órgão brasileiro de administração pública, responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados em todo o território brasileiro.
Processo de Comunicação de Incidente
Processo de Comunicação de Incidente
Este processo descreve todos os passos que devem ser seguidos pelo Conselho Regional de Educação Física da 11ª Região Mato Grosso do Sul - CREF11/MS para avaliar um incidente com Dados Pessoais e tomar a decisão de realizar a comunicação à autoridade reguladora ANPD – Agência Nacional de Proteção de Dados.
02
Escopo / Alcance
Este processo está destinado a todos os colaboradores do CREF11/MS como os ocupantes de funções gerenciais, empregados, terceiros contratados, temporários, jovens aprendizes e estagiários.
03
Conceitos
04
Procedimento
Quando um incidente com Dados Pessoais for identificado, deverá ser feita a avaliação se há necessidade de comunicação à ANPD. Normalmente, a avaliação se um incidente deve ser reportado à ANPD é de responsabilidade do Encarregado de Dados (DPO).
1
Identificação e avaliação inicial
Quando um incidente com Dados Pessoais for identificado, deverá ser feita a avaliação se há necessidade de comunicação à ANPD. Normalmente, a avaliação se um incidente deve ser reportado à ANPD é de responsabilidade do Encarregado de Dados (DPO).
2
Registro do incidente
O Encarregado de Dados (DPO) deve utilizar o formulário Registro de Incidente de Segurança em anexo.
3
Informações do incidente
Preencher as informações do incidente (bloco A do formulário)
4
Avaliação de risco
Realizar a avaliação de risco para identificar se o incidente deve ser reportado à ANPD (bloco B). O próprio formulário dará uma indicação preliminar se o incidente deve ser comunicado ou não baseada nas respostas de cada questão.
5
Decisão do Comitê
Levar o incidente para o Comitê de Segurança da Informação e Proteção de Dados, para decidir sobre a comunicação à ANPD e/ou aos Titulares de Dados, documentando claramente a razão para a decisão tomada, inclusive com referência à reunião do Comitê na qual a decisão foi tomada (bloco C).
6
Comunicação à ANPD
Caso a decisão seja por comunicar a ANPD, preparar toda a informação de acordo com o requerido pela ANPD, atentando para o prazo de até 3 (três) dias úteis a partir do conhecimento do CREF11/MS de que o incidente de segurança envolvendo dados pessoais pode acarretar risco ou dano relevante aos titulares (bloco D).
A comunicação é feita pelo site da ANPD por meio de peticionamento eletrônico no link abaixo. Para tanto, é necessário preencher o Formulário de Comunicação de Incidente de Segurança com Dados Pessoais desenvolvido pela ANPD e que segue anexo a este processo.
7
Informações preliminares
As informações de um incidente podem ser feitas de maneira preliminar, ainda que não estejam disponíveis todas as informações, que poderão ser complementadas junto à ANPD em até 20 (vinte) dias úteis após a data de comunicação inicial do incidente.
8
Registro do histórico
Todas as devolutivas da ANPD, assim como as respostas do CREF11/MS, devem ser documentadas para ter o registro do histórico da comunicação (bloco E).
9
Comunicação aos Titulares de Dados
Caso o Comitê tome a decisão de comunicar os Titulares de Dados, preparar toda a informação de acordo com o requisitado pela ANPD, atentando para o prazo de até 3 (três) dias úteis após o CREF11/MS ter conhecimento do incidente de segurança. Para preparar a comunicação aos Titulares de Dados deverão ser envolvidas as áreas de Comunicação e Jurídica do CREF11/MS, além do próprio Comitê (bloco F).
10
Compartilhamento com outras partes
No processo de comunicação, o Encarregado de Dados (DPO) deverá avaliar a necessidade de comunicar outras partes em que haja o compartilhamento de dados pessoais, como Operadores ou Cocontroladores (bloco G).
11
Conclusão do incidente
O Encarregado de Dados (DPO) deverá registrar a conclusão do incidente (bloco H) de segurança, que é fundamental para criar uma base de conhecimento visando evitar incidentes futuros e prejuízos ao CREF11/MS:
12
Prazo de manutenção
A documentação dos incidentes, reportados ou não à ANPD, e suas decisões devem ser mantidas pelo prazo de 5 (cinco) anos.
05
Exceções a este processo
Todo pedido de exceção a este processo deverá ser solicitado formalmente ao Comitê de Segurança da Informação e Proteção de Dados. O requerimento será analisado e, se aprovado, deverá ser por escrito, com as recomendações que a decisão julgar pertinentes. O Comitê de Segurança da Informação e Proteção de Dados terá a decisão final da exceção e da interpretação do fato e seu devido enquadramento.
06
Sanções e Penalidades
Qualquer violação da Lei aplicável ou deste processo poderá causar graves danos ao CREF11/MS e, como resultado, causaria penalidades disciplinares, multas, ações judiciais, processos administrativos, perda da licença e, ainda, a quebra de contrato com os profissionais registrados e parceiros de negócio.
Todo colaborador do CREF11/MS ou terceiro, que não cumpra este processo, poderá sofrer sanções disciplinares, com a gradação da pena, conforme a infração praticada, que poderá resultar em: advertência verbal, advertência escrita, podendo haver a decisão de demissão por justa causa, e responsabilização pela indenização dos danos causados, inclusive o infrator ser levado às autoridades policiais e judiciais, se a infração se configurar em crime.
O CREF11/MS se reserva o direito de disciplinar e, se for o caso, instaurar processo administrativo disciplinar para apurar condutas incompatíveis com os princípios éticos e valores do CREF11/MS.
07
Retenção de registros
O CREF11/MS documenta, arquiva e guarda os registros das atividades desenvolvidas e decisões proferidas em procedimentos administrativos ou judiciais decorrentes da aplicação deste processo, no prazo legal, em conformidade com a legislação aplicável da jurisdição onde opera.
08
Histórico de Revisão
Este processo deverá ser revisado quando houver uma mudança interna na operação ou a implantação de novas tecnologias.
Versão
V1.0
Data de emissão
29/07/2026
Autor
Sergio Woisky
Razão da emissão
Versão inicial
09
Anexo
ANEXO – FORMULÁRIO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS
ANEXO – FORMULÁRIO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS
