CD nº 16/2024 — SEEDF: recurso sobre incidente com dados de crianças e adolescentes

Página 1

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 14/2024/DIR-MW/CD

PROCESSO Nº 00261.001192/2022-14 INTERESSADO: SECRETARIA DE ESTADO DE EDUCAÇÃO DO DISTRITO FEDERAL (SEEDF) DIRETORA RELATORA MIRIAM WIMMER

1. ASSUNTO

1.1. Recurso em processo administrativo sancionador

1. EMENTA

1. PROCESSO ADMINISTRATIVO SANCIONADOR. ÓRGÃO PÚBLICO. INCIDENTE DE SEGURANÇA. DADOS PESSOAIS SENSÍVEIS DE CRIANÇAS E ADOLESCENTES. AUSÊNCIA DE COMUNICAÇÃO AOS TITULARES AFETADOS. NÃO ATENDIMENTO ÀS DETERMINAÇÕES DA ANPD.

1. RECURSO ADMINISTRATIVO EM FACE DE DECISÃO DE PRIMEIRA INSTÂNCIA QUE DETERMINOU A APLICAÇÃO DE QUATRO SANÇÕES DE ADVERTÊNCIA POR INFRAÇÃO AOS ARTS. 37, 38 E 48 DA LGPD E AO ART. 5º DO REGULAMENTO DE FISCALIZAÇÃO.

1. CONHECIMENTO E PROVIMENTO PARCIAL DO RECURSO PARA: (I) MANTER A APLICAÇÃO DE SANÇÃO DE ADVERTÊNCIA, POR INFRAÇÃO AO ART. 48 DA LGPD, EM RAZÃO DA NÃO REALIZAÇÃO DA COMUNICAÇÃO AOS TITULARES AFETADOS PELO INCIDENTE DE SEGURANÇA; E (II) REVER PARCIALMENTE A DECISÃO DE PRIMEIRA INSTÂNCIA, PARA, EM SUBSTITUIÇÃO ÀS TRÊS SANÇÕES DE ADVERTÊNCIA APLICADAS PELA DECISÃO DE PRIMEIRA INSTÂNCIA, POR VIOLAÇÃO, RESPECTIVAMENTE, AOS ARTS. 37 E 38 DA LGPD E AO ART. 5º DO REGULAMENTO DE FISCALIZAÇÃO, DETERMINAR A APLICAÇÃO

Página 2

DE UMA ÚNICA SANÇÃO DE ADVERTÊNCIA, POR INFRAÇÃO AO ART. 5º, I, DO REGULAMENTO DE FISCALIZAÇÃO, EM RAZÃO DE ÓBICE À ATIVIDADE DE FISCALIZAÇÃO, CONSISTENTE NO NÃO ATENDIMENTO ÀS DETERMINAÇÕES DA ANPD PARA APRESENTAR DOCUMENTAÇÃO COMPROBATÓRIA DAS MEDIDAS DE SEGURANÇA RELATIVAS AO INCIDENTE INVESTIGADO.

1. RELATÓRIO

3.1. Trata-se de recurso administra@vo interposto pela Secretaria de Estado de Educação do Distrito Federal (SEEDF) (SEI nº 0104816) em face do Despacho Decisório nº 3/2024/FIS/CGF (SEI nº 0065134), por meio do qual o Coordenador-Geral de Fiscalização, acatando a fundamentação exposta no Relatório de Instrução nº 2/2024/FIS/CGF/ANPD (SEI nº 0057714), aplicou ao referido órgão público quatro sanções de advertência, em razão de violação, respec@vamente, aos arts. 37, 38 e 48, da LGPD e ao art. 5º do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de

3.3. Em síntese, a recorrente alega que: (i) as infrações não teriam se caracterizado na hipótese dos autos, em razão da ausência de regulamentação específica da ANPD visando a definir parâmetros obje@vos aplicáveis ao Registro de Operações de Tratamento de Dados Pessoais (ROT), ao Relatório de Impacto à Proteção de Dados Pessoais (RIPD), à Comunicação de Incidente de Segurança e ao Plano de Gestão de Incidentes de Segurança; (ii) desde a ocorrência do incidente de segurança, a recorrente adotou diversas medidas de prevenção e segurança, o que deveria ser considerado como atenuante a fim de assegurar a jus@ça e a proporcionalidade das sanções aplicadas; (iii) ao longo do procedimento, a ANPD deveria ter proposto um Termo de Ajustamento de Conduta (TAC), instrumento de autocomposição que permite ao infrator comprometer-se a corrigir eventuais falhas, evitando- se a aplicação de sanções mais severas; (iv) não há evidências de que o incidente teria gerado danos efe@vos aos @tulares afetados, o que demonstraria a desproporcionalidade da sanção aplicada e sua incompatibilidade com a LGPD; (v) a Coordenação-Geral de Fiscalização (CGF) não teria competência para definir os parâmetros administra@vos que orientam a aplicação de sanções, os quais deveriam ser definidos pelo Conselho Diretor da ANPD; (vi) a não apresentação do plano de gestão de incidentes não pode ser considerada como obstrução à a@vidade de fiscalização, nem como

Página 3

motivo suficiente para a aplicação de sanção administrativa.

3.4. Ao final, a recorrente requereu a admissão e o processamento do recurso, a reconsideração da decisão, o arquivamento integral do processo, a concessão de efeito suspensivo, a in@mação da Coordenação-Geral de Tecnologia e Pesquisa (CGTP) e o encaminhamento do recurso à Procuradoria Federal Especializada.

3.5. Na sequência, a CGF (SEI nº 0126625, 0126627 e 0126634) se manifestou pela presença dos requisitos de admissibilidade do recurso, concedeu o efeito suspensivo e manteve a decisão de primeira instância, nos termos dos arts. 60, 61 e 62 do Regulamento de Fiscalização.

3.6. O processo foi distribuído a este Gabinete após sorteio realizado em 13 de junho de 2024, conforme cer@ficado nos autos (SEI nº 0127010).

