Diretor de seguros do Grupo Bluecyber – insurtech pioneira em seguro cibernético – e uma das maiores autoridades na corretagem de seguros cibernéticos no Brasil desde 2017, Claudio Macedo destaca que é essencial o corretor entender o que é considerado um incidente de segurança e quais devem ser comunicados para evitar penalidades no âmbito da atividade de corretor de seguros.

“A resolução indica que o responsável pela comunicação do incidente é o controlador dos dados pessoais, ou seja, o corretor de seguros. E o prazo é de três dias úteis. Porém, para os agentes de tratamento de pequenos portes, que é o caso da maioria das corretoras, o prazo pode chegar a seis dias”, informa.

Definição de incidente – É o evento adverso que comprometa a confidencialidade, integralidade, disponibilidade e autenticidade da segurança de dados pessoais, segundo definição da ANPS. Podem decorrer de ações voluntárias ou acidentais que resultem na divulgação, difusão, alteração, perdas indevidas ou acessos não autorizados a dados pessoais, independentemente do meio em que estão armazenados.

Necessidade de comunicação – Devem ser comunicados à ANPD, através do procedimento de Comunicação de incidente de segurança (https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) e aos titulares os incidentes de segurança com dados pessoais que causarem risco ou danos mais relevantes aos titulares, impedindo o exercício de direitos ou a utilização de um serviço ou ocasionar danos materiais ou morais aos titulares. Deve envolver pelo menos um dos seguintes critérios: dados pessoais sensíveis, a exemplo de saúde, financeiros, de crianças, adolescentes ou idosos, sobre autenticação em sistemas e dados protegidos por sigilo legal, judicial ou profissional.

Manutenção de registro – Ainda que não haja a necessidade de comunicação do incidente, o que será avaliado pelo corretor de seguros, o profissional deverá manter o registro de incidentes de segurança, inclusive daqueles não comunicados à ANPD e aos titulares, pelo prazo mínimo de cinco anos, contados a partir da data do registro, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção.

Sanções – O não cumprimento dos procedimentos poderá ter seis consequências.

1. Advertência, que serve como um aviso de que a organização ou indivíduo está em desacordo com as disposições da LGPD e deve tomar medidas corretivas para se adequar às normas de proteção de dados. É a mais branda das sanções.

2. Multa, que pode ser simples, ou seja, aplicada uma vez sobre a infração, ou diária,sendo aplicado um valor permanente a cada dia que a infração persistir. Elas possuem um limite de até 2% do faturamento do grupo econômico no último ano de exercício fiscal, podendo chegar ao máximo de R$ 50 milhões por infração.

3. Restrição do uso de dados pessoais, situação na qual a empresa infratora poderá ter, de maneira parcial ou total, o bloqueio dos dados referentes à infração, até que a empresa esteja regularizada.

4. Bloqueio ou eliminação permanente. Em casos mais graves, a suspensão pode ser mantida, mesmo que a empresa tenha regularizado o tratamento, podendo o bloqueio (ou eliminação) dos dados ser até mesmo permanente. É possível, ainda, que a ANPD proíba parcial ou totalmente as atividades relacionadas ao uso de dados, ainda que não tenham ligação direta com a infração em questão.

5. Publicidade da infração, ou seja, tornar à infração à Lei Geral de Proteção de Dados (LGPD) um acontecimento público, o que pode afetar a imagem de uma empresa perante seus clientes. A sanção de publicização pode ter efeitos pequenos ou muito grandes, a depender do quanto as pessoas afetadas se importam com a proteção de seus dados pessoais.

6. Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dado, de forma temporária ou definitiva, a ser definida pela ANPD.

Sobre a Bluecyber

Fundada em 2021, a Bluecyber é uma Managing General Agent (MGA), ou seja, é uma empresa que desenvolve produtos de seguros cibernéticos focados nas reais necessidades do mercado, estabelece os canais de distribuição e recebe os pagamentos dos segurados, sempre em parceria com uma seguradora regulamentada, responsável por eventuais indenizações em caso de incidentes e sinistros. A venda dos produtos, no modelo B2B, é feita de forma 100% digital por meio de canais não tradicionais, como bancos digitais, provedores de internet, fabricantes de software e hardware, assim como por corretores de seguro, não havendo comercialização direta para o consumidor final. O objetivo da Bluecyber, que pretende fechar 2024 com 10 mil assinantes, é simplificar a proteção financeira da vida digital. A Seguros Sura, um dos maiores grupos seguradores da América Latina, com mais de 20 milhões de clientes em sete países, é a emissora das apólices, seguindo todas as exigências da Superintendência de Seguros Privados (Susep). Saiba mais em https://www.bluecyber.insure/pt