CD nº 11/2021

Página 1

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/DIR/NR/ANPD

VOTO Nº 14/2021/ANPD/NR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

CONSELHEIRO

Nairane Farias Rabelo Leitão

1. ASSUNTO

1.1. Guia Orientativo sobre Segurança da Informação para Agentes de

Tratamento de Pequeno Porte.

2. EMENTA

2.1. PUBLICAÇÃO DE GUIA ORIENTATIVO. SEGURANÇA DA INFORMAÇÃO

RELACIONADA A DADOS PESSOAIS. AGENTES DE TRATAMENTO DE PEQUENO

PORTE. TUTELA DA PRIVACIDADE E DA PROTEÇÃO DE DADOS PESSOAIS. BOAS

PRÁTICAS. PAPEL ORIENTATIVO DA ANPD.

3. REFERÊNCIA

3.1. Processo SEI nº 00261.000821/2021-16.

4. RELATÓRIO

4.1. Trata-se da publicação de guia orientativo sobre boas práticas de

segurança da informação para agentes de tratamento de pequeno porte,

compreendidos como as microempresas e empresas de pequeno porte, bem como

iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem

startups ou empresas de inovação, além daqueles que venham a ser assim

entendidos por resolução pertinente.

4.2. Segundo dados disponibilizados pelo Sebrae, mais de 90% das empresas

brasileiras se enquadram em microempresas e empresas de pequeno porte, o que

torna ainda mais relevante a publicação de um guia orientativo direcionada a este

público e aos demais que vierem a ser enquadrados como agentes de pequeno

porte.

4.3. Em reunião realizada entre a Autoridade Nacional de Proteção de Dados

(ANPD) e o Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança

no Brasil (CERT.br), mantido pelo NIC.br, constatou-se a necessidade de elaboração

conjunta do guia para orientação aos agentes de tratamento de pequeno porte, em

razão de suas limitações estruturais e financeiras.

4.4. Ambas as instituições trabalharam para a elaboração do guia, que

consiste em fruto dessa cooperação interinstitucional, ratificada pelo Acordo de

Cooperação Técnica (ACT) firmado entre as instituições posteriormente, em 20 de

julho de 2021.

4.5. O ACT firmado entre as instituições possui como objetivos ações

conjuntas, conforme sua cláusula 1.1, item ‘e’:

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 1

Página 2

“1.1. O presente Acordo tem por objeto a cooperação técnica entre a ANPD e o

NIC.br, através do CERT.br, com vistas a promover ações conjuntas sobre

assuntos de interesse recíproco, nos termos da Lei e desde que não violem

obrigações de confidencialidade, dentre as quais se incluem:e) Elaboração

conjunta e intercambio de estudos, análises, notas técnicas e projetos de

pesquisa sobre proteção de dados pessoais segurança da informação e

tecnologia.”

4.6. A publicação do referido guia está em consonância com as competências

institucionais atribuídas pela Lei nº 13.709/2018 (Lei Geral de Proteção de Dados -

LGPD) à ANPD, conforme exposto no art. 55-J I, VI, VII e XVIII:

“Art. 55-J. Compete à ANPD:

I - zelar pela proteção dos dados pessoais, nos termos da legislação;

(…)

VI - promover na população o conhecimento das normas e das políticas públicas

sobre proteção de dados pessoais e das medidas de segurança;

VII - promover e elaborar estudos sobre as práticas nacionais e internacionais de

proteção de dados pessoais e privacidade (…)

XVIII - editar normas, orientações e procedimentos simplificados e diferenciados,

inclusive quanto aos prazos, para que microempresas e empresas de pequeno

porte, bem como iniciativas empresariais de caráter incremental ou disruptivo

que se autodeclarem startups ou empresas de inovação, possam adequar-se a

esta Lei”

4.7. Ressalta-se que as competências estabelecidas no art. 55-J da LGPD

convergem com o disposto nas competências especificadas no art. 16, II, do

regimento interno da ANPD, publicado na Portaria nº 1, de 8 de março de 2021.

4.8. A emissão deste guia, além de contribuir para a competência orientativa,

atende também a agenda regulatória da ANPD, que estabelece como prioritário o

tema de proteção de dados para agentes de tratamento de pequeno porte e pessoas

físicas.

