Boa-fé e mitigação posterior não afastam infração consumada
Relevância 3/5
Norma predominante: LGPD
Boa-fé e providências posteriores de mitigação cumprem deveres do controlador e não afastam a infração já consumada por falta de comunicação aos titulares ou de medidas adequadas de segurança.
Fundamentos de recursos sancionadores sobre incidentes. A dosimetria considera o conjunto dos parâmetros aplicáveis; a mitigação não constitui exoneração automática.
Como esta relevância foi calculada
- Pontuação
- 63/100 · relevância 3/5
- Impacto para os regulados (80%)
- 70/100
- Alcance · intensidade · aplicabilidade
- 2/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 33/100 · 2 votos
Mantém a responsabilidade por infrações consumadas de segurança ou comunicação apesar de providências posteriores, sem tornar a mitigação inútil para os demais parâmetros da dosimetria.
Redações literais (2 referências em 2 circuitos)
7.7. Significa dizer que o recorrente apenas demonstra ter agido como deveria ter feito, em atendimento, neste ponto específico, aos ditames legais. Entretanto, o fato de ter, eventualmente, atuado de boa-fé e tomados as providências para mitigar os efeitos do incidente de segurança não afasta o fato de que deixou de cumprir uma obrigação legal, que é a de comunicar aos titulares a ocorrência de incidente de segurança, infringindo o art. 48, parágrafo primeiro, da LGDP.
- CD nº 15/2024, p. 9 · Relatoria: Joacil Basílio RaelINSS: recurso sobre incidente de segurança e comunicação aos titulares
5.22. Neste sentido, a recorrente apenas demonstra ter agido como era esperado, em atendimento, neste ponto específico, aos ditames legais. Entretanto, o fato de ter, eventualmente, atuado de boa-fé e tomados as providências para mitigar os efeitos do incidente de segurança não afasta o fato de que deixou de cumprir uma obrigação legal consistente na utilização de sistemas que atendem aos requisitos básicos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares, conforme preceitua o art. 49 da LGPD.
- CD nº 21/2025, p. 11 · Relatoria: Arthur Pereira SabbatSDSCJ-PE: recurso sobre incidente no programa PE Livre Acesso
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:
I - ampla divulgação do fato em meios de comunicação; e
II - medidas para reverter ou mitigar os efeitos do incidente.
§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.
Art. 49. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares.