CD nº 15/2024 — INSS: recurso sobre incidente de segurança e comunicação aos titulares

Página 1

Autoridade Nacional de Proteção de Dados

Conselho Diretor Diretor Joacil Rael

VOTO Nº 17/2024/DIR-JR/CD

PROCESSO Nº 00261.001888/2023-21

INTERESSADO: Autoridade Nacional de Proteção de Dados Pessoais — ANPD DIRETOR RELATOR

JOACIL BASILIO RAEL

1. ASSUNTO

1.1. Recurso administrativo contra decisão em Processo Administrativo Sancionador.

1. EMENTA

2.1. INCIDENTE DE SEGURANÇA. PROCESSO ADMINISTRATIVO

SANCIONADOR. VIOLAÇÃO DO ART. 48, CAPUT, DA LGPD C/C CIRCUNSTÂNCIA AGRAVANTE. AUTORIA E MATERIALIDADE COMPROVADAS. SUBSUNÇÃO DO FATO À NORMA. APLICAÇÃO DE SANÇÃO DE PUBLICIZAÇÃO DA INFRAÇÃO C/C MEDIDA CORRETIVA. ARTIGO 52, INCISO IV, DA LGPD C/C ART. 89, II E PARÁGRAFOS SEGUNDO E TERCEIRO, DA RESOLUÇÃO CD/ANPD Nº 4, DE 24 DE FEVEREIRO DE 2023. DECISÃO PELO CONHECIMENTO E NÃO PROVIMENTO DO RECURSO ADMINISTRATIVO, NA FORMA DAS RAZÕES DO VOTO. PROPOSTA DE CIRCUITO DELIBERATIVO. PUBLICAÇÃO DA DECISÃO E INTIMAÇÃO DOS INTERESSADOS PARA FINS DE CIÊNCIA E CUMPRIMENTO DA DECISÃO, NA FORMA DO ART. 65, PARÁGRAFO SEGUNDO DA RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021.

1. RELATÓRIO

3.1. Trata-se de recurso administrativo interposto (SEI 0101772), no âmbito de Processo Administrativo Sancionador (PAS), pelo INSTITUTO

Página 2

NACIONAL DO SEGURO SOCIAL (INSS) contra decisão do Coordenador-Geral de Fiscalização (SEI 0063073) que aplicou a sanção de PUBLICIZAÇÃO DA INFRAÇÃO, por violação ao art. 48 da LGPD, com circunstância agravante, nos termos do art. 32, 82º, Il, e medida corretiva, nos termos do art. 55, 82º,

, ambos do Regulamento de Fiscalização.

3.2. Por meio do Despacho Decisório nº 14/2024/FIS/CGF (SEI 0126836), o Coordenador-Geral de Fiscalização conheceu o recurso administrativo interposto pelo autuado (SEI 0101772) e concedeu efeito suspensivo ao recurso, conforme determinado pelo art. 60 do Regulamento de Fiscalização.

3.3. A Nota Técnica nº 20/2024/FIS/CGF/ANPD (SEI 0123131), ao analisar o recurso administrativo, concluiu pela manutenção da decisão exarada, em primeira instância, pelo Coordenador-Geral de Fiscalização, por meio do Despacho Decisório nº 1/2024/FIS/CGF (SEI 0063073).

3.4. O Despacho FIS/CGF (SEI 0126902), por sua vez, acolheu integralmente a Nota Técnica nº 20/2024/FIS/CGF/ANPD (SEI 0123131), mantendo o Despacho Decisório nº 1/2024/FIS/CGF (SEI nº 0063073), oportunidade em que determinou o encaminhamento do processo ao Conselho Diretor, nos termos do art. 62, 83º, do Regulamento de Fiscalização.

3.5. Por meio do Ofício nº 93/2024/FIS/CGF/ANPD (SEI 0127116), o recorrente foi intimado do Despacho Decisório nº 14/2024/FIS/CGF (0126836), que conferiu efeito suspensivo ao recurso administrativo e do Despacho (0126902), que manteve o Despacho Decisório nº 1/2024/CGF/ANPD (0071087).

3.6. Por meio do Despacho CGF (SEI 0127117), o processo foi encaminhado à Secretaria-Geral, para as providências cabíveis.

3.7. O processo foi distribuído a este Gabinete após sorteio realizado em 14 de junho de 2024, conforme certificado nos autos (SEI 0127280).

3.8. É o relato.

3.9. Passo à análise.

1. DA ADMISSIBILIDADE DO RECURSO

4.1. Os requisitos de admissibilidade recursal foram analisados por

meio do Despacho Decisório nº 14/2024/FIS/CGF, a partir do disposto no art. 61 e em atendimento ao art. 62, parágrafo terceiro, ambos da RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021.