1. ANÁLISE I - Admissibilidade do recurso

4.1. De acordo com o art. 65 do Regulamento de Fiscalização, “ o Diretor Relator se manifestará sobre a admissibilidade e sobre o provimento total ou parcial, ou indeferimento do recurso, fundamentando seu voto e, em seguida, os demais Diretores votarão conforme os fundamentos legais e regulamentares”. 4. 2. Como se pode observar, a deliberação do Conselho Diretor sobre recursos interpostos em processos sancionadores deve considerar: (i) a admissibilidade do recurso (objeto desta seção); e (ii) as razões de mérito apresentadas pela recorrente (objeto das seções seguintes deste voto).

4.3. No que concerne aos pressupostos de admissibilidade, deve-se considerar os parâmetros estabelecidos nos arts. 58 e 61 do Regulamento de Fiscalização. A redação desses dispositivos regulamentares é a seguinte: Art. 58. O autuado será in@mado para cumprir a decisão de primeira instância ou interpor recurso administra@vo ao Conselho Diretor, como instância administra@va máxima, no prazo de dez dias úteis, contados da intimação da decisão. § 1º A intimação do autuado encerra a fase de decisão. § 2º O recurso administra@vo deverá ser dirigido à autoridade que proferiu a decisão e deverá ser protocolizado na forma indicada na intimação. […]Art. 61. O recurso não será conhecido quando interposto: I - fora do prazo;

Página 4

II - por quem não seja legitimado; III - após exaurida a esfera administrativa. IV - por ausência de interesse recursal; V - contra atos de mero expediente ou preparatórios de decisões, bem como em face de análises técnicas e pareceres ou decisões irrecorríveis. Parágrafo único. O não conhecimento do recurso não impede a ANPD de rever de ofício o ato ilegal.

4.4. A respeito da admissibilidade do recurso no caso dos autos, acolho a fundamentação apresentada pela CGF, no Despacho Decisório nº 13/2024/FIS/CGF (SEI nº 0126625), nos seguintes termos: Análise de admissibilidade do recurso administrativo (SEI nº 0104807) interposto pela SEEDF. Tempestividade – art. 61, I, do Regulamento de Fiscalização A in@mação da autuada sobre a decisão no PAS foi efe@vamente realizada em 28/02/2024, nos termos da Cer@dão de In@mação Cumprida (0105836). Tendo em vista o prazo de 10 dias úteis para interposição de recurso definido no art. 58 do Regulamento de Fiscalização, o prazo para a autuada apresentar recurso se encerraria em 13 de março de 2024. O recurso foi interposto em 26/02/2024 (Recibo Eletrônico de Protocolo (0104817)). É, portanto, tempestivo. Legitimidade recursal – art. 61, II, do Regulamento de Fiscalização A interposição do recurso foi realizada pelo encarregado do Distrito Federal (ver Recibo Eletrônico de Protocolo (0104817)), a pedido da encarregada setorial da SEEDF (O]cio Pedido de pe@cionamento (0104806)). Como encarregados, ambos atuam como canal de comunicação entre o controlador e a ANPD (art. 5º, VIII, da LGPD), de modo que possuem legitimidade para atuar em nome da autuada Cabimento – arts. 61, III e V, do Regulamento de Fiscalização Percebe-se, em seguida, que não houve o esgotamento da via administrativa, uma vez que cabe ao Conselho Diretor da ANPD a decisão final em matéria de processo sancionador no âmbito desta Autarquia Federal, conforme o disposto no art. 58 do Regulamento de Fiscalização.

Do mesmo modo, o Despacho Decisório nº 3/2024/FIS/CGF não é ato de mero expediente ou ato preparatório de decisão, mas decisão administrativa tomada no curso de processo sancionador ins@tuído por norma específica. Interesse recursal – art. 61, IV, do Regulamento de Fiscalização Igualmente, eventual reversão da decisão proferida em juízo de reconsideração pela Coordenação-Geral de Fiscalização ou em instância recursal pelo Conselho Diretor traria claro benefício à entidade autuada, que teria rever@da sanção de advertência

Página 5

proferida contra si. Entende-se, assim, que há interesse recursal da parte irresignada. Regularidade formal – art. 58, §2º, do Regulamento de Fiscalização Observa-se, ainda, que o recurso administra@vo foi direcionado ao Coordenador-Geral de Fiscalização, autoridade da ANPD responsável pelo Despacho Decisório nº 3/2024/FIS/CGF, e protocolado conforme orientado por esta ANPD. Admissibilidade do recurso Cumpridos, assim, os requisitos de admissibilidade, entende-se que o recurso administrativo deve ser conhecido pela Coordenação- Geral de Fiscalização, para que sejam analisadas as razões de fato e de direito alegadas pela en@dade pública autuada para a revisão do Despacho Decisório nº 3/2024/FIS/CGF.

4.5. Vale destacar que a in@mação ocorrida no dia 28/02/2024 decorreu de um segundo o]cio enviado à recorrente, o que foi necessário em razão de falha parcial no envio de documentos relevantes na primeira tenta@va efetuada pela CGF, conforme explicitado no O]cio nº 27/2024/FIS/CGF/ANPD (SEI nº 0101851). Assim, por cautela e em atenção ao princípio da ampla defesa, a in@mação foi renovada, o que jus@fica a interposição do recurso em data (26/02/2024) anterior ao termo inicial da contagem do prazo recursal (28/02/2024).

4.6. Ressalto, ainda, que o recurso foi corretamente recebido no efeito suspensivo (SEI nº 0126625), até a prolação de decisão do Conselho Diretor, em conformidade com o disposto no art. 60 do Regulamento de Fiscalização.

4.7. Por fim, indefiro o pedido da recorrente para a oi@va da Procuradoria Federal Especializada e da CGTP, por considerar que estão presentes nos autos todos os elementos necessários para a apreciação do recurso, não havendo, no presente caso, a necessidade de fornecimento de quaisquer esclarecimentos jurídicos ou técnicos adicionais. Importa lembrar, ademais, que a manifestação do órgão jurídico ou de outras unidades administra@vas da ANPD é faculta@va no âmbito da deliberação sobre recursos interpostos em processos sancionadores, conforme a expressa redação do art. 64 do Regulamento de Fiscalização, segundo o qual “o Diretor relator poderá remeter o processo à Assessoria Jurídica ou a outros órgãos da ANPD para análise e manifestação, nos termos do Regimento Interno”. 4. 8. Diante do exposto, verifica-se que estão presentes os requisitos de admissibilidade do recurso, em conformidade com o disposto nos arts. 58 e 61 do Regulamento de Fiscalização.

