Projeto de lei objetiva alterar disposições da LGPD sobre divulgação de incidentes de segurança

Foi apresentado no dia 13 de abril, pelo relator Deputado Marcos Tavares (PDT/RJ), o projeto de Lei n. 1876/2023, que tem por objetivo adicionar à Lei Geral de Proteção de Dados Pessoais (LGPD) o art. 54-A:

“Art. 54-A Os agentes de tratamento deverão divulgar em veículos de comunicação social de grande circulação e em suas páginas e perfis, qualquer incidente de segurança que possa acarretar em risco ou dano relevante aos titulares, devendo informar o ocorrido à Autoridade Nacional de Proteção de Dados Pessoais.”

A finalidade da alteração legislativa proposta é obrigar a divulgação de incidentes de segurança de dados pessoais que possam acarretar risco ou dano, em veículos de comunicação social, independentemente do efetivo impacto aos titulares, da quantidade de indivíduos afetados e desconsiderando se, realmente, a divulgação pública é a melhor medida para resguardar os direitos dos titulares.

O art. 52, IV da LGPD já prevê que uma das sanções possíveis, a ser aplicada pela Autoridade Nacional de Proteção de Dados Pessoais (ANPD), é, justamente, a publicização da infração, após apurada e confirmada a sua ocorrência. Ou seja, a divulgação do incidente em veículo de comunicação social já está prevista na LGPD e só se dá após o devido processo legal, garantindo-se o contraditório ao controlador, exatamente por ser uma medida que não só gera um ônus ao agente de tratamento, mas também por ter um impacto reputacional significativo – que tende a se traduzir em perda de clientes, negócios e, portanto, receitas.

O artigo proposto traz ainda outro ponto controverso, pois, além de desconsiderar o devido processo legal já determinado pela LGPD, indica que a mera possibilidade de acarretar o risco ou dano aos titulares já geraria a obrigação de publicização do incidente – não ficando claro se ele deve ser confirmado ou não.

O projeto de lei não considera o tratamento de dados por profissionais liberais e agentes de tratamento de pequeno porte, tampouco em relação ao volume de dados afetados pelo incidente. Nesse prisma, obrigar qualquer controlador a divulgar um incidente em veículo de grande circulação é gerar um ônus incompatível com a sistemática da LGPD.

Por fim, o art. 2º do PL 1876/2023 delega a competência e responsabilidade de estabelecer as normas complementares necessárias para a execução da lei ao Poder Executivo Federal, em vez de atribuir tal competência à ANPD. Com isso, tal abordagem abre margem para possíveis conflitos regulatórios entre a ANPD e eventuais decretos expedidos pelo Executivo.

Estamos acompanhando o trâmite legislativo da matéria e manteremos nossos clientes atualizados a respeito.