13/10/2026 - 9:35
A Susep estabeleceu um procedimento interno para responder a vazamentos de dados pessoais por meio da Instrução Normativa nº 007/2026, publicada em maio. A regra disciplina a atuação da própria autarquia, sem criar, por esse instrumento, obrigações diretas para as seguradoras supervisionadas.
O fluxo reúne sete etapas obrigatórias, desde a notificação do incidente até a recuperação dos sistemas. A comunicação à ANPD e aos titulares afetados deve ocorrer quando aplicável.
Norma distribui responsabilidades na resposta a incidentes
Após a notificação, o procedimento prevê identificação, análise e classificação do incidente. A resposta operacional envolve contenção e erradicação, seguidas da recuperação.
O encarregado atua como canal de comunicação com a ANPD e os titulares, coordenando as notificações. A área de segurança da informação monitora eventos e executa a resposta técnica por meio de uma equipe própria.
As unidades responsáveis pelos sistemas afetados apoiam a avaliação de impacto e colaboram na recuperação.
A norma determina que o fluxo seja revisado a cada seis meses e permaneça disponível na intranet institucional. A exigência combina atribuição de responsabilidades com atualização periódica dos procedimentos.
Regra interna oferece referência de governança
O alcance jurídico da instrução é interno. Sua relevância para o mercado está na forma como a Susep organiza a própria resposta a incidentes, com funções definidas e procedimentos documentados.
Esse desenho oferece uma referência de governança, mas não permite concluir que todas as exigências tenham sido estendidas às empresas reguladas.
A instrução integra o Plano de Integridade 2025–2026, vinculado ao PROGRIDE. O programa contempla governança e gestão de riscos, além de capacitação e acompanhamento de desempenho.
Reestruturação da ANPD acompanha avanço da fiscalização
O material aponta a transformação da ANPD em agência, pela Lei nº 15.352/2026, como outro movimento no ambiente de proteção de dados. A mudança inclui autonomia institucional e reforço da estrutura de pessoal.
Em junho, a autarquia abriu 19 novos processos sancionadores, conforme os dados apresentados no texto.
A abertura de processos indica atividade de fiscalização, mas não equivale à aplicação de multas nem demonstra, isoladamente, que a reestruturação foi a causa do aumento.
Propostas de cibersegurança e IA permanecem em discussão
O anteprojeto da Lei Geral de Cibersegurança, em discussão no Comitê Nacional de Cibersegurança, prevê sanções para setores considerados essenciais, incluindo o financeiro.
Em outra frente, o PL 2338/2023, sobre inteligência artificial, pode afetar o tratamento de dados pessoais por sistemas automatizados.
As propostas, conforme o material fornecido, ainda não constituem obrigações vigentes. Devem ser acompanhadas como mudanças possíveis, preservando a distinção entre discussão normativa e regra em vigor.
Na estrutura interna da Susep, onde as responsabilidades foram distribuídas, a revisão semestral mantém o procedimento de resposta sujeito a atualização. Para as organizações do mercado, o ponto de análise é a capacidade de executar seus próprios planos, além de mantê-los documentados.
Leia mais
Kospi cai 5,46% após suspensão do pregão e venda de ações de chips
FMI alerta para correção em IA e alta dos juros nos mercados globais
Inflação da Alemanha sobe a 3,3% em setembro e fica abaixo do esperado
CAOA Chery Tiggo 9 chega com sete lugares, tração integral e preços a partir de R$ 249.990
