Segurança da informação e resposta a incidentes de dados
Domínio 6: Segurança da informação e resposta a incidentes de dados
Aqui a prova cobra os arts. 46 a 49 e a comunicação de incidentes. O ponto central é separar incidente com risco relevante, que exige comunicação, de incidente que apenas exige registro interno.
Deveres de segurança
Controlador e operador devem adotar medidas técnicas e administrativas para proteger dados de acessos não autorizados, destruição, perda, alteração e comunicação indevida. O operador deve seguir instruções do controlador e comunicar incidentes sem demora. O controlador deve comunicar à ANPD e aos titulares afetados a ocorrência de incidente que possa acarretar risco ou dano relevante. A ANPD disciplinou a comunicação: o prazo é de 3 dias úteis contados do conhecimento do incidente, com informações sobre dados afetados, titulares, medidas tomadas e riscos. Mesmo sem risco relevante, o controlador deve manter registro do incidente por prazo mínimo de 5 anos.
Exemplo trabalhado: um ransomware criptografa o servidor e exfiltra CPFs e dados de saúde. A equipe descobre na segunda-feira. Há risco relevante por dados sensíveis; a comunicação à ANPD deve ocorrer até quinta-feira, em regra, e os titulares devem ser informados em linguagem clara. Se a empresa concluir que não houve acesso efetivo nem risco relevante, ainda assim documenta o incidente e a análise.
Armadilhas: achar que todo incidente é comunicável; perder o prazo por aguardar a conclusão da perícia; e não registrar incidentes sem risco. A comunicação não exime de corrigir a falha. Também é erro comum atribuir ao operador a decisão final de comunicar: ele informa o controlador.
Palavras-chave: art. 46, art. 48, 3 dias úteis, risco relevante, registro.