4.9. Ademais, as ações orientativas consistem em estratégias da fiscalização

responsiva (conforme norma de fiscalização em processo de regulamentação), com

o objetivo de alcançar a efetividade no cumprimento da LGPD, em concordância com

o princípio da prevenção (art. 6º, VIII da LGPD) e da responsabilização (art. 6º, X da

LGPD).

4.10. Portanto, a elaboração do presente guia contribui para a concretização

das competências da ANPD com a finalidade máxima de proteção dos direitos dos

titulares de dados pessoais.

4.11. Distribuído à relatoria deste Gabinete, foram procedidas algumas

alterações na redação e no conteúdo do guia, tendo sido algumas delas resultado da

gentil colaboração de outros membros do Conselho Diretor e da equipe técnica,

conforme versão com marcas de revisão no documento SEI nº 2892323.

4.12. Em sua maioria, as alterações visam facilitar a leitura, por meio de

redações mais simples ou reduzidas; sugerir mais algumas medidas que podem ser

adotadas pelos agentes de pequeno porte; ou redistribuir as medidas para seções

individualizadas. As alterações mais relevantes passarão a ser descritas a seguir.

4.13. Os capítulos 1 e 2 foram unificados para conferir uma redação mais

objetiva da apresentação do guia e seu escopo.

4.14. Informações relacionadas à normas técnicas da ISO (International

Organization for Standardization) foram removidas do guia por se tratar de entidade

emissora de normas relacionadas a boas práticas não vinculantes, as quais a LGPD e

a ANPD não se sujeitam. Portanto, compreende-se que não devem constar de guia

orientativo emitido pela sua autoridade regulamentadora.

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 2

Página 3

4.15. Termos técnicos, como “identificadores diretos e indiretos”, foram

removidos por falta de previsão na LGPD, bem como em razão da complexidade dos

conceitos e do objetivo de simplificação do guia, já que é direcionado a um público

com menor porte operacional e financeiro no que se refere à segurança da

informação.

4.16. Em relação às obrigações da LGPD, foi adicionado parágrafo que se

refere ao princípio da segurança, obrigação legal intrinsecamente relacionada ao

texto.

4.17. Menções à não obrigatoriedade da elaboração da política de segurança

da informação pelos agentes de tratamento foram realizadas, embora com a devida

ressalva de que a ANPD incentiva sua elaboração e implementação.

4.18. A esse respeito, sugiro a elaboração e divulgação de proposta de modelo

de Política de Segurança da Informação (PSI) simplificada, em momento oportuno,

pela ANPD, sem pretensão de esgotar a matéria, mesmo porque, para a plena

adequação da PSI à organização, faz-se necessário entender como funciona o fluxo

operacional para que nenhum elemento de segurança necessário à proteção dos

dados pessoais deixe de ser contemplado.

4.19. Exemplos práticos sobre medidas de segurança foram adicionados à

redação, para facilitar a compreensão dos agentes de tratamento na leitura do guia.

4.20. Outras medidas de segurança, além daquelas já constantes da minuta

proposta a este Gabinete, também foram acrescidas, como é o caso de

recomendações para operacionalizar a informação por clientes e funcionários sobre

vulnerabilidades detectadas, a assinatura de termos de confidencialidade com

funcionários da empresa e o gerenciamento de contratos com clientes e

fornecedores para a adequada proteção de dados.

4.21. Por fim, recomendações de governança foram incluídas, contendo

exemplos de medidas que trazem segurança jurídica aos tratamentos de dados

realizados pelos agentes de tratamento de pequeno porte.

4.22. Além das alterações, foi adicionado o anexo I ao guia, que é parte

integrante deste para todos os fins. O anexo contém um checklist para facilitar a

conferência e a aplicação prática das medidas de segurança técnicas e

administrativas do guia.

4.23. Ressalta-se que o presente guia não é vinculante e nem constitui

regulamentação à LGPD, mas apenas a esclarece e objetiva dar orientações aos

entes regulados na busca pela adequação ao novo ecossistema de proteção de

dados criado pela lei.

4.24. Desta forma, o guia orientativo segue para publicação no site da

Autoridade, sem que se constitua em regulamentação de fato.

