Vazamento de dados: o que a cidade precisa fazer quando um incidente acontece

Um arquivo enviado por engano pode ser um incidente. Um ataque também. Veja quais cuidados a LGPD exige e como organizar a resposta.

Uma planilha vai para o destinatário errado.

Um equipamento com informações pessoais é furtado.

Uma conta comprometida permite acesso indevido a uma base.

Um ataque afeta um sistema utilizado pela administração.

As situações são diferentes, mas todas podem iniciar uma investigação relacionada à LGPD.

Nesse momento, a primeira tarefa é descobrir exatamente o que aconteceu.

E existe um motivo para agir rápido.

Em determinadas circunstâncias, a comunicação à ANPD e aos titulares precisa ocorrer em até três dias úteis.

Antes de falar em vazamento, confirme a ocorrência

Nem toda falha representa automaticamente um incidente envolvendo dados pessoais.

Segundo a ANPD, é necessário avaliar se houve um evento adverso confirmado capaz de comprometer a confidencialidade, integridade, disponibilidade ou autenticidade das informações.

Isso inclui situações acidentais e ações intencionais.

Envio para destinatário errado, perda de dispositivos, invasões e ransomware estão entre os exemplos abordados pela Autoridade.

Já a descoberta de uma vulnerabilidade, sem evidência de comprometimento, exige outra avaliação.

A administração precisa separar suspeita de ocorrência confirmada.

Consultar as orientações da ANPD sobre incidentes de segurança

O tipo de dado muda a dimensão do problema

Depois da confirmação, começa a análise do alcance.

Nome e telefone possuem um perfil.

Informações de saúde, credenciais, dados financeiros ou registros de crianças podem gerar consequências muito diferentes.

O que foi atingido?

É necessário identificar as categorias de informações e a quantidade aproximada.

Quem pode ter sido afetado?

O incidente pode envolver cidadãos, pacientes, servidores, alunos ou outros grupos.

Existe alguma medida de proteção?

Criptografia e mecanismos semelhantes podem interferir no risco.

Que consequência pode surgir?

Fraude, exposição indevida, roubo de identidade, prejuízo financeiro e discriminação estão entre as possibilidades que precisam ser consideradas conforme o caso.

A análise deve olhar para o dano que aquela informação poderia produzir se fosse utilizada indevidamente.

Todo incidente precisa ser comunicado?

Não.

Segundo a ANPD, a comunicação é necessária quando a ocorrência está confirmada, envolve dados pessoais sujeitos à LGPD e pode acarretar risco ou dano relevante aos titulares.

Esses elementos precisam ser avaliados em conjunto.

O controlador é responsável por essa análise.

Se a decisão for pela ausência de risco relevante, as razões utilizadas também devem ficar documentadas.

O prazo de três dias úteis exige preparação anterior

A Resolução CD/ANPD nº 15/2024 estabeleceu que, quando a comunicação é necessária, ela deve ser realizada à ANPD e aos titulares afetados em até três dias úteis, ressalvados os casos em que legislação específica determine outro período.

Esse prazo é curto para uma estrutura que ainda precisa descobrir onde o dado estava.

Imagine gastar o primeiro dia tentando identificar o responsável pelo sistema.

O segundo reunindo informações sobre a base.

O terceiro discutindo quem deve conduzir a comunicação.

A desorganização consome justamente o tempo necessário para analisar a ocorrência.

E se ainda não houver todas as respostas?

A regulamentação admite, em situações específicas e mediante justificativa, uma comunicação inicial seguida de complementação.

Isso reconhece que determinadas investigações continuam acontecendo enquanto o prazo avança.

Ainda assim, a apuração precisa começar rapidamente.

O cidadão também pode precisar ser informado

Quando existe risco ou dano relevante, comunicar a ANPD não encerra a obrigação.

Os titulares afetados também precisam receber informações.

Sempre que possível, o contato deve ser direto e individualizado.

A comunicação precisa permitir que a pessoa entenda o ocorrido e consiga adotar providências para reduzir possíveis consequências.

O conteúdo pode envolver a natureza dos dados atingidos, os riscos identificados, medidas tomadas e um canal para esclarecimentos.

Um incidente revela o quanto a administração conhece as próprias informações

Considere duas cidades diante de situações semelhantes.

A primeira possui tratamentos mapeados, responsáveis definidos, sistemas registrados e histórico dos riscos.

A segunda começa a reconstruir tudo depois do alerta.

O problema técnico pode ser parecido.

A capacidade de responder será bem diferente.

É nesse momento que inventário e governança deixam de parecer apenas documentos de conformidade.

Eles ajudam a encontrar respostas.

O que deveria estar definido antes de qualquer incidente?

Um fluxo de resposta pode estabelecer previamente:

  • quem recebe o primeiro alerta;
  • qual equipe realiza a investigação técnica;
  • quando o encarregado deve ser acionado;
  • quem representa a área envolvida;
  • onde as evidências serão registradas;
  • quem participa da decisão sobre comunicação;
  • como os titulares serão contatados;
  • onde ficará o histórico depois da ocorrência.

Essas escolhas evitam discussões sobre responsabilidade enquanto a investigação já está em andamento.

O mapeamento ajuda a começar a análise com informação

Quando o processo já foi documentado, parte das perguntas pode estar respondida.

Qual sistema participa?

Que categorias de dados existem?

Há compartilhamento?

Quem é o responsável?

A solução de LGPD do Grupo Assessor possui Mapeamento de Processos e Diagnósticos, Painel da Privacidade e relatórios para apoiar o acompanhamento dos tratamentos e riscos identificados.

Conheça os recursos do Grupo Assessor para a gestão da LGPD

Esses registros não impedem todas as ocorrências.

Eles ajudam a administração a investigar com um ponto de partida melhor definido.

Depois do incidente, o processo precisa voltar para a revisão

Conter o problema e realizar eventuais comunicações não deveria encerrar o assunto.

Também é necessário entender o que permitiu que a ocorrência acontecesse.

Uma permissão estava excessiva?

O procedimento não foi seguido?

Faltou orientação?

O mapeamento estava desatualizado?

Um controle técnico precisa ser alterado?

O aprendizado produzido pelo incidente deve retornar para o programa de privacidade.

E se o tratamento afetado nunca tiver sido mapeado?

Esse é um dos riscos de manter informações dispersas.

O mapeamento ajuda a conhecer finalidade, responsáveis, compartilhamentos e exposição.

Também cria a base para registros mais específicos, como ROPA e RIPD.

Leia também: O mapa que mostra por onde os dados da cidade passam

Fontes oficiais

Comunicação de Incidente de Segurança, ANPD

Regulamentações da ANPD, incluindo a Resolução CD/ANPD nº 15/2024

Grupo Assessor