Guarda de registros permanece com o controlador
Relevância 3/5
Norma predominante: Res. CD/ANPD nº 15/2024 — Incidente de Segurança
A comunicação à ANPD não transfere à Autoridade a responsabilidade de guardar informações para finalidades alheias à fiscalização, como ações reparatórias dos titulares; essa responsabilidade permanece com o controlador.
Proposta do Regulamento de Comunicação de Incidentes enviada a consulta/audiência em abril de 2023; não descreve norma então vigente.
Como esta relevância foi calculada
- Pontuação
- 56/100 · relevância 3/5
- Impacto para os regulados (80%)
- 70/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 2/4 · 2/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Mantém com os controladores a guarda de informações sobre incidentes para exercício de direitos e reparação. A distribuição do encargo documental tem alcance geral, mas integra proposta regulatória.
Redações literais (1 referência em 1 circuito)
4.58. Desta forma, julgo que a proposta constante na nota técnica, para que a ANPD seja responsável pela guarda de comunicações de incidente, por exemplo, para a finalidade de instruir eventual ação de reparação, ou outra demanda, a ser manejada pelos titulares de dados envolvidos no incidente, não reflete a melhor alternativa normativa sob a perspectiva da ANPD. 4.59. Na verdade, entendo que tal atribuição deve ser mantida na esfera de responsabilidade do próprio controlador, em linha com o disposto no caput do artigo 18 da LGPD, que estabelece o direito ao titular de obter do controlador, informações relacionadas ao tratamento por ele realizado.
- CD nº 9/2023, p. 8 · Relatoria: Joacil Basílio RaelRegulamento de comunicação de incidentes de segurança com dados pessoais
Legislação aplicável
Res. CD/ANPD nº 15/2024 — Incidente de Segurança
Regulamento de Comunicação de Incidente de Segurança — Anexo da Resolução CD/ANPD nº 15, de 24 de abril de 2024
Art. 10. O controlador deverá manter o registro do incidente de segurança, inclusive daquele não comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos, contado a partir da data do registro, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção.
§ 1º O registro do incidente deverá conter, no mínimo:
I - a data de conhecimento do incidente;
II - a descrição geral das circunstâncias em que o incidente ocorreu;
III - a natureza e a categoria de dados afetados;
IV - o número de titulares afetados;
V - a avaliação do risco e os possíveis danos aos titulares;
VI - as medidas de correção e mitigação dos efeitos do incidente, quando aplicável;
VII - a forma e o conteúdo da comunicação, se o incidente tiver sido comunicado à ANPD e aos titulares; e
VIII - os motivos da ausência de comunicação, quando for o caso.
§ 2º Os prazos de guarda previstos neste artigo não se aplicam às entidades previstas no art. 23 da LGPD, desde que sejam observadas as regras aplicáveis aos documentos de guarda permanente previstas na tabela de temporalidade própria ou definidas pelo Conselho Nacional de Arquivos.