CD nº 21/2025 — SDSCJ-PE: recurso sobre incidente no programa PE Livre Acesso

Página 1

Autoridade Nacional de Proteção de Dados

Conselho Diretor Diretor Arthur Sabbat

VOTO Nº 22/2025/DIR-AS/CD

PROCESSO Nº 00261.001963/2022-73

INTERESSADO: Secretaria de Desenvolvimento Social, Criança e Juventude-PE

DIRETOR RELATOR: Arthur Pereira Sabbat

1. ASSUNTO

1.1. Recurso Administrativo interposto pela Secretaria de Desenvolvimento Social, Criança e Juventude-PE.

1. EMENTA

2.1. INCIDENTE DE SEGURANÇA. PROCESSO ADMINISTRATIVO

SANCIONADOR. VIOLAÇÃO DO ART. 48 E 49, DA LGPD. APLICAÇÃO DE SANÇÕES DE ADVERTÊNCIA E MEDIDAS CORRETIVAS. DECISÃO PELO CONHECIMENTO E PROVIMENTO PARCIAL DO RECURSO ADMINISTRATIVO NA FORMA DAS RAZÕES DO VOTO.

1. RELATÓRIO

3.1. Trata-se de recurso administrativo interposto (0021443), no âmbito de Processo Administrativo Sancionador (PAS), pela Secretaria de Desenvolvimento Social, Criança e Juventude-PE (SDSCJ) contra decisão do Coordenador-Geral de Fiscalização que, por meio do Despacho Decisório nº 12/2024/FIS/CGF (0117642) aplicou duas sanções de ADVERTÊNCIA, por violação ao art. 48 e art. 49 da LGPD, e medidas corretivas, nos termos do art. 55 e seguintes do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021.

3.2. Por meio do Despacho Decisório nº 7/2025/CGF(0198198), o

Página 2

Coordenador-Geral de Fiscalização conheceu o recurso administrativo interposto pela autuada e considerou prejudicado o pedido de efeito suspensivo ao recurso.

3.3. A Nota Técnica nº 48/2025/FIS/CGF/ANPD (0197992), ao analisar o recurso administrativo, concluiu pela manutenção da decisão exarada, em primeira instância, pelo Coordenador-Geral de Fiscalização, por meio do Despacho Decisório nº 12/2024/FIS/CGF (0117642).

3.4. O Despacho Decisório nº 7/2025/CGF(0198198), por sua vez, acolheu integralmente a Nota Técnica nº 48/2025/FIS/CGF/ANPD(0197992), oportunidade em que determinou o encaminhamento do processo ao Conselho Diretor, nos termos do art. 62, 83º, do Regulamento de Fiscalização.

3.5. Por meio do Ofício nº 193/2025/FIS/CGF/ANPD (0199023), a recorrente foi cientificada do teor do Despacho Decisório nº 7/2025/CGF (0198198), e a Nota Técnica nº 48/2025/FIS/CGF/ANPD, em sua versão restrita (0195687) e pública (0197992), que fundamentou a referida decisão.

3.6. Ato contínuo, o processo foi encaminhado à Secretaria-Geral, para as providências cabíveis. O processo foi distribuído a este Gabinete após sorteio realizado em 15 de julho de 2025, conforme certificado nos autos (0198252).

3.7. É o relato.

3.8. Passo à análise. DA ADMISSIBILIDADE DO RECURSO

4.1. Os requisitos de admissibilidade recursal foram analisados por meio do Despacho Decisório nº 7/2025/CGF(0198198), a partir do disposto nos arts. 58 a 65 e em atendimento ao art. 62, parágrafo terceiro, ambos da RESOLUÇÃO CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021.

4.2. Avaliadas a manifestação e seus fundamentos, verifico que foram preenchidos os requisitos de admissibilidade recursal.

4.3. Conheço o recurso administrativo.

4.4. Passo à análise.

1. ANÁLISE

5.1. Trata-se de recurso administrativo interposto no âmbito de

processo administrativo sancionador instaurado contra a Secretaria de Desenvolvimento Social, Criança e Juventude-PE (SDSCJ) em razão de indícios de descumprimento do art. 48 e art. 49 da Lei nº 13.709, de 14/08/2018 (LGPD).

