CD nº 37/2025 — Ministério da Saúde: recurso sobre medidas corretivas após incidente

Página 1

Processo nº 00261.001882/2022-73 Agência Nacional de Proteção de Dados Conselho Diretor Diretor Iagê Miola Despacho DIR-IM/CD Brasília-DF, na data da assinatura. À Secretaria-Geral,

Assunto: Versão pública do Voto n º 47/2025/DIR-IM/CD

Prezada Secretária-Geral,

1. Considerando a publicação do Despacho Decisório PR/ANPD nº 64/2025 na data de hoje (SEI nº 0234813), solicita-se a disponibilização da versão pública do voto (SEI nº 0234100) no sítio eletrônico da ANPD. Ressalta- se que o documento contém excertos de acesso restrito ao autuado, relativos ao detalhamento do incidente de segurança e de medidas de segurança implementadas em sistema, em observância às solicitações por ele apresentadas e deferidas pela Coordenação-Geral de Fiscalização ao longo do presente processo, com fundamento nos art. 55-J, II, da LGPD, art. 5º, § 1º e § 2º, do Regulamento de Fiscalização e art. 13, II, do Decreto nº 7.724/2012. Atenciosamente, Documento assinado eletronicamente por Iagê Zendron Miola, Diretor(a), em 24/12/2025, às 10:01, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0234868 e o código CRC 5AF494F7.

Página 2

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001882/2022-73 SEI nº 0234868

Página 3

Processo nº 00261.001882/2022-73 Agência Nacional de Proteção de Dados Conselho Diretor Diretor Iagê Miola VOTO Nº 47/2025/DIR-IM/CD

PROCESSO Nº 00261.001882/2022-73 INTERESSADO: Coordenação-Geral de Fiscalização, Ministério da Saúde

VOTO

1. ASSUNTO

1.1. Recurso administrativo interposto pelo Ministério da Saúde contra decisão em Processo Administrativo Sancionador.

1. EMENTA RECURSO ADMINISTRATIVO. INCIDENTE DE SEGURANÇA. PROCESSO ADMINISTRATIVO SANCIONADOR. MEDIDAS CORRETIVAS. PEDIDO DE AFASTAMENTO DE PRAZO. FIXAÇÃO DE PRAZO COMO EXIGÊNCIA LEGAL. ALEGAÇÃO DE CARÁTER “COMPLEMENTAR” DAS MEDIDAS CORRETIVAS. MANUTENÇÃO DO PRAZO PARA IMPLEMENTAÇÃO. DECISÃO PELO CONHECIMENTO E NÃO PROVIMENTO DO RECURSO.

1. RELATÓRIO

3.1. Trata-se de recurso administrativo interposto pelo Ministério da Saúde (SEI nº 0141975) contra o Despacho Decisório nº 19/2024/FIS/CGF, posteriormente retificado pelo Despacho Decisório nº 19/2024/FIS/CGF – Retificação, em que o Coordenador-Geral de Fiscalização acolheu integralmente o Relatório de Instrução nº 4/2024/FIS/CGF/ANPD (SEI nº 0136258), aplicando as sanções de advertência, cumuladas com medidas corretivas, por violação aos arts. 48 e 49 da LGPD, decorrentes de incidente de segurança com dados pessoais comunicado à Agência Nacional de Proteção de Dados (ANPD) pelo Ministério da Saúde (SEI nº 0045588), no âmbito do Processo SEI nº 00261.001021/2022-95.

3.2. O incidente ocorreu no dia 03/05/2022, aproximadamente às 10h25. A comunicação foi recebida em 16/05/2022, de forma parcial e preliminar, relatando a existência de vulnerabilidade em sistema sob responsabilidade do Ministério da Saúde.

3.3. Na sequência, a ANPD solicitou ao controlador o encaminhamento do Relatório de Tratamento de Dados Pessoais e do Registro das Operações de Tratamento, além de esclarecimentos quanto à extensão e natureza dos dados afetados.

3.4. O controlador informou tratar-se de “dados de saúde”, informação que divergia da informação inicialmente enviada pelo órgão no

Página 4

âmbito da Nota Técnica nº 17/2022-CISEGI/CGGOV/DATASUS/SE/MS, a qual indicava a exposição de “dados sensíveis de um CPF válido”. Posteriormente, foram enviados dois formulários de incidente e anexos complementares.

3.5. Após análise preliminar, a Coordenação-Geral de Fiscalização expediu o ORcio nº 188/2022/CGF/ANPD (SEI nº 0045605), determinando ao controlador, no prazo de 10 dias úteis: i) a comunicação do incidente aos titulares afetados; ii) a comprovação da referida comunicação, com indicação de data, meio e forma utilizada; e iii) a retificação do formulário de incidente, com detalhamento dos dados pessoais afetados, do número de titulares potencialmente atingidos e das medidas de segurança existentes à época.

