Diante de um incidente de segurança com dados pessoais, a empresa deve conter o problema, avaliar o risco para os titulares e, se houver risco ou dano relevante, comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e as pessoas afetadas em até 3 dias úteis. É o que exigem o art. 48 da Lei Geral de Proteção de Dados (LGPD) e a Resolução CD/ANPD nº 15/2024. Todo incidente, comunicado ou não, deve ficar registrado por no mínimo 5 anos.
Veja a seguir o que fazer nas primeiras horas e dias: como conter a violação, avaliar o risco, cumprir os prazos e documentar as medidas adotadas.
Sumário
O que caracteriza um incidente de segurança na LGPD
Pela Resolução CD/ANPD nº 15/2024, incidente de segurança é qualquer evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Pode decorrer de acesso não autorizado, destruição acidental ou ilícita, perda, alteração ou divulgação indevida. A simples suspeita já justifica investigar de imediato, para confirmar ou descartar o incidente.
Não é preciso haver um ataque hacker. Falhas operacionais internas, extravio de documentos físicos ou o envio de um e-mail com dados pessoais ao destinatário errado também são incidentes e precisam ser tratados.
Para enquadrar o episódio, nossa equipe observa as seguintes categorias de violação:
- Violação de confidencialidade: divulgação ou concessão de acesso não autorizado a dados pessoais;
- Violação de integridade: alteração não autorizada, adulteração ou corrupção de informações armazenadas nos sistemas;
- Violação de disponibilidade: destruição, exclusão acidental ou bloqueio do acesso aos dados, como em um ataque de ransomware.
Identificar o tipo de evento permite acionar o encarregado de dados (DPO) e definir as primeiras medidas. Avaliar a natureza dos dados atingidos e o número de titulares afetados é o ponto de partida para conter o problema e para decidir se a comunicação será obrigatória.
Passo a passo: contenção, análise de risco e prazos da ANPD
Um incidente exige resposta rápida, técnica e documentada. Seguir um Plano de Resposta a Incidentes (PRI) definido com antecedência evita decisões improvisadas e ajuda a demonstrar a diligência da empresa.
As etapas fundamentais nas primeiras horas e dias incluem:
- Contenção técnica imediata: isolar os sistemas comprometidos, revogar credenciais de acesso vulneráveis e preservar os registros de conexão para a análise técnica.
- Análise de risco e gravidade: avaliar se o incidente pode afetar significativamente os direitos dos titulares. A Resolução CD/ANPD nº 15/2024 considera, entre outros critérios, o envolvimento de dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros ou de autenticação, dados protegidos por sigilo e o número de titulares atingidos.
- Atuação do encarregado de dados (DPO): centralizar as comunicações internas, orientar o comitê de crise e apoiar a avaliação de risco. Veja mais sobre o papel do encarregado de dados (DPO).
- Registro interno: documentar desde o início o histórico do evento, as medidas adotadas e as decisões tomadas.
“A LGPD impõe aos controladores, em seu art. 48, o dever de comunicar aos titulares e à ANPD a ocorrência de incidentes que possam causar riscos …” — ANPD, 2024
O art. 48 da LGPD determina que o controlador comunique à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. O prazo foi fixado pela Resolução CD/ANPD nº 15/2024: 3 (três) dias úteis, contados, em regra, do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais. Para agentes de tratamento de pequeno porte, o prazo é contado em dobro, como explicamos no guia sobre LGPD para pequenas empresas.
Comunicação à ANPD vs notificação aos titulares de dados
Quando o incidente pode acarretar risco ou dano relevante, a empresa tem duas comunicações a fazer, com objetivos diferentes. A comunicação à ANPD permite que a autoridade acompanhe o caso e oriente ou fiscalize a empresa. O aviso aos titulares serve para que as pessoas possam se proteger, por exemplo trocando senhas ou acompanhando movimentações financeiras.
| Aspecto | Comunicação à ANPD | Comunicação aos titulares |
|---|---|---|
| Quando é obrigatória | Quando o incidente pode acarretar risco ou dano relevante aos titulares (art. 48 da LGPD). | Na mesma hipótese. |
| Prazo | 3 dias úteis (Resolução CD/ANPD nº 15/2024), em dobro para agentes de pequeno porte. | 3 dias úteis, também em dobro para agentes de pequeno porte. |
| Como fazer | Pelo formulário de Comunicado de Incidente de Segurança (CIS) disponibilizado pela ANPD. | Por meio direto e em linguagem simples, sempre que possível de forma individual. |
| Conteúdo | Natureza dos dados afetados, titulares envolvidos, medidas de segurança utilizadas, riscos, medidas adotadas e, se for o caso, os motivos da demora (art. 48, § 1º). | O que aconteceu, quais dados foram afetados, os riscos, as medidas que a própria pessoa pode adotar e o contato do encarregado. |
| Objetivo | Permitir que a autoridade acompanhe, oriente e fiscalize a resposta. | Permitir que o titular se proteja. |
Na prática, um erro comum é redigir o aviso aos titulares com termos técnicos ou vagos. A mensagem precisa ser clara o suficiente para que a pessoa entenda o que aconteceu e o que deve fazer, sem admitir fatos que ainda não foram apurados.
