O assunto (incidente de segurança) ainda não foi adequadamente regulamentado pela Autoridade Nacional de Proteção de Dados - ANPD.
Todavia, a autoridade, que no momento realiza uma tomada de subsídios sobre a notificação de incidentes de segurança, soltou recentemente um comunicado sobre o tema, no qual:
definiu os eventos que podem ser considerados incidentes de segurança (“qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais”);
disponibilizou formulário provisório para a comunicação de incidentes de segurança à ANPD, bem como listou algumas informações que devem ser disponibilizadas à ANPD em caso de incidentes de segurança;
sugeriu primeiros passos que devem ser adotados em caso de incidentes de segurança, como a avaliação interna do incidente, a comunicação do Encarregado e comunicação do controlador (quando o incidente ocorrer no operador);
indicou como sendo adequado o prazo de 2 dias para a eventual comunicação do incidente de segurança à ANPD. Portanto, deu uma interpretação provisória ao termo “prazo razoável” previsto no Art. 48, § 1º, da LGPD, interpretação que tende a valer também para a eventual comunicação do titular.
Embora não supram a esperada regulamentação sobre o tema, as informações provisórias da ANPD são especialmente importantes para a estruturação adequada de planos de resposta a incidentes (usualmente implementados nas organizações como parte do Programa de Privacidade) e para a efetiva gestão de incidentes de segurança.
Aos nossos clientes, informamos que os planos de resposta a incidentes de segurança envolvendo dados pessoais implementados com o auxílio do nosso escritório, mesmo antes da emissão deste comunicado da ANPD, já estão em perfeita consonância com as orientações provisórias da Autoridade.