Página 6

II - Análise de mérito II.I. Síntese dos fatos

4.9. O presente processo administra@vo sancionador foi instaurado, em junho de 2022, após a verificação de irregularidades pra@cadas pela autuada durante procedimento de comunicação de incidente de segurança (Processo SEI nº 00261.001472/2021-41).

4.10. O incidente em questão decorreu de uma falha de segurança iden@ficada, em novembro de 2021, no formulário de inscrição do Programa Educação Precoce, gerido pela SEEDF. Em razão dessa falha de segurança, as informações fornecidas por cerca de 3.030 interessados no programa poderiam ser consultadas livremente mediante uma simples alteração no endereço do formulário eletrônico adotado para a inscrição.

4.11. Após a no@ficação da ANPD, a SEEDF adotou as providências técnicas necessárias para corrigir a falha. Porém, em razão da exposição de dados pessoais sensíveis (relacionados à saúde) de crianças e adolescentes, a CGF considerou que o incidente de segurança poderia acarretar risco ou dano relevante para os @tulares afetados. Diante disso, a SEEDF providenciou a formalização da comunicação do incidente à ANPD.

4.12. Após a análise da área técnica, foi determinada à recorrente a adoção de providências adicionais, incluindo a comunicação do incidente aos@tulares de dados. Conforme o exposto na Nota Técnica nº 40/2022/CGF/ANPD (SEI nº 0045705, processo nº 00261.001472/2021-41):

1. Pelo exposto, com fundamento no art. 5º, XIX e ART. 55-J, I, da LGPD, c/c o art. 17, XXII do Regimento Interno da ANPD, a CGF determina à SEEDF (SEEDF) que junte ao presente processo: a) a comprovação da comunicação individual do incidente a todos os titulares de dados afetados. b) o relatório de impacto à proteção de dados da a@vidade de tratamento relacionada ao incidente. c) o registro da operação de tratamento de dados pessoais relacionada ao incidente. d) o plano de gestão de incidentes de segurança da informação e privacidade, caso possua.

4.13. A recorrente, no entanto, não atendeu às determinações da ANPD, apesar de sua reiteração, inclusive com a disponibilização de prazo adicional.

4.14. Assim, em razão da falta de comunicação do incidente aos@tulares e do não atendimento às demais determinações da ANPD, foi

Página 7

instaurado o presente processo sancionador. Conforme a síntese dos fatos apresentada no Auto de Infração nº 5/2022/CGF/ANPD (SEI nº 0049035): Após a análise do processo, a Coordenação-Geral de Fiscalização determinou, por meio do O]cio nº 113/2022/CGF/ANPD/PR (3294687), acompanhado da Nota Técnica nº 40/2022/CGF/ANPD/PR (3294632), em 07/04/2022, que o controlador prestasse informações sobre o atendimento das determinações formuladas na referida Nota Técnica no prazo de 10 (dez) dias úteis. A Nota Técnica, por sua vez, determinou que a SEEDF juntasse ao processo: (a) a comprovação da comunicação individual do incidente a todos os @tulares de dados afetados; (b) o relatório de impacto à proteção de dados da a@vidade de tratamento relacionada ao incidente; (c) o registro da operação de tratamento de dados pessoais relacionada ao incidente; e (d) o plano de gestão de incidentes de segurança da informação e privacidade, caso possuísse. A SEEDF, porém, manteve-se inerte, deixando de apresentar as informações determinadas pelo O]cio nº 113/2022/CGF/ANPD/PR e no prazo estipulado de 10 (dez) dias úteis. A CGF enviou então o Aviso nº 19/2022/CGF/ANPD (3349373), em 06/05/2022, determinando que a SEEDF apresentasse a comprovação da comunicação individual do incidente a todos os titulares de dados afetados, no prazo de 10 (dez) dias úteis. Mais uma vez, a SEEDF permaneceu inerte. A Nota Técnica nº 57/2022/CGF/ANPD (3393356), de 08/06/2022, teve o obje@vo de apresentar elementos que subsidiaram o processo decisório, entendendo-se necessária a instauração do processo administra@vo sancionador. A Nota Técnica considerou as seguintes bases norma@vas: Lei nº 13.709, de 14/08/2018 (LGPD); Regimento Interno da Autoridade Nacional de Proteção de Dados, aprovado pela Portaria nº 1, de 08/03/2021 (Regimento Interno) e Regulamento do Processo de Fiscalização e do Processo Administra@vo Sancionador, aprovado pela Resolução CD/ANPD nº 1, de 28/10/2021 (Regulamento de Fiscalização). O Coordenador-Geral de Fiscalização da Autoridade Nacional de Proteção de Dados (ANPD), por meio do Despacho Decisório nº 5/2022/CGF/ANPD (3415444), acatou as razões da Nota Técnica nº 57/2022/CGF/ANPD (3393356) e decidiu pela instauração de processo administrativo sancionador em desfavor da SEEDF. Como consequência, o SEEDF infringiu os seguintes dispositivos: a) Art. 48 da Lei nº 13.709, de 14/08/2018 (LGPD); b) Art. 49 da Lei nº 13.709, de 14/08/2018 (LGPD); c) Art. 37 da Lei nº 13.709, de 14/08/2018 (LGPD); d) Art. 38 da Lei nº 13.709, de 14/08/2018 (LGPD) e e) Art. 5º da Resolução CD/ANPD nº 1 de 28/10/2021.

Página 8

e) Art. 5º da Resolução CD/ANPD nº 1 de 28/10/2021.

4.15. Sendo estes os fatos objeto de apuração e que suscitaram a instauração do processo sancionador, com a posterior aplicação de quatro sanções de advertência, passo a analisar as razões de mérito apresentadas no recurso.

