AGÊNCIA NACIONAL DE TELECOMUNICAÇÕES

Portaria Anatel nº 1962, de 29 de abril de 2021

O PRESIDENTE DA AGÊNCIA NACIONAL DE TELECOMUNICAÇÕES, no uso das atribuições que lhe foram conferidas pelo art. 135 do Regimento Interno da Anatel, aprovado pela Resolução nº 612, de 29 de abril de 2013,

CONSIDERANDO o disposto no art. 50, § 2º, I, "g" da  Lei nº 13.709, de 14 de agosto de 2018;

CONSIDERANDO as orientações proferidas pela Autoridade Nacional de Proteção de Dados Pessoais (ANPD) em seu site, sob o título Comunicação de incidentes de segurança;

CONSIDERANDO o constante dos autos do Processo nº 53500.023086/2021-15;

CONSIDERANDO o constante dos autos do Processo nº 53500.054936/2020-38,

RESOLVE:

Art. 1º Aprovar o Plano de Resposta a Incidentes de Privacidade e Remediação da Agência Nacional de Telecomunicações, na forma do Anexo a esta Portaria.

Art. 2º Esta Portaria entra em vigor na data de sua publicação.

---

Documento assinado eletronicamente por Leonardo Euler de Morais, Presidente, em 29/04/2021, às 20:58, conforme horário oficial de Brasília, com fundamento no art. 23, inciso II, da Portaria nº 912/2017 da Anatel.

---

A autenticidade deste documento pode ser conferida em http://www.anatel.gov.br/autenticidade, informando o código verificador 6829892 e o código CRC CFCB8E4E.

---

ANEXO

 PLANO DE RESPOSTA A INCIDENTES DE PRIVACIDADE E REMEDIAÇÃO - PRIR

Objetivo 

O Plano de Resposta a Incidentes de Privacidade e Remediação (PRIR) pretende cumprir os requisitos exigidos pela LGPD e tem como principal objetivo gerir incidentes e eventos de segurança e violação de dados pessoais com o propósito de limitar danos a Privacidade, diminuir o tempo de recuperação, além de aumentar a confiança dos titulares de dados no tratamento de dados custodiados pela Anatel. 

O Plano de Resposta a Incidentes de Privacidade e Remediação – PRIR – detalha a abordagem e a atuação frente a eventos de violação que ocasionem prejuízos para o titular dos dados pessoais. Para alcançar esses objetivos, o Plano deve: 

• Estar acessível aos servidores e autoridades responsáveis pela sua execução; 

• Sofrer revisões para se manter atualizado; 

• Estar alinhado com as demais documentações, normativos e legislações associadas ao tema da privacidade e proteção de dados pessoais. 

 O que vem a ser um Incidente de Violação 

Segundo a autoridade nacional um incidente de segurança com dados pessoais é qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais. 

Uma violação de dados ocorre quando a organização sofre um incidente de segurança relativo aos dados custodiados por ela e que resulta em uma violação da confidencialidade, da disponibilidade ou da integridade dos dados. Se tal fato ocorrer e, se a violação for suscetível de representar um risco para os direitos e as liberdades de uma pessoa natural, a Anatel deverá notificar a autoridade nacional em prazo razoável.

Quem Responde por Violação à Privacidade 

Cabe aos agentes de tratamento de dados pessoais adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. 

Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança der causa ao dano ao titular do dado pessoal.

Fluxo das Atividades no PRIR 

Receber notificação ou identificar evento 

O servidor da Anatel caso tenha verificado alguma ocorrência que possa impactar a privacidade deve notificar a Equipe de Tratamento de Incidente de Rede - ETIR/SGI/Anatel por meio de um formulário de notificação.

Um usuário externo também pode notificar a Anatel mas, neste caso, o instrumento será o sistema Anatel Consumidor ou qualquer outro canal de comunicação de denúncia. 

Caso a Anatel tenha algum contrato, pelo qual o fornecedor atue como Operador, cabe também ao Operador fazer a devida notificação à ETIR. Caso o evento tenha ocorrido por atuação do Operador, é esperado que essa notificação seja respondida com a menção do conhecimento sobre a existência do evento e as suas consequências, assim como as providências a serem tomadas pelo Operador. 

O formulário de notificação pelo servidor está disponível em Formulário de Comunicação à ETIR.

