CD nº 9/2023 — Regulamento de comunicação de incidentes de segurança

Página 1

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS Gabinete do Diretor Joacil Rael VOTO Nº 8/2023/DIR/JR/ANPD PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD) CONSELHEIRO JOACIL BASILIO RAEL

1. ASSUNTO

1.1. Minuta de Resolução do Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais

2. EMENTA

2.1. MINUTA DE RESOLUÇÃO. APROVAÇÃO DO REGULAMENTO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS. ALTERAÇÕES DE NATUREZA MATERIAL APRESENTADAS NA SEÇÃO DE ANÁLISE. ALTERAÇÕES DE NATUREZA FORMAL EXPOSTAS NA VERSÃO COM MARCAS DE REVISÃO. VOTO PELA APROVAÇÃO DA MINUTA E SUBMISSÃO À CONSULTA E AUDIÊNCIA PUBLICAS. PRAZO DE CONSULTA PÚBLICA DE 30 (TRINTA) DIAS COM POSSIBILIDADE DE PRORROGAÇÃO.

3. RELATÓRIO

3.1. Trata-se de proposta de Regulamento de comunicação de incidente de segurança com dados pessoais, que objetiva regulamentar o art. 48, §1º, da Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), incluindo a especificação do prazo de comunicação, nos termos do § 1º do art. 48 da mesma lei.

3.2. O referido tema encontrava-se previsto no item 6 da Agenda Regulatória da Autoridade Nacional de Proteção de Dados (ANPD) para o biênio 2021/2022[1], aprovada pela Portaria nº 11, de 27 de janeiro de 2021, e foi mantido na Agenda Regulatória para o biênio 2023/2024[2]

, aprovada pela Portaria ANPD nº 35, de 4 de novembro de 2022.

3.3. O processo de regulamentação teve início com a assinatura do Termo de Abertura de Projeto em 22 de fevereiro de 2021 (SEI 2388029).

3.4. Diante da relevância do tema e de modo a possibilitar a participação da sociedade na construção do entendimento da ANPD acerca da comunicação de incidentes de segurança, optou-se pela realização de Tomada de Subsídios mediante a apresentação de contribuições escritas, nos termos da Nota Técnica n° 3/2021/CGN/ANPD (SEI 2398694). Foram disponibilizadas 13 (treze) perguntas (SEI 2398738) à sociedade, sendo as respostas encaminhadas à Coordenação-Geral de Normatização (CGN) no período de 22/02/2021 e 24/03/2021.

3.5. Além disso, entre os dias 15 e 18/03/2022, foram realizadas Reuniões Técnicas com representantes do Núcleo de Informação e Coordenação do Ponto BR (NIC.br), Centro de Direito, Internet e Sociedade (CEDIS) e Instituto Brasileiro de Defesa do Consumidor (IDEC) (SEI 2474721); representantes do Laboratório de Políticas Públicas e Internet (LAPIN) e Instituto de Referência em Internet e Sociedade (IRIS-BH) (SEI 2475226); representantes do Instituto de

Página 2

Pesquisa em Direito e Tecnologia do Recife (IP.REC) e Coding Rights (SEI 2475382); representantes do Data Privacy Brasil e Privacy Academy (SEI 2475465) e representantes do ITS Rio e Internet Lab (SEI 2483002).

3.6. Com a tomada de subsídios e as reuniões técnicas, 98 (noventa e oito) contribuições foram recebidas pela ANPD, assim, elaborou-se, no âmbito da equipe de projeto, a primeira versão da minuta, que foi submetida à consulta interna de 08 a 29 de julho de 2022 (SEI 3616715).

3.7. Após essa etapa, a minuta foi debatida com o Conselho Diretor por meio de Seminário Interno dividido em quatro reuniões, realizadas nos dias 28 de julho de 2022, e em 2, 4 e 12 de agosto do mesmo ano (SEI 3616751, 3616753, 3616757 e 3616768).

3.8. Após a realização de ajustes na minuta e devidamente instruído com o relatório de Análise de Impacto Regulatório (AIR), o processo seguiu para avaliação da Procuradoria Federal Especializada junto à ANPD (PFE/ANPD), que se manifestou por meio do Parecer nº 00023/2022/GAB/PFE-ANPD/PGF/AGU (SEI 3819738).

3.9. Diante das recomendações da PFE/ANPD, a CGN redigiu a Nota Técnica nº 12/2023/CGN/ANPD, de 08 e março de 2023 (SEI 4012432), com uma nova minuta de regulamento e sugeriu a realização de Consulta Pública pelo prazo de 45 (quarenta e cinco) dias.

3.10. O processo foi distribuído a este Gabinete após sorteio realizado no dia 10 de março, conforme Certidão de Distribuição (SEI 4021867).

3.11. É o relatório. Passo à análise.

4. ANÁLISE

I - ASPECTOS FORMAIS

4.1. Conforme relatado, trata-se de proposta de Regulamento de comunicação de incidente de segurança com dados pessoais, com fundamento nas competências atribuídas ao Conselho Diretor pelos art. 55-J, incisos IV e XII, da LGPD, e o art. 5º, inciso I, do Regimento Interno da ANPD.

