Em 26 de abril de 2024, a ANPD aprovou o Regulamento de Comunicação de Incidente de Segurança. E como isso impacta a sua organização? Esclarecemos abaixo as principais dúvidas sobre o tema:
1. Qual o objetivo do Regulamento de Comunicação de Incidente de Segurança?
Essa nova resolução da ANPD estabelece os procedimentos para a comunicação de incidentes de segurança envolvendo dados pessoais e tem o objetivo de mitigar ou reverter prejuízos causados pelos incidentes, garantir uma atuação transparente pelos agentes de tratamento, estimular a cultura de proteção de dados, entre outros.
2. Todo incidente de segurança precisa ser comunicado à ANPD e aos titulares de dados?
Não, somente os incidentes de segurança que puderem acarretar risco ou dano relevante aos titulares devem ser comunicados no prazo de 3 (três) dias úteis.
3. O que fazer caso não seja possível levantar todas as informações e documentos referentes ao incidente de segurança em 3 (três) dias úteis?
O ideal é que o prazo seja respeitado, no entanto, o Regulamento prevê a possibilidade de complementação fundamentada das informações em até 20 (vinte) dias úteis contados desde a comunicação.
4. Quem será o responsável pela comunicação do incidente de segurança?
O Regulamento prevê que a comunicação deve ser realizada pelo controlador, através do encarregado de dados, devendo ser apresentado documento que comprove o vínculo entre as partes.
5. Quais medidas devo tomar em relação aos incidentes que não forem comunicados à ANPD e aos titulares de dados em razão da inexistência de potencial risco ou dano relevante aos titulares?
O Regulamento estipula que TODOS os incidentes de segurança identificados devem ser registrados pelo controlador e armazenados pelo prazo mínimo de cinco anos. Esse registro deverá conter, no mínimo, as seguintes informações: (a) data do conhecimento do incidente; (b) descrição geral das circunstâncias em que o incidente ocorreu; (c) natureza e categoria dos dados pessoais afetados; (d) número de titulares afetados; (e) avaliação do risco e os possíveis danos ao titulares; (f) as medidas de correção e mitigação aplicadas; (g) forma e o conteúdo da comunicação à ANPD e aos titulares ou os motivos da ausência de comunicação.
Obs.: o prazo de 5 anos não se aplica ao Poder Público, que deverá seguir as regras previstas pelo Conselho Nacional de Arquivos.
Esse Regulamento fornece os subsídios para as atividades regulatórias, fiscalizatórias e sancionatórias da ANPD em relação à incidentes de segurança envolvendo dados pessoais, o que indica que haverá uma atuação de forma ainda mais ostensiva sobre o assunto.
Por esse motivo, se mostra cada vez mais urgente a elevação da maturidade das organizações em relação à privacidade e proteção de dados pessoais, bem como a adoção de medidas de prevenção.
Então, já sabe. Estamos aqui para auxiliá-los antes que a ANPD “bata na sua porta”. Para retirar suas dúvidas sobre o tema, entre em contato com a Privacidade Garantida para qualquer esclarecimento.