O servidor deve encaminhar o formulário preenchido para ETIR: etir@anatel.gov.br.

Caso o formulário não contenha dados minimamente suficientes para a apuração pela ETIR, ele poderá ser recusado. 

Avaliar evento 

Nessa etapa o evento é analisado e avaliado pela ETIR/SGI/Anatel sob a ótica da segurança e classificado segundo o nível de risco.

Nessa fase é feita uma triagem e verificação se o evento é ou não relacionado a privacidade.

Só será acionado o PRIR no caso em que o evento for relacionado à privacidade. Serão levantadas as primeiras informações sobre o evento e sua abrangência, com o máximo de informações para prosseguir com o tratamento. Um incidente de segurança cibernético não é tratado por esse fluxo, exceto naqueles casos em que ocorre um ataque cibernético à Anatel com acesso ou alteração de dados pessoais. 

Enviar para o Encarregado 

Após avaliado e considerado evento de privacidade, uma notificação da ETIR/Anatel será encaminhada para o Encarregado para que este tome ciência e decida as ações para tratamento.

Devolver notificação à origem 

Após avaliado o evento, se não for considerado um evento de privacidade a comunicação será devolvida àquele que notificou a ETIR para que o servidor ou notificante possa buscar outro canal para a solução do problema encontrado.  

Avaliar impacto para o titular do dado 

A Anatel/unidade administrativa exerce o papel de Controladora de dados pessoais, assim a avaliação dos eventos de privacidade contemplará a identificação do tipo de dados pessoais envolvido no evento, bem como potencial impacto para o titular do dado. 

Avaliar necessidade de comunicação 

De acordo com a gravidade dos eventos encaminhados para o Encarregado, este fará a avaliação da necessidade de comunicação com a Presidência, pois conforme a situação são necessários o alinhamento e a preparação da Anatel para possíveis explicações públicas sobre um evento de violação à privacidade decorrente do seu tratamento de dados ou mesmo uma exposição de vulnerabilidade, considerando uma potencial ineficácia dos procedimentos preventivos de segurança da informação. 

Compete ao controlador comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. 

A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como: I - ampla divulgação do fato em meios de comunicação; e II - medidas para reverter ou mitigar os efeitos do incidente. 

Recomenda-se que os controladores adotem posição de cautela, de modo que a comunicação seja efetuada mesmo nos casos em que houver dúvida sobre a relevância dos riscos e danos envolvidos. Ressalte-se, ainda, que eventual e comprovada subavaliação dos riscos e danos por parte dos controladores pode ser considerada descumprimento à legislação de proteção de dados pessoais. 

Embora a responsabilidade e a obrigação pela comunicação à ANPD sejam do controlador, caso excepcionalmente sejam apresentadas informações pelo operador, serão devidamente analisadas pela ANPD. 

Identificar tipo de incidente 

Os eventos notificados são considerados incidentes de violação à privacidade quando identificadas irregularidades que venham a expor os titulares dos dados pessoais. Um incidente de segurança pode ser decorrente de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão de dados pessoais tratados pela Anatel. 

Para cada tipo de incidente devem ser identificadas as formas de tratamento necessárias.  

Comunicar a Presidência e a Assessoria de Comunicação 

Uma vez identificados os incidentes de grande proporção, cabe ao Encarregado informar acerca do teor da violação à Presidência para possibilitar a determinação de ações estratégicas internas e externas e à Assessoria de Comunicação para o acompanhamento externo do impacto dos eventos confirmados. 

Essas notificações visam o alinhamento entre o Encarregado, a Alta Administração e a Assessoria de Comunicação.

Cabe à Assessoria de Comunicação o acompanhamento das ações, da repercussão na mídia, em outros órgãos e entidades e do impacto da violação e, com base nessa avaliação, alinhar o posicionamento da Anatel.  A comunicação pode ser basicamente de respostas às demandas, ou de Nota da Anatel à imprensa como mecanismo de prestação de contas.  

Dar ciência do evento à ANPD

Uma vez efetuada a comunicação com a Presidência, cabe proceder com as notificações à ANPD, naqueles casos exigidos na Lei e regulamentação específica, e aos titulares afetados.   

O formulário eletrônico disponibilizado no site da ANPD deve ser preenchido e enviado por meio de Peticionamento Eletrônico – Usuário Externo. 