Registro de ocorrências e governança preventiva
Mesmo quando o incidente não atinge o patamar de risco ou dano relevante e não precisa ser comunicado, ele deve ser registrado. A Resolução CD/ANPD nº 15/2024 exige que o controlador mantenha o registro de todos os incidentes, inclusive os não comunicados, por no mínimo 5 anos.
O registro interno de incidentes é a principal evidência de que a empresa analisou o evento com critério e adotou medidas adequadas de contenção e correção. Para cumprir essa função, ele deve conter:
- Descrição dos fatos e datas: momento da detecção, duração do evento, sistemas impactados e natureza dos dados comprometidos.
- Avaliação de risco: critérios usados para medir as consequências aos titulares.
- Medidas de contenção e mitigação: ações técnicas e jurídicas executadas para cessar a vulnerabilidade e prevenir novos acessos não autorizados.
- Justificativa da decisão: fundamentos que levaram a comunicar ou não a ANPD e os titulares.
- Plano de melhoria: revisão dos controles de segurança da informação e atualização das políticas internas.
Esse histórico também pesa a favor da empresa se houver processo administrativo na ANPD, já que a boa-fé, a cooperação e a adoção de medidas corretivas são consideradas na aplicação das sanções.
Conclusão
A resposta a um incidente de segurança começa antes dele, com um plano de resposta e papéis definidos. Quando o incidente acontece, o essencial é conter, avaliar o risco, comunicar a ANPD e os titulares em 3 dias úteis quando houver risco ou dano relevante e registrar tudo.
Integrar o encarregado aos processos de contenção e registro dá mais segurança às decisões tomadas sob pressão. Para analisar o seu caso, fale com o escritório.
Perguntas Frequentes
Qual é o prazo regulamentar para comunicar uma violação de dados à ANPD?
De acordo com a Resolução CD/ANPD nº 15/2024, a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) deve ser feita em 3 (três) dias úteis, contados, em regra, do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais. Para agentes de tratamento de pequeno porte, o prazo é contado em dobro.
Todo incidente com dados pessoais exige notificação obrigatória aos titulares?
Não. Pelo art. 48 da Lei Geral de Proteção de Dados (LGPD), a comunicação só é obrigatória quando o incidente pode acarretar risco ou dano relevante aos titulares. Se a avaliação concluir que não há esse risco, por exemplo porque os dados estavam protegidos por criptografia eficaz, a comunicação pode não ser exigida, mas a decisão precisa estar fundamentada e o incidente deve constar do registro interno.
Qual é a função do encarregado de proteção de dados (DPO) na gestão da crise?
O encarregado de dados (DPO) atua como ponto focal na condução do Plano de Resposta a Incidentes (PRI). Cabe a ele apoiar a equipe técnica, orientar a avaliação de risco, intermediar a comunicação com a Autoridade Nacional de Proteção de Dados (ANPD) e com os titulares e orientar a elaboração do registro do incidente. A decisão e a responsabilidade continuam sendo da empresa.
Por quanto tempo a organização deve manter o registro interno de incidentes?
Pela Resolução CD/ANPD nº 15/2024, o controlador deve manter o registro de todos os incidentes, comunicados ou não, por no mínimo 5 (cinco) anos. O registro deve conter a descrição do fato, a avaliação de risco e as medidas de contenção e correção adotadas.
Advogada e sócia fundadora da Mônica Villani Advogados, em Santo André (SP). Atua em Direito Digital, Privacidade e Proteção de Dados (LGPD e GDPR), Inteligência Artificial, Compliance e Direito Empresarial. OAB/SP 290.309. Certificada como Data Protection Officer (DPO) pela EXIN e membro da IAPP. Reconhecida como a advogada mais admirada em Direito Digital pela Análise Advocacia 2026. Formada pela Faculdade de Direito de São Bernardo do Campo, com formação complementar na PUC-SP e na FGV-SP.
Precisa de orientação jurídica sobre este tema?
Envie sua mensagem e o escritório retorna o contato.
