Um incidente de segurança LGPD acontece quando dados pessoais são acessados, divulgados, alterados, perdidos ou ficam indisponíveis sem autorização. Pode ser um ataque de ransomware, um banco de dados exposto na internet, um notebook perdido com planilhas de clientes ou até um e-mail com informações de colaboradores enviado para a pessoa errada.
Desde abril de 2024, a Resolução CD/ANPD nº 15/2024 define como e em quanto tempo as empresas devem comunicar esses incidentes à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares. Neste guia, explicamos as regras de forma prática, para que sua empresa saiba exatamente o que fazer nas primeiras horas e dias depois de um problema.
O que caracteriza um incidente de segurança com dados pessoais
O regulamento considera incidente qualquer evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Alguns exemplos:
- Invasão de sistemas ou servidores com acesso a cadastros de clientes;
- Ransomware que criptografa arquivos com dados pessoais e deixa sistemas indisponíveis;
- Credenciais roubadas usadas para acessar e-mails corporativos;
- Envio de documentos para destinatário errado;
- Perda de notebook, pen drive ou celular sem criptografia.
Segundo a página oficial da ANPD, vulnerabilidades que não chegaram a ser exploradas e incidentes envolvendo apenas dados anonimizados não precisam ser comunicados.
Quando é obrigatório comunicar: risco ou dano relevante
O artigo 48 da LGPD determina a comunicação quando o incidente puder acarretar risco ou dano relevante aos titulares. A Resolução nº 15/2024 explica o que isso significa: o incidente deve poder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um dos seguintes critérios:
| Critério | Exemplos |
|---|---|
| Dados pessoais sensíveis | Saúde, biometria, religião, origem racial |
| Dados de crianças, adolescentes ou idosos | Cadastros escolares, planos de saúde |
| Dados financeiros | Dados bancários, cartões, renda |
| Dados de autenticação | Logins e senhas de sistemas |
| Dados protegidos por sigilo | Sigilo legal, judicial ou profissional |
| Dados em larga escala | Grande volume de titulares ou de registros |
Na dúvida, avalie o contexto com o encarregado e registre o raciocínio. Uma decisão documentada de não comunicar é muito diferente de simplesmente ignorar o incidente.
Prazos para comunicar incidente à ANPD e aos titulares
Os prazos são curtos, por isso a preparação faz toda a diferença:
- 3 dias úteis para comunicar a ANPD, contados a partir do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais (ressalvados prazos de legislação específica);
- 3 dias úteis para comunicar os titulares afetados;
- 20 dias úteis para complementar as informações, contados da comunicação, quando nem tudo é conhecido no primeiro momento;
- Prazos em dobro para agentes de pequeno porte, como microempresas e empresas de pequeno porte.
Quem comunica é o controlador, por meio do encarregado ou de representante legalmente constituído. Se o incidente ocorrer em um fornecedor (operador), ele deve avisar o controlador sem demora e fornecer as informações necessárias.
Como comunicar incidente à ANPD na prática
A comunicação é feita pelo sistema SEI!ANPD, com o formulário de incidente disponibilizado pela autoridade, que pode ser preliminar ou completo. Junto com o formulário, é preciso anexar documento que comprove a legitimidade de quem comunica, como o ato de designação do encarregado ou uma procuração. Complementações posteriores entram no mesmo processo.
A comunicação preliminar é uma aliada: se a empresa ainda não sabe tudo, é melhor comunicar dentro do prazo com o que já tem e complementar depois do que perder o prazo esperando a investigação terminar.
O que dizer aos titulares
A comunicação aos titulares deve ser em linguagem simples, preferencialmente direta e individual (por e-mail, SMS, carta ou pelo canal habitual com o cliente) e conter, entre outros pontos:
- A natureza e a categoria dos dados afetados;
- As medidas de segurança adotadas;
- Os riscos e possíveis impactos;
- As medidas para reverter ou reduzir os efeitos;
- A data em que o incidente foi conhecido;
- O contato para mais informações, incluindo o do encarregado.
Quando não for possível identificar ou contatar cada titular, a divulgação deve ser feita em meios públicos, como o site da empresa, por pelo menos três meses.
Registro de incidentes: obrigatório mesmo sem comunicação
Um ponto pouco conhecido: o controlador deve manter o registro de todos os incidentes, inclusive dos que não foram comunicados, por no mínimo cinco anos. O registro inclui data, descrição, dados e titulares afetados, avaliação de risco, medidas adotadas e justificativas.
A ANPD pode, a qualquer momento, solicitar esse registro, o relatório de tratamento de incidente e outros documentos, como o relatório de impacto à proteção de dados.
O que a fiscalização já mostrou
Os casos julgados pela ANPD mostram que a gestão de incidentes é um dos pontos mais sensíveis. Em 2023, a Secretaria de Saúde de Santa Catarina recebeu advertências após um incidente que expôs dados de cerca de 298 mil pessoas, com falhas na comunicação aos titulares e nas medidas de segurança. Em 2024, o INSS foi obrigado a publicar a infração em seu site e aplicativo por 60 dias por não comunicar adequadamente os titulares sobre um incidente. Para empresas privadas, os mesmos erros podem resultar em multa.
Plano de resposta a incidentes: o que preparar antes
Com prazos de três dias úteis, não dá para improvisar. Um plano de resposta a incidentes LGPD deve definir:
- Quem faz o quê: TI, encarregado, jurídico, diretoria e comunicação;
- Como conter: isolar máquinas, trocar senhas, bloquear acessos e preservar evidências;
- Como avaliar o risco: quais dados, quantos titulares e quais critérios do regulamento se aplicam;
- Modelos prontos: formulário da ANPD e modelo de comunicado de vazamento de dados para titulares;
- Registro: onde e como documentar cada incidente;
- Prevenção: firewall, backup testado, autenticação de dois fatores, atualizações e monitoramento contínuo.
Backup e LGPD também andam juntos: cópias íntegras e testadas reduzem o impacto de um ransomware sobre a disponibilidade dos dados.
Perguntas frequentes
Qual o prazo para comunicar um incidente à ANPD?
Três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais. Para agentes de pequeno porte, o prazo é contado em dobro.
Todo vazamento de dados precisa ser comunicado?
Não. A comunicação é obrigatória quando houver risco ou dano relevante aos titulares, conforme os critérios da Resolução nº 15/2024. Mas todo incidente deve ser registrado.
E se eu ainda não souber todos os detalhes?
Faça uma comunicação preliminar dentro do prazo e complemente as informações em até 20 dias úteis.
Quem deve fazer a comunicação?
O controlador, normalmente por meio do encarregado. O operador deve avisar o controlador imediatamente.
Conclusão
Um incidente de segurança LGPD pode acontecer com qualquer empresa. O que diferencia uma crise controlada de um problema maior é a preparação: saber identificar o incidente, avaliar o risco, cumprir o prazo de três dias úteis, comunicar com transparência e manter tudo registrado.
A Avuz cloud apoia empresas de Passo Fundo (RS) e de todo o Brasil na adequação à LGPD e na prevenção de incidentes, com firewall, backup em nuvem e monitoramento 24x7. Conheça a página do serviço de LGPD ou fale com um especialista para estruturar seu plano de resposta.