O formulário está disponível para preenchimento em  Formulário de Comunicação à ANPD.

Definir ações de comunicação necessárias 

Após as devidas verificações pela ETIR e pelo Encarregado, cabe à Assessoria de Comunicação (APC) as devidas providências para o acompanhamento ou estabelecimento de comunicações internas ou externas de acordo com os padrões de comunicação estabelecidos previamente. 

Consolidar informações preliminares sobre o evento  

Em decorrência da natureza das violações à privacidade e a necessidade de atendimento às normas da LGPD, que incluem a comunicação de incidentes envolvendo dados pessoais em prazo razoável, o Encarregado realizará uma consolidação prévia com as informações sobre o evento, contemplando as informações necessárias, recebidas inclusive dos agentes envolvidos, para dar andamento às atividades vinculadas à obrigações legais e normativas.  

Identificar quem será comunicado  

Em cumprimento às obrigações legais previstas na LGPD, são identificadas, pelo Encarregado, as comunicações necessárias de acordo com a gravidade, com o tipo de violação à privacidade e com a ação de comunicação necessária para o caso específico.  

Validar modelos de comunicação 

A validação dos modelos de comunicação, elaborados pela Assessoria de Comunicação, será realizada pela unidade administrativa envolvida, Superintendente Executivo e Gabinete da Presidência, bem como o Encarregado, para garantir que todas as comunicações sigam o padrão oficial estabelecido pela Anatel. 

• Notificar as partes envolvidas 

Em cumprimento às obrigações legais previstas na LGPD, o Encarregado providenciará as notificações relatando a ocorrência do Incidente de Violação à Privacidade, suas possíveis implicações aos titulares e as medidas adotadas pela Anatel para resolver o problema e mitigar os danos. 

O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Caso necessário para a salvaguarda dos direitos dos titulares, seja exigida pela autoridade nacional a ampla divulgação do fato em meios de comunicação, um plano de comunicação específico deverá ser elaborado pela Assessoria de Comunicação. 

Consolidar informações definitivas sobre o incidente 

Ao término do tratamento do incidente pelas áreas responsáveis, o Encarregado realizará a consolidação das informações sobre o incidente por meio de um Relatório de Incidentes. 

Deve constar do referido Relatório no mínimo as seguintes informações: a) atividades realizadas desde o recebimento da notificação do evento até sua completa resolução; b) evidências coletadas; c) falhas identificadas no tratamento de dados pessoais; d) medidas implementadas para minimizar os danos ao titular; e) partes interessadas; f) recomendações da ETIR e do Encarregado para prevenção contra a ocorrência de novas falhas de violação de privacidade. 

Divulgar Relatório  

Nessa etapa será encaminhado o relatório final às partes envolvidas para conhecimento das ações realizadas, com o objetivo de dar transparência ao processo e possibilitar ações de melhoria contínua no tratamento dos dados pessoais. 

Caso o evento tenha ocorrido por processamento de dados pelo Operador, cabe ao Controlador/Unidade administrativa solicitar que o Operador elabore também um Relatório de Incidentes. 

Papéis e Responsabilidades 

Prazos para Comunicar um Incidente de Segurança de Privacidade à ANPD 

Como extraído do site da ANPD, é  recomendado que após a ciência do evento adverso e havendo risco relevante, a autoridade nacional seja comunicada com a maior brevidade possível, sendo tal considerado a título indicativo o prazo de 2 dias úteis, contados da data do conhecimento do incidente. 

Tal interregno foi estabelecido com parâmetro na definição de comunicação já existente no Decreto nº 9936/2019 e em virtude da necessidade de gerenciamento dos incidentes de segurança com dados pessoais por parte da ANPD e das consequências danosas que podem ocorrer em razão do atraso nas ações de contenção ou mitigação. 

Tipos de Eventos de Violação à Privacidade 

Essa é uma lista exemplificativa e não exaustiva. 

Fontes: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612052; LGPD: inciso VII, art. 6º 

Ação de Comunicação para um Incidente de Privacidade 

Funções e Responsabilidades no Gerenciamento das Comunicações 

Matriz de Comunicação 

Os eventos de violação à privacidade devem ser estudados para verificar se podem acarretar risco ou dano relevante aos titulares que justifiquem a sua comunicação à ANPD e aos indivíduos titulares dos dados. 

