Formulário de Comunicação de Incidente de Segurança com Dados Pessoais

Dados do Controlador

Dados do Encarregado pelo Tratamento de Dados Pessoais

Dados do Notificante / Representante Legal

A documentação comprobatória da legitimidade para representação do controlador junto à ANPD deve ser protocolada em conjunto com o formulário de comunicação de incidente.

Exemplos:

  • Encarregado: ato de designação/nomeação/procuração.
  • Representante: ato constitutivo (contrato/estatuto social) e procuração, se cabível.

Nos termos do REGULAMENTO DE APLICAÇÃO DA LEI Nº 13.709, DE 14 DE AGOSTO DE 2018, aprovado pela RESOLUÇÃO CD/ANPD Nº 2, DE 27 DE JANEIRO DE 2022. (https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-2-de-27-de-janeiro-de-2022-376562019)

Tipo de Comunicação

Todas as informações a respeito do incidente estão disponíveis e a comunicação aos titulares já foi realizada.
Nem todas as informações sobre o incidente estão disponíveis, justificadamente, ou a comunicação aos titulares ainda não foi realizada. A complementação deverá ser encaminhada em até 30 dias corridos da comunicação preliminar.
Complementação de informações prestadas em comunicação preliminar. A comunicação complementar deve ser protocolada no mesmo processo que a comunicação preliminar.

A comunicação preliminar é insuficiente para o cumprimento da obrigação estabelecida pelo art. 48 da LGPD e deve ser complementada pelo controlador no prazo estabelecido.

Avaliação do Risco do Incidente

Da Ciência da Ocorrência do Incidente

Por qual meio se tomou conhecimento do incidente?

Caso o incidente tenha sido comunicado ao controlador por um operador, informe:

Dados do Operador

Cabe ao controlador solicitar ao operador as informações necessárias à comunicação do incidente.

Da Tempestividade da Comunicação do Incidente

Informe as seguintes datas, sobre o incidente:
Se cabível, informe quando e a quais outras autoridades o incidente foi comunicado:

Da Comunicação do Incidente aos Titulares dos Dados

O comunicado aos titulares deve utilizar linguagem clara e conter, ao menos, as seguintes informações:

  1. Resumo e data de ocorrência do incidente;
  2. Descrição dos dados pessoais afetados;
  3. Riscos e consequências aos titulares de dados;
  4. Medidas tomadas e recomendadas para mitigar seus efeitos, se cabíveis;
  5. Dados de contato do controlador para obtenção de informações adicionais sobre o incidente.

Se não atendidos os requisitos, o comunicado aos titulares deverá ser devidamente retificado.

Poderá ser solicitada pela ANPD, a qualquer tempo, cópia do comunicado aos titulares para fins de fiscalização.

Descrição do Incidente

Impactos do Incidente Sobre os Dados Pessoai

De que formas o incidente afetou os dados pessoais
Houve acesso não autorizado aos dados, violando seu sigilo.
Houve alteração ou destruição de dados de maneira não autorizada ou acidental.
Houve perda ou dificuldade de acesso aos dados por período significativo.
Se aplicável, quais os tipos de dados pessoais sensíveis foram violados?
Quais os demais tipos de dados pessoais violados?

Riscos e Consequências aos Titulares dos Dados

Foi elaborado um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) das atividades de tratamento afetadas pelo incidente?
Quais as categorias de titulares foram afetadas pelo incidente?
Quais as prováveis consequências do incidente para os titulares

Titular afetado é aquele cujos dados podem ter tido a confidencialidade, integridade ou disponibilidade violadas e que ficará exposto a novos riscos relevantes em razão do incidente.

Qual o provável impacto do incidente sobre os titulares?

Medidas de Segurança, Técnicas e Administrativas, para a Proteção dos Dados Pessoais

Os dados violados estavam protegidos de forma a impossibilitar a identificação de seus titulares?
Antes do incidente, quais das seguintes medidas de segurança eram adotadas?
Após o incidente, foi adotada alguma nova medida de segurança?
As atividades de tratamento de dados afetadas estão submetidas a regulações de segurança setoriais:

Cabe ao agente regulado solicitar à ANPD o sigilo de informações protocoladas nos processos relativas à sua atividade empresarial, como dados e informações técnicas, econômico-financeiras, contábeis, operacionais, cuja divulgação possa representar violação a segredo comercial ou a industrial, nos termos do §2º Art. 5º do Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador.