O recente despacho decisório, emitido pela Autoridade Nacional de Proteção de Dados (ANPD), no âmbito do Processo Administrativo Sancionador nº 00261.001886/2022-51, trouxe implicações importantes para a Secretaria de Estado da Saúde de Santa Catarina (SES/SC). O caso envolveu uma análise de alegadas infrações à Lei Geral de Proteção de Dados Pessoais (LGPD) por parte da SES/SC e verificadas em medidas sancionatórias e corretivas.

Para compreender melhor as implicações desse despacho, é fundamental analisar as infrações alegadas, as avaliações aplicadas e as medidas corretivas pertinentes.

Infrações à LGPD:

O processo sancionador foi instaurado em virtude de infrações à LGPD pela Secretaria de Estado da Saúde de Santa Catarina. Duas das infrações foram referentes aos artigos da LGPD: a primeira relacionada ao artigo 38, que trata do tratamento de dados pessoais sem o consentimento do titular, e a segunda relacionada ao artigo 48, que envolve o descumprimento das obrigações de comunicação de incidentes de segurança.

Além disso, a Secretaria também foi alegadamente responsabilizada por infrações ao artigo 49 da LGPD, que trata das responsabilidades dos encarregados de dados, e ao artigo 5º do Regulamento de Fiscalização da ANPD.

Ao total, foram 4 (quatro) sanções aplicadas:

PRIMEIRA ADVERTÊNCIA em relação à infração ao artigo 38 da LGPD, sem a imposição de medida corretiva. Isso indica que a Secretaria foi notificada sobre a violação e recebeu um aviso formal da ANPD sobre a gravidade da infração, sem necessidade de ação corretiva adicional.

SEGUNDA ADVERTÊNCIA foi relacionada à infração ao artigo 48 da LGPD, e nesse caso, uma medida corretiva foi imposta. A Secretaria foi obrigada a manter a informação sobre o incidente na página inicial do seu site por mais 90 dias a partir da data da publicação da decisão no Processo Administrativo Sancionador. Isso permite que os titulares de dados afetados tomem ciência do incidente e busquem informações relevantes.

Além disso, a Secretaria deve fornecer prova de que a medida corretiva foi cumprida por meio da apresentação de capturas de tela do local a cada 30 dias, por um período de 90 dias, comprovando que a informação sobre o incidente foi mantida visível.

TERCEIRA ADVERTÊNCIA, referente à infração do artigo 49 da LGPD, não impõe medida corretiva, diminui novamente uma notificação sobre a infração, mas sem exigir ações adicionais por parte da Secretaria.

QUARTA ADVERTÊNCIA foi baseada na infração do artigo 5º do Regulamento de Fiscalização, sem a imposição de medida corretiva.

As medidas corretivas impostas pela ANPD visam garantir o cumprimento das obrigações previstas na LGPD e no Regulamento de Fiscalização. Mais significativamente é a obrigação de enviar Comunicados Individuais de Segurança (CIS) aos titulares de dados identificados a partir de informações obtidas de um arquivo vazado e veiculado no site "RAID FORUMS". A Secretaria de Estado da Saúde de Santa Catarina deverá fornecer comprovação de que essa medida foi cumprida, apresentando uma planilha com informações elaboradas dos titulares notificados, incluindo seus nomes completos e informações de contato.

O despacho decisório no Processo Administrativo Sancionador contra a Secretaria de Estado da Saúde de Santa Catarina reflete a seriedade com que a ANPD aborda a proteção de dados pessoais. A aplicação de avaliações e medidas corretivas demonstra o compromisso com o cumprimento da LGPD e a importância de garantir a privacidade e a segurança dos dados dos cidadãos. Esse caso serve como um lembrete de que as organizações devem estar atentas às suas obrigações legais relacionadas à proteção de dados pessoais e agir prontamente para corrigir possíveis infrações. A Secretaria agora tem a responsabilidade de cumprir as avaliações e medidas corretivas previstas pela ANPD, demonstrando seu comprometimento com a conformidade da LGPD.