3.6. O prazo encerrou-se em 04/08/2022, sem manifestação do Ministério da Saúde.

3.7. Diante do descumprimento, a CGF emitiu o Aviso nº 30/2022/CGF/ANPD (SEI nº 0045608), com fundamento no art. 55-J, IV, da LGPD, art. 17 do Regimento Interno da ANPD e art. 34 do Regulamento de Fiscalização, também sem resposta do controlador.

3.8. Em razão da ausência de resposta, a CGF elaborou a Nota Técnica nº 78/2022/CGF/ANPD (SEI nº 0050495), recomendando a instauração do presente processo administrativo sancionador.

3.9. Concluídas as etapas de orientação e prevenção, a ANPD instaurou o presente Processo Administrativo Sancionador, formalizado por meio do Despacho Decisório nº 8/2022/CGF/ANPD, nos termos do art. 37 do Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2020).

3.10. Em 25/08/2022, o Ministério da Saúde editou a Portaria GM/MS nº 3.362 (SEI nº 0050497), designando encarregado de proteção de dados.

3.11. Em 12/09/2022, foi expedido o ORcio nº 211/2022/CGF/ANPD/PR (SEI nº 0050498), referente à instauração do auto de infração.

3.12. Em 22/09/2022, o Ministério da Saúde enviou o ORcio nº 17/2022/AEPD/MS (SEI nº 0050502), informando a comunicação aos titulares de dados (art. 48), realizada por meio de divulgação no Portal do Ministério da Saúde. A Nota nº 106/2022-CGIE/DATASUS/SE/MS (SEI nº 0050503) registrou a adoção da comunicação e informou esforços para implementação de controles no Sistema de Cadastro e Permissão de Acesso (SCPA). O Despacho CDESS/CGSIO/DATASUS/SE/MS (SEI nº 0050504) apresentou a relação dos dados pessoais afetados.

3.13. Em 27/10/2022, a CGF expediu o Despacho de Sobrestamento (SEI nº 0050509), suspendendo o trâmite processual até a edição do Regulamento de Dosimetria e Aplicação de Sanções Administrativas.

3.14. Em 19/04/2023, com a publicação do referido regulamento, determinou-se a retomada regular do processo, por meio do Despacho de Retomada (SEI nº 0050510).

3.15. Em 30/01/2024, por meio do ORcio nº 12/2024/FIS/CGF/ANPD (SEI nº 0067107), o Ministério da Saúde foi intimado a apresentar alegações finais no prazo de 10 dias úteis. As alegações foram juntadas na Nota Técnica nº 4/2024-SEIDIGI/CGOEX/SEI/MS (SEI nº 0098399), de 15/02/2024.

3.16. O Relatório de Instrução nº 4/2024/FIS/CGF/ANPD (SEI nº 0136258), de 07/08/2024, concluiu pela autoria e materialidade das infrações descritas no Auto de Infração nº 8/2022/CGF/ANPD (SEI nº 0050494): (i) quanto à infração ao art. 48 da LGPD, referente à obrigação de comunicar aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou

Página 5

dano relevante, verificou-se que o infrator realizou a comunicação geral em seu sítio eletrônico apenas em 16/09/2022, às 15h07, conforme registrado no item [5.29], apesar de a primeira determinação da CGF para sua realização ter ocorrido quase dois meses antes, em 21/07/2022 (item [5.19], “a”). Ademais, o conteúdo disponibilizado não atendeu aos requisitos previstos no art. 48, §1º, da LGPD, conforme apontado no item [5.20] do Relatório; e (ii) no que se refere à infração ao art. 49 da LGPD, relativa ao dever de adoção de sistemas e medidas aptos a assegurar a segurança, as boas práticas, a governança e os princípios estabelecidos pela legislação, a instrução constatou a ausência de controles suficientes para garantir a confidencialidade dos dados pessoais, circunstância que contribuiu para a ocorrência do incidente de segurança.

3.17. Em 07/08/2024, por meio do Despacho Decisório nº 19/2024/FIS/CGF (SEI nº 0137529), o Coordenador-Geral de Fiscalização acolheu integralmente o Relatório de Instrução, aplicando ao Ministério da Saúde 2 (duas) sanções de advertência, cumuladas com medidas corretivas.

3.18. Em 12/08/2024, houve a retificação do Despacho Decisório nº 19/2024/FIS/CGF (0138254), no que toca à redação do item 3.