II.II. Comunicação do incidente aos titulares afetados

4.16. A obrigação de comunicação do incidente aos @tulares está prevista no art. 48 da LGPD, nos seguintes termos: Art. 48. O controlador deverá comunicar à autoridade nacional e ao@tular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. § 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo: I - a descrição da natureza dos dados pessoais afetados; II - as informações sobre os titulares envolvidos; III - a indicação das medidas técnicas e de segurança u@lizadas para a proteção dos dados, observados os segredos comercial e industrial; IV - os riscos relacionados ao incidente; V - os mo@vos da demora, no caso de a comunicação não ter sido imediata; e VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo. § 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como: I - ampla divulgação do fato em meios de comunicação; e II - medidas para reverter ou mitigar os efeitos do incidente. § 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.

4.17. Como se pode observar, a determinação legal é cristalina no sen@do de que os @tulares devem ser comunicados, sempre que iden@ficado um incidente de segurança que “possa acarretar risco ou dano relevante aos titulares”

. 4. 18. Da própria redação do disposi@vo (“ possa acarretar risco ou dano”), extrai-se que não é necessária a comprovação de prejuízos para que

Página 9

seja cumprida a obrigação de efetuar a comunicação aos @tulares. Afinal, a comunicação é uma medida que visa, justamente, mi@gar riscos ou evitar a ocorrência de prejuízos aos @tulares. Assim, por exemplo, ao saber da existência de um determinado incidente, os afetados podem, de imediato, adotar providências como troca de senhas, a fim de impedir que suas informações pessoais sejam utilizadas para fins escusos.

4.19. Cabe pontuar, ainda, que, ao contrário do que alega a recorrente, a aplicação deste disposi@vo legal (art. 48 da LGPD) não depende de regulamentação adicional por parte da ANPD. Isso porque se trata de norma autoaplicável e de eficácia plena, que contém em si mesma todos os elementos necessários para o seu devido cumprimento. Registro, ainda, que o mesmo argumento é aplicável aos demais disposi@vos ques@onados pela recorrente, isto é, o art. 37 da LGPD, que trata do registro das operações de tratamento e o art. 38, que dispõe sobre a possibilidade de a ANPD solicitar a elaboração de relatório de impacto à proteção de dados pessoais.

4.20. Essa interpretação é reforçada ao se considerar que o art. 48 busca proteger e assegurar a efe@vidade aos direitos da personalidade e, mais especificamente, ao princípio da autodeterminação informa@va e ao direito fundamental à proteção de dados pessoais. A comunicação aos @tulares pode ser entendida, nesse contexto, como uma medida essencial de transparência, que permite a mi@gação dos danos que o incidente possa vir a causar, permi@ndo que os afetados adotem as providências e precauções cabíveis no caso, tal como mencionado anteriormente. Por isso, a comunicação aos@tulares é um ato que se coaduna com princípio da boa-fé, que deve sempre reger a conduta do controlador, em especial visando à promoção de uma relação de confiança entre este e os titulares.

4.21. Vale enfa@zar, ainda, que o “prazo razoável” previsto no art. 48 da LGPD para a realização da comunicação aos @tulares foi expressamente indicado pela CGF no caso concreto e, ainda assim, não cumprido pela recorrente. Em realidade, a comunicação somente ocorreu em 21/07/2022, após a instauração do presente processo sancionador. A esse respeito, vale citar o exposto no Relatório de Instrução nº 2/2024/FIS/CGF/ANPD (SEI nº 0057714):

7.37. A comunicação individualizada do incidente aos titulares de dados ocorreu em 21/07/2022

(Defesa Administra@va (0049051), pp. 8 e seguintes). A autuada relatou que a demora em realizar o comunicado teria decorrido de dificuldades no sen@do de: i) localizar os @tulares dos dados; ii) operacionalizar tecnicamente o envio em massa de e-mails aos @tulares; e iii) avaliar o conteúdo da comunicação diante das restrições impostas pelo período eleitoral (Defesa Administra@va 0049051, p. 5, e Alegações Finais - O]cio nº 3592/2023 - SEE/GAB/AESP (0049066), p. 4).

Página 10

7.38. A autuada alega que apresentou à ANPD pedidos de prorrogação para realizar o comunicado individualizado aos @tulares de dados (Defesa Administra@va 0049051, p. 4). No entanto, no melhor conhecimento desta CGF, dois dos documentos mencionados – os de IDs 76646362 e 87043448 – não foram localizados nem no PAI (00261.001472/2021-41), nem no presente PAS (00261.001192/2022-14), nem em consulta à base de documentos do sistema de processo eletrônico (SUPER/PR) u@lizado pela ANPD. Do mesmo modo, o documento de ID 90240133, protocolado no PAI, informa sobre os mo@vos pelos quais a autuada entendia não ser cabível a comunicação individualizada, não havendo pedido de prorrogação de prazo para que esta fosse realizada.

7.39. No mencionado documento 90240133, a autuada argumenta que não precisaria realizar a comunicação do incidente aos @tulares porque o formulário não havia sido divulgado ou disponibilizado em canal de comunicação ou rede social de sua responsabilidade; ademais, não teriam sido iden@ficados prejuízos aos @tulares ou à Administração Pública decorrentes do incidente (O]cio Vazamento de Dados - Portal I-Educar (0045725)). A suposta ausência de prejuízo é u@lizada, pela autuada, como argumento para a não aplicação de penalidade no caso em apreço (Alegações Finais - O]cio nº 3592/2023 - SEE/GAB/AESP (0049066)).

7.40. A LGPD determina, no art. 48, que cabe ao controlador comunicar à ANPD e ao @tular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos @tulares. Nos termos do §1º do mencionado ar@go, a comunicação deverá ser feita em prazo razoável, a ser regulamentado pela ANPD. Ainda que pendente a regulamentação do prazo para a comunicação do incidente, o §2º do art. 48 da LGPD confere à ANPD o poder de determinar ao controlador providências para a salvaguarda dos direitos dos @tulares, tais como medidas para reverter ou mi@gar os efeitos do incidente e a ampla divulgação do fato em meios de comunicação.

