CD nº 9/2024 — Regulamento de Comunicação de Incidente de Segurança

Página 1

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Joacil Rael

VOTO Nº 9/2024/DIR-JR/CD

PROCESSO Nº 00261.000098/2021-67 DIRETOR RELATOR JOACIL BASILIO RAEL

1. ASSUNTO

1.1. Minuta de Resolução que aprova o Regulamento de Comunicação de Incidente de Segurança.

1. EMENTA

2.1. MINUTA DE RESOLUÇÃO. APROVAÇÃO DO REGULAMENTO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA. ANÁLISE DOS ASPECTOS PROCESSUAIS. ANÁLISE DA MINUTA DO REGULAMENTO APÓS REALIZAÇÃO DE CONSULTA PÚBLICA. ALTERAÇÕES DE NATUREZA MATERIAL APRESENTADAS NA SEÇÃO DE ANÁLISE. ALTERAÇÕES REDACIONAIS EXPOSTAS NA VERSÃO COM MARCAS DE REVISÃO. VOTO PELA APROVAÇÃO DA MINUTA. PROVIDÊNCIAS A SEREM TOMADAS PELA SECRETARIA-GERAL.

1. RELATÓRIO

3.1. Trata-se de proposta de Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais, que objetiva regulamentar o art. 48, parágrafo primeiro, da Lei nº 13.709, de 14 de agosto de 2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).

3.2. O referido tema foi previsto, inicialmente, no item 6 da Agenda Regulatória da Autoridade Nacional de Proteção de Dados (ANPD) para o biênio 2021/2022, tendo sido mantido (item 3) na Agenda Regulatória para o biênio 2023/2024, mesmo com as alterações promovidas pela Resolução CD/ANPD nº 11, de 27 de dezembro de 2023.

3.3. O processo de regulamentação teve início com a assinatura do

Página 2

Termo de Abertura de Projeto em 22 de fevereiro de 2021 (SEI 0051877). Seguidos os trâmites da Portaria nº 16, de 8 de julho de 2021, a qual aprovou o processo de regulamentação no âmbito da Autoridade Nacional de Proteção de Dados, em 26 de abril de 2023, o Conselho Diretor da ANPD aprovou a submissão da minuta de resolução a Consulta Pública, nos termos do art. 53 da LGPD, conforme a Ata de Circuito Deliberativo do Conselho Diretor nº 9 (SEI nº 0052194).

3.4. Nos termos do Documento Consulta Pública nº 1/2023 DOU (SEI nº 0052199), de 27 de abril de 2023, a minuta de resolução foi submetida à Consulta Pública, com prazo de 30 (trinta) dias para envio de sugestões, entre os dias 02 e 31 de maio de 2023.

3.5. Por meio do Aviso Audiência Pública Nº 1/2023 DOU (SEI nº 0052206), publicado em DOU de 04 de maio de 2023, o Conselho Diretor da ANPD determinou a realização de Audiência Pública, prevista no art. 55-J, § 2º, da LGPD, destinada ao debate e manifestação da sociedade sobre a minuta de resolução, realizada no dia 23 de maio de 2023.

3.6. Em 31 de maio de 2023, conforme Despacho DOU (SEI nº 0052232), o Conselho Diretor da ANPD prorrogou o prazo de realização da consulta pública sobre o Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais por 15 (quinze) dias.

3.7. Foram recebidas, pela plataforma Participa + Brasil, 1.491 (um mil quatrocentos e noventa e uma) contribuições de 103 (cento e três) participantes no âmbito da consulta pública, além de ouvidas 47 (quarenta e sete) pessoas na Audiência Pública.

3.8. Finalizada a Consulta Pública, a Coordenação Geral de Normatização – CGN elaborou a Nota Técnica nº 92/2023/CGN/ANPD (SEI nº 0052255) de análise das contribuições da Consulta Pública referente à proposta de Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais (RCIS).

3.9. Ato contínuo, o processo foi encaminhado à Procuradoria Federal Especializada da ANPD, a qual manifestou-se por meio do Parecer nº 00007/2024/GAB/PFE/ANPD/PGF/AGU (SEI 0104033).

3.10. Em seguida, voltaram os autos para a CGN, a qual emitiu a Nota Técnica nº 208/2024/CON1/CGN/ANPD, que analisou as recomendações do parecer supracitado (SEI 0109359).

3.11. Foram anexadas ao processo as versões finais da minuta em Word, com e sem marcas, (SEI 0109103 e 0109104) e PDF (SEI 0109101) para avaliação do Conselho-Diretor .

3.12. No dia 14 de março de 2024, após sorteio, o processo foi distribuído a este Gabinete, conforme Certidão de Distribuição (SEI 0109438).

Página 3

3.13. É o relatório. Passo à análise.

1. ANÁLISE

4.1. Introdução

4.1.1. Trata-se de proposta de Regulamento de comunicação de incidente de segurança com fundamento nas competências atribuídas ao Conselho Diretor pelos art. 55-J, incisos IV e XII, da LGPD, e o art. 5º, inciso I, do Regimento Interno da ANPD.