3.19. Em 28/08/2024, o Ministério da Saúde interpôs recurso (Nota Técnica nº 14/2024-CGOEX/SEIDIGI/MS – 0141975), pleiteando efeito suspensivo das medidas corretivas, reconsideração da decisão para afastar prazo fixo para cumprimento das etapas e, subsidiariamente, remessa ao Conselho Diretor.

3.20. Na mesma data, foi juntado aos autos o Despacho DATASUS (SEI nº 0141979), por meio do qual o Departamento de Informação e Informática do Sistema Único de Saúde apresentou informações complementares relacionadas aos requisitos técnicos associados às sanções impostas. O documento contemplou: (i) a descrição dos riscos relacionados ao incidente, com identificação dos possíveis impactos aos titulares, conforme os riscos mencionados nos itens 7.29 e 7.30 do Relatório de Instrução nº 4/2024/FIS/CGF/ANPD (SEI nº 0136258); (ii) a indicação dos motivos da demora na realização da comunicação do incidente aos titulares, nos termos do item 2.1.4; e (iii) o envio à Coordenação-Geral de Fiscalização de informações sobre o andamento das medidas técnicas em curso no sistema SCPA, especialmente quanto aos pontos destacados no item 3.1.

3.21. Em 10/09/2024 foi proferido o Despacho Decisório nº 21/2024/FIS/CGF/ANPD – Admissibilidade (SEI nº 0144223), que conheceu o recurso interposto pelo autuado (SEI nº 0141975) e concedeu efeito suspensivo, nos termos do art. 60 do Regulamento de Fiscalização.

3.22. Em 23/09/2024, o Ministério da Saúde enviou o ORcio Nº 114/2024/SEIDIGI/CGOEX/SEIDIGI/MS (SEI nº 0146963), por meio do qual foram encaminhados sob a forma de anexos, documentos comprobatórios de medidas implementadas no SCPA, quais sejam os Despachos CGIE/DATASUS/SEIDIGI/MS 0042937789 (SEI nº 0146965) e CDESS/CGAPSTIC/DATASUS 0043286474 (SEI nº 0146967).

3.23. Posteriormente, houve a juntada do Relatório Preliminar de Teste de Intrusão (SEI nº 0146969), contendo informações técnicas complementares relacionadas à segurança do sistema.

3.24. Na sequência, foi anexada a Nota Técnica nº 47/2024/FIS/CGF/ANPD (SEI nº 0148882), que analisou os pedidos de restrição de acesso a trechos de documentos, formulados no ORcio Nº 115/2024/CGOEX/SEIDIGI/MS (SEI nº 0146958).

3.25. Em 09/10/2024, o Ministério da Saúde juntou, por meio do

Página 6

ORcio Nº 120/2024/SEIDIGI/CGOEX/SEIDIGI/MS (SEI nº 0149748), comprovante de captura de tela de seu sítio eletrônico, a fim de comprovar a manutenção da comunicação de incidente de segurança de forma pública (SEI nº 0149749).

3.26. Em 07/03/2025, por meio do ORcio nº 68/2025/FIS/CGF/ANPD(SEI nº 0173413), a CGF solicitou que o Ministério aditasse o Recurso Administrativo (SEI nº 0141975) para apresentar , até 07/04/2025, cronograma para implantação das medidas corretivas remanescentes: (iii)██████████████ [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

3.27. Em 07/04/2025, foi apresentado aditamento de Recurso pelo MS (Nota Técnica nº 7/2025/CGOEX/SEIDIGI/MS – 0179510), acompanhado dos Despachos CDESS (SEI nº 0179703), COATIC (SEI nº 0179518), CGAPSTIC (SEI nº 0179517), COSEGI (SEI nº 0179513) e DATASUS (SEI nº 0179512).

3.28. Em 26/06/2025 a Nota Técnica nº 20/2025/FIS/CGF/ANPD 2025 (SEI nº 0171983), analisou o mérito do recurso e avaliou o cumprimento das medidas corretivas, indicando como pendentes as medidas (iii) e (iv) indicadas no item 5.11 do Relatório de Instrução nº 4/2024/FIS/CGF/ANPD (SEI nº 0136258) .

3.29. Na mesma data, o Despacho Decisório nº 22/2025/FIS/CGF (SEI nº 0193900) reconheceu o cumprimento integral dos itens 2.1, 2.2, 3.1(i) e 3.1(ii) do Despacho Decisório nº 19/2024/FIS/CGF/ANPD (0137529 e 0138254 – Retificação); considerou parcialmente atendido o item 3.1(iii); acolheu, em juízo de reconsideração, o pedido de dilação para execução das medidas remanescentes (iii) e (iv) do item 5.11 do Relatório de Instrução nº 4/2024/FIS/CGF/ANPD (SEI nº 0136258), fixando o prazo final em 31/12/2025; e determinou a apresentação das comprovações correspondentes até 30/01/2026.