7.41. A autuada tomou conhecimento do incidente ao ser oficiada pela ANPD, o que, processualmente, ocorreu em 22/11/2021, com a sua primeira manifestação no processo [item 5.4]. Por mais que não haja norma geral e abstrata a respeito, no caso concreto, a CGF indicou reiteradamente o prazo que seria razoável para realizar a comunicação do incidente aos @tulares: em 16/12/2021, determinou a comunicação em até cinco dias úteis [item 5.7]; em 07/04/2022, definiu o prazo de dez dias úteis ([item 5.10]); e, por fim, em sede de medida preven@va emi@da em 06/05/2022, foi novamente conferido o prazo de dez dias úteis [item 5.11]. A comunicação aos titulares, no entanto, ocorreu somente em 21/07/2022

[item 7.37], já no âmbito deste PAS e decorridos oito meses da primeira determinação de que o comunicado fosse

Página 11

emitido.

7.42. A autuada alegou que a demora em realizar a comunicação individual decorreu de dificuldades técnicas e de etapas adicionais de aprovação de conteúdo do comunicado por causa de restrições eleitorais [item 7.37]. Ressalte-se, porém, que oito meses foi um período demasiadamente longo para a superação de tais medidas técnicas, especialmente considerando que o incidente esteve relacionado a um formulário que exigia um e-mail de contato de quem o preenchia – logo, a autuada sempre teve em seu poder a informação sobre os @tulares afetados e os seus e-mails de contato. Já as restrições do período eleitoral apenas ocorreram em razão da excessiva demora na adoção de providências por parte da autuada – ou seja, foi um elemento adicional que surgiu em decorrência de sua própria inércia.

7.43. As justificativas apresentadas, portanto, não são aceitáveis, razoáveis ou cabíveis por três mo@vos principais: a autuada @nha à sua disposição o e-mail de contato para o qual enviar mensagens individuais aos @tulares; a quan@dade de @tulares afetados, embora significa@va, permi@ria o envio de mensagens ainda que manualmente, caso não houvesse disponibilidade de soluções que tornassem mais ágil essa a@vidade; e, por fim, as restrições do período eleitoral incidiram sobre a matéria apenas porque a autuada incorreu em a@vidade irregular, pois tal limitação não exis@ria se o comunicado @vesse sido feito anteriormente, conforme havia sido determinado pela ANPD.

7.44. Por outro lado, registre-se que o conteúdo do comunicado contemplou os critérios indicados no §1º do art. 48 da LGPD. Assim, o envio da comunicação individualizada com conteúdo adequado aos titulares afetados configurou cessação da infração após a instauração do PAS e antes de prolatada a decisão de primeira instância. No presente caso, essa cessação ocorreu em 21 de julho de 2022, conforme comprovação apresentada pela autuada em sua defesa administra@va (Defesa Administra@va 0049051, pp. 8 e seguintes).

7.45. É importante enfa@zar que os três argumentos apresentados pela autuada (ver [item 7.39]) para afastar a configuração da conduta e o eventual sancionamento não procedem. O primeiro deles corresponde à alegação de que não teria divulgado os dados pessoais por não ter disponibilizado as respostas do formulário em seus canais oficiais e redes sociais. Tal postura, no entanto, não a exime da responsabilidade quanto à ocorrência do incidente: apenas indica que não incorreu em atitudes adicionais contrárias à LGPD que poderiam amplificar o alcance de tal incidente.

7.46. A autuada argumentou, ademais, que não foram iden@ficados prejuízos aos @tulares em razão do incidente. Nesse aspecto, essencial retomar ao texto da LGPD, segundo o qual deve ser realizada a comunicação de incidente de segurança que possa

Página 12

acarretar risco ou dano relevante aos @tulares. Não é necessário que o risco ou que o dano se concre@ze, pelo contrário: a comunicação tem o condão, inclusive, de oferecer aos @tulares a oportunidade e as ferramentas para adotar medidas que contribuam para evitar ou mitigar os potenciais riscos ou danos decorrentes do incidente.

7.47. A autuada argumenta, ainda, que o incidente não teria ocasionado prejuízos à Administração Pública. Esse é um aspecto que não cabe na discussão da LGPD: esta Lei visa a proteger os@tulares de dados pessoais, oferecendo diretrizes e parâmetros para que o tratamento desses dados ocorra de maneira adequada. A existência de eventuais prejuízos à Administração Pública em decorrência de incidentes de segurança que envolvem órgãos públicos como agente de tratamento é irrelevante para caracterizar ou afastar violações à LGPD.

7.48. Por todo o exposto, tendo em vista os oito meses transcorridos entre o conhecimento do incidente e o envio de comunicado individualizado aos @tulares, e considerando, ademais, que as razões apresentadas pela autuada não jus@ficam a demora em questão, fica configurada a violação ao art. 48 da LGPD, uma vez que não foi realizada comunicação aos titulares em prazo razoável. 4. 22. Portanto, os elementos constantes dos autos evidenciam que a recorrente cometeu a irregularidade de não comunicação aos @tulares afetados pelo incidente de segurança.

4.23. Ademais, a proporcionalidade da sanção aplicada foi devidamente demonstrada pela CGF no Relatório de Instrução nº 2/2024/FIS/CGF/ANPD (SEI nº 0057714). Nesse sen@do, apesar da natureza grave da infração e da desnecessidade de adoção de medidas corre@vas, o que, a princípio, em face do disposto no art. 9º do Regulamento de Fiscalização, afastaria a aplicação de advertência, a área técnica considerou como atenuante a realização da comunicação aos @tulares após a instauração do PAS e antes da decisão de primeira instância. Vale dizer, em razão da cessação da infração e do interesse público que jus@ficou a necessidade do tratamento de dados no caso, a área técnica considerou que aplicar uma sanção mais grave, a exemplo de publicização da infração ou proibição de realização tratamento de dados, seria medida desnecessária e desproporcional.

4.24. Dessa forma, demonstra-se adequada e proporcional na hipótese dos autos, dadas as circunstâncias do caso concreto e o interesse público a ser protegido, a aplicação da sanção de advertência, em conformidade com o disposto no art. 27 do Regulamento de Fiscalização, que, ao dispor sobre o atendimento ao princípio da proporcionalidade, autoriza a ANPD a “[…]substituir a aplicação de sanção por outra constante neste Regulamento, nos casos em que for constatado prejuízo à proporcionalidade

Página 13

entre a gravidade da infração e a intensidade da sanção […]”.

4.25. Por todas essas razões, entendo que deve ser integralmente man@da a sanção de advertência aplicada pela CGF à recorrente em razão da infração de não realização da comunicação aos @tulares afetados pelo incidente de segurança.

II.III. Não atendimento às determinações da ANPD

4.26. Além da falta de comunicação do incidente aos @tulares, a recorrente também foi sancionada, em primeira instância, por três outras infrações, decorrentes de violação, respec@vamente, aos arts. 37 e 38 da LGPD e ao art. 5º do Regulamento de Fiscalização.

4.27. Com efeito, a determinação para apresentar os documentos em questão consta da Nota Técnica nº 40/2022/CGF/ANPD, encaminhada à recorrente pelo O]cio nº 113/2022/CGF/ANPD/PR (SEI nº 0045705 e nº 0045706, processo nº 00261.001472/2021-41), por meio do qual, além da realização de comunicação aos @tulares, foi solicitada a apresentação de documentação que permi@sse verificar quais eram as medidas de segurança estabelecidas e relacionadas ao incidente, a saber: (i) o relatório de impacto à proteção de dados pessoais da a@vidade de tratamento relacionada ao incidente; (ii) o registro da operação de tratamento de dados pessoais relacionada ao incidente; e (iii) o plano de gestão de incidentes de segurança da informação e privacidade, este úl@mo com a ressalva de ser enviado apenas “caso possua”.

4.28. Apesar de ter sido regularmente in@mada a apresentar os documentos e prestar as informações correspondentes à ANPD, a recorrente permaneceu inerte, obstruindo, dessa forma, a a@vidade de fiscalização, em afronta ao disposto no art. 5º, I, do Regulamento de Fiscalização. A redação desse dispositivo regulamentar é a seguinte: Art. 5º Os agentes regulados submetem-se à fiscalização da ANPD e têm os seguintes deveres, dentre outros: I - fornecer cópia de documentos, físicos ou digitais, dados e informações relevantes para a avaliação das a@vidades de tratamento de dados pessoais, no prazo, local, formato e demais condições estabelecidas pela ANPD; […]§ 1º Os documentos, dados e as informações requisitados, recebidos, ob@dos e acessados pela ANPD nos termos deste Regulamento são aqueles necessários ao exercício efe@vo das suas atribuições, bem como aqueles sujeitos às regras de acesso e classificação de sigilo previstas em regulamentação específica.

Página 14

4.29. Assim, ficou evidenciado nos autos que, ao não responder às determinações da ANPD e não apresentar os documentos solicitados, a recorrente descumpriu a obrigação regulamentar prevista no art. 5º, I, do Regulamento de Fiscalização, impondo óbice ao exercício da a@vidade de fiscalização da ANPD, nos termos do art. 6º do Regulamento de Fiscalização, o qual dispõe que: Art. 6º O não cumprimento dos deveres estabelecidos no art. 5º poderá caracterizar obstrução à a@vidade de fiscalização, sujeitando o infrator a medidas repressivas, sem prejuízo da adoção das medidas necessárias com o obje@vo de concluir a ação de fiscalização obstruída por parte da ANPD.

4.30. Não obstante terem sido classificadas como três infrações dis@ntas, verifica-se que, em realidade, trata-se de uma conduta infratora única, que corresponde ao não atendimento às determinações da ANPD para apresentar documentação comprobatória das medidas de prevenção e segurança adotadas pela SEEDF. Esta conduta, de natureza omissiva, se materializou mediante a não apresentação, no prazo e nas condições estabelecidas, de documentos e informações relevantes para a avaliação das a@vidades de tratamento de dados pessoais, os quais eram necessários ao exercício efetivo das atribuições legais de fiscalização da ANPD.

4.31. Observe-se que o presente processo sancionador não foi instaurado com o fim de promover uma avaliação global quanto à conformidade da autuada à LGPD, mas tão somente com o obje@vo de verificar se, à luz do incidente de segurança iden@ficado, foram adotadas as medidas necessárias à proteção dos direitos dos @tulares de dados afetados. Assim, deve-se compreender que, no presente caso concreto, a não apresentação da documentação solicitada pela ANPD para verificação das medidas de segurança adotadas configura uma única infração, @pificada em um mesmo dispositivo regulamentar (art. 5º, I, Regulamento de Fiscalização), e não três condutas a serem sancionadas de maneira independente.

4.32. Deve-se considerar, ainda, que, além de constarem de uma mesma Nota Técnica e correspondente O]cio de encaminhamento, as solicitações de apresentação dos citados documentos integram o mesmo e único propósito de averiguação da adequação das medidas de segurança adotadas pelo controlador nas suas atividades de tratamento de dados pessoais.

4.33. Tal propósito atende ao disposto nos arts. 46 a 48 da LGPD, os quais, por um lado, impõem aos agentes de tratamento o dever de adotar medidas de segurança aptas a proteger os dados pessoais de incidentes de segurança; e, por outro lado, conferem à ANPD o dever legal e a prerroga@va administra@va de verificar se essas medidas são compabveis com os riscos

Página 15

envolvidos no caso e adequadas para reverter ou mi@gar os efeitos do prejuízo, inclusive a fim de evitar que outros eventos adversos ocorram no futuro por negligência, por falhas de segurança ou em razão da não adoção das medidas técnicas e administrativas apropriadas ao caso.

4.34. Trata-se de informações essenciais ao exercício da a@vidade de fiscalização da ANPD e ao cumprimento de seu mandato legal de zelar pela proteção de dados pessoais dos @tulares, especialmente no âmbito de um incidente de segurança que envolveu dados sensíveis de crianças e adolescentes, tal como na hipótese dos autos.

4.35. Em suma, entendo que a conduta omissiva da recorrente, ao se negar a fornecer elementos que permi@ssem que a ANPD verificasse a existência de medidas de segurança, se configura como infração administra@va, que deve ser objeto de punição pela ANPD. Entendo, assim, ser cabível na hipótese a aplicação de uma única sanção administra@va de advertência por óbice à fiscalização, com a consequente revisão da decisão de primeira instância neste ponto.

4.36. Considere-se, ainda, que a infração de obstrução à a@vidade de fiscalização é classificada como de natureza grave, conforme expressa previsão do art. 8º, § 3º, II, do Regulamento de Fiscalização.

