Uma planilha vai para o destinatário errado.
Um equipamento com informações pessoais é furtado.
Uma conta comprometida permite acesso indevido a uma base.
Um ataque afeta um sistema utilizado pela administração.
As situações são diferentes, mas todas podem iniciar uma investigação relacionada à LGPD.
Nesse momento, a primeira tarefa é descobrir exatamente o que aconteceu.
E existe um motivo para agir rápido.
Em determinadas circunstâncias, a comunicação à ANPD e aos titulares precisa ocorrer em até três dias úteis.
Antes de falar em vazamento, confirme a ocorrência
Nem toda falha representa automaticamente um incidente envolvendo dados pessoais.
Segundo a ANPD, é necessário avaliar se houve um evento adverso confirmado capaz de comprometer a confidencialidade, integridade, disponibilidade ou autenticidade das informações.
Isso inclui situações acidentais e ações intencionais.
Envio para destinatário errado, perda de dispositivos, invasões e ransomware estão entre os exemplos abordados pela Autoridade.
Já a descoberta de uma vulnerabilidade, sem evidência de comprometimento, exige outra avaliação.
A administração precisa separar suspeita de ocorrência confirmada.
Consultar as orientações da ANPD sobre incidentes de segurança
O tipo de dado muda a dimensão do problema
Depois da confirmação, começa a análise do alcance.
Nome e telefone possuem um perfil.
Informações de saúde, credenciais, dados financeiros ou registros de crianças podem gerar consequências muito diferentes.
O que foi atingido?
É necessário identificar as categorias de informações e a quantidade aproximada.
Quem pode ter sido afetado?
O incidente pode envolver cidadãos, pacientes, servidores, alunos ou outros grupos.
Existe alguma medida de proteção?
Criptografia e mecanismos semelhantes podem interferir no risco.
Que consequência pode surgir?
Fraude, exposição indevida, roubo de identidade, prejuízo financeiro e discriminação estão entre as possibilidades que precisam ser consideradas conforme o caso.
A análise deve olhar para o dano que aquela informação poderia produzir se fosse utilizada indevidamente.
Todo incidente precisa ser comunicado?
Não.
Segundo a ANPD, a comunicação é necessária quando a ocorrência está confirmada, envolve dados pessoais sujeitos à LGPD e pode acarretar risco ou dano relevante aos titulares.
Esses elementos precisam ser avaliados em conjunto.
O controlador é responsável por essa análise.
Se a decisão for pela ausência de risco relevante, as razões utilizadas também devem ficar documentadas.
O prazo de três dias úteis exige preparação anterior
A Resolução CD/ANPD nº 15/2024 estabeleceu que, quando a comunicação é necessária, ela deve ser realizada à ANPD e aos titulares afetados em até três dias úteis, ressalvados os casos em que legislação específica determine outro período.
Esse prazo é curto para uma estrutura que ainda precisa descobrir onde o dado estava.
Imagine gastar o primeiro dia tentando identificar o responsável pelo sistema.
O segundo reunindo informações sobre a base.
O terceiro discutindo quem deve conduzir a comunicação.
A desorganização consome justamente o tempo necessário para analisar a ocorrência.
E se ainda não houver todas as respostas?
A regulamentação admite, em situações específicas e mediante justificativa, uma comunicação inicial seguida de complementação.
Isso reconhece que determinadas investigações continuam acontecendo enquanto o prazo avança.
Ainda assim, a apuração precisa começar rapidamente.
O cidadão também pode precisar ser informado
Quando existe risco ou dano relevante, comunicar a ANPD não encerra a obrigação.
Os titulares afetados também precisam receber informações.
Sempre que possível, o contato deve ser direto e individualizado.
A comunicação precisa permitir que a pessoa entenda o ocorrido e consiga adotar providências para reduzir possíveis consequências.
O conteúdo pode envolver a natureza dos dados atingidos, os riscos identificados, medidas tomadas e um canal para esclarecimentos.
Um incidente revela o quanto a administração conhece as próprias informações
Considere duas cidades diante de situações semelhantes.
A primeira possui tratamentos mapeados, responsáveis definidos, sistemas registrados e histórico dos riscos.
A segunda começa a reconstruir tudo depois do alerta.
O problema técnico pode ser parecido.
A capacidade de responder será bem diferente.
É nesse momento que inventário e governança deixam de parecer apenas documentos de conformidade.
Eles ajudam a encontrar respostas.
O que deveria estar definido antes de qualquer incidente?
Um fluxo de resposta pode estabelecer previamente:
- quem recebe o primeiro alerta;
- qual equipe realiza a investigação técnica;
- quando o encarregado deve ser acionado;
- quem representa a área envolvida;
- onde as evidências serão registradas;
- quem participa da decisão sobre comunicação;
- como os titulares serão contatados;
- onde ficará o histórico depois da ocorrência.
Essas escolhas evitam discussões sobre responsabilidade enquanto a investigação já está em andamento.
O mapeamento ajuda a começar a análise com informação
Quando o processo já foi documentado, parte das perguntas pode estar respondida.
Qual sistema participa?
Que categorias de dados existem?
Há compartilhamento?
Quem é o responsável?
A solução de LGPD do Grupo Assessor possui Mapeamento de Processos e Diagnósticos, Painel da Privacidade e relatórios para apoiar o acompanhamento dos tratamentos e riscos identificados.
Conheça os recursos do Grupo Assessor para a gestão da LGPD
Esses registros não impedem todas as ocorrências.
Eles ajudam a administração a investigar com um ponto de partida melhor definido.
Depois do incidente, o processo precisa voltar para a revisão
Conter o problema e realizar eventuais comunicações não deveria encerrar o assunto.
Também é necessário entender o que permitiu que a ocorrência acontecesse.
Uma permissão estava excessiva?
O procedimento não foi seguido?
Faltou orientação?
O mapeamento estava desatualizado?
Um controle técnico precisa ser alterado?
O aprendizado produzido pelo incidente deve retornar para o programa de privacidade.
E se o tratamento afetado nunca tiver sido mapeado?
Esse é um dos riscos de manter informações dispersas.
O mapeamento ajuda a conhecer finalidade, responsáveis, compartilhamentos e exposição.
Também cria a base para registros mais específicos, como ROPA e RIPD.
Leia também: O mapa que mostra por onde os dados da cidade passam
Fontes oficiais
Comunicação de Incidente de Segurança, ANPD
Regulamentações da ANPD, incluindo a Resolução CD/ANPD nº 15/2024