3.30. Após reunião entre MS e CGF, realizada em 07/07/2025 (formalmente registrada no Despacho FIS/CGF (SEI nº 0196465), o autuado apontou que seu pedido original para que não fosse estabelecido prazo em dias fixos para o cumprimento das etapas da medida corretiva não havia sido apreciado em sua totalidade.

3.31. Constatou-se, ainda, que o Despacho nº 22/2025 não separou adequadamente a decisão recursal da decisão de monitoramento. Para sanar a questão, foi editado o Despacho Decisório nº 23/2025/FIS/CGF (SEI nº 0196398), substituindo o anterior.

3.32. Em 10/07/2025, por meio da Certidão de Distribuição (SEI nº 0197348), o processo foi distribuído a este Gabinete.

3.33. É o relatório.

1. ANÁLISE I - Delimitação da Matéria Recursal

4.1. Antes de adentrar o mérito, entendo como necessário delimitar o objeto do recurso.

4.2. Após o incidente de segurança, o Ministério da Saúde encaminhou de forma parcial e preliminar, a Comunicação de Incidente de Segurança (CIS), acompanhado de Nota Técnica nº 17/2022- COSEGI/CGGOV/DATASUS/SE/MS (SEI nº 0045589), por meio da qual apresentou informações de que havia recebido denúncia via Ouvidoria sobre a

Página 7

existência de uma vulnerabilidade no Sistema de Cadastro e Permissão de Acesso – SCPA, a qual permitiria “qualquer pessoa ter acesso a informações sobre qualquer CPF existente no cadastro da Receita Federal.” Informou, ainda, sobre quais seriam as soluções técnicas e medidas corretivas necessárias para corrigir as vulnerabilidades identificadas. Apontou, também, oportunidades de melhoria detectadas a partir do incidente e que buscariam corrigir vulnerabilidades associadas ao incidente, como as relacionadas a██████████████████████ I (Nota Técnica nº 17/2022-COSEGI/CGGOV/DATASUS/SE/MS [SEI nº 0045589]). [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.3. Na instrução processual e com base nas informações apresentadas pelo Ministério, a CGF proferiu decisão, nos termos do Despacho Decisório nº 19/2024/FIS/CGF (SEI nº 0137529), aplicando duas sanções de advertência e determinando a adoção das medidas corretivas apresentadas pelo próprio Ministério da Saúde.

4.4. Ao interpor recurso (SEI nº 0141975), o Ministério da Saúde apresentou elementos comprobatórios do atendimento de algumas medidas corretivas, incluindo a comunicação do incidente de segurança, e buscando rever o prazo de 100 dias úteis determinado no tópico 3.1.2 do Despacho Decisório da CGF. Além disso, requereu a reforma da decisão para que não fosse determinado prazo em dias fixos para cumprimento das etapas do cronograma em relação às medidas corretivas pendentes.

4.5. Após reunião com o Ministério da Saúde, a CGF, por meio do ORcio nº 68/2025/FIS/CGF/ANPD (SEI nº 0173413), solicitou ao Ministério da Saúde a apresentação de um cronograma para a implantação das medidas corretivas remanescentes do item 3.1 do Despacho Decisório nº 19/2024/FIS/CGF/ANPD, quais sejam: ██████████(Nota Técnica nº 17/2022-COSEGI/CGGOV/DATASUS/SE/MS [SEI nº 0045589]). [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.6. Em seguida, o Ministério da Saúde apresentou Aditamento ao Recurso (SEI nº 0179510), alegando que a █████████████estava em fase de contratação e que a ████████████seria de caráter complementar. Em seus pedidos, requereu o reconhecimento pela ANPD de que as medidas necessárias para correção das funcionalidades no SCPA já teriam sido devidamente implementadas, restando apenas medidas complementares, em razão da necessidade de melhoria continua ou de modo alternativo, que houvesse o deferimento do cronograma apresentado, com previsão de conclusão das medidas remanescentes até dezembro de 2025. [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.7. O recurso originou Despacho Decisório nº 22/2025/FIS/CGF (SEI nº 0193900), em juízo de reconsideração. O recorrente alegou que, como seu pedido original (para que não houvesse determinação de prazo para o cumprimento da medida) não havia sido acolhido, a decisão deveria ser remetida ao Conselho Diretor, nos termos do art. 62 do Regulamento de Fiscalização.

Página 8

4.8. Apontou, ainda, que o Despacho nº 22/2025/FIS/CGF não distinguiu adequadamente: (i) a decisão relativa à matéria recursal, que deveria examinar estritamente o pedido constante do Documento SEI nº 0141975; e (ii) a decisão relativa à etapa de monitoramento, voltada a aferir o cumprimento das medidas corretivas.