4.1.2. O artigo 48 da LGPD prevê a necessidade de comunicação pelo controlador tanto ao titular dos dados quanto à ANPD sobre a ocorrência de incidente de segurança que possa trazer risco ou dano relevante aos titulares. Vejamos: Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

4.1.3. Em seguida, a LGPD estabelece os critérios para que essa comunicação seja feita, incluindo os requisitos mínimos e a menção de um prazo razoável. Adiante, a norma insere um segundo limite ao dispor quais medidas complementares à comunicação podem ser determinadas pela ANPD conforme a gravidade do incidente. Vejamos: Art. 48. (…) § 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo: I - a descrição da natureza dos dados pessoais afetados; II - as informações sobre os titulares envolvidos; III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial; IV - os riscos relacionados ao incidente; V - os motivos da demora, no caso de a comunicação não ter sido imediata; e VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

Página 4

§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como: I - ampla divulgação do fato em meios de comunicação; e II - medidas para reverter ou mitigar os efeitos do incidente. § 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.

4.1.4. A partir deste contexto, a ANPD verificou a necessidade de estabelecer balizas para distinção entre os incidentes de segurança que podem acarretar risco ou dano relevante daqueles cuja ameaça, se houver, não precisa, segundo a LGPD, ser comunicada.

4.1.5. Também se vislumbrou a necessidade de avaliar quais informações devem constar na comunicação tanto ao titular de dados, que lhe sejam úteis para salvaguarda de seus direitos, quanto à ANPD para avaliar o caso.

4.1.6. Além disso, um importante ponto que depende de regulamentação é a fixação do prazo razoável para que os controladores realizem a comunicação dos incidentes de segurança.

4.1.7. As possíveis providências, incluindo medidas técnicas e administrativas que poderão ser determinadas pela ANPD aos controladores após a comunicação do incidente de segurança também devem ser objeto de regulamentação.

4.1.8. Neste sentido, a partir do arcabouço instrutório constante do processo, analisarei os pontos essenciais ao alcance do objetivo proposto pelo projeto, qual seja: “Regulamentar o procedimento de notificação de incidentes de segurança, nos termos do disposto no artigo 48 da Lei nº 13.709 de 14 de agosto de 2018 - que instituiu a Lei Geral de Proteção de Dados Pessoais (LGPD).”

4.2. Aspectos processuais

4.2.1. Conforme ressaltado acima, o artigo 48 da LGPD apresenta disposições acerca do tema, ao tempo em que estabelece para a ANPD o dever legal de regulamentar o procedimento para a realização de comunicações de incidente de segurança, incluindo o prazo para realizá-la. O dispositivo preceitua ainda o dever da ANPD de fiscalizar e adotar medidas de poder de polícia, com o objetivo de preservar os direitos dos titulares de dados quando da ocorrência de

Página 5

incidentes de segurança envolvendo dados pessoais. Verifica-se, portanto, que o projeto de regulamentação está atrelado ao exercício das competências normativa e fiscalizatória atribuídas por Lei à ANPD.

4.2.2. Cabe destacar que o processo de regulamentação, no âmbito da ANPD, é regido pela Portaria nº 16, de 8 de julho de 2021. A partir da leitura do caderno processual, é possível constatar que os procedimentos relevantes para a hipótese foram adequadamente seguidos, garantindo que a abertura e o andamento estivessem em conformidade com as regras estabelecidas no processo administrativo e no regimento interno da ANPD.

4.2.3. Neste sentido, restou devidamente motivada e fundamentada a elaboração do presente regulamento, sendo certo que foram atendidos os requisitos de ordem procedimental aplicáveis ao caso.

4.2.4. Passo então à análise de mérito da minuta.

4.3. Aspectos de mérito

4.3.1. Estrutura e conteúdo da Resolução

4.3.1.1. No que diz respeito à estrutura da Resolução, promovi alteração da redação do preâmbulo, a fim de adequar aos padrões de texto utilizados em outras normas da ANPD.

4.3.1.2. O art. 2º trata-se de alteração do art. 14 do Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte, aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, a fim de adequar o seu texto às disposições do Regulamento anexo a esta Resolução.

4.3.1.3. No art. 3º, alterei o texto para prevê a entrada em vigor do regulamento na data da publicação, na forma do art. 4º, parágrafo único, do Decreto 10.139/2019. No caso, a urgência de entrada em vigor da norma decorre da necessidade de regulamentação da LGPD e definição regulamentar quanto aos prazos e procedimentos de notificação de incidente de segurança.

4.3.1.4. Sendo isto que tinha a analisar, passo às considerações sobre a minuta do Regulamento, propriamente dito.

4.3.2. Estrutura do Regulamento (anexo)

4.3.2.1. A versão final da minuta do Regulamento encaminhada ao Conselho Diretor foi estruturada da seguinte maneira: ANEXO - REGULAMENTO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS CAPÍTULO I - DAS DISPOSIÇÕES PRELIMINARES

Página 6

CAPÍTULO II - DAS DEFINIÇÕES CAPÍTULO III - DA COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS Seção I - Dos Critérios para Comunicação de Incidente de Segurança Seção II - Da Comunicação do Incidente de Segurança à ANPD Seção III - Da Comunicação do Incidente de Segurança ao Titular de Dados Pessoais CAPÍTULO IV - DO REGISTRO DO INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS CAPÍTULO V - DO PROCESSO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS Seção I - Das Disposições Gerais Seção II - Do Procedimento de Apuração de Incidente de Segurança com Dados Pessoais Seção III - Do Procedimento de Comunicação de Incidente de Segurança com Dados Pessoais Seção IV - Da Extinção do Processo de Comunicação de Incidente de Segurança com Dados Pessoais CAPÍTULO VI - DAS DISPOSIÇÕES FINAIS

4.3.2.2. Conforme se observa, o regulamento compõe o Anexo da Resolução que o aprova. A sua estrutura abarca os temas que dependem de regulamentação, pela ANPD, para conferir eficácia ao art. 48 da LGPD.

