Incidentes de segurança com dados pessoais
A celebração da Semana de Proteção de Dados Pessoais, uma inciativa da ANPD, convida você, hoje, a entender mais sobre o que são os incidentes de segurança, como algumas técnicas podem ser utilizadas para dar mais segurança aos dados pessoais e quais atitudes devemos ter para que nossos dados fiquem protegidos. Entrevistaremos os Diretores da ANPD Arthur Sabbat e Joacil Rael para falarem um pouco sobre o assunto, traremos o Coordenador-Geral de Fiscalização, Fabrício Lopes, para esclarecer quais as competências da Fiscalização e Thiago Moraes, que explica a função do Encarregado de Dados Pessoais e as perspectivas de adequação da ANPD à LGPD.
Um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais.
A LGPD determina que os agentes de tratamento de dados pessoais devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Diversas ferramentas e técnicas podem ser utilizadas para mitigar os riscos e efeitos de incidentes de segurança, como por exemplo, senhas fortes, anonimização ou pseudonimização dos dados, criptografia, minimização dos dados coletados, atualização constante dos aplicativos, ferramentas técnicas de segurança, dentre outros.
O vazamento de dados pessoais, um dos mais conhecidos incidentes de segurança, ocorre quando dados são indevidamente acessados, coletados e divulgados ou repassados a terceiros. O dano ao titular pode ser das mais diversas naturezas, como fraudes, tentativas de golpes, uso indevido dos dados, venda dos dados, etc.
Em relação à atuação da ANPD na fiscalização de incidentes de segurança, em 2021, a Coordenação-Geral de Fiscalização recebeu diversas reclamações de titulares, relacionadas, em sua maioria, ao exercício de direitos, a denúncias sobre exposição de dados individuais na internet, além de diversos comunicados de incidentes de segurança.
É importante citar que é uma obrigação do controlador comunicar à ANPD sempre que acontecer um incidente de segurança que envolva dados pessoais e que possa acarretar risco ou dano relevante aos titulares.
O que uma organização deve fazer em caso de um incidente de segurança com dados pessoais?
Primeiro, deve avaliar internamente o incidente – natureza, categoria e quantidade de titulares de dados pessoais afetados, categoria e quantidade dos dados afetados, consequências concretas e prováveis. Comunicar ao encarregado;
Comunicar ao controlador, se você for o operador, nos termos da LGPD;
Comunicar à ANPD e aos titulares de dados, em caso de risco ou dano relevante aos titulares; e
Elaborar documentação com a avaliação interna do incidente, medidas tomadas e análise de risco, para fins de cumprimento do princípio de responsabilização e prestação de contas.
A ANPD recomenda que os controladores adotem posição de cautela, de modo que a comunicação de incidentes de segurança seja efetuada mesmo nos casos em que houver dúvida sobre a relevância dos riscos e danos envolvidos. Ressalta-se, ainda, que eventual e comprovada subavaliação dos riscos e danos por parte dos controladores pode ser considerada descumprimento à legislação de proteção de dados pessoais.
A comunicação precisa ser bastante detalhada, acompanhada de documentos, como o relatório do incidente de segurança, que auxilia a ANPD a avaliar o incidente, os riscos e as medidas tomadas. A ANPD disponibiliza neste link um formulário para comunicação de incidentes.
Além da obrigação de comunicar, a legislação também prevê uma série de direitos aos titulares dos dados pessoais. É fundamental que as organizações se conscientizem sobre o respeito a esses direitos, que serão objeto de fiscalização da ANPD neste ano, e descumprimentos podem culminar em sanções.
Por fim, caso uma pessoa tente exercer seus direitos perante determinada empresa ou organização e não seja atendido, é possível entrar em contato com a ANPD. Nesta página é possível acessar o fluxo da denúncia do titular de dados. (Fonte: artigos 9º, 18, 19 e 55-J, V e §6º, da LGPD)