*Imagem: fancycrave1; CC BY.
Nesta sexta-feira, dia 6 de outubro, a Autoridade Nacional de Proteção de Dados (ANPD) tornou pública uma decisão da Coordenação-Geral de Fiscalização (CGF) referente ao encerramento do processo administrativo sancionador envolvendo o Instituto de Assistência ao Servidor Público Estadual de São Paulo (IAMSPE), um órgão público.
A conclusão da CGF é que o IAMSPE violou o artigo 49 da Lei Geral de Proteção de Dados Pessoais (LGPD) ao não manter sistemas seguros para o armazenamento e tratamento de dados pessoais de milhões de servidores públicos do estado de São Paulo, bem como de seus dependentes, que são beneficiários dos serviços de saúde oferecidos pelo órgão.
Adicionalmente, constatou-se que o IAMSPE enfrentou um incidente de segurança e não comunicou de forma transparente, adequada e oportuna aos titulares de dados quais informações pessoais poderiam ter sido afetadas por esse incidente. Essa falta de clareza, adequação e prontidão na comunicação aos titulares foi considerada uma infração ao artigo 48 da LGPD, que estipula que o controlador de dados pessoais deve notificar à Autoridade Nacional e aos titulares sobre qualquer incidente de segurança que possa resultar em risco ou dano significativo aos titulares.
Como medidas sancionatórias pelas infrações cometidas pelo IAMSPE, a CGF impôs duas advertências, uma para cada infração. Além disso, a Coordenação-Geral estabeleceu medidas corretivas que o IAMSPE deve adotar para reduzir os efeitos das violações à LGPD e evitar reincidências no futuro.
Entre as medidas corretivas, o instituto deve criar um cronograma para implementar medidas que reforcem a segurança de seus sistemas de armazenamento e tratamento de dados pessoais, tornando-os menos suscetíveis a incidentes de segurança. Também foi determinado que a atualização do comunicado aos titulares seja disponibilizada no site do IAMSPE na internet por um período mínimo de 90 dias.
Por fim, é importante destacar que o órgão público tem o direito de recorrer da decisão da CGF, apresentando um recurso ao Conselho Diretor da Autoridade Nacional, dentro de um prazo de 10 dias úteis, a partir da data de recebimento da intimação emitida pela ANPD.