Incidente de dados na LGPD: comunicação à ANPD, prazo e preparo
Nenhuma empresa está imune a um vazamento. A diferença entre uma resposta controlada e uma crise está no preparo feito antes do incidente.
Um incidente de segurança com dados pessoais é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade desses dados, de um vazamento a um ataque de ransomware que trava os sistemas. A LGPD, no artigo 48, obriga o controlador a comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 detalhou como e quando fazer essa comunicação.
A parte que costuma pegar as empresas de surpresa é o prazo. São três dias úteis, o que é pouco para quem só começa a se organizar depois do incidente. Este guia mostra a regra atual, o que a comunicação precisa conter e, principalmente, como chegar preparado para responder dentro do prazo.
Quando a comunicação é obrigatória
A obrigação de comunicar surge quando o incidente reúne três condições ao mesmo tempo: está confirmado, envolve dados pessoais protegidos pela LGPD e pode causar risco ou dano relevante aos titulares. Nem todo incidente aciona o dever de avisar. Um evento que a empresa contém sem que dados relevantes sejam expostos pode não gerar comunicação obrigatória, embora deva ser registrado internamente.
Avaliar o risco relevante é uma decisão que precisa ser feita rápido e com apoio jurídico, olhando o tipo de dado envolvido, a quantidade de titulares, a possibilidade de dano e a facilidade de identificar as pessoas. Dados sensíveis e grandes volumes tendem a caracterizar risco relevante. Na dúvida, a prudência costuma pesar a favor de comunicar.
O prazo de três dias úteis
A Resolução CD/ANPD nº 15/2024 fixou o prazo de três dias úteis para comunicar tanto a ANPD quanto os titulares afetados, contados a partir do momento em que o controlador toma conhecimento de que o incidente atingiu dados pessoais. Agentes de tratamento de pequeno porte contam esse prazo em dobro, ou seja, seis dias úteis.
Quando a empresa ainda não tem todas as informações no momento da comunicação, a resolução permite complementar os dados depois, de forma justificada, dentro de um prazo adicional de vinte dias úteis a partir da comunicação. Isso reconhece que nem tudo se sabe nas primeiras horas, mas não serve de desculpa para atrasar a comunicação inicial.
O que a comunicação precisa conter
A comunicação aos titulares deve informar, no mínimo, a natureza e a categoria dos dados afetados, as medidas de segurança que estavam em uso, os riscos e os possíveis impactos para as pessoas, as razões de eventual demora, as medidas que foram ou serão adotadas para reverter ou mitigar os efeitos, a data em que o incidente foi descoberto e um contato para mais informações, incluindo o do encarregado.
- Natureza e categoria dos dados afetados
- Medidas de segurança que estavam em uso
- Riscos e possíveis impactos aos titulares
- Razões de eventual demora na comunicação
- Medidas adotadas ou planejadas para mitigar os efeitos
- Data em que o incidente foi descoberto
- Contato para mais informações, incluindo o do encarregado
A comunicação à ANPD é feita por um formulário eletrônico da autoridade, protocolado pelo encarregado ou por representante da empresa. A linguagem dirigida aos titulares deve ser clara, para que a pessoa entenda o que aconteceu e o que pode fazer para se proteger.
Como chegar preparado
Três dias úteis é tempo suficiente para uma empresa preparada e curto demais para uma empresa que improvisa. O preparo tem alguns elementos. Um plano de resposta a incidentes que defina papéis e quem aciona quem. A capacidade de avaliar rapidamente quais dados foram atingidos, o que só existe se houver mapeamento. Logs que permitam entender o que aconteceu. E modelos de comunicação prontos para a ANPD e para os titulares.
Ensaiar antes de precisar
Vale ensaiar o plano antes de precisar dele. Um exercício simulado revela onde a resposta trava: quem tem a senha do formulário da ANPD, quem aprova o texto que vai aos clientes, como se descobre rapidamente o alcance do vazamento. Descobrir esses gargalos durante um incidente real custa caro, justamente quando o relógio dos três dias já está correndo.
Um formato prático é o exercício de mesa, em que as pessoas que responderiam de verdade sentam juntas e conduzem um cenário fictício do começo ao fim. Alguém narra um vazamento plausível, e o grupo decide, passo a passo, o que faria: quem é acionado primeiro, como se contém o sistema afetado, como se descobre quais dados saíram, quem aprova a comunicação. O exercício não precisa de infraestrutura, custa poucas horas e quase sempre expõe uma dependência oculta em uma única pessoa ou uma etapa que ninguém sabia de quem era.