4.2. Especificamente, o artigo 48 da LGPD apresenta disposições sobre o tema e cria para a ANPD o dever legal de normatizar o prazo para as comunicações de incidente de segurança, e de fiscalizar e adotar medidas de poder de polícia administrativa, com o objetivo de preservar os direitos dos titulares de dados diante de incidentes de segurança envolvendo dados pessoais. Dessa forma, o projeto de regulamentação está atrelado ao exercício das competências normativa e fiscalizatória atribuídas por Lei à ANPD.

4.3. O processo de regulamentação no âmbito da ANPD é regido pela Portaria nº 16, de 8 de julho de 2021. As etapas contempladas na apontada portaria foram observadas pela CGN. Dito isto, entendo terem sido observados os procedimentos aplicáveis à espécie, de forma que a instauração e instrução do processo até aqui obedeceram às disposições regimentais aplicáveis, havendo a necessária motivação para a elaboração do documento.

4.4. Portanto, entendo estarem preenchidos os requisitos de ordem formal aplicáveis ao caso. Da mesma forma, noto que o documento se encontra adequado para o atendimento dos propósitos de normatização, estando agora pronto para ser submetido à consulta e à audiência públicas.

4.5. Por tais razões, julgo oportuna a aprovação da minuta de Regulamento e a sua submissão às etapas de consulta e audiência públicas.

II - ANÁLISE DE MÉRITO

4.6. O documento apresentado a este gabinete (SEI 4013531) passou por algumas alterações de ordem formal, sem implicações substantivas, com o objetivo de tornar mais clara a redação dos dispositivos e uniformizar as terminologias utilizadas. Neste passo, indico que foram invertidas as ordens de alguns artigos, bem como alterada a dinâmica de organização dos capítulos e seções da norma apresentada.

Página 3

4.7. Estas modificações não serão apresentadas de forma individualizada no presente voto. Contudo, para facilitar a identificação das modificações propostas, todas as alterações estão registradas nas marcas de revisão na minuta anexada ao processo (SEI 4171758).

4.8. Não obstante, outras alterações de ordem material também foram realizadas por este gabinete. Quanto a estas, passo a expor as justificativas nas seções subsequentes.

a. Da proposta de alteração no regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte (ATPP)

4.9. A LGPD previu em seu art. 55-J, XVIII a competência da ANPD para editar normas, orientações e procedimentos simplificados e diferenciados para agentes de tratamento de pequeno porte, assim publicou a Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.

4.10. Neste Regulamento, a ANPD instituiu flexibilizações e dispensas aos agentes de pequeno porte, dentre as quais destaca-se, para o caso vertente, o estabelecimento de prazo em dobro para a apresentação de comunicação de incidentes de segurança envolvendo dados pessoais, previsto no art. 14, II.

4.11. Como consequência, a minuta apresentada à PFE junto à ANPD continha dispositivo com redação idêntica àquela constante do Regulamento para agentes de tratamento de pequeno porte, indicando, inclusive, a exceção para a regra de comunicação em prazo dobrado sempre que o incidente de segurança puder implicar potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional.

4.12. Após avaliar o dispositivo à luz das recomendações apresentadas pela procuradoria, a equipe de projeto conduzida pela CGN propôs ao Conselho Diretor a exclusão da flexibilização constante na minuta e no inciso II do art. 14 do Regulamento para ATPP.

4.13. O argumento para tanto fundamenta-se na percepção de que, a partir da redação atual, os agentes de tratamento de pequeno porte já não poderiam se beneficiar do prazo em dobro para comunicar incidentes de segurança, tendo em vista que apenas incidentes capazes de gerar risco ou dano relevante aos titulares devem ser comunicados pelo controlador, situação que, ao menos em tese, se equipararia aos incidentes capazes de implicar comprometimento à integridade física ou moral dos titulares, prevista na exceção constante no inciso II do artigo 14 do Regulamento de ATPP.

4.14. Nesse sentido, segue trecho da Nota Técnica nº 12 (SEI nº 4012432):

265. De todo modo, prever o prazo em dobro para a comunicação de incidentes de segurança não teria qualquer efeito para o agente de tratamento de pequeno porte: a proposta da minuta exige a comunicação de incidentes somente nas situações que possam acarretar risco ou dano relevante aos titulares, ou seja, em todos os casos nos quais a comunicação é mandatória, esse agente de tratamento não teria direito ao prazo em dobro.

266. A exceção da flexibilização do prazo em dobro na comunicação do incidente, disposta no art. 14, II, da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, de potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional, criou o cenário de que sempre será um incidente de risco ou dano relevante ao titular.

267. Com isto, a redação original ficou prejudicada, de forma que se sugere alterá-la para suprimir do art. 5º, renumerando os demais.

268. Ademais, sugere-se excluir o art. 14, II, da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, por contrariedade à norma específica sobre o tema, cabendo a inclusão de cláusula de revogação expressa, nos seguintes termos da Resolução: Art. 2º. Fica revogado o inciso II do art. 14 do Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte, aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de

2022.

