A Autoridade Nacional de Proteção de Dados (ANPD) aplicou em outubro de 2023, em decorrência do Processo Administrativo Sancionador nº 00261.001969/2022-41, a segunda sanção administrativa contra o Instituto de Assistência ao Servidos Público Estadual de São Paulo (IAMSPE).
A investigação do descumprimento da Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) – LGPD pelo IAMSPE teve início com uma denúncia realizada por e-mail em janeiro de 2022, informando falha de segurança que permitia o acesso de dados pessoais da base de servidores públicos (ex. CPF, Nome, RG, endereço, telefone, salário, bem como imagens de documentos como CNH, RG e comprovante de residência). Ressalta-se que o IAMSPE apenas encaminhou o formulário de comunicação de incidente de segurança à ANPD em 27/05/2022, após ser oficiado pela mencionada autoridade.
Ainda, no entendimento da ANPD houve (i) falha no cumprimento da obrigação de informar, em tempo adequado, todos os titulares afetados pela falha de segurança (art. 48 da LGPD); (ii) bem como que os sistemas utilizados pelo IAMSPE não atendiam os requisitos de segurança necessários as boas práticas e governança, conforme determinado na LGPD (art. 49 da LGPD), destacando-se a falta de garantia da confidencialidade dos dados pessoais, de modo a assegurar que estes fossem acessados apenas pelas pessoas autorizadas. Assim, o IAMSPE foi advertido duas vezes.
A ANPD também determinou as medidas corretivas, são estas:
(i) Prazo de 10 dias úteis, contados da data da intimação, para adequar a comunicação que já existente no sítio do IAMSPE, devendo mantar o comunicado disponível por 90 dias, bem como comprovar o cumprimento periodicamente.
(ii) Informar à ANPD o resultado dos programas e objetivos desenvolvidos e implementados, devendo reportar o andamento e apresentar o cronograma para cumprimento no prazo de 10 dias úteis da data de intimação, bem como apresentar comprovação do cumprimento da medida.
Destaca-se que na dosimetria a ANPD considerou a determinação contida no artigo 3º do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, segundo o qual fica afastada a aplicação de multa simples e multa diária para órgãos públicos, como é o caso do IAMSPE, além de determinar que os órgãos públicos, que não experimentaram sanções anteriores no mesmo caso, estão sujeitos apenas às sanções de advertência, publicização da infração, bloqueio e eliminação dos dados pessoais.
Com base no regulamento mencionado no parágrafo anterior, a ANPD classificou as infrações como graves, em especial em decorrência de o IAMSPE tratar dados pessoais de crianças, adolescentes e idosos (grupos considerados vulneráveis).
Desde as sanções acima, mais dois processos sancionadores foram realizados, um contra o Instituto de Pesquisa Jardim Botânico do Rio de Janeiro – JBRJ e outro contra a
Secretaria de Estado da Saúde de Santa Catarina.
Luiza Alcantara Prado Pazini – Graduada em direito pela Pontifícia Universidade Católica de Campinas – PUCCAMP em 2018. Pós-graduada em Direito Digital pela Pontifícia Universidade Católica de Campinas – PUCCAMP, em 2019. Atuação predominante na área cível. OAB/SP 424.816