4.37. Seguindo a análise de proporcionalidade efetuada no Relatório de Instrução nº 2/2024/FIS/CGF/ANPD (SEI nº 0057714), mencionada na seção anterior deste voto, entendo que o mais adequado é a manutenção da sanção de advertência aplicada, haja vista a desnecessidade e a desproporcionalidade de aplicação de sanções mais graves no caso. Importante considerar, ademais, a postura colabora@va adotada pela recorrente após a instauração do processo sancionador e a indicação de que diversas medidas administra@vas foram adotadas visando à sua adequação e conformidade com a legislação de proteção de dados pessoais. Embora tais circunstâncias não afastem a ocorrência da infração e nem a gravidade da conduta de não apresentar os documentos solicitados no prazo estabelecido e obstruir a a@vidade de fiscalização da ANPD, viabilizam, no caso concreto, a manutenção da aplicação da sanção de advertência.

4.38. Sendo assim, é necessária a revisão parcial da decisão de primeira instância neste ponto, para, em subs@tuição às três sanções de advertência aplicadas pela decisão de primeira instância, por violação, respec@vamente, aos arts. 37 e 38 da LGPD e ao art. 5º do Regulamento de Fiscalização, determinar a aplicação de uma única sanção de advertência, em razão de óbice à a@vidade de fiscalização, consistente na não apresentação da documentação solicitada pela ANPD, em violação ao art. 5º, I, do Regulamento de Fiscalização.

Página 16

III.III. Termo de Ajustamento de Conduta e competência da CGF para aplicar sanções administrativas

4.39. Por fim, cabe analisar outros dois argumentos relevantes suscitados no recurso administra@vo, os quais devem ser considerados improcedentes, pelas razões que passo a demonstrar.

4.40. Primeiro, não há que se falar em obrigação de a ANPD apresentar proposta de Termo de Ajustamento de Conduta ou adotar qualquer outra forma de acordo de vontades com os agentes regulados.

4.41. A esse respeito, vale enfa@zar que o processo administra@vo sancionador pode, inclusive, ser instaurado de imediato, conforme expressa previsão do art. 42, parágrafo único, do Regulamento de Fiscalização: Art. 42. […]Parágrafo único. A Coordenação-Geral de Fiscalização poderá instaurar processo administrativo sancionador de imediato, independentemente de procedimento preparatório ou da adoção de medidas de orientação e prevenção, em razão da gravidade e da natureza das infrações, dos direitos pessoais afetados, da reincidência, do grau do dano ou do prazo de prescrição administrativa aplicável. 4. 42. Portanto, a eventual composição de interesses entre a ANPD e as en@dades reguladas ou, mesmo, a adoção de medidas de prevenção e orientação, cons@tuem prerroga@vas da ANPD, subme@das ao exclusivo juízo técnico da en@dade reguladora. Por isso, não se trata de um direito do agente regulado.

4.43. A própria definição de “autuado”, que consta do art. 4º, II, do Regulamento de Fiscalização, deixa claro que o processo administra@vo sancionador pode ser instaurado, por meio de auto de infração, “uma vez identificados indícios suficientes de conduta infrativa”. No mesmo sen@do é o disposto no art. 40 do mesmo regulamento, segundo o qual o processo sancionador pode ser instaurado sempre que houver indícios suficientes para tanto.

4.44. No caso dos autos, como visto, ficou evidenciada a realização de duas condutas irregulares de natureza grave, consistentes na ausência de comunicação de incidente de segurança aos @tulares e no óbice à a@vidade de fiscalização. Além dos fortes indícios da infração, iden@ficados à época da instauração do processo e confirmados ao longo de sua instrução, a própria conduta omissiva e negligente da autuada, que sequer respondeu ou atendeu às determinações da ANPD na fase preliminar da a@vidade de fiscalização, afastaria a possibilidade de adoção de mecanismos de composição de

Página 17

interesses, jus@ficando a imediata instauração do processo sancionador, ação corretamente adotada pela CGF no caso.

4.45. Um segundo ponto relevante diz respeito à alegação de que a CGF não teria competência para definir os parâmetros administra@vos que orientam a aplicação de sanções. Sobre o tema, vale citar o exposto na Nota Técnica nº 23/2024/FIS/CGF/ANPD (SEI nº 0126627):

5.9.1. A autuada argumenta que a CGF não teria competência para “[…] definir os parâmetros administra@vos que orientam a aplicação das sanções, tais como os critérios de dosimetria, a metodologia de cálculo, os fatores agravantes e atenuantes, os limites e as formas de pagamento das multas, entre outros” (itens 51 a 53 Recurso Interposição (0104816)).

5.9.2. Em 24 de fevereiro de 2023, foi aprovado o Regulamento de Dosimetria e Aplicação de Sanções Administra@vas (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023), o qual estabelece os parâmetros para a aplicação de sanções, conforme indica o seu art. 1º: “Art. 1º Este Regulamento tem por obje@vo estabelecer parâmetros e critérios para aplicação de sanções administra@vas pela Autoridade Nacional de Proteção de Dados (ANPD), bem como as formas e dosimetrias para o cálculo do valor-base das sanções de multa”. Percebe-se, assim, que existem parâmetros claros, gerais e objetivos para a aplicação de sanções pela ANPD.