4.9. Para adequar o trâmite, a CGF emitiu o Despacho Decisório nº 23/2025/FIS/CGF (SEI nº 0196398), substituindo o anterior.

4.10. Conforme o art. 62, § 3º, do Regulamento de Fiscalização, a CGF encaminhou os autos à Secretaria-Geral para posterior distribuição a este Gabinete.

4.11. Assim, o que se examina neste momento é o mérito do recurso (SEI nº 0179510) interposto pelo Ministério da Saúde, em específico: o pedido para que não seja determinado prazo em dias fixos para o cumprimento das medidas corretivas; e as alegações formuladas no aditamento, que sustentam a não essencialidade das medidas corretivas relativas a (i) implementação de análise de comportamento de usuário na aplicação para identificar ações maliciosas dentro do serviço; (ii) implementação de solução de gestão e proteção de API. II - Requisitos de admissibilidade

4.12. A tramitação dos recursos interpostos em processos de fiscalização ou sancionadores deve observar o disposto nos arts. 58 a 65 da Resolução CD/ANPD nº 1, de 28 de outubro de 2021, que aprova o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador no âmbito da ANPD.

4.13. Sendo assim, passa-se ao exame dos pressupostos de admissibilidade, considerando o art. 65 e observados os parâmetros estabelecidos nos arts. 58 a 61 do Regulamento supramencionado.

4.14. No que tange à admissibilidade do Recurso Administrativo, apresentado no presente processo, por meio da Nota Técnica nº 14/2024- SEIDIGI/CGOEX/SEIDIGI/MS (SEI nº 0141975) em 28 de agosto de 2024, acolho a fundamentação apresentada pela CGF no Despacho Decisório 21/2024/FIS/CGF/ANPD (SEI nº 0144223).

4.15. Por sua vez, observa-se que, no curso do processo, houve a inclusão de Nota Técnica nº7/2025/CGOEX/SEIDIGI/MS (SEI nº 0179510) a titulo de aditamento do Recurso (SEI nº 0141975) e nela a inclusão de novos pedidos.

4.16. Preliminarmente, impende destacar que não há previsão no rito processual estabelecido na Resolução CD/ANPD nº 1, de 28 de outubro de 2021, para tanto. Além disso, verifica-se que o documento em questão foi juntado ao presente processo em 07 de abril de 2025, ou seja, decorridos mais de 160 (cento e sessenta) dias da data de interposição do Recurso . Assim, o documento intitulado Aditamento ao Recurso deve ser considerado intempestivo, haja vista que o prazo recursal cessou em 28 de agosto de 2024, ou seja, no décimo dia a contar da data de publicação da retificação do Despacho Decisório (SEI nº 0139316).

4.17. Nesse sentido, uma vez não preenchido o requisito de admissibilidade previsto no art. 61, I, do Regulamento de Fiscalização, sugere- se que o aditamento do recurso (SEI nº 0141975) não seja conhecido, notadamente naquilo que traz novidade ao processo. Ainda assim, considerando a complexidade do presente processo, e, sob a ótica da atuação responsiva desta Agência, entende-se pertinente manifestação em relação aos

Página 9

pedidos nele contidos. Tal manifestação sobre o mérito tem o intuito de esclarecer eventuais pontos controvertidos pelo recorrente em suas manifestações anteriores e contribuir com o avanço e conclusão do presente processo de fiscalização. III - Análise de Mérito III. I. Do prazo para cumprimento das medidas

4.18. Em suas razões recursais (SEI nº 0141975), o Ministério da Saúde requereu a “reforma da decisão para que não seja determinado prazo em dias fixo para cumprimento das etapas do cronograma, tendo em vista a complexidade do tema, a necessidade de disponibilidade orçamentária e a priorização perante instâncias colegiadas às quais não se tem controle ou ingerência.”

4.19. Ocorre que a fixação de prazos para a execução de medidas corretivas não constitui faculdade da ANPD, mas sim imposição expressa do marco legal aplicável. Nos termos do art. 55, §2º, I, do Regulamento de Fiscalização (Resolução CD/ANPD nº 1, de 28 de outubro de 2021), a decisão que impõe obrigações de fazer ou não fazer deve, quando aplicável, fixar “o prazo para execução e as condições de aferição pela ANPD, ou de demonstração pelo infrator, do cumprimento das medidas impostas”.