4.15. Em que pesem os argumentos apresentados pela equipe da CGN, entendo que a previsão de prazo em dobro para a comunicação de incidentes de segurança por agentes de pequeno porte deve permanecer, sendo pertinente, ainda, a exclusão da exceção constante na parte final do art. 14, II do Regulamento para ATPP.

Página 4

4.16. Julgo desta forma por identificar, da avaliação dos critérios estabelecidos no Regulamento para agentes de pequeno porte, que apenas aqueles agentes que não realizem tratamento de alto risco podem se beneficiar do tratamento jurídico diferenciado, inclusive do prazo em dobro para a comunicação de incidentes de segurança.

4.17. Considerando que os critérios para a definição de tratamento de alto risco estabelecidos no Regulamento de ATPP são semelhantes àqueles utilizados para a identificação de incidentes de segurança capazes de gerar risco ou dano relevante aos titulares, nos termos do artigo 5º da minuta ora avaliada, entendo ser desnecessária a exceção constante no art. 14, II.

4.18. Com efeito, avalio que de forma geral, apenas situações residuais, muito específicas, caracterizarão incidentes de segurança comunicáveis por agentes definidos como de pequeno porte, tendo em vista que aqueles que realizam tratamentos de alto risco, já não fazem jus às flexibilizações estabelecidas pela ANPD por meio da Resolução CD/ANPD nº 02/22.

4.19. Para estas situações, naturalmente excepcionais, de incidentes envolvendo risco ou dano relevante por agentes de pequeno porte que não realizem tratamento de alto risco para os titulares, entendo pertinente o estabelecimento de prazo em dobro para as comunicações à ANPD e aos titulares. Julgo desta forma por entender necessária a observância, na atuação regulatória da ANPD, das peculiaridades inerentes a esses agentes de tratamento, em linha com o propósito extraído da própria LGPD em seu artigo 55-J, XVIII, e reconhecido pelo art. 10 do Regulamento de ATPP[3]. 4. 20. Vale ressaltar que apenas o prazo geral de 03 (três) dias úteis, previsto no caput dos artigos 6º e 9º da minuta em apreço, deve ser estendido, mantendo-se o prazo de 20 dias úteis contados da ciência do incidente para a eventual complementação da comunicação à ANPD. Entendo desta forma, por julgar que estender também o prazo para complementação da comunicação poderia implicar prejuízos à atuação da ANPD na avaliação do incidente e na eventual determinação de providências pelo controlador, como forma de resguardar os direitos e interesses dos titulares afetados.

Texto original Art. 14. Aos agentes de tratamento de pequeno porte será concedido prazo em dobro:

II - na comunicação à ANPD e ao titular da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, nos termos de regulamentação específica, exceto quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional, devendo, nesses casos, a comunicação atender aos prazos conferidos aos demais agentes de tratamento, conforme os termos da mencionada regulamentação;

Texto alterado

Art. 14. Aos agentes de tratamento de pequeno porte será concedido prazo em dobro:

II - na comunicação à ANPD e ao titular da ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, prevista no caput dos

arts. 6º e 9º do Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais, aprovado pela Resolução CD/ANPD nº X, de XX de XXXXXXX de 2023.

Página 5

4.22. Como consequência desta alteração, proponho, ainda, a inserção de §§ nos artigos 6º e 9º da minuta de Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais, com a finalidade de esclarecer que apenas o prazo de 3 (três) dias úteis previsto no caput dos apontados dispositivos será concedido em dobro aos agentes de pequeno porte que possam se beneficiar do tratamento jurídico diferenciado.

b. Da proposta de alteração na definição de incidente de segurança

4.23. Na versão enviada à avaliação do Conselho Diretor, a minuta de Regulamento apresentava definição de incidente de segurança como qualquer evento adverso confirmado, relacionado ao comprometimento das propriedades de confidencialidade, integridade e disponibilidade da segurança de dados pessoais.

4.24. Observo, contudo, e em linha com o disposto no Decreto 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, que incidentes que possam comprometer ou violar a propriedade da autenticidade, também podem constituir incidentes comunicáveis sob a perspectiva da LGPD.

4.25. Em linhas gerais, e malgrado todo o aprofundado estudo realizado pela equipe de projeto, constante na Nota Técnica nº 12/2023/CGN/ANPD (SEI nº 4012432), vislumbro que embora não seja mandatória a inclusão desta propriedade, ser possível que incidentes envolvendo a propriedade da autenticidade, revistam-se da potencialidade de implicar risco ou dano relevante aos titulares de dados envolvidos.

4.26. Entendo da avaliação dos itens 243 a 254 da referida Nota Técnica, que apontada possibilidade pode ter natureza residual, e que outros critérios relacionados aos impactos do incidente ainda deverão ser considerados, por conseguinte, julgo pertinente a inserção desta propriedade na definição de incidente de segurança, constante no artigo 3º da minuta, ao menos na versão a ser disponibilizada para audiência e consulta públicas. Como consequência, ajustei o documento, inserindo, ainda, novo inciso ao artigo 3º da minuta contendo a definição para a propriedade da autenticidade. A definição adotada foi extraída do Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021, do Gabinete de Segurança Institucional da Presidência da República, de forma a manter a coerência da fonte adotada para a definição das demais propriedades constantes no dispositivo.