4.2. Avaliadas a manifestação e seus fundamentos, verifico que foram preenchidos os requisitos de admissibilidade recursal.

Página 3

4.3. Conheço o recurso administrativo.

4.4. Passo à análise.

1. ANÁLISE

5.1. Trata-se de Processo Administrativo Sancionador instaurado

contra o INSTITUTO NACIONAL DO SEGURO SOCIAL (INSS) razão de indícios de descumprimento do art. 48 da Lei nº 13.709, de 14/08/2018 (LGPD), com circunstância agravante nos termos do art. 32, 828, Il, da Resolução CD/ANPD nº 1/2021. Acerca do assunto, a LGPD dispõe que:

Art.

1. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

8 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:

- a descrição da natureza dos dados pessoais afetados;

- as informações sobre os titulares envolvidos;

HI - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;

IV - os riscos relacionados ao incidente;

V- os motivos da demora, no caso de a comunicação não ter sido imediata; e

VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

8 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:

- ampla divulgação do fato em meios de comunicação; e

Ill - medidas para reverter ou mitigar os efeitos do incidente.

8 3º No juízo de gravidade do incidente, será avaliada

Página 4

eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.

5.2. Percorrido o devido processo legal, na forma da RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021 e da RESOLUÇÃO CD/ANPD Nº 4, DE 24 DE FEVEREIRO DE 2023, o Coordenador-Geral de Fiscalização, por meio do Despacho Decisório nº 1/2024/FIS/CGF (SEI 0063073), decidiu pela aplicação de sanção de PUBLICIZAÇÃO DA INFRAÇÃO, com imposição de medida corretiva, nos termos do art. 20 da RESOLUÇÃO CD/ANPD Nº 4, DE 24 DE FEVEREIRO DE 2023 e art. 55, 82º,

, da RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021, para impor ao INSS a obrigação de:

Publicar comunicado, na primeira página do sítio (https://www.gov.br/inss/pt-br), que deverá permanecer acessível pelo prazo de 60 (sessenta) dias, contados a partir da intimação da decisão que determinar a sanção administrativa, com o seguinte teor

O INSS, tendo em vista que foi condenado pela Autoridade Nacional de Proteção de Dados por infração ao dever de comunicar os titulares a ocorrência de incidente de segurança, comunica que tomou conhecimento da ocorrência de incidente de segurança entre os meses de agosto de setembro de 2022. O incidente pode ter comprometido a confidencialidade dos dados pessoais tratados pelo INSS por conta de acesso a volume extraordinário de dados por meio de consultas volumétricas ao sistema. Dentre os dados que podem ter sido afetados, estariam dados de comprovação de identidade oficial, dados financeiros e de saúde (tais como nome, CPF, NIT, identidade, data de nascimento, sexo, ramo de atividade profissional, dados bancários e quantidade de dependentes) de um número indeterminado de beneficiários e segurados do INSS, o que poderia acarretar o risco de furto de identidade,

fraudes, assédios comerciais, entre outros danos.

Informamos que o Instituto realizou, imediatamente, ações preventivas e corretivas nos processos e sistemas informatizados da entidade visando mitigar a vulnerabilidade detectada no sistema. A fim de conter o possível incidente de segurança, foi realizado o bloqueio das credenciais dos usuários que possivelmente permitiram o acesso e consequente consulta. Além disso, o Instituto comunicou à ANPD do incidente em questão. Dúvidas ou outras solicitações podem ser encaminhadas à encarregada pelo Tratamento dos

Dados no e-mail: encarregado inss.gov.br.”

Enviar mensagem, via recurso de notificação, a todos os

Página 5

5 d

6.

usuários do aplicativo Meu INSS, para que fique disponível no menu de “notificações” do aplicativo Meu INSS, pelo período de 60 (sessenta) dias, com indicação visual de que há mensagem pendente de leitura/visualização, com o seguinte teor:

“O INSS, tendo em vista que foi condenado pela Autoridade Nacional de Proteção de Dados por infração ao dever de comunicar os titulares a ocorrência de incidente de segurança, comunica a ocorrência de incidente de segurança entre agosto e setembro de 2022. O incidente pode ter comprometido a confidencialidade dos dados pessoais tratados pelo INSS,

saiba mais no link:” [apontar para o link criado para atender a determinação

2.1.]

1. O recorrente, por sua vez, interpôs recurso administrativo contra a ecisão referida, o qual não merece prosperar, pelas razões a seguir explicitadas. DAS PRELIMINARES

6.1. Em sua peça recursal, o recorrente alega, preliminarmente, a

existência de nulidades processuais.

