SEI/ANATEL - 4863474

Reavaliação da regulamentação relacionada a serviços públicos de emergência e à segurança de redes de telecomunicações, do item nº 7 da Agenda Regulatória para biênio o 2019-2020.

Análise do Parecer 763/2019/PFE-ANATEL/PGF/AGU, sobre a proposta regulamentar após análise das contribuições da Consulta Pública nº 52, de 24 de dezembro de 2018.

Portaria Anatel nº 927, de 5 de novembro de 2015, que aprova o processo de regulamentação no âmbito da Agência;

Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais (LGPD);

Resolução nº 53, de 14 de setembro de 1998, que prevê a instalação do Comitê sobre Infraestrutura Nacional de Informações;

Regulamento dos Serviços de Telecomunicações, aprovado pela Resolução nº 73, de 25 de novembro de 1998;

Regulamento sobre Gestão de Risco das Redes de Telecomunicações e Uso de Serviços de Telecomunicações em Desastres, Situações de Emergência e Calamidade Pública, aprovado pela Resolução nº 656, de 17 de agosto de 2015;

Regulamento do Serviço Telefônico Fixo Comutado – STFC, aprovado pela Resolução nº 426, de 9 de dezembro de 2005;

Regulamento do Serviço Móvel Pessoal – SMP, aprovado pela Resolução nº 477, de 7 de agosto de 2007;

Regulamento do Serviço de Comunicação Multimídia, aprovado pela Resolução nº 614, de 28 de maio de 2013;

Regulamento sobre Exploração de Serviço Móvel Pessoal – SMP por meio de Rede Virtual (RRV-SMP), aprovado por meio da Resolução nº 550, de 22 de novembro de 2010;

O projeto submetido à análise da Procuradoria Federal Especializada (PFE) é fruto da junção dos itens nº 41 e 58 da Agenda Regulatória para o biênio 2017-2018, que agora consiste no item nº 7 da Agenda Regulatória para o biênio 2019-2020, com a seguinte descrição:

Item 7 - Reavaliação da regulamentação relacionada a serviços públicos de emergência e à segurança de redes de telecomunicações

Descrição - Reavaliação da regulamentação relacionada a serviços públicos de emergência, em especial sobre aspectos que envolvam a interlocução entre as prestadoras de serviços de telecomunicações e os órgãos de segurança pública (bloqueio de Estações Móveis impedidas, interceptação de chamadas, quebra de sigilo, entre outros).

Adicionalmente, o projeto visa a elaboração de análises e estudos sobre a necessidade ou não de regulamentação que possibilite a implementação de medidas de proteção e segurança das redes e serviços das operadoras de telecomunicações. A segurança das redes é hoje um dos grandes problemas da nova economia digital. São diversos os países que vem enfrentando os problemas relacionados à segurança cibernética e realizando grandes investimentos na busca da disponibilidade, confidencialidade e integridade das informações no ambiente cibernético. Como os dados trafegam em redes de telecomunicações cabe à Anatel atuar dentro de suas competências a fim de garantir e fiscalizar a proteção dessa primeira linha de frente, a exemplo de outros reguladores como FCC (EUA), Anacom (Portugal), KISA (Coréia do Sul), Ofcom (Reino Unido) que atualizam constantemente suas diretrizes.

As contribuições recebidas por meio da Consulta Pública foram analisadas por meio do Informe nº 40/2019/PRRE/SPR, de junho de 2019, tendo sido o processo encaminhado para Parecer da Procuradoria após isso.

A Procuradoria restituiu o processo à área técnica em outubro de 2019, constando sua análise do Parecer nº 763/2019/PFE-ANATEL/PGF/AGU.

A seguir serão comentados todos os pontos levantados pela Procuradoria no referido Parecer.

Ante o exposto, esta Procuradoria Federal Especializada ratifica o exposto no Parecer nº 00538/2018/PFE-ANATEL/PGF/AGU (SEI 3292440), concluindo pela regularidade formal do procedimento e, no mérito, pela legalidade dos dispositivos da minuta de Resolução (SEI 4013761), que aprova o Regulamento de Segurança Cibernética aplicada ao Setor de Telecomunicações, aprova o Regulamento sobre o Uso de Serviços de Telecomunicações em Desastres, Situações de Emergência e Estado de Calamidade Pública e dá outras providências, observados os seguintes comentários e sugestões de alteração:

(a) salvo quanto ao disposto no § 5º do art. 9º, mencionado na alínea “c” abaixo, não é aplicável ao presente caso a regulamentação sobre o procedimento de consulta pública prevista na Lei nº 13.848, de 25 de junho de 2019, que dispõe sobre a gestão, a organização, o processo decisório e o controle social das agências reguladoras;