4.27. Como consequência, ajustei o documento, inserindo, ainda, novo inciso ao artigo 3º da minuta contendo a definição para a propriedade da autenticidade. A definição adotada foi extraída do Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR nº 93, de 18 de outubro de 2021, do Gabinete de Segurança Institucional da Presidência da República, de forma a manter a coerência da fonte adotada para a definição das demais propriedades constantes no dispositivo.

c. Da breve avaliação dos critérios para a comunicação de incidentes de segurança

4.28. Com o intuito de auxiliar na identificação de incidentes que tenham risco potencial de causar impacto aos direitos e interesses dos titulares de dados, a LGPD trouxe em seu art. 48 a delimitação dos incidentes que devem obrigatoriamente ser objeto de comunicação ao titular e à ANPD, indicando para tanto os incidentes de segurança que possam acarretar risco ou dano relevante aos titulares.

4.29. A minuta ora apresentada, em linha com critérios já adotados pela ANPD em outros instrumentos regulatórios para a identificação de operações de tratamento capazes de implicar alto risco aos titulares, indicou como critério geral o potencial de afetar significativamente interesses e direitos fundamentais dos titulares.

4.30. Sobre o assunto, entendo coerente a adoção do critério geral tendo em vista tratar-se de natureza ampla, e abranger tanto possíveis impactos aos direitos quanto aos interesses dos titulares. O critério propõe, ainda, uma avaliação relacionada à consequência do incidente, mediante a avaliação do

Página 6

impacto gerado aos titulares afetados, seguindo a mesma trilha proposta pelo art. 48 da LGPD.

4.31. Para melhor orientar o controlador nessa análise, o §1º do art. 5º da minuta trouxe alguns critérios que devem ser considerados na avaliação das consequências do incidente, como a possibilidade de eventual impedimento ou limitação ao exercício de direitos ou acesso a serviços pelo titular, ou a possibilidade de danos de ordem material ou moral aos titulares.

4.32. Adicionalmente a este critério, a minuta apresenta ainda relação com outros 5 (cinco) critérios de natureza específica, indicando a necessidade de conjugação de pelo menos um destes ao critério geral, para a identificação de um incidente capaz de gerar risco ou dano relevante aos titulares.

4.33. Nota-se, assim, que o regulamento proposto não inova em relação aos critérios já adotados pela ANPD para a identificação de tratamentos de alto risco, nos termos do artigo 4º do Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte, com a ressalva de que o critério da larga escala, considerado como um critério geral para a avaliação do risco associado ao tratamento no Regulamento de ATPP, neste regulamento passou a ser considerado como critério específico.

4.34. Mais uma vez, entendo pertinente a modificação proposta pela equipe de projetos, tendo em vista que para este Regulamento importa a avaliação das consequências, isto é, dos impactos advindos de incidentes de segurança envolvendo dados pessoais, à esfera de direitos e interesses dos titulares, diferente da avaliação relacionada aos riscos decorrentes das operações de tratamento realizadas pelos agentes de pequeno porte.

4.35. Desta forma, entendo que a escala do incidente, muito embora seja um elemento indicativo de maior gravidade, não seria um critério a, por si só, servir de elemento geral para a identificação de um incidente de segurança apto a implicar risco ou dano relevante aos titulares, sem a avaliação da possível afetação aos interesses e direitos do titular

4.36. Soma-se a isso o fato de que, em incidentes em larga escala, dificilmente se estaria diante de um que não envolva dados pessoais sensíveis, ou de crianças e adolescentes, ou, ainda, dados financeiros ou de autenticação em sistemas, que são os critérios específicos apresentados pelo Regulamento. Como consequência, caso mantida a dinâmica constante no Regulamento para ATPP, estar- se-ia diante de situação em que, potencialmente, todos os incidentes identificados como de larga escala seriam de comunicação obrigatória à ANPD e aos titulares, situação que, não necessariamente, reflete a melhor metodologia para a real avaliação dos impactos decorrentes do incidente de segurança.

d. Da proposta de exclusão de parágrafo contendo critérios auxiliares para a identificação de situações com potencial de afetar significativamente interesses e direitos fundamentais dos titulares

4.37. Adicionalmente, julgo que os parâmetros adicionais apresentados pela equipe da CGN como forma de indicar maiores balizadores à avaliação a ser realizada pelos controladores quanto à possibilidade de um incidente de segurança afetar significativamente direitos e interesses do titular, não restam suficientemente claros, da forma como apresentados, exigindo, na avaliação deste relator, maior reflexão e amadurecimento, inclusive quanto à melhor forma para sua apresentação.

