COMUNICAÇÃO DE INCIDENTES DE SEGURANÇA NA LEI GERAL DE PROTEÇÃO DE DADOS

A DEFINIÇÃO DO PRAZO MEDIANTE ANÁLISE DE IMPACTO REGULATÓRIO COMO INSTRUMENTO INDISPENSÁVEL AO ENFORCEMENT DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS

Resumo

Quando da ocorrência de incidentes de segurança envolvendo dados tutelados pela Lei Geral de Proteção de Dados, o normativo exige que haja uma comunicação em tempo hábil para com a Autoridade Nacional de Proteção de Dados e, caso não haja, poder-se-ia aplicar sanções, nos termos do art. 52 da LGPD. Ocorre que não há um prazo previamente estabelecido mediante instrumento normativo legal ou regulamentar. Dessa forma, o problema de pesquisa deste artigo pode ser expresso pelo seguinte questionamento: são válidas as sanções administrativas aplicadas pela Autoridade Nacional de Proteção de Dados pela não comunicação do controlador da ocorrência dos incidentes de segurança no prazo sugerido pela autarquia especial? Para responder a esse problema, dois objetivos são estabelecidos: 1) a verificação da competência regulamentar da ANPD sob a ótica das Leis das Agências, da Lei de Liberdade Econômica (LLE), bem como do Decreto n. 10.411/2020; e 2) a identificação da natureza do problema regulatório e a demonstração da necessária e prévia elaboração de Análise de Impacto Regulatório (AIR) para aplicar sanções na situação fática posta em análise. Conclui-se que pela invalidade as sanções administrativas aplicadas pela Autoridade Nacional de Proteção de Dados pela não comunicação do encarregado da ocorrência dos incidentes de segurança sem prévia estipulação de prazo adequado mediante AIR, sob pena de violação do princípio constitucional da legalidade, do art. 5° da LLE e do art. 6° da Lei das Agências. A pesquisa adota o método integrado e a técnica de pesquisa bibliográfica