4.20. A definição de prazos é elemento essencial da atuação fiscalizatória da Agência, não se tratando de escolha discricionária, mas de dever indispensável à eficácia do processo sancionador e do acompanhamento do cumprimento das medidas corretivas. Portanto, como apontado pela Coordenação-Geral de Fiscalização (CGF), não é possível o estabelecimento de medida corretiva dissociada de prazo. Admitir a ausência de prazo para uma medida corretiva equivaleria transformar uma determinação de caráter vinculante e considerada necessária no curso de processo de fiscalização em mera recomendação, esvaziando sua eficácia e inviabilizando a regularização.

4.21. A exigência de prazo não elimina a possibilidade de eventuais ajustes no cronograma fixado pela CGF, desde que a necessidade para tanto seja fundamentada. O que se veda não é a possibilidade de repactuação de prazo (quando justificada), mas a indefinição temporal, que inviabiliza o monitoramento e acompanhamento do cumprimento das determinações. Assim, estabelecer um prazo não impede ajustes entre a fiscalização e o regulado, mas, ao contrário, estabelece um referencial mínimo. Admitir a execução de medida corretiva sem prazo definido geraria risco relevante e estabeleceria precedente incompatível com o modelo fiscalizatório da ANPD, comprometendo a efetividade da fiscalização e a isonomia entre agentes públicos e privados.

4.22. Caberia avaliar se, no caso concreto, o prazo definido foi desproporcional ou desarrazoado frente à medida corretiva imposta. Pelo que se depreende dos autos, a CGF adotou postura dialógica na definição do prazo para o cumprimento das medidas corretivas, acatando a sugestão do próprio Ministério da Saúde para que o cronograma 2vesse como prazo final dezembro de 2025. Não se identifica, portanto, irrazoabilidade no prazo determinado.

4.23. Nesse contexto, é importante reconhecer as particularidades de órgãos da Administração Pública para a implementação de medidas corretivas que envolvam implementação de soluções de tecnologia da informação, especialmente no que se refere a contratações, limitações orçamentárias e à complexidade inerente aos processos administrativos necessários à sua

Página 10

viabilização. Com frequência, a operacionalização dessas soluções é afetada por fatores alheios à vontade ou ao controle do gestor público responsável. Essas particularidades, portanto, podem justificar pedidos de dilação ou repactuação de prazos durante a fase de monitoramento, desde que devidamente fundamentados e submetidos à apreciação da CGF. III. II.

Da necessidade das medidas corretivas

4.24. Em que pese, no exame de admissibilidade, não se ter conhecido do aditamento do recurso, o que, em princípio, afastaria a necessidade de análise de seu mérito, ainda assim, exerço a faculdade de me manifestar sobre este ponto para garantir maior clareza ao prosseguimento do processo.

4.25. Além de questionar a determinação de prazo para o cumprimento das medidas, por meio do aditamento do recurso, o Ministério da Saúde alterou a posição que havia externado ao longo da fase instrutória e que constava também no recurso protocolado, ao afirmar que as medidas corretivas pendentes seriam meramente “complementares” (SEI nº 0179510). Por essa razão, segundo o Ministério da Saúde, não seriam mais necessárias ao integral cumprimento da decisão da CGF para a adequação do órgão face ao incidente de segurança.

4.26. Quando, em 16/05/2022, por meio do documento (SEI nº 0141975), o Ministério da Saúde apresentou as medidas corretivas que entendia necessárias para lidar com o incidente de segurança, registrou que “A █████████ é
da como de suma importância e o DATASUS prevê a possibilidade de ███████████████████████████████████████████████████████ [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.27. Em relação à medida corretiva de █████████████ no mesmo documento do Ministério da Saúde consta que “pretende-se implementar a█████████ No entanto, devido à priorização de outros aspectos de segurança efe(vados recentemente, como █████████ foi adiada para uma etapa posterior e constará do cronograma a ser apresentado à ANPD para cumprimento da medida corre(va.” [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.28. Ou seja, ao longo da instrução, as duas medidas foram compreendidas pelo Ministério da Saúde como sendo pertinentes à solução das vulnerabilidades identificadas no incidente de segurança. Uma delas, aliás, reputada como sendo de “suma importância” pelo órgão.

4.29. Tal posição do Ministério da Saúde manteve-se, inclusive, quando da interposição do recurso (SEI nº 0141975), em 28 de agosto de 2024. No recurso, o Ministério da Saúde não questionou a necessidade das medidas que havia proposto e que foram endossadas como obrigações pela CGF, requerendo apenas que não houvesse determinação de prazo para o seu cumprimento. Pressupõe-se, portanto, que, na interposição do recurso, a inconformidade do órgão não era com o mérito das medidas a serem implementadas, mas tão somente com o cronograma para a sua implementação.

