Incidentes de segurança da informação e a importância da conformidade à LGPD

Vivemos na era do Big Data [1], marcada pela coleta e compartilhamento de informações, onde os dados pessoais dos indivíduos adquirem grande valor. Com a valorização dos dados pessoais, surgiu a necessidade de regulação do setor, vindo a ser editada no Brasil a chamada Lei Geral de Proteção de Dados (Lei nº 13.709, de 14 de agosto de 2018, "LGPD").

Não é raro, atualmente, ouvir-se falar que o site ou plataforma de determinada empresa está fora do ar, incluindo as maiores do mercado, e até mesmo que o sistema de órgãos do governo e tribunais foi comprometido devido a um incidente de segurança da informação.

Foi pensando nisso, que a LGPD, previu a segurança dos dados como um de seus princípios norteadores (artigo 6º, inciso VII) [2], estabelecendo alguns parâmetros a serem seguidos no tratamento dos dados pessoais, de modo a evitar que incidentes de segurança da informação ocorram e, caso ocorram, sejam remediados da melhor forma.

Assim, é importante levar-se em consideração que a Sociedade responsável pelo tratamento de dados deve instituir um plano preventivo de segurança, que envolve, mas não se limita, a implementação de programa de governança em privacidade; a nomeação de uma encarregado de dados ("DPO"); o mapeamento e a manutenção dos registros de operações de tratamento de dados pessoais; a avaliação dos riscos, incluindo a documentação em relatórios de impacto e realização de um planejamento para mitigação e implementação de melhorias relacionadas; contratação de cyber insurance para cobertura dos riscos conhecidos e não passiveis de eliminação; a designação prévia de comitês de crise, com a definição das respectivas responsabilidades de cada agente; a investigação prévia e homologação apenas de fornecedores e prestadores de serviços que estejam adequados à lei, com assinatura de contratos ou aditivos que estabeleçam as instruções e obrigações aos operadores; a instituição de mecanismos de segurança nos sistemas, abrangendo, inclusive, as práticas de privacy by design, privacy by default e a simulação de incidentes de segurança; além da disponibilização de treinamentos, visando não só qualificar os colaboradores, mas, também, conscientizá-los.

Neste ponto, importante frisar que a Autoridade Nacional de Proteção de Dados ("ANPD") ainda poderá regulamentar a matéria, instituindo ou alterando as medidas já previstas pela LGPD.

A respeito dos mecanismos de segurança, especificamente, tem-se que, segundo lecionam Fabiano Menke e Guilherme Goulart "a segurança que se espera não é aplicada exatamente aos dados em si, mas sim aos sistemas que os mantêm (medidas técnicas) e ao ambiente geral da instituição (medidas organizativas). Isso significa que não bastam as medidas técnicas, como o uso de firewalls, métodos criptográficos e controles de conteúdo, se elas não vierem acompanhadas de outras medidas, como treinamentos de segurança, criação de políticas de segurança da informação, inventários de ativos etc" [3].

Nesta perspectiva, um importante parâmetro existente para a manutenção da segurança dos sistemas é a certificação ISO 27001, que tem como objeto a disponibilização de requisitos para estabelecer, implementar, manter e melhorar, continuamente, um sistema de gestão de segurança da informação. Não obstante, ainda que referidas prática sejam adotadas, é possível que incidentes de segurança da informação ocorram.

Assim, a Sociedade que mantiver um plano preventivo consolidado, sairá na frente, visto que 1) poderá demonstrar à ANPD e outros órgãos regulatórios sua preocupação com a segurança dos dados pessoais e que continuamente adota medidas visando resguardar seus usuários; 2) em posse dos seus processos mapeados, conseguirá ter uma noção maior dos dados pessoais que foram comprometidos e o risco que o incidente pode oferecer aos titulares; e 3) já tendo estabelecidas as funções dos comitês de crise e seus respectivos agentes, poderá iniciar imediatamente o plano de contingência.

De qualquer forma, ocorrendo um incidente de segurança da informação, a Sociedade precisará pôr em prática planos de contenção, erradicação e restauração do ambiente, que demandam a elaboração e aplicação imediata de medidas técnicas e jurídicas que visem conter os riscos legais, comerciais e reputacionais da sociedade. Para tanto, a sociedade precisará do auxílio de um time interdisciplinar, que envolve a atuação de setores estratégicos da própria instituição, como diretoria, DPO e a área de TI, especialistas na seara de gestão de crise, perícia informática e/ou especialistas da plataforma e sistemas comprometidos, além de uma equipe jurídica especializada.

Assim, após o incidente ser contido, a Sociedade precisará analisar de forma cautelosa e detalhada quais foram as informações envolvidas no episódio, de modo a identificar a natureza e o volume dos dados comprometidos.

Verificando que os dados comprometidos tratam-se de dados pessoais, a Sociedade precisará fazer um estudo chamado Data Breach Score, de modo a apurar a gravidade e o risco oferecido aos titulares com o incidente de segurança. Para tanto, poderá ser utilizada a metodologia da European Union Agency for Network and Information Security (Enisa) [4] para avaliação da gravidade das violações de dados pessoais, enquanto a ANPD não disponibilizar recomendações próprias para o Brasil.

A partir desse estudo, será avaliada a necessidade de comunicação dos titulares, ANPD e demais órgãos regulatórios como Procon, Senacom, CVM e Bacen acerca do incidente de segurança. Isso porque, conforme a própria LGPD estabelece, apenas, os incidentes de segurança relevantes devem ser comunicados (artigo 48), no prazo recomendado pela ANPD de até dois dias úteis contados a partir da data do conhecimento do evento.

Paralelamente a este estudo, deverão ser adotadas medidas para preservação das evidências do incidente, através de mecanismos como a ata notarial [5] e o blockchain [6], realizando-se, inclusive, uma cópia do ambiente comprometido, de modo que este possa ser restabelecido e, ao mesmo tempo, permita-se a condução das investigações para a identificação dos agentes causadores do incidente e consequente responsabilização destes.

Tratando sobre as investigações, é importante que se mantenha um monitoramento tanto na surface web quanto na deep web e dark web, para que a Sociedade acompanhe a repercussão do incidente. Em aditivo, é recomendável a elaboração de um estudo técnico e de investigação detalhada do incidente, de modo que referido documento sirva não só para as investigações, mas, também, para que a Sociedade identifique eventuais falhas de segurança existentes e possa corrigi-las [7]. Por fim, é valioso avaliar-se a necessidade de lavratura de boletim de ocorrência ou elaboração de pedido de instauração de inquérito policial, como medida de compliance e prova positiva para as Sociedades, que também servem como mecanismos de contribuição para as investigações.

Referidas recomendações não são um rol fechado de medidas básicas a serem adotadas pelas Sociedades, mesmo porque, as práticas costumam ser alteradas ao longo dos tempos, mas são parâmetros importantes a serem seguidos pelas Sociedades, capazes de prevenir, mitigar e remediar os riscos a que se submete cada organização [8].

Por fim, sublinha-se que a transformação na postura do mercado, que está atento às Sociedades que sofrem incidentes de segurança e não conseguem obter respostas efetivas e adequadas, tampouco demonstrar minimamente sua aderência a programas de governança em privacidade, constitui também uma chave importante para que todos os players compreendam a importância de tais medidas e invistam atenção e recursos necessários para adequação à LGPD.