4.3.2.3. Os CAPÍTULOS I e II são pertinentes a todo tipo de regulamento. Tais capítulos apontam, respectivamente, os objetivos da norma e definições essenciais à sua interpretação.

4.3.2.4. Já o CAPÍTULO III regulamenta a comunicação do incidente de segurança, apontado quais os critérios para sua comunicação, incluindo o prazo para a sua realização e as informações que devem conter no comunicado aos titulares e à ANPD. Por meio de tais previsões, colmata-se as lacunas deixadas pelo legislador no art. 48, caput e parágrafo primeiro, da LGPD.

4.3.2.5. O CAPÍTULO IV endereça o princípio da responsabilização e da prestação de contas, o qual preleciona o dever de “demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o

Página 7

cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas”

4.3.2.6. O CAPÍTULO V estabelece, por sua vez, o processo de comunicação de incidente de segurança, o qual abrange os procedimentos de apuração de incidente de segurança e de comunicação de incidente de segurança. Em que pese a similitude de nomenclaturas, os procedimentos não se confundem, uma vez que o primeiro inicia-se de o]cio e o segundo com a comunicação do incidente de segurança à ANPD.

4.3.2.7. Em linhas gerais, por meio do procedimento de apuração de incidente de segurança, a ANPD apura a ocorrência de incidentes não comunicados pelo controlador, mas de que veio a tomar conhecimento por outras formas. Já por meio do procedimento de comunicação de incidente de segurança, a ANPD recebe a comunicação de incidente de segurança, de que trata o art. 48, caput e parágrafo primeiro, da LGPD.

4.3.2.8. Foi destinada, ainda, uma seção específica para tratar da extinção do processo de comunicação de incidente de segurança.

4.3.2.9. Buscou-se, no CAPÍTULO V, portanto, preencher as lacunas normativas, a fim de conferir eficácia ao art. 48, parágrafo segundo, da LGPD.

4.3.2.10. Por fim, o CAPÍTULO VI, das disposições finais, trata da aplicação do regulamento no tempo.

4.3.2.11. Pelo exposto, verifico que, do ponto de vista da estrutura normativa, a minuta atende ao objetivo proposto, uma vez que regulamenta os pontos omissos da LGPD, conferindo aplicabilidade prática aos dispositivos legais.

4.3.2.12. Passo então à análise do conteúdo regulamento.

4.3.3. Conteúdo do Regulamento (anexo)

4.3.3.1. Inicialmente, destaca-se que o documento analisado (SEI 0109104) passou por algumas alterações de ordem meramente redacional, sem implicações substantivas, com o objetivo de tornar mais clara a redação dos dispositivos e uniformizar as terminologias utilizadas.

4.3.3.2. Cabe ressaltar que, em atenção ao princípio da eficiência, tais modificações não serão apresentadas de forma individualizada no presente voto. Contudo, a fim de facilitar a identificação das modificações propostas, todas as alterações foram consolidadas na versão juntada ao processo.

4.3.3.3. Informo ainda que, houve necessidade de renumerar os artigos em função da realocação de dispositivos.

4.3.3.4. No que diz respeito ao mérito da minuta do Regulamento,

Página 8

examinarei a seguir os aspectos de maior relevância, em especial, no que toca às alterações de cunho substancial.

4.3.3.5. Com relação as questões não levantadas neste voto, em homenagem ao princípio da eficiência, acolho fundamentação adotada pela área técnica, constantes da Nota Técnica nº 92/2023/CGN/ANPD (SEI 0052255).

ANEXO - REGULAMENTO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA CAPÍTULO II - DAS DEFINIÇÕES · Artigo 3º

4.3.3.6. A minuta apresentada trouxe, no art. 3º, inciso VI, o conceito de incidente de segurança. Verifiquei, entretanto, que não foi inserida propriedade da “autenticidade” no conceito proposto. Este tema já foi por mim analisado no âmbito do Circuito Deliberativo nº 09/2023, oportunidade em que me manifestei, fundamentadamente, por meio do VOTO Nº 8/2023/DIR/JR/ANPD (SEI nº 0052183), pela pertinência da inclusão da propriedade da “autenticidade” na definição de conceito de segurança, oportunidade em que realizei ajustes na minuta então analisada para endereçar o entendimento. Senão vejamos: b. Da proposta de alteração na definição de incidente de segurança

4.23. Na versão enviada à avaliação do Conselho Diretor, a minuta de Regulamento apresentava definição de incidente de segurança como qualquer evento adverso confirmado, relacionado ao comprometimento das propriedades de confidencialidade, integridade e disponibilidade da segurança de dados pessoais.

4.24. Observo, contudo, e em linha com o disposto no Decreto 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, que incidentes que possam comprometer ou violar a propriedade da autenticidade, também podem constituir incidentes comunicáveis sob a perspectiva da LGPD.

