Incidente não é sinônimo automático de vazamento público

Incidente de segurança é evento confirmado que compromete confidencialidade, integridade ou disponibilidade de dados pessoais. Pode envolver acesso indevido, perda, alteração, indisponibilidade, envio ao destinatário errado, fraude interna, ransomware ou exposição acidental.

Nem todo incidente precisa ser comunicado à ANPD e aos titulares. A comunicação é exigida quando puder acarretar risco ou dano relevante. A avaliação considera natureza dos dados, titulares, escala, impactos, possibilidade de discriminação, fraude, dano financeiro ou reputacional e medidas de proteção existentes.

Prazos e registros que a empresa precisa conhecer

O regulamento prevê comunicação à ANPD e aos titulares em três dias úteis, contados do conhecimento pelo controlador, quando presentes os critérios. Para agentes de tratamento de pequeno porte abrangidos pela regra específica, o prazo é contado em dobro. A classificação como agente de pequeno porte e a incidência das flexibilizações precisam ser verificadas no caso concreto.

O controlador também deve manter registro dos incidentes, inclusive dos não comunicados, por pelo menos cinco anos. Isso significa que a decisão de não comunicar deve ser fundamentada, documentada e preservada.

Primeiras quatro frentes de resposta

1. Conter sem destruir prova

Revogar acessos, isolar sistemas, bloquear credenciais e interromper fluxos comprometidos, preservando logs, arquivos, dispositivos e cronologia. A equipe deve distinguir cópia de preservação, ambiente de investigação e ambiente restaurado.

2. Definir comando

Uma pessoa coordena o incidente; TI executa contenção e análise; negócio identifica processos e titulares; encarregado e jurídico avaliam LGPD e obrigações; comunicação prepara linguagem; direção decide recursos. Decisões e horários entram em um log único.

3. Avaliar risco

Quais dados? Quantos titulares? Há crianças, idosos, biometria, saúde, finanças ou autenticação? Os dados estavam criptografados? Houve exfiltração ou apenas indisponibilidade? Quem recebeu? É possível reverter? Que dano pode ocorrer?

4. Comunicar com precisão

Quando necessária, a comunicação deve ser clara e útil. Deve explicar natureza dos dados, riscos, medidas adotadas, recomendações aos titulares e canal de contato. Comunicação prematura e especulativa pode desinformar; comunicação tardia pode ampliar dano e exposição.

Um playbook de 72 horas

0 a 4 horas: conter, preservar, convocar equipe, abrir log e identificar sistemas/processos.
4 a 24 horas: confirmar natureza, dados, titulares, causa provável, terceiros e medidas imediatas.
24 a 48 horas: avaliar risco e dano relevante, elaborar decisões, preparar comunicações e acionar contratos/seguros.
48 a 72 horas: protocolar comunicações aplicáveis, orientar titulares, atualizar direção e planejar recuperação.

O prazo regulatório não substitui regras setoriais ou contratuais que podem exigir comunicação em tempo diferente.

O papel dos fornecedores

Muitas PMEs usam sistemas, nuvem, folha, CRM, contabilidade e marketing de terceiros. O contrato deve definir papéis, segurança, suboperadores, prazo de aviso, cooperação, preservação de logs, investigação, custos e devolução ou eliminação de dados.

Se o operador demora para informar, o controlador perde tempo regulatório. O playbook deve conter contatos e caminhos de escalada testados, não apenas e-mails genéricos.

Depois do incidente

Encerrar tecnicamente não encerra juridicamente. A empresa precisa registrar causa, decisões, comunicação, impacto, medidas de mitigação e motivos de não comunicação, quando for o caso. Também deve corrigir acessos, contratos, treinamento, retenção, autenticação e monitoramento.

Em julho de 2026, a ANPD divulgou monitoramento sobre encarregados e canais de comunicação, indicando maior atenção à governança básica. Ter um nome no site sem fluxo interno não atende à finalidade.

Perguntas frequentes

Todo incidente deve ser comunicado em três dias?

Não. O prazo se relaciona aos incidentes com potencial de risco ou dano relevante. A avaliação e a decisão precisam ser documentadas.

O boletim de ocorrência substitui a comunicação à ANPD?

Não. São providências distintas e dependem do caso.

Uma PME pode ter prazo em dobro?

Agentes de tratamento de pequeno porte podem ter regras diferenciadas, mas é necessário confirmar se a empresa se enquadra e se não está em situação excluída da flexibilização.

Próximo passo: faça um exercício de mesa. Simule o envio indevido de uma planilha de clientes e verifique se a equipe sabe conter, registrar, avaliar e comunicar dentro do prazo.