(b) não obstante, recomendamos que seja avaliada a possibilidade de cumprimento do disposto no § 3º do art. 9º da Lei nº 13.848/2019, que determina a disponibilização, na sede da Anatel e em sua página na internet, das críticas e sugestões encaminhadas pelos interessados;

(c) o disposto no § 5º do art. 9º da Lei nº 13.848/2019 deve ser atendido, uma vez que ainda não encerrado o procedimento de edição do presente regulamento, com a consequente divulgação, na internet e na sede da Anatel, do posicionamento da Agência sobre as críticas e contribuições apresentadas durante a Consulta Pública nº 52/2018, observado o prazo de trinta dias úteis, contados da reunião do Conselho Diretor, na qual seja proferida a decisão final sobre a matéria;

(d) recomendamos que, além do Informe nº 40/2019/PRRE/SPR (SEI 4013678) e os documentos anexos (SEI 4013761; 4013817; 4013828; 4013837; 4277954), sejam disponibilizados ao público o presente Parecer, bem como a Análise e o Acórdão proferidos no âmbito do Conselho Diretor;

(e) ao invés da criação de um novo Capítulo no Regulamento dos Serviços de Telecomunicações seria mais adequado inserir as normas do art. 3º da minuta de Resolução, que trata das “ações de apoio à segurança pública”, no próprio Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, que consta do Anexo I da minuta de Resolução ora em análise;

(f) Em relação aos arts. 65-A, 65-B, 65-C e 65-D, apresentamos a seguinte proposta de alteração:

Art. 65-A [...]

§ 13 As prestadoras a que se refere o caput devem priorizar em suas redes, ~~quanto~~ quando tecnicamente possível, as chamadas e mensagens destinadas aos serviços de emergência e de segurança pública.

[...]

Art. 65-B As prestadoras de serviços de telecomunicações ~~devem dispor de meios~~ adotar as medidas técnicas e administrativas necessárias e disponíveis para prevenir ~~mitigar~~ a ocorrência de fraudes relacionadas à prestação do serviço, bem como para reverter ou mitigar os efeitos de incidentes de segurança e reparar os danos gerados.

[...]

Art. 65-C As prestadoras de serviços de telecomunicações devem zelar pelo sigilo das comunicações e pela confidencialidade dos dados dos usuários de seus serviços, inclusive registros de conexão ~~e informações do assinante ou do usuário~~, empregando ~~todos~~ os meios e tecnologias necessários e disponíveis para tanto, nos termos da legislação em vigor.
~~§1º A responsabilidade da prestadora não abrange os segmentos de rede instalados nas dependências do imóvel indicado pelo usuário.~~

~~§ 2º~~ § 1º As prestadoras devem utilizar ~~todos~~ os recursos tecnológicos necessários e disponíveis para assegurar a inviolabilidade do sigilo das comunicações, em especial, no caso do SMP e outros serviços que utilizem radiofrequências na rede de acesso, nos enlaces radioelétricos entre a Estação Rádio Base e a Estação Móvel.

§ 2º As prestadoras de serviços de telecomunicações devem reter a menor quantidade possível de dados de usuários, incluindo registros de conexão, os quais serão mantidos sob sigilo, em ambiente controlado e de segurança, e excluídos:
I - tão logo atingida a finalidade de seu tratamento; ou
II - se encerrado o prazo determinado por obrigação legal ou regulatória.

§ 3º A fim de assegurar a permanente fiscalização e o acompanhamento de obrigações regulatórias e legais, as prestadoras devem manter à disposição da Anatel os dados relativos à prestação do serviço por um prazo mínimo de cinco anos, incluindo, conforme o caso e observada a regulamentação pertinente, documentos de natureza fiscal, dados cadastrais dos assinantes, dados de bilhetagem e das ligações efetuadas e recebidas, bem como data, horário, duração e valor da chamada.

§ 4º Para fins do disposto neste artigo, considera-se como registro de conexão o conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados.