As fases de uma resposta a incidente
Uma resposta organizada segue fases que se sobrepõem um pouco, mas ajudam a não pular etapas sob pressão. Detecção e triagem, para confirmar que houve mesmo um incidente e qual a gravidade aparente. Contenção, para impedir que o problema cresça. Investigação e avaliação de alcance, para entender o que aconteceu e quais dados foram atingidos. Erradicação e recuperação, para remover a causa e voltar à operação. E, atravessando tudo, a decisão de comunicar e o registro do aprendizado.
- Detecção e triagem: confirmar o incidente, a hora da descoberta e a gravidade aparente
- Contenção: isolar o que foi atingido e preservar logs e evidências
- Investigação e alcance: descobrir o que ocorreu, quais dados e quantos titulares
- Decisão de comunicação: avaliar o risco relevante com o jurídico e preparar os avisos
- Erradicação e recuperação: remover a causa e restaurar os serviços com segurança
- Lições aprendidas: registrar o ocorrido e corrigir o que permitiu o incidente
A contenção e a preservação de evidência costumam entrar em tensão. A vontade de desligar tudo e reinstalar rápido pode apagar justamente os rastros que permitiriam entender o alcance e sustentar a comunicação. O caminho equilibrado é conter sem destruir: isolar a máquina da rede em vez de formatá-la, guardar cópias dos logs antes de mexer, anotar horários e ações. Essa disciplina é o que separa uma resposta que sabe o que dizer à ANPD de uma que só tem suposições.
Montar o runbook de resposta
O plano só funciona sob pressão se estiver escrito de forma que qualquer pessoa da equipe consiga seguir sem improvisar. Um runbook é esse roteiro objetivo: quem faz o quê, em que ordem, com quais contatos e onde estão as informações. Ele não substitui o julgamento, mas evita que decisões básicas travem enquanto o relógio corre. Vale mantê-lo curto, acessível fora dos sistemas que podem estar indisponíveis, e atualizado quando pessoas e ferramentas mudam.
Runbook de incidente com dados pessoais
1. Deteccao e registro
- Quem recebeu o alerta, por qual canal, data e hora
2. Acionamento
- Lider do incidente e contatos: encarregado, juridico, TI
3. Contencao
- Isolar o afetado sem destruir logs e evidencias
4. Avaliacao de alcance
- Quais dados, quantos titulares, ha dados sensiveis
- Consultar mapeamento e logs de acesso
5. Decisao de comunicacao
- Avaliar risco relevante com o juridico
- Preparar avisos a ANPD e aos titulares (modelos prontos)
6. Recuperacao
- Restaurar servicos e corrigir a causa raiz
7. Licoes aprendidas
- Registrar o ocorrido e as melhoriasRepare que o runbook aponta para o mapeamento e para os logs em dois pontos: avaliar o alcance e sustentar a comunicação. Sem esses insumos prontos, a fase mais crítica vira um trabalho de arqueologia que o prazo não comporta. Por isso o preparo do runbook e a manutenção do mapeamento andam juntos: um descreve o que fazer, o outro fornece a matéria-prima para fazer.
Checklist prático
- Definir o que caracteriza incidente com risco ou dano relevante
- Ter um plano de resposta com papéis e acionamento claros
- Escrever um runbook curto e acessível fora dos sistemas críticos
- Definir um líder de incidente e a lista de contatos de acionamento
- Conseguir avaliar rápido quais dados um incidente atingiu
- Manter logs que permitam investigar o que aconteceu
- Conter sem destruir evidência, preservando logs antes de agir
- Preparar modelos de comunicação para a ANPD e para os titulares
- Conhecer o prazo de três dias úteis, ou seis para pequeno porte
- Saber quem protocola o comunicado no formulário da ANPD
- Ensaiar o plano com um exercício de mesa
- Registrar as lições aprendidas e corrigir a causa raiz
Boas práticas
- Prepare a resposta antes do incidente, não durante
- Escreva um runbook que qualquer pessoa da equipe consiga seguir
- Apoie a avaliação de alcance no mapeamento de dados
- Contenha o incidente sem apagar os rastros que sustentam a comunicação
- Mantenha logs suficientes para reconstruir o ocorrido
- Tenha modelos de comunicação prontos para ganhar tempo
- Ensaie o plano para achar os gargalos com calma
Erros comuns
Começar a organizar a resposta só depois do incidente
O prazo de três dias úteis se esgota antes de a empresa reagir.
Formatar ou reinstalar rápido para voltar à operação
A pressa apaga os logs que provariam o alcance do incidente.