Página 3

5.2. O referido PAS foi instaurado em razão de incidente de segurança com dados pessoais ocorrido no mês de abril de 2022, consistente na exposição dos dados cadastrais de usuários do serviço do transporte intermunicipal das pessoas com deficiência, o Programa PE Livre Acesso Intermunicipal, por suposta falha operacional do sistema ou de algum usuário da Secretaria, tendo sido o incidente comunicado à ANPD pela Secretaria em 17/05/2022.

5.3. A CGF imputou à recorrente as seguintes condutas, segundo o Auto de Infração nº 11/2022/CGF/ANPD (0050468): 1) ausência de comunicação individual dos titulares sobre o incidente de segurança (art. 48 da LGPD); 2) não utilizar sistemas que atendam aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da LGPD (art. 49 da LGPD).

5.4. Acerca do assunto, a LGPD dispõe que:

Art.

1. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

$ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:

- a descrição da natureza dos dados pessoais afetados;

- as informações sobre os titulares envolvidos;

HI - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;

IV - os riscos relacionados ao incidente;

V- os motivos da demora, no caso de a comunicação não ter sido imediata; e

VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

$ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:

Página 4

5.5.

- ampla divulgação do fato em meios de comunicação; e

Il - medidas para reverter ou mitigar os efeitos do incidente.

8 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.

Art.

1. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares.

Percorrido o devido processo legal, na forma da RESOLUÇÃO

CD/ANPD Nº 1, DE 28 DE OUTUBRO DE 2021 e da RESOLUÇÃO CD/ANPD Nº 4, DE 24 DE FEVEREIRO DE 2023, o Coordenador-Geral de Fiscalização, por meio do Despacho Decisório nº 12/2024/FIS/CGF (0117642) aplicou duas sanções de ADVERTÊNCIA, por violação ao art. 48 e art. 49 da LGPD, respectivamente, e medidas corretivas, nos termos do art. 55 e seguintes do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021. Vejamos:

DECIDE: Aplicar à SAS as sanções de:

1. ADVERTÊNCIAor violação ao art. 48 da LGPD, com a imposição das seguintes medidas corretivas, acompanhadas de suas comprovações.

2.1. Envio de comunicação direta e individualizada a cada um dos 413 titulares afetados pela exposição dos dados no sítio eletrônico da SAS.

2.1.1. O teor da comunicação individual poderá ser o mesmo da segunda versão da Nota de Esclarecimento (0050478), desde que: i) sejam incluídos os motivos da

Página 5

demora da comunicação, por não ter sido imediata, consoante art. 48, 81º, V, da LGPD; ii) sejam alteradas as informações eventualmente desatualizadas, como, por exemplo, os dados do encarregado e o que mais a SAS entender necessário.

2.1.2. Deverá ser juntada aos autos, no prazo de 20 (vinte) dias úteis da data de intimação deste Despacho Decisório, comprovação de que a medida corretiva descrita no item 2.1 foi cumprida por meio da apresentação de uma planilha com a lista completa de todos os 413 titulares afetados identificados que foram individualmente comunicados contendo i) o nome completo do titular; ii) data de contato; iii) informação de contato utilizada para a comunicação individual (o número de telefone, se por meio telefônico; o e-mail, se por correio eletrônico; o endereço, se por meio físico etc.); e iv) o envio do inteiro teor de 40 comunicações realizadas por e-mail ou por meio físico, a fim de que seja possível que a CGF valide, por amostragem, a comunicação feita ao titular.

2.2. Atualização do comunicado no sítio eletrônico da SAS, conforme segunda versão juntada aos autos (0050478), incluídas as alterações mencionadas no item 2.1.1, na página em que os usuários se cadastram no Programa PE Livre Acesso (https://www.sdscjpvd.pe.gov.br/seses/pe- livre-acesso-intermunicipal/ ou correspondente), bem como na página específica relacionada à LGPD (https://www.sas.pe.gov.br/lgpd/ ou correspondente), por pelo menos mais 90 (noventa) dias corridos a contar da data da intimação deste Despacho Decisório.