4.25. Em linhas gerais, e malgrado todo o aprofundado estudo realizado pela equipe de projeto, constante na Nota Técnica nº 12/2023/CGN/ANPD (SEI nº 4012432), vislumbro que embora não seja mandatória a inclusão desta propriedade, ser possível que incidentes envolvendo a propriedade da autenticidade, revistam-se

Página 9

da potencialidade de implicar risco ou dano relevante aos titulares de dados envolvidos.

4.26. Entendo da avaliação dos itens 243 a 254 da referida Nota Técnica, que apontada possibilidade pode ter natureza residual, e que outros critérios relacionados aos impactos do incidente ainda deverão ser considerados, por conseguinte, julgo pertinente a inserção desta propriedade na definição de

incidente de segurança, constante no artigo 3º da minuta, ao menos na versão a ser disponibilizada para audiência e consulta públicas.

4.3.3.7. Compulsando os autos, verifico que não foi apresentado elemento novo que justifique a alteração do entendimento por mim manifestado e acompanhado, anteriormente, pelos demais membros do Conselho Diretor desta Autarquia.

Neste sentido, estou certo, pelas razões acima

colacionadas, de que deve ser incluída, no art. 3º, inciso XII, deste Regulamento, a propriedade da “autenticidade” na definição de incidente de segurança e em demais trechos da norma que tratem do tema.

4.3.3.8. Como consequência, inseri o conceito de autenticidade no inciso II do art. 3º. Informo que extraí o conceito da Portaria GSI/PR nº 93/2021. Também inseri o termo no inciso VIII, a fim de compor o conceito de dado pessoal afetado, bem como no art. 19, parágrafo sétimo.

4.3.3.9. Por tais motivos, promovi as seguintes alterações: Redação da Minuta Proposta do Relator Texto original Texto alterado Art. 3º (…)

Sem correspondência

(…) VII - dado pessoal afetado: dado pessoal cuja confidencialidade, integridade ou disponibilidade tenha sido comprometida em um incidente de segurança;

XI - incidente de segurança com dados Art. 3º (…)

II – autenticidade: propriedade pela qual se assegura que a informação foi produzida, expedida, modificada ou destruída por uma determinada pessoa]sica, equipamento, sistema, órgão ou entidade; (…) VIII - dado pessoal afetado: dado pessoal cuja confidencialidade, integridade, disponibilidade ou autenticidade tenha sido comprometida em um incidente de segurança;

Página 10

XI - incidente de segurança com dados pessoais: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade e disponibilidade da segurança de dados pessoais;

Art. 19 (…)

§ 8º Na determinação pela ANPD das medidas para reverter ou mitigar os efeitos do incidente, serão consideradas aquelas que possam garantir a confidencialidade, a integridade, e a disponibilidade dos dados pessoais afetados, bem como minimizar os efeitos decorrentes do incidente para os titulares de dados. XII - incidente de segurança com dados pessoais: qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade

e autenticidade

da segurança de dados pessoais;

Art. 19 (…)

§ 7º Na determinação das medidas para reverter ou mitigar os efeitos do incidente, serão consideradas aquelas que possam garantir a confidencialidade, a integridade, a disponibilidade e a autenticidade dos dados pessoais afetados, bem como minimizar os efeitos decorrentes do incidente para os titulares.

CAPÍTULO III - DA COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA Seção II - Da Comunicação do Incidente de Segurança à ANPD · Artigo 6º, parágrafo primeiro, quarto e quinto

4.3.3.10. O parágrafo primeiro do art. 6º prevê a possibilidade de prorrogação do prazo para complementação de informações sobre o incidente de segurança, mediante solicitação fundamentada a ser avaliada pela ANPD.

4.3.3.11. Ao analisar a dinâmica do procedimento estabelecido, percebi que a previsão de prorrogação, somada à etapa de análise pela ANPD, pode prolongar o procedimento, de forma desnecessária, acarretando, eventualmente, numa demora na tomada de providências para mitigar ou reverter os efeitos decorrentes do incidente de segurança. Em tais situações, a redução do tempo de resposta é de suma importância para que qualquer decisão surta efeitos positivos.

4.3.3.12. Neste sentido, entendo que o prazo de 20 dias úteis, contados da data da comunicação do incidente é razoável para uma complementação de informações. Ademais, segundo o art. 8º, a própria ANPD pode, a qualquer momento, “solicitar informações adicionais ao controlador, referentes ao incidente

Página 11

de segurança”. Dessa forma, caso não seja possível ao controlador complementar as informações neste prazo, a ANPD pode solicitá-las, se for o caso, estabelecendo prazo para o envio das informações. Esse procedimento constitui mais uma nova oportunidade para manifestação do controlador.

4.3.3.13. Com esta nova modelagem procedimental, pretende-se tornar o procedimento mais célere, na medida em que se exclui o procedimento para prorrogação do prazo, deixando a critério da ANPD avaliar o caso concreto e definir se são necessárias outras informações, oportunidade em que estabelecerá o prazo que entender razoável para o fornecimento destas.