4.25. Para que não haja prejuízos aos direitos dos titulares em razão do

descumprimento legal, e em seguimento à construção da cultura de proteção de

dados no país, a ANPD entende que se trata de publicação urgente.

4.26. É recomendado que o documento seja amplamente publicizado e que

seja disponibilizado um canal de contato para recebimento de sugestões de

aprimoramento, as quais poderão ser incorporadas em versões subsequentes do

documento.

4.27. Também é recomendado que modelos, como o da PSI, sejam

disponibilizados em seguida para facilitar a estruturação dos agentes de pequeno

porte.

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 3

Página 4

5. CONCLUSÃO

5.1. É de competência da ANPD zelar pela proteção de dados pessoais e por

promover orientação aos titulares e aos agentes de tratamento brasileiros que, em

sua maior parte, poderão ser classificadas como agentes de pequeno porte.

5.2. O cumprimento da LGPD por esses agentes é primordial para o país e,

por isso mesmo, também o é a sua orientação, especialmente diante do fato de que

normalmente não possuem estrutura operacional e financeira robusta.

5.3. O guia de segurança da informação tem como objetivo orientar os

agentes de pequeno porte e de obter maior adesão ao cumprimento da LGPD e à

proteção aos direitos dos titulares de dados.

5.4. Dessa forma, voto pela publicação do guia orientativo (documento SEI nº

2892324) sobre segurança da informação para agentes de tratamento de pequeno e

seu anexo (documento SEI nº 2892325) e submeto o presente voto para aprovação

dos demais membros do Conselho Diretor, mediante votação por circuito

deliberativo, nos termos do § 1º do art. 40 do Regimento Interno da ANPD.

5.5. É como voto.

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão,

Diretor(a), em 19/09/2021, às 19:49, conforme horário oficial de Brasília,

com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de

novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2892319 e o código CRC 16DD77FB no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2892319

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 4

Página 5

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/DIR/AS/ANPD

VOTO Nº 15/2021/ANPD/AS/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes

de Tratamento de Pequeno Porte.

VOTO EM CIRCUITO DELIBERATIVO Nº 11/2021

DIRETOR ARTHUR PEREIRA SABBAT

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do

art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

X Não aplicável à hipótese

Voto no Circuito Deliberativo:

XAcompanho a Relatora (Voto nº 14/2021/ANPD/JR/DIR/ANPD/PROTOCOLO/PR, SEI nº

2892319)

Não acompanho a Relatora, nos termos do Voto indicado a seguir:

Documento assinado eletronicamente por Arthur Pereira Sabbat,

Diretor(a), em 21/09/2021, às 18:59, conforme horário oficial de Brasília,

com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de

novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2898542 e o código CRC 43861C8C no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2898542

Voto 15 (2898542) SEI 00261.000821/2021-16 / pg. 5

Página 6

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/JR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de

Tratamento de Pequeno Porte

VOTO EM CIRCUITO DELIBERATIVO N. 12/2021 -

DIRETOR JOACIL RAEL

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em

21/09/2021, às 16:45, conforme horário oficial de Brasília, com fundamento

no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2898586 e o código CRC 864D2E71 no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2898586

Voto 12 (2898586) SEI 00261.000821/2021-16 / pg. 6

Página 7

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 13/2021/ANPD/MW/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de

Tratamento de Pequeno Porte.

VOTO EM CIRCUITO DELIBERATIVO N. 13/2021 -

DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em

28/09/2021, às 15:41, conforme horário oficial de Brasília, com fundamento

no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2900329 e o código CRC A4169F3E no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2900329

Voto 13 (2900329) SEI 00261.000821/2021-16 / pg. 7

Página 8

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/GABPR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de

Tratamento de Pequeno Porte.

VOTO EM CIRCUITO DELIBERATIVO N. 13/2021 -

DIRETOR PRESIDENTE WALDEMAR GONÇALVES

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho

Junior, Diretor-Presidente, em 01/10/2021, às 15:24, conforme horário

oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543,

de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código

verificador 2924654 e o código CRC F660C0E6 no site:

https://sei-pr.presidencia.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2924654

Voto 12 (2924654) SEI 00261.000821/2021-16 / pg. 8