Não conseguir dizer quais dados foram atingidos
Sem mapeamento e logs, a empresa não avalia o risco a tempo.
Não saber quem comunica à ANPD
A comunicação atrasa por indefinição de responsáveis.
Comunicar de forma confusa aos titulares
As pessoas não entendem o risco nem como se proteger.
Quando procurar apoio especializado
A resposta a incidentes é uma das áreas onde a GUARDIASEC atua de forma direta, ajudando a investigar o que aconteceu, avaliar quais dados foram atingidos com base nos logs e no mapeamento, e conter o incidente. Essa análise técnica alimenta a comunicação que o encarregado e o jurídico protocolam à ANPD e aos titulares dentro do prazo.
Para aprofundar: cursos recomendados
Estes cursos gratuitos do Valor Final ajudam a levar o assunto deste guia da teoria para a prática, no seu ritmo.
Curso de LGPD Essencial
GratuitoCurso gratuito de LGPD para quem trabalha em empresa. Mostra na prática o que pode e o que não pode ser feito com dados de clientes, colegas e fornecedores, em linguagem simples e com fontes oficiais.
Valor FinalCursos do Valor Final
CertificadoPortal de cursos online gratuitos, com certificado ao concluir. A trilha de privacidade e proteção de dados começa pelo curso de LGPD e ganha novos cursos com o tempo.
Valor FinalPerguntas frequentes
Qual o prazo para comunicar um incidente à ANPD?
A Resolução CD/ANPD nº 15/2024 fixou três dias úteis para comunicar à ANPD e aos titulares afetados, contados de quando o controlador toma conhecimento de que o incidente atingiu dados pessoais. Agentes de tratamento de pequeno porte têm esse prazo em dobro, seis dias úteis. Se faltar informação, é possível complementar em até vinte dias úteis, de forma justificada.
Todo incidente precisa ser comunicado?
Não. A comunicação é obrigatória quando o incidente está confirmado, envolve dados pessoais e pode causar risco ou dano relevante aos titulares. Incidentes contidos sem exposição de dados relevantes podem não gerar comunicação obrigatória, mas devem ser registrados internamente. A avaliação do risco relevante precisa ser rápida e feita com apoio jurídico.
O que acontece se eu não comunicar um vazamento?
Deixar de comunicar um incidente que exigia comunicação é uma irregularidade que a ANPD pode considerar em uma fiscalização, somando-se ao próprio incidente. Além do risco de sanção, a omissão descoberta depois costuma agravar o dano à reputação e a percepção de que a empresa tentou esconder o problema. Comunicar no prazo, com transparência, é a postura que a lei espera.
Como sei quais dados foram afetados em um incidente?
Aqui o preparo feito antes faz toda a diferença. Com um mapeamento atualizado e logs de acesso, a empresa consegue reconstruir o que o incidente atingiu e quantas pessoas foram afetadas. Sem isso, a avaliação vira suposição, o que é perigoso com o relógio dos três dias correndo. A investigação técnica é justamente o que permite dimensionar o risco.
Quem deve fazer parte do time de resposta a incidente?
Um time de resposta reúne quem toma decisões e quem executa. Costuma incluir um líder do incidente que coordena, a área de TI ou de segurança que contém e investiga, o encarregado e o jurídico que avaliam o risco relevante e conduzem a comunicação, e alguém de comunicação quando o caso ganha visibilidade. Em empresa pequena, uma mesma pessoa acumula papéis, o que torna ainda mais importante que a lista de acionamento e os suplentes estejam escritos.
Um incidente com dados criptografados precisa ser comunicado?
Depende da avaliação de risco, feita caso a caso com apoio jurídico. Dados protegidos por criptografia robusta, cuja chave não foi comprometida, tendem a reduzir a probabilidade de dano ao titular, o que entra na análise do risco relevante. Isso não é uma dispensa automática: a decisão pondera o tipo de dado, a força da proteção e o contexto. A investigação técnica ajuda a demonstrar como os dados estavam protegidos no momento do incidente.
Como conduzir um exercício de mesa de incidente?
Reúna as pessoas que responderiam de verdade e conduza um cenário fictício do início ao fim. Alguém descreve um vazamento plausível, e o grupo decide, passo a passo, quem é acionado, como se contém o sistema, como se descobre quais dados saíram e quem aprova a comunicação. Anote onde a resposta travou e ajuste o runbook. O exercício custa poucas horas e quase sempre revela uma dependência oculta em uma única pessoa ou uma etapa sem dono claro.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.