A omissão de documentos de uma mesma apuração pode constituir uma única obstrução
Relevância 2/5
Norma predominante: Res. CD/ANPD nº 1/2021 — Fiscalização e Sanções
A falta de apresentação de relatório de impacto, registro de operações e plano de incidentes foi tratada como uma única infração de obstrução, porque os documentos integravam a mesma solicitação e finalidade de verificar as medidas de segurança do incidente. O voto não afastou os deveres autônomos dos arts. 37 e 38 em outros contextos.
Julgamento do recurso da SEEDF em processo sancionador decorrente de incidente com dados sensíveis de crianças e adolescentes.
Como esta relevância foi calculada
- Pontuação
- 48/100 · relevância 2/5
- Impacto para os regulados (80%)
- 60/100
- Alcance · intensidade · aplicabilidade
- 1/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Trata a omissão de documentos da mesma solicitação como uma obstrução no caso SEEDF, reduzindo a multiplicação de imputações sem dispensar os deveres documentais autônomos.
Redações literais (1 referência em 1 circuito)
4.31.Observe-se que o presente processo sancionador não foi instaurado com o fim de promover uma avaliação global quanto àconformidade da autuada à LGPD, mas tão somente com o objetivo de verificar se, à luz do incidente de segurança identificado, foram adotadas as medidas necessárias à proteção dos direitos dos titulares de dados afetados.Assim, deve-se compreender que, no presente caso concreto, a não apresentação da documentação solicitada pela ANPD para verificação das medidas de segurança adotadas configura uma única infração, tipificada em um mesmo dispositivo regulamentar (art. 5º, I, Regulamento de Fiscalização), e não três condutas a serem sancionadas de maneira independente. 4.32.Deve-se considerar, ainda, que, além de constarem de uma mesma Nota Técnica e correspondente Ofício de encaminhamento, as solicitações de apresentação dos citados documentos integram o mesmo e único propósito de averiguação da adequação das medidas de segurança adotadas pelo controlador nas suas atividades de tratamento de dados pessoais.
- CD nº 16/2024, p. 14 · Relatoria: Miriam WimmerSEEDF: recurso sobre incidente com dados de crianças e adolescentes
Legislação aplicável
Res. CD/ANPD nº 1/2021 — Fiscalização e Sanções
Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador — Anexo da Resolução CD/ANPD nº 1, de 28 de outubro de 2021
Art. 6º O não cumprimento dos deveres estabelecidos no art. 5º poderá caracterizar obstrução à atividade de fiscalização, sujeitando o infrator a medidas repressivas, sem prejuízo da adoção das medidas necessárias com o objetivo de concluir a ação de fiscalização obstruída por parte da ANPD.
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.