Quatro pontos que o corretor de seguros precisa saber

A Resolução CD/ANPD nº 15, de 24 de abril de 2024, que estabelece as regras para a comunicação de incidentes de segurança envolvendo dados pessoais à Autoridade Nacional de Proteção de Dados e aos titulares, impacta diretamente na atuação do corretor de seguros.

Diretor de seguros do Grupo Bluecyber – insurtech pioneira em seguro cibernético – e uma das maiores autoridades na corretagem de seguros cibernéticos no Brasil desde 2017, Claudio Macedo destaca que é essencial o corretor entender o que é considerado um incidente de segurança e quais devem ser comunicados para evitar penalidades no âmbito da atividade de corretor de seguros.

“A resolução indica que o responsável pela comunicação do incidente é o controlador dos dados pessoais, ou seja, o corretor de seguros. E o prazo é de três dias úteis. Porém, para os agentes de tratamento de pequenos portes, que é o caso da maioria das corretoras, o prazo pode chegar a seis dias”, informa.

Definição de incidente – É o evento adverso que comprometa a confidencialidade, integralidade, disponibilidade e autenticidade da segurança de dados pessoais, segundo definição da ANPS. Podem decorrer de ações voluntárias ou acidentais que resultem na divulgação, difusão, alteração, perdas indevidas ou acessos não autorizados a dados pessoais, independentemente do meio em que estão armazenados.

Necessidade de comunicação – Devem ser comunicados à ANPD, através do  procedimento de Comunicação de incidente de segurança (https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) e aos titulares os incidentes de segurança com dados pessoais que causarem risco ou danos mais relevantes aos titulares, impedindo o exercício de direitos ou a utilização de um serviço ou ocasionar danos materiais ou morais aos titulares. Deve envolver pelo menos um dos seguintes critérios: dados pessoais sensíveis, a exemplo de saúde, financeiros, de crianças, adolescentes ou idosos, sobre autenticação em sistemas e dados protegidos por sigilo legal, judicial ou profissional.

Manutenção de registro – Ainda que não haja a necessidade de comunicação do incidente, o que será avaliado pelo corretor de seguros, o profissional deverá manter o registro de incidentes de segurança, inclusive daqueles não comunicados à ANPD e aos titulares, pelo prazo mínimo de cinco anos, contados a partir da data do registro, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção.

Sanções – O não cumprimento dos procedimentos poderá ter seis consequências.

1.      Advertência, que serve como um aviso de que a organização ou indivíduo está em desacordo com as disposições da LGPD e deve tomar medidas corretivas para se adequar às normas de proteção de dados. É a mais branda das sanções.

2.      Multa, que pode ser simples, ou seja, aplicada uma vez sobre a infração, ou diária,sendo aplicado um valor permanente a cada dia que a infração persistir. Elas possuem um limite de até 2% do faturamento do grupo econômico no último ano de exercício fiscal, podendo chegar ao máximo de R$ 50 milhões por infração.

3.      Restrição do uso de dados pessoais, situação na qual a empresa infratora poderá ter, de maneira parcial ou total, o bloqueio dos dados referentes à infração, até que a empresa esteja regularizada.

4.      Bloqueio ou eliminação permanente. Em casos mais graves, a suspensão pode ser mantida, mesmo que a empresa tenha regularizado o tratamento, podendo o bloqueio (ou eliminação) dos dados ser até mesmo permanente. É possível, ainda, que a ANPD proíba parcial ou totalmente as atividades relacionadas ao uso de dados, ainda que não tenham ligação direta com a infração em questão.

5.     Publicidade da infração, ou seja, tornar à infração à Lei Geral de Proteção de Dados (LGPD) um acontecimento público, o que pode afetar a imagem de uma empresa perante seus clientes. A sanção de publicização pode ter efeitos pequenos ou muito grandes, a depender do quanto as pessoas afetadas se importam com a proteção de seus dados pessoais.

6.      Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dado, de forma temporária ou definitiva, a ser definida pela ANPD.

Tangará Comunicação