Dúvida na questão de Tratamento Inadequado

Olá!

Minha dúvida é a seguinte,

Suponhamos que uma instituição de ensino, para a realização do cadastro do aluno/funcionário, realiza a coleta dos dados pessoais, tais como Nome Completo, Data da Nascimento, CPF, RG, e afins. Após realizar a coleta, alguns funcionários, dos departamentos de RH, ou até mesmo do Atendimento Academico, acaba fazendo o upload para um repositório online da instituição, onde todos os alunos e funcionários que possuem um e-mail institucional tem acesso, e esse funcionário que fez o upload, por falta de treinamento ou má administração do recurso, deixa visivel para todos os usuários da instituição.

Esse fato é considerado um tratamento inadequado dos dados pessoais? A instituição deve reportar à ANPD essa ocorrencia? E por fim, caso os analistas verifiquem os logs, afim de verificar se alguém baixou esses dados indevidamente, e constatar que não houve download desses arquivos, eu entendo que mesmo não tendo uma cópia, a instituição mesmo assim disponibilizou para centenas de alunos os documentos, oque é um tratamento ilícito dos dados, certo? É obrigação da instituição reportar para os titulares e para a ANPD?

Olá, Yuri. Tudo bem?

Pelo meu entendimento, sim, é considerado um tratamento inadequado de dados, pois foi feito uma exposição e tratamento de informações pessoais fora dos requisitos permitidos pela LGPD (Art.7° da lei fala de forma detalhada sobre esses requisitos).

Pelo meu entendimento, o tratamento ilícito de dados é um tratamento irregular, fora das ações estabelecidas por lei, logo a situação se encaixaria nesse conceito. Um ato ilícito, acidente ou qualquer situação que aconteça fora do estabelecido pela legislação é necessário reportar a ANPD e aos titulares.

E sobre o caso que supôs, é preciso entrar em contato com a ANPD e será analisado o contexto e as disposição legais para lidar da melhor forma com o caso, por exemplo, o fato de ser um acidente gera uma perspectiva diferente da situação, e isso influencia como será pedido o reparo dos danos pelos órgãos legais (Detalhes no artigo 48 da LGPD).

Resumindo, em qualquer situação irregular é necessário entrar em contato com a ANPD e os titulares, porque não reportar a situação, no futuro pode resultar em problemas maiores. E também, considero importante entrar em contato com com área responsável pela conformidade legal para ter orientação.

Deixo como recomendação a seguinte seções da legislação que fala de forma mais detalhada os pontos que questionou. LEI Nº 13.709, DE 14 DE AGOSTO DE 2018

Seção I Dos Requisitos para o Tratamento de Dados Pessoais
Seção I Da Segurança e do Sigilo de Dados
Seção II Das Boas Práticas e da Governança
Seção I Das Sanções Administrativas
Seção II Do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade

Quaisquer dúvidas e comentários sinta-se à vontade para compartilhar no fórum.

Espero ter ajudado e bons estudos!