Comentário de Gabarito – Proteção de Dados e Comunicação à ANPD

1. Interpretação do Enunciado

A questão trata da comunicação de incidentes de segurança no contexto do tratamento de dados pessoais mantidos pelo TRF1, especialmente no sistema PJe (Processo Judicial Eletrônico). O ponto central é determinar o prazo e a condição para comunicar a Autoridade Nacional de Proteção de Dados (ANPD).

2. Legislação Aplicável

Lei nº 13.709/2018 (LGPD), Art. 48: “O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.”
Resolução CD/ANPD nº 15/2024, Art. 5º: Define quando um incidente é considerado relevante, incluindo “dados em larga escala” e ofensas a direitos dos titulares.

3. Tema Central e Abordagem

O tema exige conhecimento dos requisitos e do prazo para notificação de incidentes envolvendo dados pessoais aos órgãos competentes. Para acertar, o candidato precisa distinguir quando a comunicação é obrigatória e em que prazo ela deve ser feita conforme a LGPD e regulamentos da ANPD.

Exemplo prático: Se um ataque hacker deixar o PJe fora do ar, comprometendo o acesso a informações processuais e dados sensíveis de milhares de partes, o TRF1 deve avaliar consequências e comunicar em até três dias úteis, se houver risco relevante aos titulares.

4. Justificativa da Alternativa Correta (D)

A alternativa D está correta porque exige:
– Confirmação da violação: não basta apenas a indisponibilidade do sistema.
– Relevância: só há obrigatoriedade de comunicação se houver risco ou dano relevante aos titulares.
– Prazo razoável: a ANPD define geralmente até três dias úteis para essa comunicação, conforme prática do órgão e Resolução n. 15/2024 da CD/ANPD.

5. Análise das Alternativas Incorretas

• A: Exige prazo sem base legal específica e não condiciona à confirmação da violação e relevância.
• B: Impõe comunicação imediata, sem relação obrigatória com a confirmação de violação relevante.
• C: Exige “imediatismo” sem considerar o prazo razoável nem a condição de dano relevante.
• E: Condiciona a comunicação ao requerimento do titular – não há tal previsão na lei.

6. Pegadinha Frequete

A banca pode sugerir urgência na comunicação mesmo sem confirmação de dano relevante. Sempre verifique se há risco real e relevância para os titulares antes de concluir pela necessidade de informar à ANPD.

7. Doutrina

Danilo Doneda ressalta que a comunicação protege os titulares e a coletividade, mas apenas situações de risco relevante impõem essa obrigação (Proteção de Dados Pessoais).

Gostou do comentário? Deixe sua avaliação aqui embaixo!

GAB D

RESOLUÇÃO CD/ANPD Nº 15, DE 24 DE ABRIL DE 2024

Art. 4º O controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Art. 6º A comunicação de incidente de segurança à ANPD deverá ser realizada pelo controlador no prazo de TRÊS DIAS ÚTEIS, ressalvada a existência de prazo para comunicação previsto em legislação específica.

LGPD - L13.709/18. Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Art. 48. § 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo: [...]

O Regulamento de Comunicação de Incidente de Segurança (RCIS) da ANPD passou a estabelecer o prazo de 03 (três) dias úteis, ressalvada a existência de prazo diverso em legislação específica; e de 20 dias úteis para informações complementares, a partir da data da comunicação. Além disso, foi previsto o mesmo prazo de 3 dias úteis para a comunicação aos titulares. Nos casos de agentes de tratamento de pequeno porte, os prazos são contados em dobro.

Fonte: https://gcaa.com.br/regulamento-de-comunicacao-de-incidente-de-seguranca-rcis-da-anpd/

Cabem bons fundamentos para recurso, pois a própria Lei 13.709/2018 (LGPD) não estabelece “três dias úteis” como prazo legal, apenas determina que a comunicação à ANPD ocorra em “prazo razoável” (art. 48).

Jonatha Santos.

Nessa questão não cabe recurso, pois conforme o edital foi cobrado: Atribuições e composição da Autoridade Nacional de Proteção de Dados – ANPD