2.2.1. Deverá ser juntada aos autos comprovação de que a medida corretiva do item 2.2 foi cumprida por meio da apresentação de, pelo menos, 9 (nove) capturas de tela do sítio eletrônico da SAS contendo o comunicado e com visualização clara da data da captura sendo que cada captura deve ser feita no intervalo mínimo de 9 (nove) dias entre cada uma.

Página 6

2.2.2. A comprovação de cumprimento da medida corretiva deverá ser juntada aos autos em até 5 (cinco) dias úteis do final de cada período de 30 (trinta) dias, independentemente de nova intimação para tanto.

1. ADVERTÊNCIAor violação ao art. 49 da LGPD, com a imposição da seguinte medida corretiva, acompanhada de sua comprovação:

3.1. Envio de comprovação da implementação, na estrutura dos sistemas, de medidas técnicas (e administrativas, se aplicável) que já tenham sido realizadas, incluindo aquelas referentes i) à existência de mecanismos de monitoramento de tráfego à base de dados, ii) à guarda de registros de acesso à referida base de dados, e iii) ao acesso restrito ao link que contém a base de dados em discussão, a fim de atestar que sua consulta somente pode ser realizada mediante uso de senha, com nova etapa de identificação, bem como com limitação de acesso para pessoa em nível gerencial (consoante relatado pela própria autuada na CIS [0042386]); bem como outras medidas que a SAS entenda serem cabíveis.

3.1.1. A comprovação dos elementos supracitados no item 3.1 pode ser realizada através de declaração assinada pelo Secretário da Secretaria de Assistência Social, Combate à Fome e Políticas sobre Drogas (SAS).

3.1.2. A fim de se comprovar o cumprimento desta medida corretiva, determina-se à SAS que junte aos autos, no prazo de 20 (vinte) dias úteis da data de intimação deste Despacho Decisório, comprovação de implementação das providências indicadas nesta medida corretiva, que poderá ser realizada por meio da declaração mencionada no item 3.1.1.

3.2. Subsidiariamente à medida imposta no item 3.1 e subitens, em virtude da violação ao art. 49 da LGPD, admitir-se-á a apresentação de um cronograma para a

Página 7

implementação das medidas do item 3.1. deste Despacho Decisório, com a especificação das etapas a serem adotadas.

3.2.1. A fim de se comprovar o cumprimento desta medida corretiva, a SAS deve juntar aos autos, no prazo de 20 (vinte) dias úteis da data de intimação deste Despacho Decisório, documento (e.g. planilha, documento escrito de forma digital, apresentação de slides etc.) em que conste i) a previsão de todas as etapas do cronograma e ii) a forma por meio da qual se comprovará o cumprimento de cada uma das etapas.

3.2.2. O prazo de cumprimento de todas as etapas previstas no cronograma não deverá ultrapassar 110 (cento e dez) dias úteis, contados da data de intimação deste Despacho Decisório.

5.6. A recorrente, por sua vez, interpôs recurso administrativo contra a decisão referida. Em linhas gerais, as alegações apresentadas na peça recursal dizem respeito ao não descumprimento do art. 48 e 49 da LGPD, o que descaracterizaria a conduta tida como infracional pela CGF e, consequentemente, a aplicação das sanções de advertência e as medidas corretivas delas decorrentes.

5.7. Sustenta, inicialmente, que não houve infração ao art. 48 da LGPD, uma vez que comprovou a existência de fato novo, capaz de descaracterizar a infração imputada, consistente na “informação de que os comunicados individuais foram enviados a cada um dos usuários do serviço PE Livre Acesso Intermunicipal, que tiveram seus dados pessoais envolvidos no incidente objeto do PAS, ainda no ano de 2022, especificamente no dia 30/11/2022, por servidor da então Secretaria de Desenvolvimento Social, Criança e Juventude — SDSCJ”,

5.8. Informou ainda que apenas teve conhecimento deste fato após diligenciar acerca do assunto e que a demora em informar a CGF se deu em razão de os comunicados terem sido realizados do e-mail pessoal de servidor. Assinalou por fim que os fatos aconteceram em gestão anterior, o que também contribuiu para a dificuldade na obtenção de informações.

