CD nº 11/2021

Página 1

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/DIR/NR/ANPD

VOTO Nº 14/2021/ANPD/NR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados CONSELHEIRO Nairane Farias Rabelo Leitão

1. ASSUNTO

1.1. Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.

2. EMENTA

2.1. PUBLICAÇÃO DE GUIA ORIENTATIVO. SEGURANÇA DA INFORMAÇÃO RELACIONADA A DADOS PESSOAIS. AGENTES DE TRATAMENTO DE PEQUENO PORTE. TUTELA DA PRIVACIDADE E DA PROTEÇÃO DE DADOS PESSOAIS. BOAS PRÁTICAS. PAPEL ORIENTATIVO DA ANPD.

3. REFERÊNCIA

3.1. Processo SEI nº 00261.000821/2021-16.

4. RELATÓRIO

4.1. Trata-se da publicação de guia orientativo sobre boas práticas de segurança da informação para agentes de tratamento de pequeno porte, compreendidos como as microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, além daqueles que venham a ser assim entendidos por resolução pertinente.

4.2. Segundo dados disponibilizados pelo Sebrae, mais de 90% das empresas brasileiras se enquadram em microempresas e empresas de pequeno porte, o que torna ainda mais relevante a publicação de um guia orientativo direcionada a este público e aos demais que vierem a ser enquadrados como agentes de pequeno porte.

4.3. Em reunião realizada entre a Autoridade Nacional de Proteção de Dados (ANPD) e o Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), mantido pelo NIC.br, constatou-se a necessidade de elaboração conjunta do guia para orientação aos agentes de tratamento de pequeno porte, em razão de suas limitações estruturais e financeiras.

4.4. Ambas as instituições trabalharam para a elaboração do guia, que consiste em fruto dessa cooperação interinstitucional, ratificada pelo Acordo de Cooperação Técnica (ACT) firmado entre as instituições posteriormente, em 20 de julho de 2021.

4.5. O ACT firmado entre as instituições possui como objetivos ações conjuntas, conforme sua cláusula 1.1, item ‘e’:

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 1

Página 2

“1.1. O presente Acordo tem por objeto a cooperação técnica entre a ANPD e o NIC.br, através do CERT.br, com vistas a promover ações conjuntas sobre assuntos de interesse recíproco, nos termos da Lei e desde que não violem obrigações de confidencialidade, dentre as quais se incluem:e) Elaboração conjunta e intercambio de estudos, análises, notas técnicas e projetos de pesquisa sobre proteção de dados pessoais segurança da informação e tecnologia.”

4.6. A publicação do referido guia está em consonância com as competências institucionais atribuídas pela Lei nº 13.709/2018 (Lei Geral de Proteção de Dados - LGPD) à ANPD, conforme exposto no art. 55-J I, VI, VII e XVIII: “Art. 55-J. Compete à ANPD:

I - zelar pela proteção dos dados pessoais, nos termos da legislação; (…)

VI - promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança;

VII - promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade (…)

XVIII - editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se a esta Lei”

4.7. Ressalta-se que as competências estabelecidas no art. 55-J da LGPD convergem com o disposto nas competências especificadas no art. 16, II, do regimento interno da ANPD, publicado na Portaria nº 1, de 8 de março de 2021.

4.8. A emissão deste guia, além de contribuir para a competência orientativa, atende também a agenda regulatória da ANPD, que estabelece como prioritário o tema de proteção de dados para agentes de tratamento de pequeno porte e pessoas físicas.

4.9. Ademais, as ações orientativas consistem em estratégias da fiscalização responsiva (conforme norma de fiscalização em processo de regulamentação), com o objetivo de alcançar a efetividade no cumprimento da LGPD, em concordância com o princípio da prevenção (art. 6º, VIII da LGPD) e da responsabilização (art. 6º, X da LGPD).

4.10. Portanto, a elaboração do presente guia contribui para a concretização das competências da ANPD com a finalidade máxima de proteção dos direitos dos titulares de dados pessoais.