4.3.3.14. A minuta ora analisada prevê, ainda, no art. 6º, parágrafos quarto e quinto, a possibilidade de inadmissão da comunicação do incidente de segurança à ANPD e respectiva consequência. Pela dinâmica estabelecida nos dispositivos, é possível vislumbrar que o motivo para uma eventual inadmissão da comunicação seria a não apresentação dos documentos referidos no parágrafo terceiro, no prazo estabelecido no parágrafo quarto. Sobre a temática, entendo oportuno trazer algumas considerações sobre as quais passo a discorrer.

4.3.3.15. É importante destacar que o objetivo do Regulamento, segundo seu art. 1º é, dentre outros, proteger o direito dos titulares. Isto porque, como é sabido, os incidentes de segurança com dados pessoais podem acarretar risco ou dano relevante aos titulares, na medida em que terceiros não autorizados podem praticar condutas ilícitas, a partir do acesso a tais dados pessoais.

4.3.3.16. Neste sentido, as comunicações de incidente de segurança à ANPD são essenciais para o resguardo dos direitos dos titulares, uma vez que permitem que a ANPD tome providências, a fim de mitigar ou reverter os efeitos decorrentes do incidente de segurança. Além disso, segundo o art. 2º da minuta analisada, é possível interpretar que as comunicações de incidente de segurança constituem fontes de insumo para as atividades regulatória, fiscalizatória e sancionatória da ANPD.

4.3.3.17. Diante deste contexto, não me parece que previsão de inadmissão de uma comunicação de incidente de segurança, esteja alinhada aos objetivos acima mencionados. Explico.

4.3.3.18. Em outros contextos, como por exemplo, no caso de ações judiciais, por exemplo, é corriqueira a “inadmissão” ações por falta do cumprimento de requisitos formais. Afinal, há especificidades que devem ser consideradas na atividade jurisdicional, tais como a aplicação do princípio da inércia da jurisdição. Penso, entretanto, que lógica da comunicação de incidentes de segurança com dados pessoais é distinta.

4.3.3.19. A comunicação de incidentes de segurança decorre de preceito legal e busca salvaguardar direitos dos titulares. Diferentemente do Poder

Página 12

Judiciário, que somente atua quando acionado pela parte, a ANPD, como instituição que tem como atribuição “zelar pela proteção dos dados pessoais” (art. 55-J da LGPD), pode e deve atuar ainda quando não provocada, quando estiver diante de situações que mereçam este tipo de atuação. Em outras palavras, tendo sido comunicado um incidente, nos termos do art. 48 da LGPD, este deve ser recebido, sob o risco de se inverter a lógica protetiva da comunicação de incidentes de segurança.

4.3.3.20. Diante deste contexto, a inadmissão de comunicados de incidentes de segurança, que possam acarretar riscos ou danos relevantes aos titulares, motivadas pela falta de apresentação de documentos de representação, não me parece estar alinhada aos objetivos da norma.

4.3.3.21. Além disso, foi previsto o prazo de 15 dias úteis, contados da comunicação do incidente, para apresentação dos documentos que de que trata o §3º. Entendo, entretanto, que o prazo previsto não é adequado ao contexto da norma. A apresentação dos documentos de representação tem a finalidade de demonstrar a legitimidade ativa para realizar a comunicação e evitar a ocorrência de fraudes. Dessa forma, entendo que o momento mais adequado para sua apresentação é juntamente com a comunicação do incidente de segurança e não posteriormente.

4.3.3.22. Por todo o exposto, promovi as seguintes alterações na minuta: Redação da Minuta Proposta do Relator Texto original Texto alterado

Art. 6º (…)

§1º As informações poderão ser complementadas, no prazo de vinte dias úteis, a contar da data da comunicação, prorrogável uma vez, por igual período, mediante solicitação fundamentada a ser avaliada pela ANPD.

§ 4º Os documentos de que trata o § 3º deverão ser apresentados em até quinze dias úteis contados da comunicação do incidente, independentemente de notificação ou exigência, sob pena de inadmissão da comunicação.

Art. 6º (…)

§ 3º As informações poderão ser complementadas, no prazo de vinte dias úteis, a contar da data da comunicação., prorrogável uma vez, por igual período, mediante solicitação fundamentada a ser avaliada pela ANPD.

§ 6º Os documentos de que trata o § 3º 5º deverão ser apresentados juntamente com a comunicação do incidente de segurança, no prazo previsto no caput. em até quinze dias úteis contados da comunicação do incidente, independentemente de

Página 13

§ 5º Nas hipóteses de não admissão da comunicação do incidente previstas no § 4º, a ANPD poderá apurar a ocorrência do incidente de segurança por meio do procedimento de apuração de incidente de segurança, sem prejuízo da instauração de processo administrativo sancionador para avaliar o descumprimento do previsto nos arts. 6º e 9º deste Regulamento. notificação ou exigência, sob pena de inadmissão da comunicação.

§ 7 º

Nas hipóteses de não admissão da comunicação do incidente No caso de descumprimento do previsto no §4º 6º, a ANPD poderá apurar a ocorrência do incidente de segurança, por meio do procedimento de apuração de incidente de segurança. ,sem prejuízo da instauração de processo administrativo sancionador para avaliar o descumprimento do previsto nos arts. 6º e 9º deste Regulamento.

