Incidente de segurança: o que comunicar à ANPD, aos titulares e em quanto tempo

Incidente de segurança não é hipótese remota: é evento esperado em qualquer organização que trate dados pessoais em escala. O que distingue as empresas não é tê-lo evitado para sempre, e sim o que fazem nas primeiras horas — porque a LGPD transformou a resposta em obrigação com prazo e conteúdo definidos.

O que a lei exige

O art. 48 da LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Dois pontos merecem atenção na redação. O destinatário é duplo: autoridade e titular. E o critério não é o dano consumado, mas o potencial de risco ou dano relevante.

O § 1º enumera o conteúdo mínimo da comunicação: descrição da natureza dos dados pessoais afetados; informações sobre os titulares envolvidos; indicação das medidas técnicas e de segurança utilizadas para proteção dos dados, observados os segredos comercial e industrial; riscos relacionados ao incidente; motivos da demora, no caso de a comunicação não ter sido imediata; e medidas que foram ou serão adotadas para reverter ou mitigar os efeitos do prejuízo.

O prazo que faltava

Durante anos, a lei falou em prazo razoável, conforme definido pela autoridade nacional, sem que esse prazo existisse. A lacuna foi fechada pelo Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, que fixou prazo de três dias úteis para a comunicação à ANPD, contados da ciência de que o incidente afetou dados pessoais, ressalvada a existência de prazo previsto em legislação específica.

Três dias úteis é curto para quem precisa, no mesmo intervalo, conter o incidente, avaliar sua extensão e decidir sobre comunicação. É por isso que a diferença entre cumprir e descumprir raramente está na velocidade da decisão, e quase sempre na existência de um plano escrito e testado antes do evento.

O regulamento também impôs a manutenção de registro dos incidentes de segurança com dados pessoais por, no mínimo, cinco anos. O registro alcança inclusive os incidentes que não foram comunicados — e é ele que documenta, depois, o critério usado para decidir pela não comunicação.

As primeiras 72 horas

Um plano de resposta utilizável define responsáveis e sequência antes de o incidente acontecer:

• Acionamento: quem recebe o alerta, por qual canal, e quem convoca o comitê de resposta — com suplentes, porque incidentes não respeitam agenda.
• Contenção técnica: isolar o vetor, revogar credenciais comprometidas, preservar evidências e registros antes que rotinas de limpeza os eliminem.
• Escopo: quais dados, de quantos titulares, por quanto tempo expostos, e se havia criptografia ou outra medida que torne os dados ininteligíveis a terceiros não autorizados.
• Qualificação jurídica: avaliar se há risco ou dano relevante, documentando o raciocínio — é essa análise que sustenta tanto a comunicação quanto a decisão de não comunicar.
• Comunicação à ANPD dentro do prazo, com o conteúdo mínimo do art. 48, § 1º, e atualização posterior quando novos elementos surgirem.
• Comunicação aos titulares, em linguagem clara, com orientação prática sobre o que eles devem fazer.
• Registro completo no inventário de incidentes, com linha do tempo, decisões e justificativas, preservado pelo prazo exigido.

Operador, controlador e contratos

Boa parte dos incidentes nasce em fornecedores. Como o dever de comunicar recai sobre o controlador, a cadeia contratual precisa garantir que ele saiba a tempo: contratos com operadores devem fixar prazo curto de notificação do controlador — significativamente menor do que o prazo regulatório —, obrigação de cooperação na apuração, preservação de evidências e vedação de comunicação autônoma a titulares ou autoridade sem alinhamento prévio.

Sem essa engrenagem, a empresa descobre o incidente tarde e passa a justificar demora que não causou, mas pela qual responde.

O que reduz a gravidade

O § 3º do art. 48 estabelece que, no juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos dos serviços, para terceiros não autorizados.

Na prática, criptografia bem implementada, segregação de ambientes, minimização do que se coleta e descarte do que não se precisa mais guardar não apenas reduzem a probabilidade do incidente: reduzem a consequência quando ele acontece. São decisões de arquitetura tomadas muito antes da crise, e é nelas que o investimento costuma render mais do que em qualquer resposta posterior.