(g) recomendamos que a área técnica avalie, em especial, a redação do § 3º do art. 65-C, considerando o princípio de que a obrigação de guarda de dados deve ser estabelecida de forma precisa, limitando-se ao estritamente necessário ao atendimento às finalidades em causa. Sugerimos, nesse sentido, avaliar a relevância e a necessidade de guarda dos dados indicados para fins de fiscalização das prestadoras, bem como se há outras informações que devem ser objeto de guarda para fins regulatórios;

(h) a estrutura do Grupo Técnico de Suporte à Segurança Pública (GT-Seg), prevista no art. 65-F, deve ser ajustada conforme as exigências para a criação de colegiados no âmbito da Administração Pública Federal previstas no art. 6º do Decreto nº 9.759/2019 e no art. 36 do Decreto nº 9.191/2017;
(i) considerando que já constam do art. 65-F a indicação das competências, da composição, da autoridade responsável por coordenar os trabalhos e do quórum de votação do GT-Seg, destacamos, em especial, a necessidade de avaliação quanto aos seguintes pontos:

(i.1.) previsão de realização de reunião por videoconferência nos casos em que os membros estejam em entes federativos diversos, ressalvados os casos em que os custos de eventual deslocamento não sejam assumidos pela Anatel, bem como as hipóteses de inviabilidade e inconveniência deste tipo de reunião;

(i.2.) previsão do número de membros, justificando-se a necessidade, a conveniência, a oportunidade e a racionalidade de o colegiado possuir número superior a sete membros;

(i.3.) no caso das subestruturas de que trata o § 4º do art. 65-F, é necessária a previsão de: (a) número máximo de membros; (b) caráter temporário, com duração não superior a um ano; e (c) número máximo de subestruturas que poderão operar simultaneamente;

(i.5.) a periodicidade das reuniões ordinárias e a forma de convocação das reuniões extraordinárias;

(i.7.) se for o caso, a forma de elaboração e aprovação do regimento interno;

(i.8.) a forma de indicação dos membros e a autoridade responsável pelos atos de designação;

(i.9.) a previsão de que a participação do GT-Seg constitui prestação de serviço público relevante, não remunerada;

(j) ajuste de redação no § 3º do art. 65-F, nos seguintes termos:

Art. 65-F [...]

§3º Caberá recurso de decisão proferida pelo Superintendente coordenador do Grupo ao Conselho Diretor da Agência, nos termos do contido no capítulo V do Título V do Regimento Interno da Anatel.

(k) revogação do inciso XVII do art. 4º e do art. 53 do Regulamento do SCM, do inciso XX do art. 4º e do art. 47 do Regulamento do SLP, do art. 22 do Regulamento do STFC e do inciso XXII do art. 10 do Regulamento do SMP, alterando-se a redação do art. 8º da minuta, nos seguintes termos:

Art. 8º. Revogar:

I - a Resolução nº 656, de 17 de agosto de 2015 que aprova o Regulamento sobre Gestão de Risco das Redes de Telecomunicações e Uso de Serviços de Telecomunicações em Desastres, Situações de Emergência e Calamidade Pública;

II – o art. 22, o art. 23, o art. 24 e o art. 25 do Regulamento do Serviço Telefônico Fixo Comutado – STFC, aprovado pela Resolução nº 426, de 9 de dezembro de 2005;

III – o art. 19, o inciso XXII do art. 10, o art. 77, o art. 89, art. 90 e o art. 91 do Regulamento do Serviço Móvel Pessoal – SMP, aprovado pela Resolução nº 477, de 7 de agosto de 2007;

IV – o inciso XVII do art. 4º, o art. 52, o art. 53, o art. 59, o art. 60 e o art. 61 do Regulamento do Serviço de Comunicação Multimídia, aprovado pela Resolução nº 614, de 28 de maio de 2013;

V – o art. 26 e o art. 32 do Regulamento dos Serviços de Telecomunicações, aprovado pela Resolução nº 73, de 25 de novembro de 1998; e

VI – a Resolução nº 53, de 14 de setembro de 1998, que instala o Comitê sobre Infraestrutura Nacional de Informações – C-INI; e

VII – o inciso XX do art. 4º e o art. 47 do Regulamento do Serviço Limitado Privado, aprovado pela Resolução nº 617, de 19 de junho de 2013.

(l) a fim de evitar a duplicidade de normas no mesmo regulamento, sugerimos a exclusão do parágrafo único do art. 17 e do parágrafo único do art. 39, a serem inseridos no RRV-SMP, tendo em vista que as alterações efetuadas no art. 47 e no art. 1º do Anexo I do RRV-SMP têm o mesmo objetivo, isto é, prever a inclusão obrigatória de colaboração para fins de segurança pública nos contratos de compartilhamento de rede e de representação;

