A ausência de regulamentação não impede exigir comunicação, registro de operações e relatório de impacto
Relevância 4/5
Norma predominante: LGPD
O voto considera autoaplicáveis os arts. 37, 38 e 48 da LGPD: a ausência de regulamentação adicional não afasta o registro das operações, a possibilidade de a ANPD solicitar relatório de impacto nem o dever de comunicar incidente relevante.
Julgamento do recurso da SEEDF em processo sancionador decorrente de incidente com dados sensíveis de crianças e adolescentes.
Como esta relevância foi calculada
- Pontuação
- 72/100 · relevância 4/5
- Impacto para os regulados (80%)
- 90/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Afirma exigibilidade imediata de registros, relatório solicitado e comunicação de incidentes, impedindo que controladores condicionem esses deveres à edição de regulamentação administrativa adicional pela ANPD.
Redações literais (1 referência em 1 circuito)
4.19.Cabe pontuar, ainda, que, ao contrário do que alega a recorrente, a aplicação deste dispositivo legal (art. 48 da LGPD) não depende de regulamentação adicional por parte da ANPD. Isso porque se trata de norma autoaplicável e de eficácia plena, que contém em si mesma todos os elementos necessários para o seu devido cumprimento. Registro, ainda, que o mesmo argumento é aplicável aos demais dispositivos questionados pela recorrente, isto é, o art. 37 da LGPD, que trata do registro das operações de tratamento e o art. 38, que dispõe sobre a possibilidade de a ANPD solicitar a elaboração de relatório de impacto à proteção de dados pessoais.
- CD nº 16/2024, p. 9 · Relatoria: Miriam WimmerSEEDF: recurso sobre incidente com dados de crianças e adolescentes
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:
I - ampla divulgação do fato em meios de comunicação; e
II - medidas para reverter ou mitigar os efeitos do incidente.
§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.