5.9. Instada a se manifestar, por meio da Nota Técnica nº 48/2025/FIS/CGF/ANPD (0197992), a CGF entendeu pelo cumprimento das medidas corretivas e convalidação dos vícios formais que afetaram as

Página 8

comunicações do incidente de segurança, no que concerne a conduta de deixar de realizar o comunicado de incidente aos titulares. Manifestou-se ainda pela manutenção da sanção de advertência por considerar que o fato novo apresentado pela recorrente, por si só, não é capaz de descaracterizar a conduta infracional imputada, uma vez que a comunicação foi feita de forma extemporânea e houve insuficiência de conteúdo do CIS, o que justificaria a manutenção da sanção. Seguem os trechos principais da referida manifestação:

Sobre o ponto, importa ressaltar que, não obstante a comunicação individual tenha sido enviada com conteúdo satisfatório, ela foi realizada de forma extemporânea, além de ter sido enviada por e-mail pessoal de um dos servidores do órgão à época dos fatos.

(…)

Nestes termos, é indubitável que restou caracterizada a infração referente ao artigo 48 da LGPD, pois o envio fora do prazo dos comunicados individuais configura por si só o ato antijurídico.

(…)

Vê-se, pois, que o comunicado atende aos ditames do art. 48 8 1º da LGPD, com ressalvas, pois não houve explicação a respeito da demora de 7 meses para o envio do comunicado, além da informação de que não haveria consequências vislumbradas aos titulares, pois entendeu a recorrente que o vazamento foi remediado duas horas após seu conhecimento (contudo, a causa raiz do incidente nunca foi identificada).

Contudo, diante do fato novo apresentado, e prezando pelo princípio da eficiência da Administração Pública, vislumbra-se a possibilidade de considerar cumpridas as medidas corretivas relacionadas ao art. 48 da LPGD, pois houve envio dos comunicados individuais e a publicização por meio de comunicados gerais (docs. SEI nº 3746802, SEI nº 3746808 e SEI nº 3746814) não sendo oportuno que, após 3 anos da ocorrência do incidente, se repitam os comunicados que carecem de ajustes apenas formais.

Página 9

(…)

No caso em tela, uma vez que os usuários do serviço PE Livre Acesso Intermunicipal foram devidamente comunicados, ainda em 2022, acerca do incidente, mesmo por comunicado eivado de vício formal, bem como houveram comunicados oficiais em sítios públicos sobre a ocorrência do incidente, entende-se pela possibilidade de convalidação dos atos praticados à título de cumprimento das medidas corretivas impostas pelo Despacho decisório nº 12/2024/FIS/CGF (0117642) referentes à infração ao art. 48 da LGPD pela SAS.

Até porque, a expedição de novos comunicados, após 3 anos da ocorrência do evento, poderia gerar confusão aos titulares de dados pessoais vazados, ao invés de ajudá-los. Dessa forma, entende-se que o fato novo trazido pela recorrente não é suficiente para modificar a decisão anterior da CGF, pois houve constatação do fato antijurídico relacionado ao art. 48 da LPGD, sendo devida a sanção de advertência anteriormente aplicada. Não obstante, apesar dos vícios formais que afetam as comunicações do incidente de segurança, e de acordo com o preceituado no art. 55 da Lei nº 9.784/1999, entende-se pelo aproveitamento dos comunicados como cumprimento das medidas corretivas aplicadas.

5.10. No que diz respeito à obrigação de realizar o CIS, segundo o art. 48 da LGPD, “o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.”

5.11. O Auto de Infração nº 11/2022/CGF/ANPD (0050468) indicou como conduta infracional a ausência de comprovação da comunicação individual dos titulares acerca do incidente de segurança. O cerne da controvérsia reside, portanto, em verificar se houve ou não o comunicado de incidente aos titulares.

5.12. No caso dos autos, entendo que o fato novo apresentado e comprovado pela recorrente demonstra, de forma suficiente e razoável, que os titulares foram individualmente informados sobre o incidente de segurança, ainda que sem as formalidades administrativas adequadas, em atenção ao comando legal insculpido no art. 48 da LGPD. Destaque que a

Página 10

própria CGF informou que “houve envio dos comunicados individuais e a publicização por meio de comunicados gerais (docs. SEI nº 3746802, SEI nº 3746808 e SEI nº 3746814)”.

5.13. Por outro lado, não caberia neste momento processual, isto é, em sede de recurso, punir a recorrente ou, mais precisamente, justificar a sanção aplicada com base no argumento de eventual insuficiência ou inadequação do conteúdo das comunicações realizadas. Isto porque o fato imputado à época, e que motivou a lavratura do auto de infração, consistiu na falta de comunicação individual do incidente aos titulares e não na insuficiência ou inadequação do conteúdo de eventual comunicação — a qual, como mencionado, sequer havia ocorrido.

5.14. Há de se ressaltar, ademais que a intenção do art. 48 da LGPD é justamente permitir que os titulares se protejam, considerando a exposição dos seus dados. Se o objetivo foi alcançado e a determinação legal foi cumprida, mediante o envio da comunicação aos titulares, não se vislumbra motivação suficiente para aplicação da penalidade, ainda que de advertência.

5.15. Por fim, registro que a recorrente comprovou (0050475, 0050476, 0050477, 0050478) que, antes da comunicação individual aos titulares, também publicou comunicados oficiais, informando sobre o incidente, bem como a nota de esclarecimento, o que revela sua boa-fé na condução do problema.

5.16. Pelo exposto, dou provimento ao pedido neste ponto, afastando-se a aplicação da sanção de ADVERTÊNCIA, bem como as medidas corretivas dela decorrentes, por considerar cumprido o disposto no art. 48 da LGPD, no que concerne à obrigação de comunicação individual do incidente de segurança aos titulares.

5.17. No mais, com relação à imputação referente à violação ao art. 49, da LGPD, a recorrente argumenta que “diante das medidas de segurança adotadas pela então SDSCJ, atual SAS, desde antes do incidente, não se pode afirmar que o art. 49 da LGPD foi violado.” Sustenta ainda que “conforme informado pela Secretaria nos autos do processo em epígrafe, haviam sido tomadas medidas de segurança, técnicas e administrativas, para prevenir a ocorrência do incidente de segurança: a limitação do acesso apenas à equipe da Sead, por meio de link específico, sigiloso e com extensão de aproximadamente 100 (cem) caracteres, o qual somente poderia ocorrer mediante uso de senha de identificação (…)”

5.18. Sustenta ainda que, após o incidente, foram tomadas novas medidas de segurança efetivas: alteração da senha pré-existente para uma mais forte, a inclusão de nova etapa de identificação mediante senha e a limitação do acesso apenas para pessoa em nível gerencial.

Página 11

5.19. Por meio da Nota Técnica nº 48/2025/FIS/CGF/ANPD (0197992), a CGF manifestou-se pela possibilidade de serem consideradas como atendidas as medidas corretivas. Manifestou-se ainda pela manutenção da sanção de advertência por considerar que “mesmo que se considere que a SAS tenha agido com boa-fé na adoção de medidas mitigadoras para sanar os efeitos do incidente de segurança que gerou esse PAS, conforme alegado no recurso administrativo, essa circunstância não deve ser computada como excludente do fato antijurídico ocorrido.”

5.20. O Auto de Infração nº 11/2022/CGF/ANPD (0050468), fundamentado na Nota Técnica 81/2022/CGF/ANPD (0050469), indicou violação ao art. 49 da LGPD consistente na utilização de sistemas que não atendem ao princípio da segurança, previsto no inciso VII do art. 6º da lei de proteção de dados. A recorrente informa que foram tomadas medidas de segurança, técnicas e administrativas, para prevenir a ocorrência do incidente de segurança.

5.21. Inicialmente, cabe destacar que a mitigação dos efeitos adversos aos titulares constitui conduta de responsabilidade do controlador em qualquer caso de atividade de tratamento de dados pessoais e não apenas quando da ocorrência de incidentes de segurança, conforme é possível extrair do art. 68, inciso Mill, da LGDP.

5.22. Neste sentido, a recorrente apenas demonstra ter agido como era esperado, em atendimento, neste ponto específico, aos ditames legais. Entretanto, o fato de ter, eventualmente, atuado de boa-fé e tomados as providências para mitigar os efeitos do incidente de segurança não afasta O fato de que deixou de cumprir uma obrigação legal consistente na utilização de sistemas que atendem aos requisitos básicos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e as demais normas regulamentares, conforme preceitua o art. 49 da LGPD.