4.11. Distribuído à relatoria deste Gabinete, foram procedidas algumas alterações na redação e no conteúdo do guia, tendo sido algumas delas resultado da gentil colaboração de outros membros do Conselho Diretor e da equipe técnica, conforme versão com marcas de revisão no documento SEI nº 2892323.

4.12. Em sua maioria, as alterações visam facilitar a leitura, por meio de redações mais simples ou reduzidas; sugerir mais algumas medidas que podem ser adotadas pelos agentes de pequeno porte; ou redistribuir as medidas para seções individualizadas. As alterações mais relevantes passarão a ser descritas a seguir.

4.13. Os capítulos 1 e 2 foram unificados para conferir uma redação mais objetiva da apresentação do guia e seu escopo.

4.14. Informações relacionadas à normas técnicas da ISO (International Organization for Standardization) foram removidas do guia por se tratar de entidade emissora de normas relacionadas a boas práticas não vinculantes, as quais a LGPD e a ANPD não se sujeitam. Portanto, compreende-se que não devem constar de guia orientativo emitido pela sua autoridade regulamentadora.

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 2

Página 3

4.15. Termos técnicos, como “identificadores diretos e indiretos”, foram removidos por falta de previsão na LGPD, bem como em razão da complexidade dos conceitos e do objetivo de simplificação do guia, já que é direcionado a um público com menor porte operacional e financeiro no que se refere à segurança da informação.

4.16. Em relação às obrigações da LGPD, foi adicionado parágrafo que se refere ao princípio da segurança, obrigação legal intrinsecamente relacionada ao texto.

4.17. Menções à não obrigatoriedade da elaboração da política de segurança da informação pelos agentes de tratamento foram realizadas, embora com a devida ressalva de que a ANPD incentiva sua elaboração e implementação.

4.18. A esse respeito, sugiro a elaboração e divulgação de proposta de modelo de Política de Segurança da Informação (PSI) simplificada, em momento oportuno, pela ANPD, sem pretensão de esgotar a matéria, mesmo porque, para a plena adequação da PSI à organização, faz-se necessário entender como funciona o fluxo operacional para que nenhum elemento de segurança necessário à proteção dos dados pessoais deixe de ser contemplado.

4.19. Exemplos práticos sobre medidas de segurança foram adicionados à redação, para facilitar a compreensão dos agentes de tratamento na leitura do guia.

4.20. Outras medidas de segurança, além daquelas já constantes da minuta proposta a este Gabinete, também foram acrescidas, como é o caso de recomendações para operacionalizar a informação por clientes e funcionários sobre vulnerabilidades detectadas, a assinatura de termos de confidencialidade com funcionários da empresa e o gerenciamento de contratos com clientes e fornecedores para a adequada proteção de dados.

4.21. Por fim, recomendações de governança foram incluídas, contendo exemplos de medidas que trazem segurança jurídica aos tratamentos de dados realizados pelos agentes de tratamento de pequeno porte.

4.22. Além das alterações, foi adicionado o anexo I ao guia, que é parte integrante deste para todos os fins. O anexo contém um checklist para facilitar a conferência e a aplicação prática das medidas de segurança técnicas e administrativas do guia.

4.23. Ressalta-se que o presente guia não é vinculante e nem constitui regulamentação à LGPD, mas apenas a esclarece e objetiva dar orientações aos entes regulados na busca pela adequação ao novo ecossistema de proteção de dados criado pela lei.

4.24. Desta forma, o guia orientativo segue para publicação no site da Autoridade, sem que se constitua em regulamentação de fato.

4.25. Para que não haja prejuízos aos direitos dos titulares em razão do descumprimento legal, e em seguimento à construção da cultura de proteção de dados no país, a ANPD entende que se trata de publicação urgente.

4.26. É recomendado que o documento seja amplamente publicizado e que seja disponibilizado um canal de contato para recebimento de sugestões de aprimoramento, as quais poderão ser incorporadas em versões subsequentes do documento.