6.2. Sustenta, inicialmente, inadequação da fundamentação da decisão, quanto ao afastamento da tese do sigilo da informação acerca de incidente cibernético com potencial danoso para os interesses econômicos do Estado brasileiro, por considerar que “A aplicação combinada do art. 23 da LAI e do art. 15 do Decreto nº 10.748/2021 deve ser formal e tecnicamente afastada para que o julgamento se aperfeiçoe.”

6.3. Sobre a motivação do ato, verifico que a decisão proferida pela Coordenação-Geral de Fiscalização foi fundamentada, adequadamente, no Relatório de Instrução nº 1/2024/CGF/ANPD, o qual, foi acolhido integralmente pela autoridade decisória como motivação com fulcro no 81º do art. 50 da Lei nº 9.784/1999 c/c o art. 55 e seguintes do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021.

6.4. O Relatório de Instrução nº 1/2024/CGF/ANPD, por sua vez, analisou detidamente as circunstâncias do caso concreto, tais como, os fatos ocorridos, a sua autoria e subsunção do fato ao tipo infracional correspondente. Verifico que a autoridade fiscalizatória também avaliou os argumentos apresentados pela parte para justificar o não atendimento pela parte autuada à sua determinação de realização de comunicação do incidente de segurança aos titulares. A decisão também tratou, exaustivamente, da dosimetria da sanção, esmiuçando o racional sobre a classificação da sanção e a definição do tipo de sanção. Ao final, concluiu pela aplicação da sanção.

Página 6

6.5. Por tais motivos, entendo que a decisão foi devidamente fundamentada, não havendo que se falar em nulidade por ausência de motivação.

(A

6.6. Importa arrematar, por fim, que “..o julgador não está obrigado a responder a todas as questões suscitadas pelas partes, quando já tenha encontrado motivo suficiente para proferir a decisão (…)” (STJ. 1º Seção. EDcl no MS 21.315-DF, Rel. Min. Diva Malerbi (Desembargadora convocada do TRF da 32 Região), julgado em 8/6/2016 (Info 585).

6.7. Na verdade, o que o recorrente pretende, é ter a matéria revista pelo Conselho Diretor. Neste sentido, a fim de sanar qualquer dúvida sobre o alegado, passo a tecer breves considerações acerca do assunto.

6.8. Complementarmente à motivação exposta no Relatório de Instrução nº 1/2024/CGF/ANPD, no que toca à aplicação combinada do art. 23 da LAl art. 15 do Decreto nº 10.748/2021, destaco que a eventual aplicação de tais dispositivos, se fosse o caso, não afastaria a aplicação da LGPD.

6.9. O Decreto nº 10.748/2021 decorre do comando insculpido no art. 15, inciso VII do Decreto nº 9.637/2018, que, dentre outros temas, institui a “Política Nacional de Segurança da Informação, dispõe sobre a governança da segurança da informação”.

6.10. Assinala-se que um dos princípios estabelecidos pelo art. 28, inciso Il, do Decreto nº 9.637/2018 é o “respeito e promoção dos direitos humanos e das garantias fundamentais, em especial a liberdade de expressão, a proteção de dados pessoais, a proteção da privacidade e o acesso à informação.”

6.11. Na mesma linha, o Decreto nº 9.637/2018 indica como objetivos da PNSI “orientar ações relacionadas a proteção das informações das pessoas físicas que possam ter sua segurança ou a segurança das suas atividades afetada, observada a legislação específica.”

6.12. Neste sentido, o art. art. 15 do Decreto nº 10.748/2021 deve ser interpretado em conjunto com o Decreto nº 9.637/2018, não podendo dele afastar-se, uma vez que sua aplicação decorre do disposto na norma de origem, a qual explicita, expressamente, como princípio a proteção de dados pessoais, a proteção da privacidade e o acesso à informação.

6.13. Isto significa dizer que, na aplicação dos referidos Decretos, é imperiosa a observância harmônica dos preceitos de proteção de dados pessoais estabelecidos pela LGPD, dentre eles o art. 48, caput, o qual determina “o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.”

Página 7

6.14. Partindo-se desta premissa, ou seja, de que o ecossistema de Segurança da Informação da administração pública federal dialoga com a disciplina da proteção de dados pessoais, a interpretação sistemática das normas é a que se mostra mais adequada, aplicando-se cada uma delas na medida do seu escopo.

6.15. Ocorre que o cerne da controvérsia, ao contrário do que pretende a recorrente, não se refere à “aplicação combinada do art. 23 da LAl e do art. 15 do Decreto nº 10.748/2021” em detrimento da LGPD, dando a entender que haveria um conflito entre as normas. Isto porque, ao se realizar uma leitura transversal entre os diplomas, considerando suas premissas basilares, depreende-se que tais dispositivos não impõem ou possibilitam sigilo ao próprio incidente de segurança, mas sim a determinadas informações específicas deste, não havendo que se falar, por consequência, em conflito aparente com a LGPD, que indica a necessidade de comunicação aos titulares de dados gerais acerca do incidente de segurança.

6.16. Neste contexto, reforça-se, tais informações específicas, de que trata o art. 15 do Decreto nº 10.748/2021, as quais são consideradas imprescindíveis à segurança da sociedade e do Estado, e que são passíveis de classificação na forma do art. 23 da Lei nº 12.527/2011, não englobam (e nem poderiam englobar) o sigilo do próprio incidente de segurança, bem como das informações elencadas no art. 48, parágrafo primeiro, da LGPD. Tanto é verdade que o art. 3º Decreto nº 10.748/2021 elenca dentre os objetivos, entre outros, a divulgação de informações sobre ataques cibernéticos e o compartilhamento de alertas sobre ameaças e vulnerabilidades. O contexto normativo em que se insere o tema evidencia aplicação complementar entre as normas e não excludentes.

6.17. Por fim, não é demasiado ressaltar que a LGPD é a Lei que instituiu o regime jurídico de proteção de dados pessoais no Brasil, sendo certo que é o diploma legal a ser observado quando de questões relacionadas, especificamente, à proteção de dados pessoais, como é o caso dos autos.

6.18. Pelas razões acima expostas, afasto a alegação de nulidade aventada pelo recorrente.

6.19. No mais, alega o recorrente a existência de vício quanto à sua intimação, uma vez que, no seu entendimento, as intimações destinadas a pessoas jurídicas de direito público devem ser encaminhadas a seu representante legal, conforme art. 75 do CPC.

6.20. É importante destacar que o encarregado de dados é a pessoa responsável tanto em entidades públicas, quanto privadas por atuar como canal de comunicação entre o agente de tratamento, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD). Conforme o art. 41,

Página 8

parágrafo segundo, da LGPD, cabe ao encarregado de dados receber comunicações da autoridade nacional e adotar providências.

6.21. Quanto à alegação de aplicação do art. 75 do CPC, esta não merece guarida, uma vez que este é aplicável aos processos judiciais, o que não é claramente o caso. Ademais, segundo o art. 15 do CPC, as disposições deste código apenas são aplicáveis na ausência de normas que regulem o processo administrativo, não sendo também o caso, considerando que se aplica ao caso a Lei nº 9.784/99 e a própria LGPD.

6.22. Tanto é verdade que a peça administrativa recursal foi assinada pelo Presidente do INSS, o que demonstra, claramente, não obrigatoriedade de representação pela PFE em processo administrativo sancionador.

6.23. Portanto, não há vício de ilegalidade quanto legitimidade do encarregado para receber comunicações da ANPD.

6.24. Afastadas as preliminares, passo à análise do mérito do recurso. DO MÉRITO

1. Inicialmente, cabe destacar que alegações apresentadas na peça

recursal, no que concerne ao mérito, não dizem respeito à ocorrência do fato, sua autoria e a subsunção ao tipo infracional. Em geral, os argumentos gravitam em torno da sanção aplicada, em especial, no que toca à imposição da medida propriamente dita, bem como à sua proporcionalidade. No mais, questiona o conteúdo da publicação da sanção. Neste sentido, o presente voto abordará as principais questões levantadas pela parte, as quais se considera essenciais para a solução da demanda.

7.2. O INSS argumenta que a CGF desconsiderou as medidas de mitigação tomadas pelos órgãos públicos envolvidos no incidente de segurança, as quais teriam sido suficientes para solucionar os eventuais efeitos adversos aos titulares. Desse modo, alega que a autoridade decisória teria deixado de observar a boa-fé do agente regulado na dosimetria da sanção.

7.3. Sustenta ainda que a decisão recorrida seria desproporcional, desarrazoada e contraria o interesse público preponderante, representado, no entender do recorrente, pela restrição de acesso a informações sobre incidentes cibernéticos em benefício dos poucos indivíduos que serão beneficiados pela comunicação ampla do incidente de segurança.

7.4. Os argumentos acima relatados não merecem prosperar pelas razões a seguir aduzidas.

7.5. Quanto à mitigação dos efeitos adversos aos titulares, esta conduta é de reponsabilidade do controlador em qualquer caso de atividade

Página 9

de tratamento de dados pessoais e não apenas quando da ocorrência de incidentes de segurança, conforme é possível extrair do art. 6º, inciso VIII, da LGDP. Senão vejamos:

Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes prindpios:

VII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

7.6. Tais medidas de mitigação integram, inclusive, a comunicação do incidente de segurança aos titulares. Vejamos:

Art.

1. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

8 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:

(…)

VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

7.7. Significa dizer que o recorrente apenas demonstra ter agido como deveria ter feito, em atendimento, neste ponto específico, aos ditames legais. Entretanto, o fato de ter, eventualmente, atuado de boa-fé e tomados as providências para mitigar os efeitos do incidente de segurança não afasta O fato de que deixou de cumprir uma obrigação legal, que é a de comunicar aos titulares a ocorrência de incidente de segurança, infringindo o art. 48, parágrafo primeiro, da LGPD.

7.8. Em outras palavras, os atos realizados em conformidade com a lei, posteriormente à ocorrência do incidente, frise-se, não afastam a ocorrência do ato infracional, consistente na ausência de cumprimento da obrigação prevista no art. 48 da LGPD, e nem mesmo a punição deste, devendo a recorrente responder por este ato desconforme.

7.9. A boa-fé do infrator e a pronta adoção de medidas corretivas, ademais, são apenas alguns dos parâmetros que devem ser considerados na definição da sanção, conforme preceitua o art. 72 da RESOLUÇÃO CD/ANPD Nº 4/2023. São considerados ainda, por exemplo, a gravidade e a natureza das

Página 10

infrações e dos direitos pessoais afetados, a cooperação do infrator, a pronta adoção de medidas corretivas. A definição e aplicação da sanção, portanto, depende da avaliação de todos estes elementos, não havendo preponderância de um sobre o outro.

7.10. No caso dos autos, é importante ponderar que, ao teor do art. 3º, parágrafo quinto, da RESOLUÇÃO CD/ANPD Nº 4/2023, poderiam ser aplicadas, em tese, ao recorrente as sanções de advertência, publicização da infração, bloqueio dos dados pessoais, até a sua regularização, eliminação dos dados pessoais e suspensão parcial do funcionamento do banco de dados, suspensão do exercício da atividade de tratamento dos dados pessoais.

7.11. Realizada a dosimetria, a CGF decidiu pela aplicação da sanção de publicização da infração, nos termos do art. 20 e 21 da supracitada Resolução, justamente, por considerar incabível, considerando o contexto, uma reprimenda mais gravosa, como por exemplo, a suspensão do exerácio da atividade de tratamento dos dados pessoais. Também não seria o caso de aplicar a sanção mais branda como a de advertência. , Diante do exposto, a CGF realizou, fundamentadamente, a dosimetria da sanção da seguinte forma:

7.1.4. A falta de CIS ao titular, especialmente quando resulta na exposição de dados pessoais em espaço não controlado de acesso, inclusive de dados de saúde e de benefícios previdenciários, pode afetar significativamente interesses e direitos fundamentais dos titulares. Isso porque titular não sabe que seus dados foram expostos e, com isso, se encontra impossibilitado de tomar por conta própria medidas preventivas que possam evitar o uso indevido de identidade, fraudes financeiras e outros danos que a exposição de dados possa causar. No caso concreto, os dados expostos permitem que o titular sofra esse tipo de dano, além de perturbações por ligações indevidas e fraudes em processos de autenticação ou validação de identidade em serviços específicos.

7.1.5. Logo,a infração ao art. 48 ora analisada se enquadra nos requisitos do art. 8º, 82º, do Regulamento de Dosimetria, atendendo ao critério para ser classificada como média. No entanto, no presente caso, a infração de falta de comunicação aos titulares versa sobre quantidade significativa de dados sensíveis relacionados à saúde e benefícios previdenciários,

Página 11

conforme item 4.3 da Nota Técnica 54/2023 (SEI nº 0048148). Essas características elevam o grau de classificação da infração que, por esse motivo, passa a ser considerada como grave, segundo art. 8º, 83º, “a” e “d”, do Regulamento de Dosimetria

7.12. Quando à gravidade da infração, a CGF considerou-a, inicialmente, como média, na forma do art. 8º, parágrafo segundo, da RESOLUÇÃO CD/ANPD Nº 4/2023. A falta de comunicação do incidente de segurança aos titulares pode afetar significativamente interesse e direitos fundamentais dos titulares de dados pessoais.

7.13. Isto porque o desconhecimento do público atingindo quanto ao vazamento de seus dados vulnerabiliza, ainda mais, os titulares afetados quanto à possibilidade de ficarem alertas quanto a possíveis operações suspeitas realizadas com seus dados pessoais. Cabe salientar que o próprio INSS informou no comunicado de incidente de segurança (SEI 0048153) que “os dados indevidamente consultados podem vir a ser utilizados para o cometimento de fraudes ou assédios aos beneficiários.”