Seção III - Da Comunicação do Incidente de Segurança ao Titular · Artigo 9º, parágrafos quinto e sexto

4.3.3.23. Nesta Seção, há previsão de dispositivos que dispõem sobre exceções à comunicação de incidentes de segurança com dados pessoais. Vejamos: Art. 9º (…) § 5º Caso a comunicação do incidente de que trata este artigo seja obstada por determinação judicial ou extrajudicial, o controlador deverá apresentar à ANPD prova do fato impeditivo; § 6º Tão logo cessem os efeitos do fato impeditivo da comunicação do incidente aos titulares de que trata o parágrafo anterior, o controlador deverá proceder à referida comunicação.

4.3.3.24. A proposta de redação atual decorre de sugestão da Procuradoria Federal Especializada da ANPD, por meio do PARECER n. 00007/2024/GAB/PFE/ANPD/PGF/AGU. Neste sentido, manifestou-se a PFE: A legística do art. 9º merece reparos. Quanto aos § 5º do art. 9º, penso que a redação pode ser aperfeiçoada. Primeiro, que autoridade judicial não recomenda, mas determina. De outro modo, se se tratasse de mera recomendação, tal como as expedidas pelo Ministério

Página 14

Público, essa não teria o condão de obstar o cumprimento das disposições contidas no art. 48 da LGPD. Ademais, é desnecessário apontar que a não divulgação dos dados ocorra “por causa de investigação criminal”.

4.3.3.25. Ao analisar a proposta de redação, percebo que houve um esforço para aperfeiçoar o dispositivo, a partir das considerações feitas da PFE. Tenho, entretanto, que a previsão de exceções à comunicação de incidentes de segurança deve ser vista com extrema cautela, uma vez que a sua ausência pode acarretar riscos aos direitos dos titulares.

4.3.3.26. A partir da interpretação do art. 48 da LGPD, percebe-se que o legislador trouxe como critério balizador para a comunicação de incidentes de segurança, unicamente, o fato de o incidente poder “acarretar risco ou dano relevante aos titulares.”

4.3.3.27. O inciso V do parágrafo primeiro, do referido dispositivo, por sua vez, aponta como informação que deve constar do comunicado fios motivos da demora, no caso de a comunicação não ter sido imediata”. Esta previsão foi, inclusive, replicada no art. 6º, inciso V e art. 9º, inciso IV, os quais tratam das informações que devem conter os comunicados de incidente de segurança à ANPD e ao titular, respectivamente.

4.3.3.28. Conforme se verifica, não há menção à fato impeditivo ao comunicado, mas apenas a situações que motivem uma postergação da comunicação à ANPD e ao titular.

Neste sentido, não me parece haver espaço para inovação a nível regulatório. Além disso, a previsão constante do inciso V do art. 48 e absorvida pela minuta do regulamento, endereça, de certa forma, a previsão dos parágrafos quinto e sexto, na medida em que prevê o dever de o controlador informar, no comunicado, os motivos na demora.

4.3.3.29. Destaque-se que, na Nota Técnica nº 92/2023/CGN/ANPD, a CGN manifestou-se no sentido de que “a LGPD não oferece margem para se isentar comunicação ao titular

”. Vejamos: Por fim, relativamente às oito contribuições que sugeriram incluir exceções para a comunicação do titular no caso que a comunicação possa comprometer investigação pela ANPD ou autoridade competente, ou, ainda, caso o controlador de dados, ao tomar conhecimento do incidente, tenha tomado medidas que sejam suficientes para impedir que riscos para o titular de dados se materializem, a CGN entende, conforme exposto na seção referente ao art. 4 e 5º desta Nota Técnica, que a LGPD não oferece margem para se isentar comunicação ao

Página 15

titular, visto que cabe à ANPD verificar a gravidade de incidentes comunicados a si, mediante juízo que avaliará eventual comprovação de medidas que tornem os dados afetados pelo incidente ininteligíveis, nos termos dos §§ 2º e 3º do art. 48 da LGPD, podendo, inclusive, determinar adoção de providências, tal como a ampla divulgação do fato em meios de comunicação, o que supera a própria comunicação individualizada ao titular.

4.3.3.30. Além disso, percebi que foram previstas exceções à comunicação de incidentes de segurança aos titulares, não havendo disposição semelhante com relação ao comunicado à ANPD. Entretanto, compulsando os autos, não encontrei justificativas técnicas para o tratamento diferenciado entre os destinatários da comunicação do incidente de segurança.

4.3.3.31. Por tais motivos, promovi as seguintes alterações: Redação da Minuta Proposta do Relator Texto original Texto alterado

Art. 9º (…)

§ 5º Caso a comunicação do incidente de que trata este artigo seja obstada por determinação judicial ou extrajudicial, o controlador deverá apresentar à ANPD prova do fato impeditivo; § 6º Tão logo cessem os efeitos do fato impeditivo da comunicação do incidente aos titulares de que trata o parágrafo anterior, o controlador deverá proceder à referida comunicação.

Art. 9º (…)

§ 5º Caso a comunicação do incidente de que trata este artigo seja obstada por determinação judicial ou extrajudicial, o controlador deverá apresentar à ANPD prova do fato impeditivo; § 6º Tão logo cessem os efeitos do fato impeditivo da comunicação do incidente aos titulares de que trata o parágrafo anterior, o controlador deverá proceder à referida comunicação.

