Almeida e Trindade Advogados
Preparação é também uma questão jurídica.
Quando uma organização identifica uma ocorrência de segurança, diferentes equipes podem precisar atuar ao mesmo tempo. A área técnica procura compreender e conter o evento; outras pessoas precisam reunir informações, avaliar consequências e decidir como se comunicar. Definir essas responsabilidades antes de uma urgência facilita a organização da resposta.
Compreender o evento antes de qualificá-lo.
A orientação da ANPD distingue incidentes de segurança em geral daqueles que envolvem dados pessoais. A obrigação de comunicação depende da avaliação dos critérios aplicáveis, incluindo a possibilidade de risco ou dano relevante aos titulares. O contexto e os efeitos da ocorrência são, portanto, parte central da análise.
A apuração pode estar em andamento quando uma providência ou comunicação se torna necessária. A análise dos prazos deve começar desde a identificação do evento e acompanhar as informações disponíveis. Um registro de trabalho deve distinguir o que já foi confirmado, as hipóteses em apuração e as perguntas ainda sem resposta. Essa separação ajuda a evitar que comunicações posteriores apresentem como certeza algo que não havia sido verificado.
Responsabilidades que precisam se encontrar.
Um exercício de preparação pode começar por perguntas: quem recebe o primeiro aviso? Quem reúne os fatos técnicos? Quem conhece os contratos com os fornecedores envolvidos? Quem avalia as obrigações jurídicas? Quem tem autorização para encaminhar as comunicações decididas?
Essas funções podem estar distribuídas entre diferentes pessoas. A preparação deve considerar como as informações chegam a quem precisa decidir, inclusive quando um fornecedor participa da operação. Uma lista de contatos sem responsabilidades claras não resolve, sozinha, essa coordenação.
Registrar fatos, decisões e responsabilidades.
Um histórico de resposta pode reunir a data de conhecimento do evento, as informações recebidas, as medidas adotadas, os responsáveis e os fundamentos das decisões de comunicação. Esse registro deve ser atualizado à medida que a apuração avança, preservando a distinção entre fatos confirmados e hipóteses.
Resposta técnica e avaliação jurídica.
A contenção e a investigação técnica produzem informações importantes para a análise jurídica. Esta, por sua vez, examina as obrigações pertinentes, as condições de comunicação e os documentos necessários. As frentes se complementam e precisam acompanhar as mudanças no conhecimento sobre o evento.
Depois da resposta imediata, o histórico das decisões pode indicar oportunidades de rever contratos e procedimentos. A avaliação dos prazos e das providências de um incidente concreto deve ser feita a partir das regras vigentes e das circunstâncias identificadas, com apoio dos profissionais responsáveis.
Referência para leitura.
Conteúdo informativo. A análise de uma situação concreta depende de seus fatos, documentos e das normas aplicáveis.