5.9.3. No âmbito da ANPD, é da Coordenação-Geral de Fiscalização (CGF) a competência para conduzir o Processo Administra@vo Sancionador (PAS) e para decidir quanto às eventuais sanções dele decorrentes. Isso está explícito tanto no Regimento Interno da Autoridade (Portaria nº 1, de 8 de março de 2021), quanto no Regulamento de Fiscalização (Resolução CD/ANPD nº 1, de 28 de outubro de 2021), conforme artigos abaixo transcritos:

Regimento interno da ANPD Art. 17. São competências da Coordenação-Geral de Fiscalização, sem prejuízo de outras previstas na Lei nº 13.709, de 2018, no Decreto nº 10.474, de 2020, e na legislação aplicável: I - fiscalizar e aplicar as sanções previstas no ar@go 52 da Lei nº 13.709, de 2018, mediante processo administra@vo que assegure o contraditório, a ampla defesa e o direito de recurso; II - proferir decisão em primeira instância nos processos administrativos sancionadores da ANPD; […]

Regulamento de Fiscalização Art. 37. O processo administra@vo sancionador des@na-se à

Página 18

apuração de infrações à legislação de proteção de dados de competência da ANPD, nos termos do ar@go 55-J, IV, da LGPD, podendo ser instaurado: I - de ofício pela Coordenação-Geral de Fiscalização; II - em decorrência do processo de monitoramento; ou III - diante de requerimento em que a Coordenação-Geral de Fiscalização, após efetuar a análise de admissibilidade, deliberar pela abertura imediata de processo sancionador. […]

Art. 45. O processo administra@vo sancionador será instaurado pela Coordenação-Geral de Fiscalização, garan@ndo-se ao acusado o contraditório e a ampla defesa. […]Art. 55. Finda a instrução processual, a Coordenação-Geral de Fiscalização proferirá a decisão de primeira instância, cujo resumo será publicado no Diário Oficial da União. §1º A decisão será mo@vada, com indicação dos fatos e dos fundamentos jurídicos, bem como aplicará a respec@va sanção, quando cabível, seguindo os parâmetros e critérios definidos no §1º do art. 52 da LGPD e na regulamentação expedida pela ANPD.

5.9.4. Assim, não há que se falar em juízo de reconsideração a partir desse argumento.

4.46. Dessa forma, verifica-se que a regulamentação vigente atribui expressa competência para a CGF instaurar processo administra@vo sancionador e aplicar sanções administra@vas, em conformidade com as disposições da LGPD, do Regimento Interno e do Regulamento de Fiscalização.

1. VOTO

5.1. Diante de todo o exposto, voto por CONHECER E DAR PROVIMENTO PARCIAL ao recurso administra@vo interposto pela SEEDF, para: (i) manter a aplicação de sanção de advertência, por infração ao art. 48 da LGPD, em razão da não realização da comunicação aos @tulares afetados pelo incidente de segurança; e (ii) rever parcialmente a decisão de primeira instância, para, em subs@tuição às três sanções de advertência aplicadas, por violação, respec@vamente, aos arts. 37 e 38 da LGPD e ao art. 5º do Regulamento de Fiscalização, determinar a aplicação de uma única sanção de advertência, por infração ao art. 5º, I, do Regulamento de Fiscalização, em razão de óbice à a@vidade de fiscalização, consistente no não atendimento às determinações da ANPD para apresentar documentação comprobatória das

Página 19

medidas de segurança relativas ao incidente investigado.

5.2. Proponho a votação por meio de circuito delibera@vo, nos termos do art. 40, do Regimento Interno.

5.4. Após a deliberação do Conselho Diretor, adotem-se as providências de praxe com vistas a: (i) publicação do extrato da decisão do Conselho Diretor no Diário Oficial da União, cuja minuta segue anexa a este voto; (ii) in@mação da recorrente; (iii) acompanhamento do cumprimento da decisão; e (iv) comunicação ao órgão de controle interno do Distrito Federal para ciência e adoção das providências que entender per@nentes, nos termos do art. 55-J, XXII, da LGPD.

5.6. Por fim, em conformidade com o disposto no art. 64 do Regulamento de Fiscalização, registro que indeferi o pedido da recorrente para a oi@va da Procuradoria Federal Especializada e da CGTP, por considerar que estão presentes nos autos todos os elementos necessários para a apreciação do recurso, não havendo, no presente caso, a necessidade de fornecimento de quaisquer esclarecimentos jurídicos ou técnicos adicionais.

5.8. É como voto.

MIRIAM WIMMER Diretora

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 06/08/2024, às 11:51, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0135239 e o código CRC 86E69C40. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001192/2022-14 SEI nº 0135239

Página 20

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Arthur Sabbat Brasília-DF, na data da assinatura. VOTO Nº 13/2024/DIR-AS/CD/ANPD PROCESSO Nº 00261.001192/2022-14 INTERESSADO:

Secretaria de Estado de Educação do Distrito Federal (SEEDF) ASSUNTO: Recurso administrativo em Processo Administrativo Sancionador RELATORA: Miriam Wimmer

VOTO EM CIRCUITO DELIBERATIVO DIRETOR ARTHUR PEREIRA SABBAT

VOTO X Acompanho a Relatora (Voto nº 14/2024/DIR-MW/CD - SEI 0135239)

Não acompanho o Relator

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 06/08/2024, às 17:45, conforme horário oficial de Brasília, com

Página 21

fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0137604 e o código CRC AC0FC0A7. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001192/2022-14 SEI nº 0137604

Página 22

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Joacil Rael

VOTO Nº 20/2024/DIR-JR/CD

PROCESSO Nº 00261.001192/2022-14 INTERESSADO:

Secretaria de Estado de Educação do Distrito Federal (SEEDF) ASSUNTO: Recurso administrativo em Processo Administrativo Sancionador RELATORA: Miriam Wimmer

VOTO EM CIRCUITO DELIBERATIVO DIRETOR JOACIL RAEL

VOTO X Acompanho a Relatora (Voto nº 14/2024/DIR-MW/CD - SEI 0135239)

Não acompanho o Relator

Página 23

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 07/08/2024, às 15:40, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0137791 e o código CRC 0A1BC1F4. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001192/2022-14 SEI nº 0137791

Página 24

Autoridade Nacional de Proteção de Dados Gabinete do Diretor-Presidente

VOTO Nº 8/2024/GABPR

PROCESSO Nº 00261.001192/2022-14 INTERESSADO:

Secretaria de Estado de Educação do Distrito Federal (SEEDF) ASSUNTO: Recurso administrativo em Processo Administrativo Sancionador RELATORA: Miriam Wimmer

VOTO EM CIRCUITO DELIBERATIVO WALDEMAR GONÇALVES ORTUNHO JUNIOR DIRETOR-PRESIDENTE

VOTO X Acompanho a Relatora (Voto nº 14/2024/DIR-MW/CD - SEI 0135239)

Não acompanho o Relator

Página 25

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 13/08/2024, às 15:04, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0138922 e o código CRC 2E48BE06. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001192/2022-14 SEI nº 0138922