Novo Regulamento de Comunicação de Incidente de Segurança
INFORMATIVO nº 21
Em 26 de abril de 2024 a Autoridade Nacional de Proteção de Dados (“ANPD”) divulgou o novo Regulamento de Comunicação de Incidente de Segurança, que estabelece as regras para a comunicação de incidentes de segurança envolvendo dados pessoais à ANPD e aos titulares.
Os principais aspectos regulamentados foram:
|
TEMA |
DEFINIÇÃO |
EXEMPLOS |
|
Conceito de Incidente de Segurança |
Evento adverso que comprometa a confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais. |
· Furto de um dispositivo contendo dados · Envio de e-mail para um destinatário errado · Invasão de sistema |
|
Critérios para Comunicação do Incidente |
Quando o incidente causar riscos ou danos relevantes aos titulares, como discriminação, roubo e fraude, e envolver dados críticos (exemplos ao lado) |
· Dados sensíveis · Dados de menores/idosos · Dados financeiros · Dados de autenticação · Dados sigilosos |
|
Prazo para Comunicação |
3 dias úteis, após o controlador tomar conhecimento de que dados pessoais foram afetados |
N/A. Obs: O controlador possuirá 20 dias úteis para complementar a comunicação |
|
Agente de Tratamento de Pequeno Porte |
Os prazos serão contados em dobro, ou seja, o agente terá 6 dias úteis para realizar a comunicação e até 40 dias úteis para complementá-la. |
Considera-se agente de pequeno porte, além de startups, empresas com faturamento anual de até R$ 4.8 milhões. |
|
Método de comunicação |
A comunicação deverá ser protocolada por peticionamento eletrônico por meio do sistema SUPER da ANPD. |
https://www.gov.br/anpd/pt-br/canais_atendimento/peticionamento-eletronico-anpd |
|
Comunicação aos Titulares |
O controlador deverá comunicar o incidente com uma linguagem simples e de forma individualizada, se possível. |
· Forma direta: e-mail, telefone e carta · Forma indireta: site, aplicativo e redes sociais |
Demais temas, como informações que devem constar no reporte à ANPD, e o processo da comunicação até sua extinção, podem ser encontradas diretamente no regulamento, disponível neste link.
Vale dizer, que, caso o controlador não proceda com a comunicação e a ANPD venha a tomar conhecimento do incidente, este órgão poderá, discricionariamente, proceder com a devida apuração e estabelecer multas diárias que podem chegar até R$ 50 milhões.
Ficamos à disposição de V. Sas. para outros esclarecimentos que porventura se mostrem necessários, bem como para auxiliá-los a avaliar a necessidade da comunicação de eventuais incidentes e o nível de conformidade deste reporte frente à ANPD e aos titulares.
Atenciosamente,
Carolina Carmagnani | LFPKC Advogados