ATPP devem manter prazo em dobro para comunicar
Relevância 2/5
Norma predominante: Res. CD/ANPD nº 15/2024 — Incidente de Segurança
Agentes de pequeno porte que não realizem tratamento de alto risco devem manter prazo em dobro para a comunicação inicial de incidentes, inclusive nas situações residuais de risco ou dano relevante.
Proposta do Regulamento de Comunicação de Incidentes enviada a consulta/audiência em abril de 2023; não descreve norma então vigente.
Como esta relevância foi calculada
- Pontuação
- 40/100 · relevância 2/5
- Impacto para os regulados (80%)
- 50/100
- Alcance · intensidade · aplicabilidade
- 2/4 · 2/4 · 2/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Prevê prazo inicial dobrado para pequenos agentes sem tratamento de alto risco, inclusive em incidentes excepcionalmente comunicáveis. A flexibilização administrativa integra proposta, sem aplicação normativa imediata nesse voto.
Redações literais (1 referência em 1 circuito)
4.19. Para estas situações, naturalmente excepcionais, de incidentes envolvendo risco ou dano relevante por agentes de pequeno porte que não realizem tratamento de alto risco para os titulares, entendo pertinente o estabelecimento de prazo em dobro para as comunicações à ANPD e aos titulares. Julgo desta forma por entender necessária a observância, na atuação regulatória da ANPD, das peculiaridades inerentes a esses agentes de tratamento, em linha com o propósito extraído da própria LGPD em seu artigo 55-J, XVIII, e reconhecido pelo art. 10 do Regulamento de ATPP[3].
- CD nº 9/2023, p. 4 · Relatoria: Joacil Basílio RaelRegulamento de comunicação de incidentes de segurança com dados pessoais
Legislação aplicável
Res. CD/ANPD nº 15/2024 — Incidente de Segurança
Regulamento de Comunicação de Incidente de Segurança — Anexo da Resolução CD/ANPD nº 15, de 24 de abril de 2024
Art. 6º A comunicação de incidente de segurança à ANPD deverá ser realizada pelo controlador no prazo de três dias úteis, ressalvada a existência de prazo para comunicação previsto em legislação específica.
(...)
§ 8º Os prazos constantes no caput e no § 3º deste artigo são contados em dobro para os agentes de pequeno porte, nos termos do disposto no Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), aos agentes de tratamento de pequeno porte, aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.
Art. 9º A comunicação de incidente de segurança ao titular deverá ser realizada pelo controlador no prazo de três dias úteis contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, e deverá conter as seguintes informações:
(...)
§ 6º O prazo constante no caput deste artigo é contado em dobro para os agentes de pequeno porte, nos termos do disposto no Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD) aos agentes de tratamento de pequeno porte, aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.