Dever de comunicar incidente de segurança na LGPD
Uma base de clientes deixada acessível por erro de configuração e a consulta indevida de prontuários por empregado sem autorização são incidentes de segurança, embora tenham causas diferentes. Quando o episódio cria risco ou dano relevante para as pessoas envolvidas, o art. 48 da LGPD impõe ao controlador dois destinatários para o aviso: a ANPD e os próprios titulares. Ocultar o fato não substitui a avaliação nem as providências exigidas.
O que a comunicação precisa informar
A comunicação precisa permitir que titulares e autoridade avaliem o episódio. O art. 48, §1º, exige informar quais categorias de dados foram atingidas e quem são os titulares envolvidos, descrever as salvaguardas técnicas empregadas e os riscos identificados, justificar eventual atraso e indicar o que já foi feito — ou está planejado — para conter e reduzir os efeitos. O envio ocorre no prazo definido pela ANPD, e não pode se limitar a dizer que houve uma falha técnica.
O que a ANPD pode determinar depois de avaliar a gravidade
Depois de receber a notícia, a ANPD pode medir a gravidade e exigir proteção adicional. Entre as respostas previstas no art. 48, §2º, estão divulgar amplamente o ocorrido e adotar novas ações de contenção ou mitigação. A análise também considera, pelo §3º, se recursos técnicos tornavam a informação ilegível para pessoas não autorizadas; criptografia efetiva, por exemplo, pode reduzir o impacto, mas não dispensa a avaliação concreta.
Também é preciso prevenir, não só comunicar
A resposta ao incidente começa antes de qualquer vazamento. O art. 46 obriga controlador e operador a manter salvaguardas administrativas e técnicas contra acesso indevido, perda, destruição, alteração e divulgação ilícita ou acidental. Avisar depois da falha não compensa a ausência de prevenção; ao contrário, controles incompatíveis com o risco podem pesar na apuração da responsabilidade.
Perguntas frequentes
Todo vazamento precisa ser comunicado à ANPD?
Não qualquer vazamento, mas apenas aquele que possa acarretar risco ou dano relevante aos titulares, conforme o caput do art. 48; a avaliação desse risco cabe primeiro ao próprio controlador.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.