Medidas básicas de segurança devem anteceder o incidente
Relevância 4/5
Norma predominante: LGPD
Controles simples, de implementação rápida, como senhas fortes, etapas adicionais de identificação e restrição de acesso deveriam ser adotados preventivamente, em vez de somente após o incidente.
Como esta relevância foi calculada
- Pontuação
- 72/100 · relevância 4/5
- Impacto para os regulados (80%)
- 90/100
- Alcance · intensidade · aplicabilidade
- 4/4 · 3/4 · 4/4
- Recorrência em votos distintos (20%)
- 0/100 · 1 voto
Exige adoção preventiva de controles básicos de segurança, como senhas fortes e restrições de acesso, estabelecendo padrão operacional relevante para controladores antes da ocorrência de incidentes.
Redações literais (1 referência em 1 circuito)
5.24. Perceba que, rapidamente, após a ocorrência do incidente foram tomadas as providências para alterar a senha pré-existente para uma mais forte, incluir nova etapa de identificação mediante senha e limitar do acesso apenas para pessoa em nível gerencial. Percebe-se, portanto, que se trata de medidas de segurança triviais, de fácil e rápida execução que poderiam e deveriam ter sido implementadas antes da ocorrência do incidente de segurança. Não é demasiado reforçar que um dos princípios elencados no art. 6º, inciso VIII, da LGPD é justamente o da prevenção, o qual
- CD nº 21/2025, p. 11 · Relatoria: Arthur Pereira SabbatSDSCJ-PE: recurso sobre incidente no programa PE Livre Acesso
Legislação aplicável
LGPD
Lei nº 13.709, de 14 de agosto de 2018
Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
(...)
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
(...)
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
§ 1º A autoridade nacional poderá dispor sobre padrões técnicos mínimos para tornar aplicável o disposto no caput deste artigo, considerados a natureza das informações tratadas, as características específicas do tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais sensíveis, assim como os princípios previstos no caput do art. 6º desta Lei.
§ 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução.