No dia 22.02.2021, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o procedimento a ser adotado pelas empresas e órgãos públicos para comunicação de incidentes de segurança com dados pessoais, deixando disponível um formulário específico.

Além de nortear o procedimento de comunicação, é definido quem deverá fazer a comunicação (Recomendado que o controlador efetue o ato), o que comunicar (identificação e informação dos dados), a situação que gerou o incidente (Sempre que o incidente de segurança possa acarretar um risco ou dano relevante aos titulares afetados) e o prazo de comunicação (É recomendado o prazo de 02 dias úteis).

Não foram listados critérios objetivos sobre situações aptas para gerarem um incidente de segurança. Contudo, foram informadas probabilidades de risco ou danos relevantes para os titulares, sendo de maior impacto sempre que o incidente envolver dados sensíveis ou de indivíduos em situação de vulnerabilidade, incluindo crianças e adolescentes, ou tiver o potencial de ocasionar danos materiais ou morais, tais como discriminação, violação do direito à imagem e à reputação, fraudes financeiras e roubo de identidade.  

Apesar da recomendação da comunicação em 2 dias contados da data do conhecimento do incidente, a fixação de um prazo certo será um dos temas de futura regulamentação pela ANPD.

Você pode conferir o documento completo no site da ANPD, clicando neste link: https://www.gov.br/anpd/pt-br/assuntos/incidente-de-seguranca, bem como verificar o modelo de formulário de comunicação.

A equipe de Direito Digital de Proteção de Dados do Machado Nunes está à disposição para auxiliar a esclarecer dúvidas sobre esse e demais temas.