Sigilo de detalhes não encobre a ocorrência do incidente
Relevância 3/5
Norma predominante: Decreto nº 10.748/2021 — Rede Federal de Gestão de Incidentes Cibernéticos
O sigilo de informações específicas de segurança não alcança a própria ocorrência do incidente nem os dados gerais que devem ser comunicados aos titulares nos termos da LGPD.
Art. 23 da LAI e art. 15 do Decreto nº 10.748/2021 aplicados de modo complementar ao art. 48 da LGPD.
Como esta relevância foi calculada
- Pontuação
- 56/100 · relevância 3/5
- Impacto para os regulados (80%)
- 70/100
- Alcance · intensidade · aplicabilidade
- 2/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Distingue detalhes sigilosos de segurança da ocorrência e das informações gerais do incidente, exigindo comunicação aos titulares mesmo em órgãos submetidos ao regime federal de sigilo.
Redações literais (1 referência em 1 circuito)
6.16. Neste contexto, reforça-se, tais informações específicas, de que trata o art. 15 do Decreto nº 10.748/2021, as quais são consideradas imprescindíveis à segurança da sociedade e do Estado, e que são passíveis de classificação na forma do art. 23 da Lei nº 12.527/2011, não englobam (e nem poderiam englobar) o sigilo do próprio incidente de segurança, bem como das informações elencadas no art. 48, parágrafo primeiro, da LGPD. Tanto é verdade que o art. 3º Decreto nº 10.748/2021 elenca dentre os objetivos, entre outros, a divulgação de informações sobre ataques cibernéticos e o compartilhamento de alertas sobre ameaças e vulnerabilidades. O contexto normativo em que se insere o tema evidencia aplicação complementar entre as normas e não excludentes.
- CD nº 15/2024, p. 7 · Relatoria: Joacil Basílio RaelINSS: recurso sobre incidente de segurança e comunicação aos titulares
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:
I - ampla divulgação do fato em meios de comunicação; e
II - medidas para reverter ou mitigar os efeitos do incidente.
§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.