7.14. Houve, portanto, uma grave afronta ao Pprindpio da transparência (art. 6º, inciso Vl, da LGPD) e ao fundamento da autodeterminação informativa, disposto no art. 2º, inciso Il, da LGPD). Ora, a LGPD garantiu o direito dos titulares de exercerem a capacidade de decidir sobre o tratamento de seus dados pessoais, sendo certo que esta possibilidade de agir resta violada quando o agente de tratamento não lhes oferece garantia de informações claras, precisas e facilmente acessíveis sobre um incidente de segurança.

7.15. A LGPD é a Lei que instrumentaliza a forma de exerdácio do prindpio da transparência no tratamento de dados pessoais, sendo este elemento basilar à garantia da autodeterminação informativa. Em outras palavras, a falta de transparência incapacita o titular sobre a tomada de decisão sobre o tratamento de seus dados pessoais, violando diretamente, seu direito fundamental à proteção de dados pessoais, motivo pelo qual resta adequada a definição inicial da gravidade da infração como média, na forma do art. 8º, parágrafo segundo, da RESOLUÇÃO CD/ANPD Nº 4/2023.

7.16. Ato contínuo, a CGF verificou que a infração cometida possui elementos que indicam a necessidade de elevação quanto à sua gravidade, na forma do art. 8º, parágrafo terceiro, “a” e “d”, da RESOLUÇÃO CD/ANPD Nº 4/2023.

7.17. Primeiramente, não há dúvidas de que o incidente de segurança envolveu dados sensíveis relacionados à saúde e benefícios previdenciários. A

Página 12

Nota Técnica nº 54/2023/CGF/ANPD (SEI 0048148) informa, em seu item 4.22, que “No formulário de comunicação de incidente, às fls. 3-10 de sua manifestação (3860331), o INSS afirma desconhecer o nível de risco do incidente aos titulares, apesar de reconhecer que o incidente afetou dados sensíveis referente à saúde, de comprovação oficial e financeiro de um número indeterminado de seus beneficiados e segurados.”

7.18. Acrescente-se, ainda, que o incidente envolveu o tratamento de dados pessoais em larga escala como bem pontuado pela CGF na Nota Técnica nº 54/2023/CGF/ANPD (SEI 0048148). Vejamos:

O volume extraordinário de acessos teve origem em uma

rede autorizada, conectada por meio da Infovia (rede do

governo), com o uso de credenciais válidas. Nos meses de

agosto e setembro de 2022, foram realizadas mais de 90

milhões de consultas ao Sistema Corporativo de

Benefícios do INSS (SISBEN) e 9 milhões de consultas ao BLHOO, quantidade quase três vezes maior que a

registrada no mês de junho do mesmo ano.

7.19. Some-se a isto o fato de que há fortes indícios de que o incidente de segurança tenha ocorrido por negligência do recorrente, ora controlador, no tratamento de dados pessoais consistente no compartilhamento de dados pessoais realizado com a AGU por meio de convênio.

7.20. Salta aos olhos a informação constante do item 4.14. da Nota Técnica nº 54/2023/CGF/ANPD (SEI 0048148) de que dos 66 usuários cadastrados para acesso ao sistema, 44 poderiam ser excluídos, uma vez que 39 seriam pessoas desconhecidas e 5 seriam ex-estagiários, sem vínculo atual com a instituição, indicando que 2/3 dos usuários do grupo de acesso estavam cadastrados indevidamente. O INSS afirmou ainda que “a gestão de acesso aos sistemas se daria de forma descentralizada, pelos órgãos conveniados, sem qualquer validação por parte do INSS.”

7.21. Verifica-se, portanto, que o recorrente aparentemente tomou as iniciativas devidas apenas após a ocorrência do incidente de segurança, mesmo diante de irregulares patentes que poderiam ter sido saneadas, preventivamente, assumindo assim o risco premente de ocorrência de incidente de segurança com dados pessoais, conduta que não se pode aceitar.

7.22. Com relação à alegada desproporcionalidade da medida, verifico que o Relatório de Instrução nº 01/2024/CGF/ANPD também se ateve detidamente aos aspectos de proporcionalidade relacionados à conduta do agente regulado. Vejamos:

Página 13

Observe-se que a determinação para que a entidade realizasse a comunicação ampla do evento adverso somente foi tomada diante da alegada impossibilidade técnica para a realização da comunicação individual. A ação regulatória responsiva da CGF, desse modo, ocorreu de maneira proporcional, visando à adoção da medida necessária mais adequada para a garantia dos direitos dos titulares afetados, conforme autorizado pelo 82º do art. 48 da LGPD.