Página 11

4.30. No entanto, apenas em 07 de março de 2025, no aditamento ao recurso, o órgão sustentou que as medidas pendentes teriam caráter meramente complementar e não seriam essenciais ao saneamento das vulnerabilidades identificadas no curso do processo de fiscalização. Alegou que, quanto à primeira delas, a Coordenação de Arquitetura de Soluções de Tecnologia da Informação e Comunicação do DATASUS informou, por meio do Despacho COATIC/CGAPSTIC/DATASUS/SEIDIGI/MS (SEI nº 0179510), que todas as ações necessárias para a mitigação das vulnerabilidades identificadas no Sistema de Cadastro de Pessoas Autorizadas (SCPA) já teriam sido concluídas.

4.31. Ressaltou, ainda, que as medidas atualmente em avaliação possuem caráter complementar, voltadas ao fortalecimento contínuo da segurança, sobretudo porque as APIs do sistema não seriam expostas ao público externo. Assim, segundo o DATASUS, a implementação de █████████

teria como finalidade reforçar a estrutura de segurança já existente, buscando elevar o nível de proteção, ainda que, na ótica do Ministério, não se trate de requisito condicionante para a superação da causa do incidente, o que afastaria a necessidade de implementação e de fixação de prazo para a medida corretiva. [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.32. No que se refere à █████████████ com o objetivo de ███████████████, a Coordenação-Geral de Infraestrutura e Segurança da Informação do DATASUS informou, por meio do Despacho COSEGI/CGIE/DATASUS/SEIDIGI/MS (SEI nº 0179513), que está em fase de contratação uma solução tecnológica de ██████████ e que tal iniciativa, cuja execução está prevista para o segundo semestre de 2025, permitirá, de maneira integrada, o aprimoramento da ██████████████. [ACESSO RESTRITO - trechos sombreados são de acesso restrito ao autuado – detalhamento do incidente de segurança, de medidas de segurança implementadas em sistema ou de características de funcionamento de sistema – art. 13, II, do Decreto nº 7.724/2012].

4.33. Ao analisar as alegações sobre o caráter complementar das medidas corretivas pendentes, a CGF, em 26 de junho de 2025, por meio da Nota Técnica nº 20 (SEI nº 0171983), apresentou entendimento diverso ao concluir que “a solução tecnológica que está em fase de contratação é imprescindível para alcançar o objetivo da decisão proferida no presente PAS”. A área também ressaltou que as informações apresentadas pelo Ministério da Saúde são insuficientes para atestar o cumprimento da medida corretiva, reiterando que a contratação e implementação da mencionada solução tecnológica é necessária para o atendimento integral da decisão sancionadora. A CGF examinou os elementos (SEI nº 0171983) apresentados no aditamento e concluiu que: não foram apresentados elementos técnicos capazes de afastar o caráter necessário das medidas e que a solução tecnológica que está em fase de contratação é imprescindível para alcançar o objetivo da decisão proferida no presente PAS; o próprio Ministério havia inicialmente indicado tais medidas como de suma importância para completa cessação da vulnerabilidade identificada.

4.34. No contexto de regulação responsiva em que atua a ANPD, foi o próprio Ministério da Saúde que inicialmente diagnosticou as vulnerabilidades

Página 12

relacionadas ao incidente de segurança comunicado à ANPD e apresentou um conjunto de medidas como sendo necessárias para sua correção e mitigação. Assim como prazos definidos para o cumprimento de medidas corretivas podem ser repactuados no curso do processo de fiscalização, eventuais ajustes nas medidas técnicas a serem adotadas também são possíveis. Por exemplo, é plausível a substituição de uma determinada medida por outra de natureza similar, desde que mantenha o mesmo nível de segurança e alcance os mesmos objetivos anteriormente estabelecidos na decisão de primeira instância. Tal revisão de conteúdo das medidas, no entanto, deve ser acompanhada de justificativa técnica consistente. Ao analisar o aditamento do recurso interposto, a CGF não identificou elementos suficientes para alterar o entendimento inicial formalizado pelo próprio Ministério da Saúde, no sentido de que tais medidas seriam necessárias à segurança do ambiente em que houve o incidente de segurança.

4.35. Assim, na ausência de elementos que indiquem que as medidas se tornaram desnecessárias ou superadas, a manutenção de sua obrigatoriedade mostra-se necessária para reduzir riscos e evitar a persistência de vulnerabilidades. Reforça a percepção de pertinência das medidas o fato de que, como informa o Ministério da Saúde no aditamento ao recurso, as duas medidas estão sendo implementadas pelo órgão desde que foram apresentadas à ANPD.