5.23. Em outras palavras, os atos realizados em conformidade com a lei, posteriormente à ocorrência do incidente, não afastam a ocorrência do ato infracional e nem mesmo a punição deste, devendo a recorrente ser penalizada por este ato desconforme.

5.24. Perceba que, rapidamente, após a ocorrência do incidente foram tomadas as providências para alterar a senha pré-existente para uma mais forte, incluir nova etapa de identificação mediante senha e limitar do acesso apenas para pessoa em nível gerencial. Percebe-se, portanto, que se trata de medidas de segurança triviais, de fácil e rápida execução que poderiam e deveriam ter sido implementadas antes da ocorrência do incidente de segurança. Não é demasiado reforçar que um dos prindpios elencados no art. 6º, inciso VIII, da LGPD é justamente o da prevenção, o qual

Página 12

preleciona a adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.

5.25. Destaco trecho da Nota Técnica 81 /2022/CGF/ANPD (0050469), que fundamentou o Auto de Infração nº 11/2022/CGF/ANPD (0050468) e elucida adequadamente a questão:

Houve falha na implementação de controles para garantir um dos pilares da segurança da informação, qual seja, a confidencialidade dos dados, de modo a garantir que a informação fosse acessível apenas àqueles autorizados a ter acesso. Apesar da sensibilidade dos dados tratados, o controlador falhou em garantir a adoção de medidas de segurança adequadas à proteção dos dados pessoais. 5.12.

Considera-se ter havido falha na implementação de controles adequados para garantir a confidencialidade dos dados, em especial considerando a sensibilidade dos dados tratados. Apesar de alegar ter corrigido prontamente a falha, quando identificada, não foi comprovada a alegação de que não houve violação de dados por terceiro. Pelo contrário, além de não ter informado possuir registros de acesso à referida base de dados, a violação encontra-se comprovada pela própria notícia juntada aos autos (3380998). Além disso, o

controlador informa, somente após o incidente, ter incluído “uma nova etapa de identificação por senha”, o

que sugere a não adoção de mecanismos adequados de controle de acesso. Entende-se, portanto, haver violação

ao disposto no art. 49 da LGPD, que impõe ao controlador o dever de utilizar sistemas que atendam ao princípio da segurança, previsto no inciso VII do art. 6º da lei de proteção de dados.

5.26. Neste sentido, considero que a sanção de advertência foi devidamente aplicada.

5.27. Com relação às medidas corretivas aplicadas pelo Despacho Decisório nº 12/2024/FIS/CGF (0117642), acolho a fundamentação disposta na Nota Técnica nº 48/2025/FIS/CGF/ANPD (0197992), bem como ratifico a decisão firmada no Despacho Decisório 7 (0198198) que considerou cumprido o item 3.1 do Despacho Decisório nº 12/2024/FIS/CGF.

Página 13

5.28. Pelo exposto, nego provimento ao pedido neste ponto, mantendo-se a aplicação da sanção de ADVERTÊNCIA.

1. CONCLUSÃO

6.1. Diante de todo o exposto, voto pelo CONHECIMENTO E PROVIMENTO PARCIAL DO RECURSO ADMINISTRAT]Vpelas razões e fundamentos expostos, para:

a) Reformar os itens 2, 2.1 e 2.2 do Despacho Decisório 12/2024/FIS/CGF, afastando a aplicação da sanção de ADVERTÊNCIA e as medidas corretivas dela decorrentes;

b) Manter o item 3 Despacho Decisório nº 12/2024/FIS/CGF, consistente na aplicação da sanção de ADVERTÊNCIA e, com relação às medidas corretivas, considerar cumprido o item 3.1 do referido despacho.

6.2. Encaminhamentos:

a) Proponho a votação por meio de circuito deliberativo, nos termos do 8 1º do art. 40, do Regimento Interno;

b) Findo o circuito deliberativo, à Secretaria-Geral para publicação do extrato da decisão do Conselho Diretor;

c ) Encaminhamento dos autos à CGF para realização da intimação da recorrente da decisão do Conselho Diretor da ANPD.

