Plano de Resposta a Incidentes de Segurança em Dados Pessoais

1. Contextualização

A Lei nº 13.709/2018 (Lei Geral de Proteção de Dados) impõe aos agentes de tratamento o dever de adotar medidas de segurança aptas a proteger os dados pessoais e de comunicar os incidentes de segurança que possam acarretar risco ou dano relevante aos titulares.

Por atuar no setor de saúde, tratando de forma intensiva dados pessoais sensíveis, o laboratório está sujeito a cuidados adicionais e à proteção diferenciada conferida a esses dados, conforme o art. 11 da Lei nº 13.709/2018.

Incidente de segurança é qualquer evento, acidental ou ilícito, que resulte em acesso não autorizado, destruição, perda, alteração, divulgação ou qualquer forma de tratamento inadequado de dados pessoais.

Este Plano de Resposta a Incidentes descreve como o laboratório deve agir diante de tais situações, com o objetivo de conter danos, preservar evidências, restabelecer os serviços e cumprir as obrigações legais de comunicação e transparência.

2. Objetivo, abrangência e vigência

2.1. Este Plano tem por objetivo orientar o laboratório na resposta a incidentes de segurança em dados pessoais de forma documentada, ágil e confiável, definindo papéis, responsabilidades e etapas do processo.

2.2. Aplica-se a todos os incidentes envolvendo dados pessoais tratados pelo laboratório e deve ser observado por todos os colaboradores, prestadores de serviços e operadores que tenham acesso a dados sob sua responsabilidade.

2.3. Entra em vigor na data de sua aprovação, por prazo indeterminado, podendo ser revisado sempre que necessário, especialmente após a ocorrência de incidentes ou de alterações normativas.

3. Termos e definições

• Agentes de tratamento: o controlador e o operador.
• Controlador: a quem competem as decisões sobre o tratamento de dados. No laboratório, a Direção.
• Operador: quem trata dados em nome do controlador, como prestadores de tecnologia e laboratórios de apoio.
• Encarregado (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação com os titulares e a ANPD, conforme art. 41 da Lei nº 13.709/2018.
• ANPD: Autoridade Nacional de Proteção de Dados, responsável por fiscalizar o cumprimento da lei.
• Dados pessoais sensíveis: dados sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical e dados genéticos ou biométricos vinculados a pessoa natural, conforme art. 5º, inciso II, da Lei nº 13.709/2018.
• Incidente de segurança: evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais.
• Risco ou dano relevante: situação que possa afetar significativamente interesses e direitos fundamentais dos titulares, notadamente quando envolver dados sensíveis ou de grande volume.

4. Estrutura de governança e responsabilidades

Considerando o porte do laboratório, a resposta a incidentes é conduzida pela seguinte estrutura:

• Notificante: qualquer pessoa, colaborador ou sistema que identifique ou suspeite de um incidente e o comunique imediatamente ao Encarregado.
• Encarregado pelo Tratamento de Dados (DPO): recebe as comunicações, realiza a triagem inicial, coordena a resposta, elabora os relatórios e conduz as comunicações à Direção, aos titulares e à ANPD.
• Direção do laboratório: instância decisória final sobre as medidas de contenção, comunicação e eventual acionamento de terceiros, respondendo como controladora.
• Responsável de Tecnologia da Informação: interno ou terceirizado, propõe e executa as medidas técnicas de contenção, erradicação e recuperação.
• Responsável pelo setor afetado: gerente ou colaborador que auxilia na identificação das causas e na adoção das medidas no processo impactado.

5. Macroetapas do processo

O processo de resposta a incidentes compreende as seguintes etapas:

1. Identificação e detecção: reconhecer e registrar o incidente ou a suspeita, com base em monitoramento, registros de eventos ou comunicações internas e externas.
2. Triagem: avaliação preliminar pelo Encarregado quanto à procedência, à criticidade e à necessidade de acionar os demais responsáveis.
3. Avaliação: análise aprofundada da natureza, da causa, da extensão e do risco do incidente, com classificação da criticidade.
4. Contenção, erradicação e recuperação: isolamento do problema, remoção da ameaça, restauração segura dos sistemas e processos e preservação das evidências.
5. Comunicação: comunicação à Direção, aos titulares e à ANPD, quando o incidente puder acarretar risco ou dano relevante.
6. Documentação e lições aprendidas: registro completo do incidente e revisão dos procedimentos para prevenir novas ocorrências.