7.23. Conclui-se, portanto, que a CGF, diante do contexto do caso concreto, qual seja, o de alegada impossibilidade técnica por parte do INSS de comunicar individualmente os titulares afetados, não teve outra opção senão determinar a comunicação universal do incidente de segurança, na forma do art. 32, parágrafo segundo, inciso

, da RESOLUÇÃO CD/ANPD Nº 1/2024, a fim de salvaguardar os direitos dos titulares.

7.24. No mais, o Relatório de Instrução nº 01/2024/CGF/ANPD, além disso, discorreu sobre o interesse público subjacente à comunicação do incidente de segurança. Vejamos:

6.4.34. Tem-se, desse modo, que o INSS, ao entender que a determinação da ANPD, no âmbito do PAI nº 00261.002177/2022-93, iria de encontro ao interesse público, por supostamente trazer ônus elevado a sua atuação administrava, em favor de interesses de particulares, desconsidera completamente a evolução doutrinária e jurisprudencial dos Tribunais Superiores no que se refere ao sentido conferido à proteção de dados pessoais no ordenamento jurídico pátrio e o seu papel instrumental para o [Iivre desenvolvimento da personalidade dos indivíduos e, portanto, da dignidade humana.

6.4.35. A proteção de dados pessoais, a partir de uma evolução do direito à privacidade [11], possui como razão de ser a salvaguarda de um valor normativo que irradia direitos a toda a coletividade, para além da mera tutela individual, visto que possui fundamento direto com o princípio da dignidade da pessoa humana, de maneira que não se pode mais separar o interesse público primário da proteção da garantia fundamental

Página 14

em comento. Essa concepção já foi, inclusive, reconhecida pelo Supremo Tribunal Federal, no âmbito do julgamento da ADI 6.649, quanto à ADPF 695, que analisou a constitucionalidade do Decreto nº 10.046/2019, que instituiu normas para fo) compartilhamento de dados pessoais pelo Poder Público.

(…)

7.25. Ao contrário do que fora alegado pelo INSS, portanto, a realização do interesse público primário ocorre, justamente, com a comunicação do incidente de segurança aos titulares afetados, por se tratar de procedimento que visa à garantia do direito fundamental de proteção de dados pessoais, insculpido no art. 52, inciso LXXIX, da Constituição Federal.

7.26. Por fim, no que toca à definição do conteúdo a ser publicizado,

o recorrente requer ainda que sejam suprimidas as referências acerca da metodologia (veículo) de publicação e da literalidade dos avisos, uma ver que, no seu entendimento, “o DESPACHO DECISÓRIO Nº 1/2024/FIS/CGF inovou de forma primária a ordem jurídica e criou uma metodologia de sancionamento com contornos próprios.”

7.27. Acerca do assunto, prevê o art. 20 da RESOLUÇÃO CD/ANPD Nº 4/2023:

Art.

1. A ANPD poderá aplicar ao infrator a sanção de publicização, considerando a relevância e o interesse público da matéria.

8 1º A sanção de publicização consiste na divulgação da infração pelo próprio infrator, após devidamente apurada e confirmada a sua ocorrência.

8 2º A sanção de publicização deverá indicar o teor, o meio, a duração e o prazo para o seu cumprimento.

8 3º Os ônus relacionados à publicização da infração serão suportados exclusivamente pelo infrator.

7.28. Conforme preceitua o referido dispositivo, ao contrário do que alega o recorrente, a decisão de sanção de publicização não inovou na ordem jurídica, uma vez que a RESOLUÇÃO CD/ANPD Nº 4/2023 confere amparo jurídico à decisão. O parágrafo segundo indica que a sanção deve indicar o teor, o meio, a duração e o prazo para o seu cumprimento.

7.29. O Despacho Decisório nº 1/2024/FIS/CGF, por sua vez, indicou o conteúdo que deve ser publicado, o meio (primeira página do sítio eletrônico

Página 15

do INSS e aplicativo Meu INSS), bem como o tempo em que a publicação deve ficar acessível (60 dias) e o prazo para cumprimento. Foram atendidas, plenamente, as disposições regulamentares afetas ao tema.

7.30. Por todo o exposto, concluo que a CGF aplicou, diante do contexto fático do caso concreto, fundamentadamente e de forma proporcional, a sanção de publicização da infração, bem como realizou, de forma, adequada a dosimetria da sanção, não havendo que se fazer reparos na decisão.