1. VOTO

5.1. Diante do exposto, voto por CONHECER o recurso, com exceção das razões apresentadas no aditamento do recurso, para, no mérito: a) negar provimento ao pedido que pretende afastar a fixação de prazo em dias fixos para cumprimento do cronograma de implementação das medidas corretivas, mantendo-se e convalidando-se o prazo final de 31/12/2025, conforme determinado pela CGF, a partir de proposta de cronograma do Ministério da Saúde; e b) não acolher a alegação do aditamento quanto à perda de pertinência das medidas e, assim, manter a obrigatoriedade de implementação das medidas corretivas remanescentes, ou seja, as medidas (iii) e (iv) do item 5.11 do Relatório de Instrução nº 4/2024/FIS/CGF/ANPD (SEI nº 0136258);

5.2. Esclareço, ainda, que ficam mantidas as sanções de advertência e as medidas corretivas estabelecidas pela CGF, nos termos dos Despachos Decisórios: nº 19 /2024/FIS/CGF (SEI nº 0137529); nº 19/2024/FIS/CGF - Retificação e (SEI nº 0138254) nº 23/2025/FIS/CGF (SEI nº 0196398).

5.3. Proponho a votação por meio de Circuito Deliberativo, nos termos do art. 40, do Regimento Interno.

5.4. Após a deliberação do Conselho Diretor, adotem-se as providências de praxe com vistas a: (i) publicação do extrato da decisão do Conselho Diretor no Diário Oficial da União, cuja minuta segue anexa a este voto; (ii) intimação do Ministério da Saúde; e (iii) retorno dos autos à CGF para continuidade do monitoramento das medidas corretivas, inclusive para avaliação de eventuais pedidos de redefinição de prazos para seu cumprimento.

5.5. É como voto.

Página 13

IAGÊ ZENDRON MIOLA Diretor #_contem_20_marcas_sigilo Documento assinado eletronicamente por Iagê Zendron Miola, Diretor(a), em 18/12/2025, às 16:54, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0234100 e o código CRC E270C093.

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001882/2022-73 SEI nº 0234100

Página 14

Agência Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 37/2025/DIR-MW/CD

PROCESSO Nº 00261.001882/2022-73 INTERESSADO: Agência Nacional de Proteção de Dados ASSUNTO: Coordenação-Geral de Fiscalização, Ministério da Saúde

VOTO EM CIRCUITO DELIBERATIVO DIRETORA MIRIAM WIMMER

VOTO X Acompanho o Relator (Voto nº 47/2025/DIR-IM/CD, SEI nº 0234100)

Não acompanho o Relator

MIRIAM WIMMER Diretora

Página 15

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 22/12/2025, às 10:04, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0234258 e o código CRC 875BBD0D. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001882/2022-73 SEI nº 0234258

Página 16

Agência Nacional de Proteção de Dados Conselho Diretor Diretora Lorena Coutinho

VOTO Nº 19/2025/DIR-LC/CD

PROCESSO Nº 00261.001882/2022-73 INTERESSADO: Coordenação-Geral de Fiscalização, Ministério da Saúde ASSUNTO: Recurso Administrativo interposto pelo Ministério da Saúde contra decisão em Processo Administrativo Sancionador.

VOTO EM CIRCUITO DELIBERATIVO (0234123) DIRETORA LORENA COUTINHO

VOTO X Acompanho o Relator (Voto nº 47/2025/DIR-IM/CD, SEI nº 0234085)

Não acompanho o Relator

LORENA GIUBERTI COUTINHO Diretora

Página 17

Documento assinado eletronicamente por Lorena Giuberti Coutinho, Diretor(a), em 22/12/2025, às 11:02, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0234669 e o código CRC 4F5223EC. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001882/2022-73 SEI nº 0234669

Página 18

Agência Nacional de Proteção de Dados Gabinete do Diretor-Presidente

VOTO Nº 29/2025/GABPR

PROCESSO Nº 00261.001882/2022-73 INTERESSADO: ANPD ASSUNTO: Recurso Administrativo interposto pelo Ministério da Saúde contra decisão em Processo Administrativo Sancionador.

CIRCUITO DELIBERATIVO Nº 37/2025 (0234123) DIRETOR-PRESIDENTE WALDEMAR GONÇALVES ORTUNHO JUNIOR

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo X Não aplicável à hipótese

Voto no Circuito Deliberativo: X Acompanho o Relator (Voto nº 47/2025/DIR-IM/CD, SEI nº 0234085)

Não acompanho a Relatoria, nos seguintes termos:

Página 19

WALDEMAR GONÇALVES ORTUNHO JUNIOR Diretor-Presidente

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 22/12/2025, às 15:49, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0234723 e o código CRC F9830F52. SCN Quadra 06, Ed. Venâncio 3000, Bloco A, 9º andar - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2017-3338 / 3339 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.001882/2022-73 SEI nº 0234723