4.38. Muito embora reste evidente o esforço realizado pela equipe da CGN em apresentar maiores elementos de interpretação aos controladores, inclusive mediante a avaliação de metodologias adotadas por outras autoridades de proteção de dados pessoais, julgo, neste momento, que trazer uma metodologia específica no bojo do ato normativo, pode acabar por restringir ou limitar a adoção de outras metodologias e critérios que eventualmente se demonstrem, com maior aprofundamento e experiência, mais eficazes na avaliação de um incidente com potencial de afetar significativamente os interesses e direitos dos titulares.

4.39. Ademais, observo que não trazer metodologia expressa no corpo do regulamento, não obsta o seu aprofundamento e posterior detalhamento em outros instrumentos com caráter orientativo a serem elaborados pela ANPD. Esta, aliás, é exatamente a redação constante no § 3º do artigo 5º da minuta.

4.40. Assim, julgo pertinente, para o momento, a exclusão da redação constante no § 2º da minuta apresentada e a inserção, em seu lugar, de dispositivo apresentando parâmetros para a identificação do critério específico relacionado à larga escala, anteriormente excluído pela equipe de projetos.

4.41. Ainda, observo a necessidade de maior aprofundamento quanto aos parâmetros

Página 7

interpretativos para a identificação mais objetiva de incidentes capazes de afetar significativamente direitos e interesses dos titulares, ressaltando, inclusive a previsão do assunto na primeira fase da agenda regulatória da ANPD para o biênio de 23/24.

e. Da alteração do prazo para apresentação de procuração

4.42. Com o intuito de adequar o prazo estabelecido na minuta apresentada a este gabinete aos prazos já existentes no ordenamento jurídico brasileiro para a apresentação de procuração pelo advogado, julgo conveniente a alteração do prazo previsto no §4º do art. 6º da minuta do Regulamento, reduzindo o período anteriormente previsto de 30 (trinta) dias, para 15 (quinze) dias.

4.43. Este, como exposto, é o prazo previsto no Código de Processo Civil Brasileiro, Lei 13.105, de 2015: Art. 104. O advogado não será admitido a postular em juízo sem procuração, salvo para evitar preclusão, decadência ou prescrição, ou para praticar ato considerado urgente. § 1º Nas hipóteses previstas no caput, o advogado deverá, independentemente de caução, exibir a procuração no prazo de 15 (quinze) dias, prorrogável por igual período por despacho do juiz.

4.44. No mesmo sentido, a Lei nº 8.906, de 1994, Estatuto da Advocacia, estabelece que: Art. 5º O advogado postula, em juízo ou fora dele, fazendo prova do mandato. § 1º O advogado, afirmando urgência, pode atuar sem procuração, obrigando-se a apresentá-la no prazo de quinze dias, prorrogável por igual período.

4.45. A legislação vigente prevê duas situações diferentes da prevista na Minuta do Regulamento proposto, porquanto indica a natureza excepcional, em caráter de urgência, a justificar a atuação do advogado sem procuração, ao contrário do Regulamento ora avaliado.

4.46. Não obstante, entendo que o prazo de 15 (quinze) dias estipulado pela legislação para a apresentação do instrumento de procuração é suficiente para o saneamento do vício de representação, sendo oportuno ainda mencionar que o prazo estipulado pelo Regulamento de Comunicação de Incidente de Segurança será contado em dias úteis.

f. Da alteração do prazo de registro de incidentes de segurança com dados pessoais

4.47. A minuta da Resolução apresentada a este gabinete estabeleceu um prazo de 2 (dois anos) para a guarda das informações relacionadas a incidentes, mesmo aqueles que, aparentemente, não acarretariam risco ou dano relevante aos titulares.

4.48. Para a delimitação desse prazo, noto que a equipe de projeto levou em consideração o tempo médio para identificar e conter uma violação de dados, além do prazo precaucional, que demanda um intervalo de tempo para além da referência inicial, com a finalidade de acomodar justamente a incerteza em relação ao potencial de risco ou de dano relevante aos titulares, durante o qual as informações devem ser guardadas por medida de cautela, antes da eliminação ou da guarda permanente.

4.49. Em pesquisa internacional, a equipe de projeto identificou que esse período de guarda está em linha, por exemplo, com a previsão de dois anos adotada pela Autoridade de Privacidade do Canadá[4]para registro de todos os incidentes de segurança pelo controlador, razão pela qual indicou esta prazo na minuta submetida à avaliação do conselho Diretor.

4.50. Entretanto, a partir de uma avaliação quanto à finalidade do registro estabelecido no regulamento à luz da legislação brasileira, verifico que a Lei 9.873, de 23 de novembro de 1999, estabelece em seu art. 1º o prazo prescricional de 5 (cinco) anos para o exercício da ação punitiva da Administração Pública Federal, direta e indireta, no exercício do poder de polícia, objetivando apurar infração à legislação em vigor, contados da data da prática do ato ou, no caso de infração permanente ou continuada, do dia em que tiver cessado.

4.51. Inclusive no que tange ao direito do titular, o Código Civil Brasileiro preceitua um prazo

Página 8

maior que os 2 (dois) anos previstos no regulamento para a eventual reparação de um dano pelos titulares eventualmente afetados.

