Regulamento não pode criar isenção da comunicação de incidentes
Relevância 4/5
Norma predominante: Res. CD/ANPD nº 15/2024 — Incidente de Segurança
O art. 48 da LGPD usa como critério o risco ou dano relevante e admite justificar demora; não oferece espaço para regulamento criar hipóteses de isenção da comunicação ao titular.
Fundamento para retirar exceções previstas na minuta; aprovação final, após consulta pública.
Como esta relevância foi calculada
- Pontuação
- 72/100 · relevância 4/5
- Impacto para os regulados (80%)
- 90/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Retira exceções à comunicação de incidentes aos titulares porque o critério legal é risco ou dano relevante. A regra final preserva dever material de informar e limita dispensa pelos controladores.
Redações literais (1 referência em 1 circuito)
4.3.3.28. Conforme se verifica, não há menção à fato impeditivo ao comunicado, mas apenas a situações que motivem uma postergação da comunicação à ANPD e ao titular. Neste sentido, não me parece haver espaço para inovação a nível regulatório. Além disso, a previsão constante do inciso V do art. 48 e absorvida pela minuta do regulamento, endereça, de certa forma,a previsão dos parágrafos quinto e sexto, na medida em que prevê o dever de o controlador informar, no comunicado, os motivos na demora.
- CD nº 9/2024, p. 14 · Relatoria: Joacil Basílio RaelRegulamento de Comunicação de Incidente de Segurança
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:
(...)
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
(...)
Res. CD/ANPD nº 15/2024 — Incidente de Segurança
Regulamento de Comunicação de Incidente de Segurança — Anexo da Resolução CD/ANPD nº 15, de 24 de abril de 2024
Art. 4º O controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
Art. 6º A comunicação de incidente de segurança à ANPD deverá ser realizada pelo controlador no prazo de três dias úteis, ressalvada a existência de prazo para comunicação previsto em legislação específica.
(...)
§ 2º A comunicação de incidente de segurança deverá conter as seguintes informações:
(...)
V - os motivos da demora, no caso de a comunicação não ter sido realizada no prazo previsto no caput deste artigo;
(...)