O Instituto Nacional do Seguro Social não se conforma com a sanção aplicada pela Autoridade Nacional de Proteção de Dados e decidiu recorrer a uma mediação da Advocacia-Geral da União para evitar a condenação.
Em despacho de 20/8, a presidente em exercício do INSS, Débora Floriano, comunica à coordenação geral de fiscalização da ANPD que autorizou “a submissão da presente controvérsia à Câmara de Mediação e de Conciliação da Administração Pública Federal – CCAF”.
Para o INSS, a mediação da AGU “será a forma mais célere e eficaz para se chegar a uma solução satisfatória a todos os envolvidos”. Na prática, a disputa vai marcar a força da ANPD como xerife da Lei Geral de Proteção de Dados (Lei 13.709/18) dentro do governo, onde não pode aplicar multas.
“Considerando o contido no Parecer nº 00049/2024/CGMLP/PFE-INSS-SEDE/PGF/AGU (SEI nº 17110989), aprovado pelo Despacho nº 00160/2024/GAB/PFE-INSS-SEDE/PGF/AGU (SEI nº 17111033), exarados pela Procuradoria Federal Especializada – PFE, referente à autuação da ANPD, em razão de incidente de segurança relacionado a aumento volumétrico atípico de consultas de dados contidos no Sistema PLENUS, do INSS, a partir de acessos realizados por meio da rede da Advocacia-Geral da União, AUTORIZO a submissão do feito à Câmara de Mediação e de Conciliação da Administração Pública Federal – CCAF”, diz o despacho.
A Autoridade Nacional de Proteção de Dados (ANPD), condenou o INSS por não comunicar a ocorrência de incidente de segurança aos titulares de dados, com o agravante de não ter atendido a determinações da Autoridade relacionadas ao caso. A Previdência recorreu, mas a ANPD rejeitou recurso do INSS e manteve a condenação.
O incidente aconteceu em 2022 e afetou o Sistema Corporativo de Benefícios do INSS (SISBEN), expondo informações como CPF, dados bancários e data de nascimento de aposentados e pensionistas, dados passíveis de serem usados em fraudes e em roubo de identidade.
A ANPD considerou que o incidente de segurança poderia acarretar danos relevantes aos direitos dos titulares dos dados pessoais, por envolver base de dados que continha informações sobre benefícios previdenciários.
Ou seja, para a Autoridade, caberia ao INSS comunicar a ocorrência do incidente de segurança aos titulares afetados. O Instituto, entretanto, alegou inviabilidade técnica para individualizar as pessoas afetadas e não realizou a comunicação.