A tabela acima foi construída como modelo, considerando as orientações da ANPD que sugere que o controlador avalie internamente a relevância do risco ou dano do incidente de segurança para determinar se deverá comunicar à ANPD e ao titular. Para tanto, a ANPD sugere responder internamente as seguintes perguntas: 

1. Ocorreu um incidente de segurança relacionado a dados pessoais? 

☐Sim – Próxima pergunta. 

☐Não – Não é necessário comunicar a ANPD se não houve incidente de segurança relacionado a dados pessoais. 

2. Existe um risco ou dano relevante aos direitos e liberdades individuais dos titulares afetados em razão do incidente de segurança? 

☐Sim – Comunique à ANPD e ao titular. 

☐Não – A comunicação à ANPD ​​não será necessária se o responsável pelo tratamento puder demonstrar, de forma irrefutável, que a violação da segurança dos dados pessoais não constitui um risco relevante para os direitos e liberdades do titular dos dados. 

Segundo a ANPD, pode-se extrair da lei que a probabilidade de risco ou dano relevante para os titulares será maior sempre que o incidente envolver dados sensíveis ou de indivíduos em situação de vulnerabilidade, incluindo crianças e adolescentes, ou tiver o potencial de ocasionar danos materiais ou morais, tais como discriminação, violação do direito à imagem e à reputação, fraudes financeiras e roubo de identidade.

Outra questão que deve ser analisada é o volume de dados envolvido, o quantitativo de indivíduos afetados, a boa-fé e as intenções dos terceiros que tiveram acesso aos dados após o incidente e a facilidade de identificação dos titulares por terceiros não autorizados. 

O quê Comunicar à ANPD

A ANPD já disponibilizou o formulário que deve ser preenchido pelo Controlador para a comunicação de um incidente de segurança, bem como a utilização do SEI para peticionar junto à autoridade. O EAPD transferiu o formulário disponibilizado pela ANPD para facilitar o preenchimento pelas áreas envolvidas. 

O Formulário está disponível em Comunicação à ANPD.

Seguem as orientações da ANPD acerca do que deve ser comunicado a ela: 

As informações devem ser claras e concisas. Além do que prescreve o § 1º do artigo 48 da LGPD, recomenda-se que a comunicação contenha as seguintes informações, disponíveis no formulário de comunicação de incidentes de segurança com dados pessoais da ANPD: 

Identificação e dados de contato de: 

Entidade ou pessoa responsável pelo tratamento. 

Encarregado de dados ou outra pessoa de contato. 

Indicação se a notificação é completa ou parcial. Em caso de comunicação parcial, indicar que se trata de uma comunicação preliminar ou de uma comunicação complementar. 

Informações sobre o incidente de segurança com dados pessoais: 

Data e hora da detecção. 

Data e hora do incidente e sua duração. 

Circunstâncias em que ocorreu a violação de segurança de dados pessoais, por exemplo, perda, roubo, cópia, vazamento, dentre outros. 

Descrição dos dados pessoais e informações afetadas, como natureza e conteúdo dos dados pessoais, categoria e quantidade de dados e de titulares afetados 

Resumo do incidente de segurança com dados pessoais, com indicação da localização física e meio de armazenamento. 

Possíveis consequências e efeitos negativos sobre os titulares dos dados afetados. 

Medidas de segurança, técnicas e administrativas preventivas tomadas pelo controlador de acordo com a LGPD. 

Resumo das medidas implementadas até o momento para controlar os possíveis danos. 

Possíveis problemas de natureza transfronteiriça. 

Outras informações úteis às pessoas afetadas para proteger seus dados ou prevenir possíveis danos. 

Caso não seja possível fornecer todas as informações no momento da comunicação preliminar, a ANPD esclarece que informações adicionais poderão ser fornecidas posteriormente. 

No momento da comunicação preliminar deverá ser informado à ANPD se serão fornecidas mais informações posteriormente, bem como quais meios estão sendo utilizados para obtê-las. A ANPD também poderá requerer informações adicionais a qualquer momento. 

Revisão do PRIR

O Plano de Resposta e Incidentes de Privacidade e Remediação - PRIR poderá ser revisitado para contemplar orientações específicas da ANPD ou quaisquer instruções normativas.

O Plano deverá ser atualizado sempre que necessário, para fazer frente aos desafios relacionados à segurança com dados pessoais.