Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando
não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as
quais:
I - o modo pelo qual é realizado;
II - o resultado e os riscos que razoavelmente dele se esperam;
III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado.
Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou
o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano.
Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem
sujeitas às regras de responsabilidade previstas na legislação pertinente.
CAPÍTULO VII
DA SEGURANÇA E DAS BOAS PRÁTICAS
Seção I
Da Segurança e do Sigilo de Dados
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a
proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição,
perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
§ 1º A autoridade nacional poderá dispor sobre padrões técnicos mínimos para tornar aplicável o disposto
no caput deste artigo, considerados a natureza das informações tratadas, as características específicas do
tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais sensíveis, assim como os
princípios previstos no caput do art. 6º desta Lei.
§ 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do
produto ou do serviço até a sua execução.
Art. 47. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do
tratamento obriga-se a garantir a segurança da informação prevista nesta Lei em relação aos dados pessoais,
mesmo após o seu término.
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de
segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá
mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os
segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a
salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como: