Incidentes de segurança com dados pessoais

Postado em: 28 de janeiro de 2022

Um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de  tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais.

A LGPD determina que os agentes de tratamento de dados pessoais devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Diversas ferramentas e técnicas podem ser utilizadas para mitigar os riscos e efeitos de incidentes de segurança, como por exemplo, senhas fortes, anonimização ou pseudonimização dos dados, criptografia, minimização dos dados coletados, atualização constante dos aplicativos, ferramentas técnicas de segurança, dentre outros.

O vazamento de dados pessoais, um dos mais conhecidos incidentes de segurança, ocorre quando dados são indevidamente acessados, coletados e divulgados ou repassados a terceiros. O dano ao titular pode ser das mais diversas naturezas, como fraudes, tentativas de golpes, uso indevido dos dados, venda dos dados, etc.

O que uma organização deve fazer em caso de um incidente de segurança com dados pessoais?

• Primeiro, deve avaliar internamente o incidente – natureza, categoria e quantidade de titulares de dados pessoais afetados, categoria e quantidade dos dados afetados, consequências concretas e prováveis. Comunicar ao encarregado;
• Comunicar ao controlador, se você for o operador, nos termos da LGPD;
• Comunicar à ANPD e aos titulares de dados, em caso de risco ou dano relevante aos titulares; e
• Elaborar documentação com a avaliação interna do incidente, medidas tomadas e análise de risco, para fins de cumprimento do princípio de responsabilização e prestação de contas.

A Autoridade Nacional de Proteção de Dados (ANPD) recomenda que os controladores adotem posição de cautela, de modo que a comunicação de incidentes de segurança seja efetuada mesmo nos casos em que houver dúvida sobre a relevância dos riscos e danos envolvidos. Ressalta-se, ainda, que eventual e comprovada subavaliação dos riscos e danos por parte dos controladores pode ser considerada descumprimento à legislação de proteção de dados pessoais.

Além da obrigação de comunicar, a legislação também prevê uma série de direitos aos titulares dos dados pessoais. Por isso é fundamental que as pessoas e organizações se conscientizem sobre o respeito a esses direitos, que inclusive serão objeto de fiscalização da ANPD neste ano de 2022.

Quer saber mais sobre o assunto? Acesse o site da ANPD.

Adaptado de: ANPD, Incidentes de segurança com dados pessoais
 

Assessoria de Imprensa | BB Tecnologia e Serviços
Brasília/DF – Asa Norte, SEPN 508, Bloco C – W3 Norte, 4° andar – 70740-543 – (61) 3348-5791