4.52. Nesse contexto, julgo pertinente que o prazo para registro das informações sobre incidentes de segurança com dados pessoais, inclusive aqueles não comunicados à ANPD e aos titulares, seja alterado dos atuais 2 (dois) anos para 5 (cinco) anos, garantindo, assim, a efetividade de uma eventual atuação fiscalizatória pela ANPD, bem como assegurando a possibilidade de ação pelos titulares afetados diante de incidentes de segurança não comunicados pelo controlador.

4.53. Para além desta alteração, identifico a necessidade de mais um esclarecimento quanto à redação do dispositivo em tela, com o objetivo de avaliar e ajustar a coerência do texto proposto pela equipe de projeto em relação à fundamentação apresentada na Nota Técnica nº 12/2023/CGN/ANPD.

4.54. Com efeito, observo que a equipe da CGN identificou a desnecessidade de manutenção de registro de incidentes de segurança que tenham sido objeto de comunicação à ANPD, tendo em vista a racionalização dos procedimentos e redução dos custos inerentes à guarda, pelos controladores, de informações já recebidas e arquivadas pela própria ANPD. Os argumentos encontram-se assim dispostos na apontada nota:

311. Por outro lado, os incidentes com potencial de risco ou dano relevante aos titulares serão comunicados à ANPD, que está submetida aos prazos de guarda da Administração Pública. Espera- se que tais comunicações serão classificadas no acervo de guarda permanente, pois fundamentarão decisões administrativas da Autoridade no curso da apuração dos incidentes.

312. Assim, visando a racionalização dos procedimentos para garantia da defesa dos direitos dos titulares e para evitar o custo regulatório de uma redundância documental desnecessária, uma vez feita a comunicação do incidente, não haveria obrigação de guarda das informações constantes da comunicação feita, com a ressalva de que o titular deve ser cientificado do número da comunicação para que possa, caso necessário, buscar as informações do incidente diretamente da ANPD.

4.55. Como decorrência, a equipe da CGN propôs, na apontada Nota técnica, a adoção da seguinte redação para o dispositivo: O controlador deverá manter o registro de incidentes de segurança com dados pessoais que não possam acarretar risco ou dano relevante aos titulares pelo prazo mínimo de dois anos, contados a partir da data que tomar conhecimento, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção. Grifos inseridos.

4.56. Todavia, noto que a redação submetida à avaliação do Conselho Diretor não previa a desnecessidade de guarda do registro pelo controlado para incidentes de segurança que tenham sido comunicados à ANPD. Segue: O controlador deverá manter o registro de incidentes de segurança com dados pessoais, inclusive daquele que não possa acarretar risco ou dano relevante aos titulares pelo prazo mínimo de dois anos, contados a partir da data que tomar conhecimento, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção. Grifos inseridos.

4.57. Não obstante a argumentação oferecida pela equipe da CGN, julgo não ser pertinente à ANPD assumir a responsabilidade pela guarda de informações relacionadas ao incidente de segurança para finalidades que extrapolem as necessidades inerentes à atuação fiscalizatória da autoridade.

4.58. Desta forma, julgo que a proposta constante na nota técnica, para que a ANPD seja responsável pela guarda de comunicações de incidente, por exemplo, para a finalidade de instruir eventual ação de reparação, ou outra demanda, a ser manejada pelos titulares de dados envolvidos no incidente, não reflete a melhor alternativa normativa sob a perspectiva da ANPD.

4.59. Na verdade, entendo que tal atribuição deve ser mantida na esfera de responsabilidade do próprio controlador, em linha com o disposto no caput do artigo 18 da LGPD, que estabelece o direito ao titular de obter do controlador, informações relacionadas ao tratamento por ele realizado.

4.60. Por esta razão, entendo que a redação deve permanecer na forma como apresentada ao Conselho e à procuradoria, sem o ajuste sugerido na referida nota técnica.

g. Da alteração da estrutura do processo de comunicação de incidente

Página 9

4.61. Seguindo na avaliação da minuta, este gabinete entendeu a dinâmica proposta pela equipe de projetos para a delimitação de dois ritos distintos a serem seguidos pela Coordenação-Geral de Fiscalização (CGF) na avaliação de incidentes de segurança.

4.62. O primeiro, o processo de comunicação de incidentes de segurança, à avaliação de incidentes regularmente comunicados pelo controlador; e, o segundo, o procedimento de apuração de incidentes de segurança, se presta à apuração de incidentes não comunicados, dos quais a ANPD foi cientificada por outros meios.

4.63. Percebo, contudo, que a dinâmica apresentada na minuta poderia implicar confusões de natureza interpretativa, em especial para a identificação de disposições eventualmente aplicáveis aos dois ritos. Desta forma, com o intuito de melhor adequar o fluxo processual, propus a modificação da forma de organização dos ritos, estabelecendo ambos como procedimentos independentes, mas integrantes do mesmo Processo de Comunicação de Incidente de Segurança.

