A resposta a ofícios e requisições da Autoridade Nacional de Proteção de Dados (ANPD) ou de outros órgãos reguladores

A resposta a ofícios e requisições da Autoridade Nacional de Proteção de Dados (ANPD) ou de outros órgãos reguladores deve seguir um rito estruturado, focado na transparência, prestação de contas (accountability) e estrito cumprimento de prazos.

Abaixo estão os procedimentos detalhados para organizar essa resposta, divididos por etapas:

1. Recebimento e Triagem pelo Encarregado (DPO)

• Ponto de Contato Oficial: O Encarregado de Proteção de Dados (DPO) é o responsável legal por receber as comunicações da ANPD e de outras autoridades, prestar os esclarecimentos necessários e adotar as providências internas.

• Acionamento do Comitê: Em caso de ofícios relacionados a incidentes de segurança, o DPO deve acionar imediatamente o Comitê de Crise da organização para coordenar uma resposta multissetorial (envolvendo TI, Jurídico, Comunicação, etc.).

2. Identificação e Controle de Prazos

O cumprimento do prazo é crítico. O atraso ou a ausência de resposta pode ser considerado obstrução à atividade de fiscalização, caracterizando circunstância agravante e sujeitando a empresa a sanções repressivas.

• Ofícios de Fiscalização/Monitoramento (ANPD): Em processos de monitoramento ou instrução, o agente de tratamento geralmente recebe um prazo para manifestação, que costuma ser de 10 dias para apresentar defesa ou esclarecimentos iniciais.

• Notificação de Incidente de Segurança (ANPD): A comunicação oficial deve ser feita no prazo de 3 (três) dias úteis, contados a partir do conhecimento do incidente. Caso não seja possível enviar todas as informações de imediato, pode-se fazer uma comunicação preliminar e complementá-la no prazo de 20 dias úteis.

  • (Nota: dependendo do porte da empresa, ATPPs (Agente de tratamento Pequeno Porte) podem ter prazo em dobro, exceto se houver risco à vida/integridade).

• Prazos de Outros Órgãos Competentes:

  • Bacen (Instituições Financeiras): Comunicação tempestiva em caso de incidentes relevantes.

  • Susep (Seguradoras): Prazo máximo de 5 dias úteis a partir do conhecimento do evento.

  • Aneel (Setor Elétrico): Assim que o agente tiver ciência da dimensão do incidente.

  • Senacon / Autoridades Consumeristas: Comunicação “imediata” aos consumidores e autoridades. No caso de vazamento em Cadastro Positivo, o prazo é de 2 dias úteis.

3. Levantamento de Informações e Evidências (Instrução)

O controlador deve reunir toda a documentação comprobatória exigida. A ANPD tem o poder de requisitar acesso irrestrito a documentos, sistemas e instalações,.

• Para Ofícios Gerais (Denúncias/Fiscalização): É necessário fornecer cópias de documentos (físicos ou digitais) que demonstrem a base legal utilizada, a finalidade do tratamento e os registros das operações de tratamento (ROPA),.

• Para Ofícios sobre Incidentes: A resposta deve conter, obrigatoriamente,,,:

  • A descrição da natureza e categoria dos dados pessoais afetados.

  • O número de titulares afetados (discriminando vulneráveis, como crianças ou idosos).

  • As medidas técnicas e administrativas de segurança adotadas antes e após o evento.

  • Os riscos e impactos possíveis aos titulares.

  • A data de ocorrência, data de detecção e, se for o caso, a causa raiz do incidente.

  • As medidas adotadas para reverter ou mitigar os danos.

• Relatórios Técnicos: A Autoridade pode exigir o envio do Relatório Técnico Forense da investigação e cópia do pedido de resgate de dados (em casos de ransomware),. A ANPD também pode determinar a elaboração e entrega do Relatório de Impacto à Proteção de Dados Pessoais (RIPD).

4. Elaboração da Resposta e Sigilo

• Clareza e Completude: A resposta ao ofício deve ser redigida apresentando todas as informações solicitadas, atuando como a “defesa” ou manifestação do agente perante os fatos apontados.

• Garantia de Sigilo: Ao submeter as informações, o controlador pode e deve solicitar, de maneira fundamentada, o sigilo sobre informações que representem segredo comercial ou industrial, garantindo que a ANPD restrinja o acesso público a esses dados específicos.

5. Envio e Acompanhamento

• Meio de Protocolo: As respostas e comunicações à ANPD devem ser protocoladas digitalmente por meio do sistema eletrônico oficial (Sistema Único de Processo Eletrônico em Rede – SUPER ou SEI), devendo o representante demonstrar seus poderes por meio de procuração,.

• Cooperação e Boas Práticas: Demonstrar atitude colaborativa e apresentar um plano de resposta a incidentes ou um plano de conformidade (accountability) são fatores atenuantes na dosimetria de eventuais sanções,.

• Acompanhamento: Após a resposta, a ANPD emitirá uma nota técnica avaliando os esclarecimentos, podendo determinar o arquivamento, expedir recomendações/medidas preventivas de adequação, ou instaurar um Processo Administrativo Sancionador (PAS).