CAPÍTULO V - DO PROCESSO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA Seção I - Das Disposições Gerais · Artigo 14

4.3.3.32. O caput do art. 14 da minuta prevê a possibilidade de a ANPD determinar ao controlador a adoção imediata de medidas preventivas

Página 16

necessárias para salvaguardar direitos dos titulares, a fim de prevenir, mitigar ou reverter os efeitos do incidente e evitar a ocorrência de dano grave e irreparável ou de difícil reparação.

4.3.3.33. Ocorre que não foi prevista nenhuma medida para compelir o controlador a cumprir a determinação da ANPD. Neste sentido, considerando a relevância do tema, inseri o parágrafo primeiro, que trata da fixação de multa diária para assegurar o cumprimento da determinação, possibilitando melhor efetividade da norma.

4.3.3.34. Na oportunidade, utilizei o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, como norma de parâmetro para aplicação da multa diária, a fim de padronizar os procedimentos desta Autarquia. Como consequência, excluí os parágrafos subsequentes.

4.3.3.35. As alterações restaram assim consolidadas: Redação da Minuta Proposta do Relator Texto original Texto alterado

Art. 14. (…)

§ 1º sem correspondência.

§ 1º Da decisão caberá recurso, no prazo de 10 (dez) dias úteis, ao Conselho Diretor.

§2º Até que eventual pedido de concessão de efeito suspensivo seja julgado, todas as medidas previstas na decisão deverão ser cumpridas.

Art. 15. (…)

Parágrafo único. A ANPD poderá fixar multa diária para assegurar o cumprimento da determinação prevista no caput, na forma do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023.

§ 1º Da decisão caberá recurso, no prazo de 10 (dez) dias úteis, ao Conselho Diretor.

§2º Até que eventual pedido de concessão de efeito suspensivo seja julgado, todas as medidas previstas na decisão deverão ser cumpridas. Seção II -

Do Procedimento de Apuração de Incidente de Segurança · Artigo 16, parágrafos primeiro, segundo e terceiro

Página 17

4.3.3.36. O art. 16, por sua vez prevê a possibilidade de imposição de multa diária para o cumprimento da determinação constante do caput, bem como recurso da decisão e pedido de reconsideração da decisão que aplica multa diária. Excluí, entretanto, os referidos dispositivos, pelas razões a seguir expostas.

4.3.3.37. Quanto à previsão de multa diária, entendi ser suficiente a previsão inserida no art. 14, o qual encontra-se situado na Seção tiDAS DISPOSIÇÕES GERAIS” do Processo de Comunicação de Incidente de Segurança.

4.3.3.38. Isto porque, a multa diária constitui medida que pode ser adotada tanto no procedimento de apuração de incidente de segurança, inclusive para fins de compelir o controlador a enviar o comunicado de incidente de segurança, como no procedimento de comunicação de incidente de segurança. Dessa forma, avaliei que o dispositivo fica melhor situação naquela Seção. Como consequência, exclui o parágrafo primeiro do art. 16 e o inseri como parágrafo único, conforme expliquei no tópico anterior.

4.3.3.39. Por consequência, excluí também os parágrafos segundo e terceiro.

4.3.3.40. Verifiquei, ainda, que não foi prevista na norma a consequência para o cumprimento do disposto no art. 16, o qual prevê que “a ANPD determinará ao controlador o envio de comunicação do incidente”. Neste sentido, incluí o parágrafo quinto, a fim de indicar o caminho procedimental a ser seguido, caso seja cumprida a determinação da ANPD.

4.3.3.41. As alterações restaram assim consolidadas: Redação da Minuta Proposta do Relator Texto original Texto alterado

Art. 16. (…)

§ 1º A ANPD poderá fixar multa diária para assegurar o cumprimento da determinação prevista no caput.

§ 2º

Da decisão caberá recurso, no prazo de 3 (três) dias úteis, ao Conselho Diretor, com efeito suspensivo.

§ 3º Caso a decisão seja nos termos do § 1º, caberá pedido de reconsideração ao Conselho Diretor, no prazo de 3

Art. 17. (…)

§ 1º A ANPD poderá fixar multa diária para assegurar o cumprimento da determinação prevista no caput.

§ 2º

Da decisão caberá recurso, no prazo de 3 (três) dias úteis, ao Conselho Diretor, com efeito suspensivo.

§ 3º Caso a decisão seja nos termos do § 1º, caberá pedido de reconsideração ao Conselho Diretor, no prazo de 3

Página 18

(três) dias, devidamente fundamentado.

§ 4º (…)

Sem correspondência

(três) dias, devidamente fundamentado.

§1º (…) §2º Realizada a comunicação de incidente de segurança com dados pessoais, na forma do caput, aplicar-se- á o procedimento de comunicação de incidente de segurança estabelecido na Seção III.

Seção IV - Da Extinção do Processo de Comunicação de Incidente de Segurança · Artigo 22

4.3.3.42. O art. 22 da minuta apresenta as hipóteses de extinção do processo de comunicação de incidente de segurança. Reorganizei o texto, retirando a divisão proposta, por considerar que as hipóteses descritas podem ocorrer tanto no procedimento de apuração de incidente de segurança como no de comunicação de incidente de segurança.

4.3.3.43. Realizei também inserções no texto. Inseri uma hipótese de extinção, a fim de abarcar as situações em que foram atendidas as finalidades do processo de comunicação de incidente de segurança.