4.64. Com esta alteração, pude inserir seção estabelecendo condições processuais gerais, aplicáveis aos dois procedimentos, simplificando, em alguma medida, a compreensão dos ritos, mas sem grandes impactos à atuação da CGF em relação ao fluxo atualmente adotado para a avaliação e apuração de incidentes de segurança envolvendo dados pessoais.

4.65. Como consequência, adequei todas as disposições relativas ao processo de comunicação e ao procedimento de apuração de incidentes de segurança, com o objetivo de manter a coerência da norma diante da nova estrutura proposta.

h. Da fixação da multa diária

4.66. Na esteira da modificação anteriormente exposta, julgo conveniente indicar de forma expressa a possibilidade de fixação de multa diária em caso de não cumprimento da determinação de apresentação de comunicação potencialmente realizada ao final do procedimento de apuração de incidente de segurança.

4.67. Como indicado, este procedimento, que será autônomo em relação ao procedimento de comunicação de incidentes, se presta à apuração pela ANPD quanto a incidentes não comunicados pelos controladores nas condições estabelecidas pelo normativo. Desta forma, quando identificado um incidente envolvendo dados pessoais capaz de gerar risco ou dano relevante aos titulares, a equipe da CGF determinará ao controlador que apresente a comunicação, como forma de viabilizar a apuração aprofundada do incidente e, se for o caso, poderá determinar a adoção de providencias para a salvaguarda dos direitos e interesses dos titulares afetados.

4.68. Assim, nota-se que a apresentação da comunicação do incidente pelo controlador representa condição para o prosseguimento da atuação da ANPD, sem a qual não seria possível o conhecimento completo pela equipe da fiscalização sobre o incidente e seus eventuais desdobramentos, inviabilizando, ainda, a avaliação quanto à necessidade de adoção de medidas para a mitigação ou reversão dos impactos decorrentes do incidente.

4.69. Desta forma, com o objetivo de direcionar o comportamento dos agentes de tratamento e, ainda, garantir mais efetividade à atuação da autoridade, desestimulando a eventual inércia por parte dos controladores, alterei a redação do atual artigo 16 da minuta, inserindo parágrafo a prever especificamente a possibilidade de fixação de multa diária em caso de descumprimento da determinação da ANPD de envio da comunicação do incidente.

i. Da exclusão de previsão de circunstância agravante em aparente bis in idem.

4.70. A minuta do regulamento proposta traz em seu art. 23 a possibilidade de instauração de processo administrativo sancionador caso o controlador não adote as medidas para reverter ou mitigar os efeitos do incidente no prazo e nas condições determinadas pela ANPD.

4.71. O parágrafo único informa que será considerada circunstância agravante o não atendimento, o atendimento incompleto ou fora do prazo das medidas determinadas pela ANPD, caso instaurado o

Página 10

processo administrativo sancionador.

4.72. Nota-se, desta forma, a aparente estipulação de duas consequências sancionatórias distintas, quais sejam, a abertura de processo administrativo sancionador e o agravamento de uma eventual sanção, para uma mesma conduta, que é exatamente o não atendimento das medidas determinadas pela ANPD, nas condições exigidas pela autoridade.

4.73. Assim a mesma ação ou omissão por parte do agente de tratamento poderia ser sancionada duplamente, pois ocasionaria abertura do processo administrativo sancionador que poderia implicar a aplicação de uma determinada sanção, e esta sanção ainda poderia ser agravada pelo mesmo motivo, gerando assim uma possível situação de bis in idem.

4.74. A partir desta percepção, julgo necessária a exclusão da circunstância agravante constante no parágrafo único do artigo 23, mantendo somente a possibilidade de abertura do processo administrativo sancionador previsto no caput, como consequência jurídica para a eventual hipótese de não observância das medidas para reverter ou mitigar os efeitos do incidente determinadas pela ANPD.

j. Da extinção do processo de comunicação de incidente

4.75. Como consequência das alterações anteriormente expostas, especialmente a modificação na sistemática do processo de comunicação de incidente, consolidei todas as hipóteses previstas na minuta para a extinção do processo em uma mesma seção, dividindo as hipóteses de acordo com o procedimento em que elas ocorram.

k. Do prazo para audiência pública

4.76. Foi sugerido pela CGN no item 359 da Nota Técnica nº 12/2023/CGN/ANPD, de 08 e março de 2023 (SEI 4012432) que a minuta da Resolução seja submetia à Consulta Pública pelo prazo de 45 (quarente e cinco) dias exclusivamente pela Plataforma Participa + Brasil.

4.77. Sugeriu ainda, a realização de Audiência Pública para apresentar a matéria e debater junto à sociedade a proposta de ato normativo, por dois dias, durante realização de Consulta Pública, tendo em vista a possibilidade de um alto número de expositores interessados em participar do evento.

4.78. Com base na experiência adquirida por esta Autoridade em processos de mesma natureza, entendo ser pertinente o estabelecimento inicial de um período de 30 (trinta) dias para a realização de Consulta Pública, com a possibilidade de prorrogação em caso de necessidade de maior prazo para o envio de contribuições.

4.79. Julgo desta forma por entender que o tema exige atuação regulatória célere por parte da ANPD, diante do volume de incidentes já comunicados e de questionamentos relacionados ao tema recebidos pelos canais de atendimento da autoridade.

