Segurança da informação deve ser interpretada em harmonia com a LGPD
Relevância 3/5
Norma predominante: Decreto nº 10.748/2021 — Rede Federal de Gestão de Incidentes Cibernéticos
O regime federal de segurança da informação deve ser aplicado sistematicamente com a proteção de dados, preservando o dever de comunicar incidentes da LGPD.
Interpretação dos Decretos nº 9.637/2018 e nº 10.748/2021 em recurso do INSS.
Como esta relevância foi calculada
- Pontuação
- 56/100 · relevância 3/5
- Impacto para os regulados (80%)
- 70/100
- Alcance · intensidade · aplicabilidade
- 2/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Impede que órgãos federais invoquem seu regime de segurança da informação para afastar deveres de comunicação de incidentes, preservando obrigação operacional relevante perante titulares afetados.
Redações literais (1 referência em 1 circuito)
6.13. Isto significa dizer que, na aplicação dos referidos Decretos, é imperiosa a observância harmônica dos preceitos de proteção de dados pessoais estabelecidos pela LGPD, dentre eles o art. 48, caput, o qual determina “o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.”
- CD nº 15/2024, p. 6 · Relatoria: Joacil Basílio RaelINSS: recurso sobre incidente de segurança e comunicação aos titulares
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:
I - ampla divulgação do fato em meios de comunicação; e
II - medidas para reverter ou mitigar os efeitos do incidente.
§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.