PORTFÓLIO
INSS terá de comunicar vazamento de dados, decide ANPD ao negar recurso
Por Bruno De Blasi
A Autoridade Nacional de Proteção de Dados (ANPD) rejeitou o recurso do Instituto Nacional do Seguro Social (INSS) nesta sexta-feira (26). Com a decisão, a autarquia responsável pela previdência social terá de comunicar publicamente o incidente de segurança, que resultou na exposição de dados pessoais.
A manutenção da sanção retoma o caso da falha de segurança envolvendo o Sistema Corporativo de Benefícios do INSS, o SISBEN, que expôs dados pessoais como CPF, data de nascimento e outras informações de aposentados e pensionistas em 2022.
Na época, a autarquia chegou a comunicar o ocorrido à autoridade de proteção de dados. O INSS, porém, se negou a notificar o fato em público ao alegar dificuldades para levantar os dados que foram potencialmente acessados e identificar as pessoas afetadas pela brecha.
O instituto de previdência social ainda ressaltou que a divulgação do ocorrido poderia gerar pânico e desconfiança.
A ANPD, por outro lado, sustentou que o vazamento das informações sigilosas tem o potencial de causar danos aos titulares de dados afetados e determinou a publicação de um aviso no site e no app Meu INSS por 60 dias para informar o ocorrido. O despacho com a sanção foi expedido em fevereiro de 2024 e o INSS apresentou um recurso na sequência.
Meses depois, a autoridade rejeitou o recurso nesta sexta-feira (26) e manteve a obrigação de publicar a notificação nos portais do instituto federal para comunicar o vazamento de dados.
“Marco importante para a efetividade da LGPD”, diz advogada
A decisão do Conselho Diretor da ANPD é considerada como um marco importante para a efetividade da Lei Geral de Proteção de Dados (LGPD) e para a proteção dos direitos dos titulares de dados pessoais. É o que defende a advogada especialista em direito digital do escritório Viseu Advogados, Antonielle Freitas.
“A ANPD demonstrou que não tolera o descumprimento do dever de comunicar os titulares sobre incidentes de segurança que possam gerar riscos ou danos relevantes, como prevê o artigo 48 da lei”, observa.
A especialista em direito digital ainda reforça que, ao impor a sanção de publicizar a infração, a ANPD também estabeleceu um padrão de transparência e de responsabilidade para os agentes de tratamento de dados pessoais, especialmente os públicos, além de reforçar a importância da comunicação dos incidentes aos titulares.
“A publicização da infração tem um efeito pedagógico, de alertar e de educar os agentes de tratamento sobre as consequências do descumprimento da LGPD, e um efeito dissuasório, de inibir novas infrações e de estimular a adoção de boas práticas de proteção de dados”, pontua. “A ANPD também definiu o conteúdo e a forma da comunicação, garantindo que ela seja clara, objetiva e acessível aos titulares.”
