Microaula em Método CELULA • Prévia Aberta

<p>Às 22h de uma sexta-feira, o time de infraestrutura detecta um ataque de ransomware com exfiltração de um banco de dados contendo nomes, CPFs, salários e prontuários médicos de colaboradores; a empresa entra em crise sem saber quem acionar, se deve pagar o resgate, como avaliar se houve dano relevante e qual o prazo para falar com a ANPD; a demora de 2 semanas na notificação resulta em instauração de processo administrativo sancionador pela autoridade nacional.</p>

O Artigo 48 da LGPD e a Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidentes de Segurança): a obrigação de comunicar à autoridade e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O fluxo operacional dos 3 dias úteis: a partir do momento em que a organização tem ciência inequívoca do incidente. Como avaliar 'Risco ou Dano Relevante': volume de titulares afetados, presença de dados pessoais sensíveis, dados financeiros ou senhas, e o impacto potencial de fraudes, roubo de identidade ou danos morais e materiais. Os campos mandatórios do Comunicado Oficial de Incidente da ANPD: 1) Descrição da natureza dos dados pessoais afetados; 2) Informações sobre os titulares envolvidos; 3) Indicação das medidas técnicas e de segurança utilizadas; 4) Riscos relacionados ao incidente; 5) Motivos da eventual demora na comunicação; 6) Medidas que foram ou serão adotadas para reverter ou mitigar os prejuízos. A...