A Autoridade Nacional de Proteção de Dados (ANPD) impôs quatro sanções de advertência à Secretaria de Estado de Educação do Distrito Federal (DF) por infrações à Lei Geral de Proteção de Dados Pessoais (LGPD).
Na decisão publicada em 31/01/2024, a ANPD impôs sanções de advertências e não impõem medida corretiva à secretaria.
Entenda o caso
O incidente com a secretaria de educação do DF foi julgado no processo administrativo 00261.001192/2022-14 da ANPD. No caso, a autoridade verificou que a secretaria estava expondo indevidamente dados cadastrais e de saúde de cerca de 3.000 candidatos cadastrados no Programa Educação Precoce. O problema foi originado devido a uma falha de segurança no formulário de inscrição do programa.
Após ser oficiada pela ANPD, a secretaria de educação do DF informou ter adotado providências para corrigir o problema. Os fiscalizadores da autoridade confirmaram que a secretaria adotou as medidas, mas consideraram que elas foram insuficientes para afastar a possibilidade de um novo incidente de segurança. Por isso, determinaram que o órgão público comunicasse o incidente de segurança formalmente à ANPD e aos titulares dos dados.
A secretaria formalizou a ocorrência à ANPD, mas disse não ter informado os titulares por entender que não havia certeza de que os dados teriam sido de fato publicados. A secretaria decidiu tratar o incidente como uma questão interna para “evitar um pânico exagerado”.
O processo foi encaminhado para a Coordenação-Geral de Tecnologia e Pesquisa da ANPD, que avaliou que o incidente de segurança era grave e que as medidas de segurança tomadas pela secretaria eram insuficientes.
A Coordenação-Geral de Fiscalização, então, reiterou a determinação de que a secretaria informasse os titulares dos dados sob pena de descumprimento do artigo 48 da LGPD. Também solicitou que a secretaria elaborasse um relatório de impacto à proteção de dados da atividade afetada pelo incidente e apresentasse o seu registro de operações de tratamento de dados.
Segundo o relatório, a secretaria não comprovou o cumprimento das determinações dentro do prazo estipulado pela ANPD e não se manifestou mais no processo, mesmo havendo comprovação do recebimento das determinações.