4.80. Da mesma forma, entendo não haver prejuízo à ampla participação da sociedade na construção da solução normativa aqui avaliada, porquanto exista a possibilidade de prorrogação deste período, caso se demonstre necessário, ao longo dos 30 (trinta) dias inicialmente estabelecidos.

4.81. Por fim, entendo pertinente a proposta da equipe de projetos para a realização da Audiência Pública dividida em 2 (dois) dias, com realização concomitante com a Consulta Pública. Desta forma, a ANPD garante a transparência necessária para a aprovação futura do normativo, sem renunciar à necessária integração do ato regulatório a partir das diferentes visões e perspectivas dos setores regulados, reais destinatários do instrumento a ser construído.

5. VOTO

5.1. Ante o exposto, voto pela aprovação da Minuta de Resolução que regulamenta o Processo de Comunicação de Incidente de Segurança com Dados Pessoais às etapas da consulta e da audiência públicas (SEI 4171764).

Página 11

5.2. Ressalto, pelos motivos expostos na análise deste voto, que a consulta pública deverá ser realizada pelo período de 30 (trinta) dias, com a possibilidade de prorrogação, caso necessário.

5.3. Destaco que a futura publicação dessa minuta pode requerer a adequação do formulário de comunicação de incidente constante no sítio eletrônico desta Autoridade, sendo importante o acompanhamento dos desdobramentos até a final aprovação do normativo, para posterior atualização das orientações atualmente disponíveis sobre o tema, naquilo que for necessário.

5.4. Por fim, considerando a relevância da matéria e a premente necessidade de regulamentação do tema, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno

5.5. É como voto. JOACIL BASILIO RAEL Diretor Relator __________ [https://www.in.gov.br/en/web/dou/-/portaria-n-11-de-27-de-janeiro-de-2021-301143313 [https://www.in.gov.br/en/web/dou/-/portaria-anpd-n-35-de-4-de-novembro-de-2022-442057885 [3]O art. 10 do Regulamento para agentes de tratamento de pequeno porte, que estabelece que “a ANPD disporá sobre flexibilização ou procedimento simplificado de comunicação de incidente de segurança para agentes de tratamento de pequeno porte, nos termos da regulamentação específica”. [4]OFFICE OF THE PRIVACY COMMISSIONER OF CANADA. What you need to know about mandatory reporting of breaches of security safeguards. 2018. Disponível em: https://www.priv.gc.ca/en/privacy-topics/business-privacy/safeguards-and-breaches/privacy-breaches/respond-to-a-privacy-breach-at-your-business/gd_pb_201810/#_Part_3. Acesso em 07 de fev 2023 Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 19/04/2023, às 11:28, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. A autenticidade do documento pode ser conferida informando o código verificador 4171788 e o código CRC 279989B1 no site: https://super.presidencia.gov.br/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0 Referência: Processo nº 00261.000098/2021-67 SUPER nº 4171788

Página 12

Gabinete do Diretor Arthur Pereira Sabbat VOTO Nº 10/2023/DIR/AS/ANPD PROCESSO Nº 00261.000098/2021-67 INTERESSADO: ANPD CIRCUITO DELIBERATIVO Nº 09/2023 (SEI 4173770) DIRETOR ARTHUR PEREIRA SABBAT

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 19/04/2023, às 18:00, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. A autenticidade do documento pode ser conferida informando o código verificador 4175377 e o código CRC 2C57F66C no site: https://super.presidencia.gov.br/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0 Referência: Processo nº 00261.000098/2021-67 SUPER nº 4175377

Página 13

VOTO Nº 10/2023/DIR/MW/ANPD PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Minuta de Resolução do Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais.

VOTO EM CIRCUITO DELIBERATIVO DIRETORA MIRIAM WIMMER

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 24/04/2023, às 15:46, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. A autenticidade do documento pode ser conferida informando o código verificador 4177508 e o código CRC 7F9FDB36 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0 Referência: Processo nº 00261.000098/2021-67 SUPER nº 4177508

Página 14

VOTO Nº 2/2023/DIR/NR/ANPD PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Minuta de Resolução do Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais.

VOTO EM CIRCUITO DELIBERATIVO DIRETORA NAIRANE RABELO

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão, Diretor(a), em 26/04/2023, às 10:09, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. A autenticidade do documento pode ser conferida informando o código verificador 4187615 e o código CRC 6C627003 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0 Referência: Processo nº 00261.000098/2021-67 SUPER nº 4187615

Página 15

VOTO Nº 12/2023/GABPR/ANPD PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Minuta de Resolução do Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais.

VOTO EM CIRCUITO DELIBERATIVO Nº 12/2023 (SEI 4192347) DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JÚNIOR

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, em 26/04/2023, às 11:33, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. A autenticidade do documento pode ser conferida informando o código verificador 4192347 e o código CRC 6E7CCC05 no site: https://super.presidencia.gov.br/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0 Referência: Processo nº 00261.000098/2021-67 SUPER nº 4192347