6.3. É como voto.

ARTHUR PEREIRA SABBAT Diretor

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 15/08/2025, às 10:36, conforme horário oficial de Brasília, com fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº

o 00261.001963/2022-73 SEI nº 0204723

Página 14

Página 15

Autoridade Nacional de Proteção de Dados

Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 21/2025/DIR-MW/CD

PROCESSO Nº 00261.001963/2022-73

INTERESSADO: Secretaria de Desenvolvimento Social, Criança e Juventude-PE ASSUNTO: Recurso Administrativo interposto pela Secretaria de Desenvolvimento Social, Criança e Juventude-PE.

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA MIRIAM WIMMER

Acompanho o Relator (Voto nº 22/2025/DIR-AS/CD, SEI nº 0204723)

Não acompanho o Relator

Página 16

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 20/08/2025, às 17:25, conforme horário oficial de Brasília, com fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

op: a? [e] A autenticidade deste documento pode ser conferida no site https://anpd- TERA LA . super.mj.gov.br/sei/controlador externo.php?

= My* acao=documento conferir&id orgao acesso externo=0, informando o H código verificador 0206911 e o código CRC 4E5C0649.

[nl E

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº o 00261.001963/2022-73 SEI nº 0206911

Página 17

Autoridade Nacional de Proteção de Dados

Conselho Diretor Diretor lagê Miola

VOTO Nº 27/2025/DIR-IM/CD

PROCESSO Nº 00261.001963/2022-73 INTERESSADO: Secretaria de Desenvolvimento Social, Criança e Juventude-PE

ASSUNTO: Recurso Administrativo interposto pela Secretaria de Desenvolvimento Social, Criança e Juventude-PE.

CIRCUITO DELIBERATIVO (0206094)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do 8 1º do art. 41 do Regimento Interno:

na Concordo com a redução do prazo E Não concordo com a redução do prazo Não aplicável à hipótese

Voto no Circuito Deliberativo:

x Acompanho a Relatoria conforme VOTO Nº 22/2025/DIR-AS/CD (SEI 0204723) o Não acompanho a Relatoria, nos seguintes termos:

IAGÊ ZENDRON MIOLA

Diretor » Documento assinado eletronicamente por lagê Zendron Miola, Diretor(a), o) em 03/09/2025, às 11:15, conforme horário oficial de Brasília, com ANPD fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

ro	acao=documento conferir&id orgao acesso externo=0, informando o e SMpJ” código verificador 0209573 e o código CRC 8A8977E6.

Página 18

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº p , P SEI nº 0209573

00261.001963/2022-73

Página 19

Autoridade Nacional de Proteção de Dados

Gabinete do Diretor-Presidente VOTO Nº 15/2025/GABPR

PROCESSO Nº 00261.001963/2022-73 INTERESSADO: Secretaria de Desenvolvimento Social, Criança e Juventude-PE

ASSUNTO: Recurso Administrativo interposto pela Secretaria de Desenvolvimento Social, Criança e Juventude-PE.

VOTO EM CIRCUITO DELIBERATIVO

WALDEMAR GONÇALVES ORTUNHO JUNIOR DIRETOR - PRESIDENTE

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do 8 1º do art. 41 do Regimento Interno:

ES Concordo com a redução do prazo ES Não concordo com a redução do prazo ES Não aplicável à hipótese

Voto no Circuito Deliberativo:

Acompanho a Relatoria conforme VOTO Nº 22/2025/DIR-AS/CD (SEI 0204723)

ns Não acompanho a Relatoria, nos seguintes termos:

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho » a Junior, Diretor(a) Presidente, em 04/09/2025, às 15:52, conforme horário ANPD “))

oficial de Brasília, com fundamento no art. 6º, 8 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

E + A autenticidade deste documento pode ser conferida no site https://anpd-

super.mj.gov.br/sei/controlador externo.php?

Página 20

Ei acao=documento conferir&id orgao acesso externo=0, informando o H código verificador 0209687 e o código CRC A65FDE61.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº o 00261.001963/2022-73 SEI nº 0209687