Resposta rápida
Nem todo incidente precisa ser comunicado, mas o controlador deve avaliar rapidamente se houve violação envolvendo dados pessoais capaz de acarretar risco ou dano relevante. Pelo Regulamento de Comunicação de Incidente de Segurança da ANPD, a comunicação à Agência e aos titulares, quando obrigatória, deve ser feita em até 3 dias úteis, ressalvada legislação específica. A resposta jurídica deve correr junto com a contenção técnica, preservação forense, avaliação do impacto, comunicação e prevenção de recorrência.
Incidente não é sinônimo apenas de vazamento público
Acesso indevido, ransomware, perda de disponibilidade, alteração de dados, envio ao destinatário errado e exposição acidental podem ser incidentes. A avaliação considera confidencialidade, integridade, disponibilidade e autenticidade.
Primeiro é preciso confirmar o evento e delimitar quais dados, titulares e sistemas foram afetados.
Critério de risco ou dano relevante
A comunicação não é automática para qualquer erro. O controlador deve avaliar natureza e sensibilidade dos dados, volume, perfil dos titulares, possibilidade de fraude, discriminação, dano financeiro ou reputacional e medidas de mitigação.
Dados de saúde, biometria, crianças, credenciais e informações financeiras tendem a elevar o risco.
Prazo de 3 dias úteis
A Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis para comunicar a ANPD e os titulares quando presentes os requisitos. Informações complementares podem seguir no prazo regulamentar.
Empresas precisam de plano de resposta que funcione no fim de semana, feriado e fora do horário comercial, porque o tempo inicial é curto.
Preservação forense e comunicação
A equipe jurídica não deve ordenar a destruição de logs em nome da privacidade. Logs podem ser essenciais para investigação e defesa. A retenção deve ter finalidade e segurança.
A comunicação aos titulares precisa ser clara e útil: o que ocorreu, quais dados foram afetados, riscos e providências recomendadas, sem minimizar nem especular fatos não confirmados.
Exemplo prático
Exemplo: um fornecedor de folha de pagamento sofre invasão e exfiltra dados de empregados de várias empresas. É necessário definir quem é controlador e operador em cada fluxo, quem comunica, quais empregados foram afetados e como coordenar a resposta contratual sem perder o prazo regulatório.
Documentos e provas que normalmente devem ser preservados
- Relatório técnico inicial
- Logs e evidências forenses
- Mapa de dados afetados
- Contrato com fornecedor
- Lista de titulares
- Plano de resposta
- Comunicações realizadas
Perguntas frequentes
Todo vazamento deve ser comunicado?
Não. A obrigação depende de dados pessoais e possibilidade de risco ou dano relevante.
Qual é o prazo?
Três dias úteis para ANPD e titulares, quando a comunicação é obrigatória, salvo prazo específico.
Operador comunica diretamente à ANPD?
A regra de comunicação é centrada no controlador, mas contratos e cooperação do operador são essenciais.
Posso esperar a perícia terminar?
Não se isso fizer perder o prazo. O regulamento prevê comunicação e complementação posterior.
Ransomware sem vazamento é incidente?
Pode ser, pois disponibilidade e integridade também fazem parte da segurança de dados.
Base jurídica e jurisprudencial
- LGPD, art. 48
- Resolução CD/ANPD nº 15/2024
- Página oficial da ANPD sobre Comunicação de Incidente de Segurança
Atuação jurídica especializada
Max Kolbe atua em Direito Digital na interface entre tecnologia, direitos da personalidade, proteção de dados, responsabilidade civil e regulação de plataformas. Em 2026, sua atuação pública passou a incluir análises sobre o ECA Digital, deepfakes, inteligência artificial, exposição de crianças e adolescentes e riscos jurídicos de novos modelos digitais. No Kolbe Advogados, a abordagem parte da preservação de prova digital, identificação do agente responsável, definição da medida mais eficiente e coordenação entre providências extrajudiciais, regulatórias, civis e, quando cabível, criminais.
Veja também
- Adequação à LGPD para empresas e plataformas digitais
- Conta de WhatsApp, Instagram ou e-mail invadida
- LGPD e ECA Digital para escolas e EdTechs
- Compliance do ECA Digital para plataformas, apps e redes sociais
- Direito Digital
Precisa analisar um problema digital concreto?
Organize links, prints, e-mails, contratos, registros técnicos e datas. A estratégia depende do conteúdo, da plataforma, do tipo de dado ou direito afetado e da urgência da medida.