O que é um incidente de segurança?
Um incidente de segurança é qualquer evento ou ação que comprometa a confidencialidade, integridade ou disponibilidade de informações, inclusive dados pessoais e sistemas de uma organização.
O termo diz respeito a eventos que violam políticas de segurança, padrões ou controles estabelecidos, causando impactos potenciais ou reais sobre a segurança da informação.
Quais incidentes de segurança devem ser comunicados aos titulares e à ANPD?
Nem todo incidente de segurança deve ser comunicado à ANPD. Quando o incidente envolve dados pessoais, cabe ao controlador avaliar os riscos e impactos aos titulares decorrentes do incidente.
O prazo para comunicar um incidente de segurança à ANPD é de 3 dias úteis, ressalvada a existência de prazo para comunicação previsto em legislação específica.
A ANPD disponibiliza um formulário para comunicação de incidentes. É bem simples. A comunicação deve ser realizada pelo Encarregado ou por um representante legalmente constituído do controlador, via peticionamento eletrônico por meio do sistema SEI!.
O que acontece após a comunicação de incidente à ANPD?
As comunicações de incidente de segurança são recebidas e tratadas pela Coordenação-Geral de Fiscalização (CGF) da ANPD. A gravidade do incidente será considerada na priorização da análise dos comunicados recebidos.
O procedimento será arquivado se a CGF não identificar infração à LGPD e nem a necessidade de adoção de medidas adicionais, o processo será arquivado. Se necessário, poderá ser determinado ao controlador a adoção de medidas adicionais para mitigação dos efeitos do incidente, como sua ampla divulgação.
Leia também: ANPD publica resolução que regulamenta a comunicação de incidentes de proteção de dados pessoais
Penalidades
Além disso, a CGF avaliará a possível ocorrência de infrações à LGPD e aplicará, se cabível, as sanções administrativas previstas no art. 52 da LGPD.
- Poderão ser aplicadas medidas preventivas e sanções, dentre outras situações, nos casos em que o controlador:
- Não comunicar o incidente à ANPD e aos titulares em tempo razoável;
- Não comunicar o incidente aos titulares de dados pessoais afetados;
- Não adotar medidas de segurança técnicas e administrativas compatíveis aos riscos de suas atividades de tratamento de dados.
Política de segurança importa!
Por ser um conjunto de diretrizes e normas que guiam as condutas e práticas dos profissionais em relação à informação, as políticas de Segurança da Informação, Proteção de Dados e Resposta à incidentes são aliadas da sua empresa na gestão de incidentes e mitigação de impacto. Além disso, a realização de simulações de incidente é uma forma de verificar se os procedimentos implementados estão adequados para a realidade da sua empresa, além de testar o conhecimento da equipe quanto ao que fazer em caso de incidentes e permitir que eventuais lacunas sejam endereçadas.