4.27. Também é recomendado que modelos, como o da PSI, sejam disponibilizados em seguida para facilitar a estruturação dos agentes de pequeno porte.

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 3

Página 4

5. CONCLUSÃO

5.1. É de competência da ANPD zelar pela proteção de dados pessoais e por promover orientação aos titulares e aos agentes de tratamento brasileiros que, em sua maior parte, poderão ser classificadas como agentes de pequeno porte.

5.2. O cumprimento da LGPD por esses agentes é primordial para o país e, por isso mesmo, também o é a sua orientação, especialmente diante do fato de que normalmente não possuem estrutura operacional e financeira robusta.

5.3. O guia de segurança da informação tem como objetivo orientar os agentes de pequeno porte e de obter maior adesão ao cumprimento da LGPD e à proteção aos direitos dos titulares de dados.

5.4. Dessa forma, voto pela publicação do guia orientativo (documento SEI nº 2892324) sobre segurança da informação para agentes de tratamento de pequeno e seu anexo (documento SEI nº 2892325) e submeto o presente voto para aprovação dos demais membros do Conselho Diretor, mediante votação por circuito deliberativo, nos termos do § 1º do art. 40 do Regimento Interno da ANPD.

5.5. É como voto.

Documento assinado eletronicamente por Nairane Farias Rabelo Leitão,

Diretor(a), em 19/09/2021, às 19:49, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2892319 e o código CRC 16DD77FB no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2892319

Voto 14 (2892319) SEI 00261.000821/2021-16 / pg. 4

Página 5

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/DIR/AS/ANPD

VOTO Nº 15/2021/ANPD/AS/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.

VOTO EM CIRCUITO DELIBERATIVO Nº 11/2021

DIRETOR ARTHUR PEREIRA SABBAT

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do

art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

X Não aplicável à hipótese

Voto no Circuito Deliberativo:

XAcompanho a Relatora (Voto nº 14/2021/ANPD/JR/DIR/ANPD/PROTOCOLO/PR, SEI nº 2892319)

Não acompanho a Relatora, nos termos do Voto indicado a seguir:

Documento assinado eletronicamente por Arthur Pereira Sabbat,

Diretor(a), em 21/09/2021, às 18:59, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2898542 e o código CRC 43861C8C no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2898542

Voto 15 (2898542) SEI 00261.000821/2021-16 / pg. 5

Página 6

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/JR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte

VOTO EM CIRCUITO DELIBERATIVO N. 12/2021 -

DIRETOR JOACIL RAEL

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 21/09/2021, às 16:45, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2898586 e o código CRC 864D2E71 no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2898586

Voto 12 (2898586) SEI 00261.000821/2021-16 / pg. 6

Página 7

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 13/2021/ANPD/MW/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.

VOTO EM CIRCUITO DELIBERATIVO N. 13/2021 -

DIRETORA MIRIAM WIMMER

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 28/09/2021, às 15:41, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2900329 e o código CRC A4169F3E no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2900329

Voto 13 (2900329) SEI 00261.000821/2021-16 / pg. 7

Página 8

PRESIDÊNCIA DA REPÚBLICA

PR/PROTOCOLO/ANPD/SG/ANPD

VOTO Nº 12/2021/ANPD/GABPR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000821/2021-16

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte.

VOTO EM CIRCUITO DELIBERATIVO N. 13/2021 -

DIRETOR PRESIDENTE WALDEMAR GONÇALVES

Voto no Circuito Deliberativo:

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, em 01/10/2021, às 15:24, conforme horário oficial de Brasília, com fundamento no § 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020. .

A autenticidade do documento pode ser conferida informando o código verificador 2924654 e o código CRC F660C0E6 no site: https://sei-pr.presidencia.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0

Referência: Processo nº 00261.000821/2021-16 SEI nº 2924654

Voto 12 (2924654) SEI 00261.000821/2021-16 / pg. 8