A Autoridade Nacional de Proteção de Dados – ANPD publicou, na última semana, decisões em dois processos sancionadores: um deles em face do INSS – Instituto Nacional de Seguro Social. A Autoridade entendeu que o órgão público violou disposições legais sobre o tratamento de dados pessoais e sancionou.
Em decisão publicada no dia 1 de Fevereiro de 2024, o INSS foi condenado por não comunicar a ocorrência de incidente de segurança aos titulares de dados, com o agravante de não ter atendido às determinações da ANPD.
O incidente aconteceu em 2022 e afetou o Sistema Corporativo de Benefícios do INSS – SISBEN, expondo os seguintes dados pessoais: CPF, dados bancários e data de nascimento, dados passíveis de serem usados em fraudes e roubo de identidade.
Incidentes de segurança como este podem acarretar danos relevantes aos direitos dos titulares dos dados pessoais, por envolverem base de dados que contém informações sobre benefícios previdenciários. Desse modo, caberia ao INSS comunicar a ocorrência do incidente de segurança aos titulares afetados. O Instituto alegou inviabilidade técnica para individualizar as pessoas afetadas e, simplesmente, não realizou a comunicação.
A Autoridade, não acatou a justificativa por entender que a entidade pública poderia ter realizado a comunicação de forma indireta – ou seja, por meio de ampla divulgação do incidente, conforme previsto na LGPD. Diante disso, condenou o INSS a publicizar a infração em seu site e no aplicativo Meu INSS durante 60 dias.
Fabrício Lopes, Coordenador-Geral de Fiscalização da ANPD., explicou que “a comunicação aos titulares é medida fundamental para que eles possam se proteger após um incidente de segurança. A partir da ciência, as pessoas afetadas podem tomar medidas como alterar senhas e prestar mais atenção a contatos potencialmente suspeitos, como ligações e mensagens”.
A Secretaria de Estado de Educação do Distrito Federal também foi sancionada por violar uma série de dispositivos da LGPD e do Regulamento de Fiscalização da Autoridade. A ANPD concluiu que a Secretaria deixou de manter registro de operações de dados pessoais; de elaborar Relatório de Impacto à Proteção de Dados Pessoais após solicitação da ANPD; de comunicar aos titulares a ocorrência de incidente de segurança que representasse risco ou dano relevante; e de usar sistemas que atendam aos requisitos de segurança, às boas práticas e aos princípios da LGPD. Diante das infrações, a Autoridade aplicou quatro sanções de advertência em despacho decisório publicado também na semana passada.
Quer saber mais sobre como proteger os seus dados ou como adequar o seu negócio? Então não deixe de ler nossos próximos artigos sobre LGPD e Proteção de Dados!
Fonte:https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-sanciona-inss-e-secretaria-de-educacao-do-df-por-violacoes-a-lgpd