CAPÍTULO VI - DAS DISPOSIÇÕES FINAIS · Artigo 23

4.3.3.44. Fiz uma alteração neste dispositivo, a fim de constar que as disposições do Regulamento aplicam-se aos processos de comunicação de incidente em curso quando da sua entrada em vigor, respeitados, entretanto, os atos processuais ja praticados e consolidados, considerando a natureza processual da norma em questão.

4.3.3.45. Isto porque, atualmente, a ANPD já recebe comunicados de incidente de segurança. Dessa forma, para fins de aplicação imediata deste Regulamento, é imperioso fixar o momento da sua aplicação, considerando que o processo desenvole-se por fases. Daí a necessidade respeitar os atos já praticados e consolidados. Trata-se, inclusive, de regra estabelecida pelo art. 14 do Código de Processo Civil – CPC, utilizado aqui como fundamento por analogia.

1. Atendimento geral ao objetivo proposto

4.3.3.46. O Termo de Abertura de Projeto (SEI0051877) informou que o

Página 19

O Termo de Abertura de Projeto (SEI ) informou que o objetivo do projeto dera o de “Regulamentar o procedimento de notificação de incidentes de segurança, nos termos do disposto no artigo 48 da Lei nº 13.709 de 14 de agosto de 2018 - que instituiu a Lei Geral de Proteção de Dados Pessoais (LGPD).”

4.3.3.47. Conforme depreende-se da minuta, foram regulamentados aspectos essenciais à eficácia da norma constante do art. 48 da LGPD, tais como: 1) os critérios que devem ser observados para realizar um comunicado de incidente de segurança; 2) o prazo de comunicação do incidente de segurança; 3) as informações que devem constar no comunicado de incidente de segurança para a ANPD e para os titulares; 3) as informações que devem constar no registro de incidentes de segurança e 4) o processo de comunicação do incidente, que envolve o procedimento de apuração e de comunicação de incidentes de segurança.

4.3.3.48. Neste sentido, a partir da análise da estrutura e o conteúdo da minuta, os quais foram amplamente debatidos junto à sociedade e construídos de maneira devidamente fundamentada, verifico que atendem aos objetivos propostos.

1. VOTO

5.1. Ante o exposto, aprovo a Minuta da Resolução que aprova o Regulamento de Comunicação de Incidente de Segurança, nos termos do presente voto.

5.2. Destaco que com a publicação do Regulamento pode ser necessária adequação do formulário de comunicação de incidentes de segurança constante no sítio eletrônico desta Autoridade. Neste sentido, solicito à Secretaria-geral que dê ciência às áreas responsáveis para que procedam às diligências de ajustes, se for o caso.

5.3. Solicito ainda à Secretaria-Geral que adote as providências visando à publicação de versão consolidada do Regulamento de Aplicação de Aplicação da LGPD para Agentes de Tratamento de Pequeno Porte (ATPP), considerando a alteração promovida, no art. 14, inciso II do Regulamento de ATPP, do pelo art. 2º da Resolução.

5.4. Por fim, considerando a relevância da matéria e a premente necessidade de regulamentação do tema, proponho a votação por meio de circuito deliberativo, nos termos do art. 40, parágrafo primeiro, do Regimento Interno da ANPD.

5.5. É como voto. JOACIL BASILIO RAEL

Página 20

Diretor Relator

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 12/04/2024, às 15:44, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0115055 e o código CRC E8447F73. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000098/2021-67 SEI nº 0115055

Página 21

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Arthur Sabbat Brasília-DF, na data da assinatura. VOTO Nº 6/2024/DIR-AS/CD/ANPD PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Minuta de Resolução que aprova o Regulamento de Comunicação de Incidente de Segurança.

VOTO EM CIRCUITO DELIBERATIVO DIRETOR

VOTO X Acompanho o Relator (VOTO Nº 9/2024/DIR-JR/CD, SEI nº 0115055)

Não acompanho o Relator

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a),

Página 22

em 15/04/2024, às 17:19, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0115507 e o código CRC A243AC2E. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000098/2021-67 SEI nº 0115507

Página 23

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 7/2024/DIR-MW/CD

PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Minuta de Resolução que aprova o Regulamento de Comunicação de Incidente de Segurança

VOTO EM CIRCUITO DELIBERATIVO DIRETORA MIRIAM WIMMER

VOTO X Acompanho o Relator (Voto nº 9/2024/DIR-JR/CD, SEI nº 0115055)

Não acompanho o Relator

Página 24

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 23/04/2024, às 12:03, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0117138 e o código CRC 80254A52. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000098/2021-67 SEI nº 0117138

Página 25

Autoridade Nacional de Proteção de Dados Gabinete do Diretor-Presidente

VOTO Nº 4/2024/GABPR

PROCESSO Nº 00261.000098/2021-67 INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Minuta de Resolução que aprova o Regulamento de Comunicação de Incidente de Segurança

VOTO EM CIRCUITO DELIBERATIVO DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

VOTO X Acompanho o Relator (Voto nº 9/2024/DIR-JR/CD, SEI nº 0115055)

Não acompanho o Relator

Página 26

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 24/04/2024, às 11:09, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0117152 e o código CRC E156696F. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.000098/2021-67 SEI nº 0117152