Registros de incidentes devem ser guardados por cinco anos
Relevância 3/5
Norma predominante: Res. CD/ANPD nº 15/2024 — Incidente de Segurança
Propõe-se manter por cinco anos registros de incidentes, inclusive os não comunicados, para permitir fiscalização e atuação dos titulares afetados.
Proposta do Regulamento de Comunicação de Incidentes enviada a consulta/audiência em abril de 2023; não descreve norma então vigente.
Como esta relevância foi calculada
- Pontuação
- 56/100 · relevância 3/5
- Impacto para os regulados (80%)
- 70/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 2/4 · 2/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Propõe ampliar para cinco anos a guarda de registros de incidentes, abrangendo também os não comunicados. Impõe conservação documental ordinária aos controladores, ainda sem adoção final nesse voto.
Redações literais (1 referência em 1 circuito)
4.52. Nesse contexto, julgo pertinente que o prazo para registro das informações sobre incidentes de segurança com dados pessoais, inclusive aqueles não comunicados à ANPD e aos titulares, seja alterado dos atuais 2 (dois) anos para 5 (cinco) anos, garantindo, assim, a efetividade de uma eventual atuação fiscalizatória pela ANPD, bem como assegurando a possibilidade de ação pelos titulares afetados diante de incidentes de segurança não comunicados pelo controlador.
- CD nº 9/2023, p. 8 · Relatoria: Joacil Basílio RaelRegulamento de comunicação de incidentes de segurança com dados pessoais
Legislação aplicável
Res. CD/ANPD nº 15/2024 — Incidente de Segurança
Regulamento de Comunicação de Incidente de Segurança — Anexo da Resolução CD/ANPD nº 15, de 24 de abril de 2024
Art. 10. O controlador deverá manter o registro do incidente de segurança, inclusive daquele não comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos, contado a partir da data do registro, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção.
§ 1º O registro do incidente deverá conter, no mínimo:
I - a data de conhecimento do incidente;
II - a descrição geral das circunstâncias em que o incidente ocorreu;
III - a natureza e a categoria de dados afetados;
IV - o número de titulares afetados;
V - a avaliação do risco e os possíveis danos aos titulares;
VI - as medidas de correção e mitigação dos efeitos do incidente, quando aplicável;
VII - a forma e o conteúdo da comunicação, se o incidente tiver sido comunicado à ANPD e aos titulares; e
VIII - os motivos da ausência de comunicação, quando for o caso.
§ 2º Os prazos de guarda previstos neste artigo não se aplicam às entidades previstas no art. 23 da LGPD, desde que sejam observadas as regras aplicáveis aos documentos de guarda permanente previstas na tabela de temporalidade própria ou definidas pelo Conselho Nacional de Arquivos.