(m) tendo em vista que as alterações propostas no RRV-SMP, conforme os arts. 4º a 7º da minuta de Resolução, preveem novos deveres para as prestadoras, particularmente a necessidade de adaptação de contratos firmados com operadoras virtuais, sugerimos a inclusão de novo artigo na minuta, que estabeleça regime de transição, do qual conste: (i) o prazo para a adaptação dos contratos antigos; e (ii) se for o caso, o modo pelo qual o cumprimento desta obrigação deverá ser comprovado perante a Agência;

(n) no que concerne ao Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, que consta do Anexo I da minuta de Resolução, apresentamos as seguintes sugestões de alteração:

(n.1.) o regulamento não possui art. 5º, de modo que o art. 6º foi inserido logo após o art. 4º;

(n.2.) a estrutura do GT-Ciber, instituído pelo art. 4º do regulamento, deve ser adequada às disposições do art. 6º do Decreto nº 9.759/2019 e do art. 36 do Decreto nº 9.191/2017, conforme a recomendação efetuada nas alíneas “g” e “h” acima;

(n.3.) no § 3º do art. 4º deve ser incluído referência ao Título V do Regimento Interno, nos seguintes termos:

Art. 4º [...]

§ 3º Caberá recurso de decisão proferida pelo Superintendente coordenador do Grupo ao Conselho Diretor da Agência, nos termos do contido no capítulo V do Título V do Regimento Interno da Anatel.

(n.4.) no art. 9º sugerimos substituir, nos incisos VII e XIV, bem como nos §§ 6º e 7º, a referência a “clientes” por “usuários”, termo mais usual nas regulamentações da Agência, bem como excluir o adjetivo “pessoais” da menção aos “dados”, visto que, entre estes, incluem-se informações de usuários pessoas jurídicas, os quais, a princípio, estão excluídos do conceito legal de “dado pessoal”, isto é, “informação relacionada a pessoa natural identificada ou identificável”, conforme o disposto no art. 5º, I, da LGPD. A redação sugerida é a seguinte:

Art. 9º [...]

VII – os procedimentos relativos ao armazenamento seguro dos dados ~~pessoais~~ de seus usuários ~~clientes~~, nos termos da legislação vigente;

[...]

XIV - o mapeamento de possíveis riscos de incidentes e de eventos que possam afetar a segurança do armazenamento dos dados ~~pessoais~~ dos usuários.

[...]

§6º As prestadoras devem promover, dentre as ações decorrentes dos procedimentos e controles previstos no inciso II, a alteração da configuração padrão de autenticação em equipamentos fornecidos, em regime de comodato, a seus usuários ~~clientes~~.

§7º Devem ser comunicados aos usuários e à Agência, sem prejuízo de outras obrigações legais de comunicação, em prazo razoável, quaisquer incidentes relevantes que afetem de maneira substancial a
segurança das redes de telecomunicações, incluindo todos aqueles que atinjam a confidencialidade dos dados ~~pessoais~~ dos usuários dos serviços de telecomunicações sob a guarda das prestadoras.

Todos os ajustes resultantes desta análise foram materializados na Minuta de Resolução (SEI nº 4863483), sendo apresentada, adicionalmente uma versão da Minuta com marcas de revisão (SEI nº 4886032).

Diante do exposto, propomos que o Processo seja encaminhado ao Conselho Diretor para análise e aprovação da Resolução que aprova o Regulamento de Segurança Cibernética aplicada ao Setor de Telecomunicações, aprova o Regulamento sobre o Uso de Serviços de Telecomunicações em Desastres, Situações de Emergência e Estado de Calamidade Pública e dá outras providências.
.

Documento assinado eletronicamente por Nilo Pasquali, Superintendente de Planejamento e Regulamentação, em 11/12/2019, às 13:51, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por Carlos Manuel Baigorri, Superintendente de Controle de Obrigações, em 11/12/2019, às 18:13, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por Gustavo Santana Borges, Gerente de Controle de Obrigações de Qualidade, em 11/12/2019, às 20:01, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por Eduardo Kruel Milano do Canto, Especialista em Regulação, em 11/12/2019, às 20:23, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por Elisa Vieira Leonel, Superintendente de Relações com Consumidores, em 13/12/2019, às 15:27, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por Felipe Roberto de Lima, Gerente de Regulamentação, em 13/12/2019, às 16:53, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por Rafael Andrade Reis de Araújo, Coordenador de Processo, em 13/12/2019, às 16:53, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

Documento assinado eletronicamente por João Alexandre Moncaio Zanon, Coordenador de Processo, em 13/12/2019, às 16:55, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

A autenticidade deste documento pode ser conferida em https://www.anatel.gov.br/autenticidade, informando o código verificador 4863474 e o código CRC 86570F51.