regulamento define quando um incidente de segurança com dados pessoais pode acarretar "risco ou dano relevante aos titulares", devendo preencher dois fatores cumulativos para tanto:
- Primeiro, o incidente de segurança deve ter potencial de afetar significativamente interesses e direitos fundamentais dos titulares, tal como limitar o exercício de direitos ou ocasionar danos materiais ou morais.
- Segundo, o incidente de segurança deve envolver ao menos um dos seguintes critérios: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; ou dados em larga escala.
2. Prazo de comunicação
O Regulamento determina que o incidente de segurança com dados pessoais deve ser comunicado à ANPD e aos titulares dos dados pessoais no prazo de três dias úteis, ressalvada a existência de legislação específica, contados a partir do seu conhecimento. Existe a possibilidade de fazer uma comunicação preliminar, a qual deverá ser seguida por uma comunicação complementar no prazo de 20 dias úteis, também contados a partir do conhecimento do incidente de segurança com dados pessoais.
3. Comunicação à ANPD
O Regulamento dispõe que a comunicação do incidente de segurança com dados pessoais à ANPD deve ocorrer por meio de formulário eletrônico, e prevê o conteúdo mínimo que deve constar na comunicação, incluindo: (i) as medidas de segurança adotadas antes e após o incidente; (ii) a descrição da natureza e da categoria de dados pessoais afetados; bem como (iii) a descrição do incidente.
4. Comunicação aos titulares
O Regulamento também lista as informações que devem constar na comunicação do incidente de segurança com dados pessoais aos titulares afetados e estabelece dois critérios para a sua realização:
- Primeiro, a comunicação deve fazer uso de linguagem simples e de fácil entendimento.
- Segundo, caso seja possível identificar os titulares, a comunicação deve ocorrer de forma direta e individualizada, isto é, por meios usualmente utilizados pelo controlador para contatar o titular, tais como telefone, e-mail, mensagem eletrônica ou carta.
- Alternativamente, caso a comunicação de forma direta e individualizada seja inviável, ou não seja possível determinar, parcial ou integralmente, os titulares de dados pessoais afetados, então a comunicação deve ser feita pelos meios de divulgação disponíveis, tais como a página na Internet, aplicativos, mídias sociais e em canais de atendimento do titular, permitindo amplo conhecimento, com direta e fácil visualização pelo período mínimo de 6 meses.
5. Registro de incidentes de segurança com dados pessoais
O Regulamento prevê ainda que o controlador é obrigado a manter o registro de incidentes de segurança com dados pessoais – incluindo aqueles que não foram comunicados – pelo prazo mínimo de 5 anos, salvo haja obrigação adicional para retenção. O artigo 10 do Regulamento discrimina quais informações devem constar no registro.
6. Processo de Comunicação de Incidente de Segurança com Dados Pessoais
Por sua vez, o Capítulo V do Regulamento dispõe sobre o Processo de Comunicação de Incidente de Segurança com Dados Pessoais, o qual pode incluir dois tipos de procedimentos:
Procedimento de Apuração de Incidente de Segurança, por meio do qual a ANPD poderá apurar a ocorrência de incidentes de segurança com dados pessoais não comunicados dos quais tome conhecimento. Caso identifique a ocorrência de incidente de segurança com dados pessoais que possa acarretar risco ou dano relevante aos titulares, então determinará o envio da comunicação sob pena de multa diária, sem prejuízo de processo administrativo sancionador.
Procedimento de Comunicação de Incidente de Segurança, que se inicia com o recebimento da comunicação de incidente de segurança com dados pessoais pela ANPD. Durante seu curso, a ANPD poderá divulgar informações relativas ao incidente em sua página da Internet, bem como determinar que o controlador adote providências para salvaguardar os direitos dos titulares sob pena de processo administrativo sancionador.
>>> Este conteúdo faz parte do Informativo de Proteção de Dados e Cybersecurity. Clique aqui para ler mais notícias. O artigo foi escrito por nossos profissionais Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda.