6. Classificação da criticidade

A criticidade do incidente é definida pela combinação entre o volume de dados pessoais expostos e a sensibilidade desses dados, conforme o quadro a seguir:

Considera-se volume alto o incidente que afete parcela significativa da base de dados do laboratório ou grande quantidade de titulares.

Dado o perfil do laboratório, incidentes envolvendo dados de saúde tendem a ser classificados como de alta criticidade.

7. Contenção, erradicação e recuperação

7.1. Identificado o incidente, os responsáveis pelos sistemas e processos afetados são acionados para propor e executar as medidas de contenção, evitando a propagação do dano, com preservação das evidências úteis à identificação da causa e da autoria.

7.2. Quando o incidente decorrer de conduta humana, poderão ser adotadas medidas administrativas cabíveis, sem prejuízo das providências técnicas.

7.3. A recuperação compreende a restauração segura dos serviços, com testes e validações que assegurem a eliminação da ameaça antes do retorno à operação normal.

8. Comunicação do incidente

8.1. O Encarregado, com a Direção, avalia se o incidente pode acarretar risco ou dano relevante aos titulares. Em caso positivo, o laboratório comunica o incidente à ANPD e aos titulares afetados.

Prazo para comunicação à ANPD: nos termos da Resolução CD/ANPD nº 15/2024, a comunicação deve ser realizada em prazo razoável, não superior a 3 (três) dias úteis, contados do conhecimento do incidente que possa acarretar risco ou dano relevante.

8.2. A comunicação à ANPD deve ser realizada por meio do formulário eletrônico disponibilizado pela Autoridade, podendo ser complementada posteriormente.

8.3. A comunicação, conforme o art. 48, § 1º, da Lei nº 13.709/2018, deve conter, no mínimo:

• A descrição da natureza dos dados pessoais afetados, com indicação das categorias específicas;
• As informações sobre os titulares envolvidos e sua quantidade, ainda que estimada;
• A indicação das medidas técnicas e de segurança adotadas;
• Os riscos relacionados ao incidente;
• Os motivos da demora, caso a comunicação não tenha sido imediata;
• As medidas adotadas ou a serem adotadas para reverter ou mitigar os efeitos do incidente.

8.4. A comunicação aos titulares deve ser feita em linguagem clara e acessível, informando o ocorrido, os riscos e as medidas de proteção recomendadas.

Quando o operador identificar o incidente, deve comunicar o controlador imediatamente e, no máximo, em 2 (dois) dias úteis, para viabilizar o cumprimento dos prazos.

9. Documentação e lições aprendidas

9.1. Todo incidente deve ser documentado em registro próprio, contendo a linha do tempo, os envolvidos, as evidências, as decisões, as autorizações e as medidas executadas.

O Encarregado elabora relatório circunstanciado com a identificação, a natureza, os danos ou potenciais danos, a extensão do incidente e as providências adotadas.

9.2. Após a resolução, o Encarregado conduz reunião de lições aprendidas, com o objetivo de identificar causas, corrigir vulnerabilidades e aprimorar este Plano e as medidas de segurança do laboratório.

9.3. O laboratório mantém registro dos incidentes, ainda que não comunicados à ANPD, com a justificativa da avaliação de risco, para fins de prestação de contas, conforme art. 6º, inciso X, da Lei nº 13.709/2018.

10. Medidas preventivas

Para reduzir a probabilidade e o impacto de incidentes, o laboratório adota, entre outras, as seguintes medidas:

• Controle de acesso por função e autenticação individual;
• Política de senhas e, quando possível, duplo fator de autenticação;
• Cópias de segurança criptografadas;
• Atualização de sistemas e proteção contra programas maliciosos;
• Capacitação periódica dos colaboradores;
• Contratos de tratamento de dados com operadores;
• Controle do uso de dispositivos e mídias removíveis.

11. Referências

• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais;
• Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança;
• Resolução CD/ANPD nº 2/2022 — Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte;
• Guia Orientativo da ANPD sobre Segurança da Informação para agentes de tratamento de pequeno porte;
• RDC ANVISA nº 786/2023 e Resoluções do Conselho Federal de Medicina aplicáveis à guarda de registros de saúde.

12. Histórico de versões