1. VOTO

8.1. Diante de todo o exposto, voto pelo CONHECIMENTO E NÃO PROVIMENTO DO RECURSO ADMINISTRATIVOelas razões e fundamentos expostos, para:

a) Ratificar o Relatório de Instrução nº 01/2024/CGF/ANPD e o Despacho Decisório nº 1/2024/FIS/CGF;

b) Não acolher os argumentos apresentados pelo recorrente;

c) Manter a decisão da CGF que impôs a sanção de publicização da infração, na forma do art. 20 da RESOLUÇÃO CD/ANPD Nº 4/2023, com circunstância agravante, nos termos do art. 32, 82º, Il, da Resolução CD/ANPD nº 1/2021, com imposição de medida corretiva, nos termos do art. 55, 82º,

do Regulamento de Fiscalização.

Encaminhamentos:

a) Proponho a votação por meio de circuito deliberativo, nos termos do 8 1º do art. 40, do Regimento Interno;

b )Findo o circuito deliberativo, à Secretaria-Geral para as seguintes providências:

b.1) Cumprimento do disposto no art. 65, parágrafo segundo, da RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021 e art. 19, parágrafo quarto e quinto, do Regimento Interno. A minuta do extrato da decisão do Conselho Diretor a ser publicada segue anexa a este voto (SEI 0132016);

b.2) Encaminhar os autos CGF para realização da intimação do recorrente da decisão do Conselho Diretor da ANPD e acompanhamento do cumprimento da decisão, na forma do art. 65, parágrafo segundo, art. 66 e 67, respectivamente, da RESOLUÇÃO

Página 16

CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021, observando-se ainda o disposto no art. 55-), inciso XXIl, da LGPD e o art. 17, inciso XVII, do Regimento Interno da ANPD e demais dispositivos pertinentes.

É como voto.

JOACIL BASILIO RAEL

DIRETOR

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em co)

19/07/2024, as 11:14, conforme horário oficial de Brasília, com fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

acao= “documento conferir&id orgao acesso externo=0, informando o e SAIR código verificador 0131894 e o código CRC 69C51BFF.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº

º 00261.001888/2023-21 SEI nº 0131894

Página 17

Autoridade Nacional de Proteção de Dados Gabinete do Diretor-Presidente

Brasília-DF, na data da assinatura. VOTO Nº 11/2024/GABPR/ANPD PROCESSO Nº 00261.001888/2023-21 INTERESSADO: ANPD

CIRCUITO DELIBERATIVO Nº 15/2024 (0132659) DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do 8 1º do art. 41 do Regimento Interno:

EN Concordo com a redução do prazo EN Não concordo com a redução do prazo Não aplicável à hipótese

Voto no Circuito Deliberativo:

x Acompanho a Relatoria, conforme VOTO Nº 17/2024/DIR-JR/CD (SEI Nº 0131894)

Não acompanho a Relatoria, nos seguintes termos:

WALDEMAR GONÇALVES ORTUNHO JUNIOR

Diretor-Presidente

Página 18

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 24/07/2024, às 10:48, conforme horário oficial de Brasília, com fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

a acao=documento conferir&id orgao acesso externo=0, informando o código verificador 0132951 e o código CRC 8F710D7C.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº o 00261.001888/2023-21 SEI nº 0132951

Página 19

Autoridade Nacional de Proteção de Dados

Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 13/2024/DIR-MW/CD

PROCESSO Nº 00261.001888/2023-21 INTERESSADO: Instituto Nacional do Seguro Social (INSS)

ASSUNTO: Recurso administrativo contra decisão em Processo Administrativo Sancionador.

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA MIRIAM WIMMER

VOTO

X	Acompanho o Relator (Voto nº 17/2024/DIR-JR/CD, SEI nº 0131894)

Não acompanho o Relator

Página 20

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 23/07/2024, às 16:59, conforme horário oficial de Brasília, com fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processon? onacroa 00261.001888/2023-21 SEI nº 0135024

Página 21

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Arthur Sabbat

Brasília-DF, na data da assinatura. VOTO Nº 12/2024/DIR-AS/CD/ANPD

PROCESSO Nº 00261.001888/2023-21 INTERESSADO: Instituto Nacional do Seguro Social (INSS)

ASSUNTO: Recurso administrativo contra decisão em Processo Administrativo Sancionador.

VOTO EM CIRCUITO DELIBERATIVO

DIRETOR ARTHUR PEREIRA SABBAT

Acompanho o Relator (Voto nº 17/2024/DIR-JR/CD, SEI nº 0131894)

Não acompanho o Relator

em 23/07/2024, às 17:17, conforme horário oficial de Brasília, com

d E) Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), ) fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

ANPD

Página 22

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº p p SEI nº 0135240 00261.001888/2023-21