--- title: "Dever de comunicar incidente de segurança na LGPD" description: "A LGPD obriga o controlador a comunicar à ANPD e aos titulares vazamento de dados que gere risco relevante. Veja o prazo e o conteúdo dessa comunicação." url: "https://wikijuridica.com.br/glossario/incidente-de-seguranca/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-30" reviewed_at: "2026-08-26" version: "sha256:84ae39e6ab2a396ed85ccf3cc6090b1a706e9ad1f4595dcd00bef7b2b69896ac" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Constituição Federal, art. 5º, LXXIX" url: "https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm" verified_at: "2026-07-15" text_version: "compilado" text_version_checked_at: "2026-08-12" - name: "Lei 13.709/2018 (LGPD), arts. 46 e 48" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-08-30" claim: "dever de segurança preventiva e regras de comunicação de incidente" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Dever de comunicar incidente de segurança na LGPD Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Uma base de clientes deixada acessível por erro de configuração e a consulta indevida de prontuários por empregado sem autorização são incidentes de segurança, embora tenham causas diferentes. Quando o episódio cria risco ou dano relevante para as pessoas envolvidas, o [art. 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art48) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) impõe ao controlador dois destinatários para o aviso: a ANPD e os próprios titulares. Ocultar o fato não substitui a avaliação nem as providências exigidas. ## O que a comunicação precisa informar A comunicação precisa permitir que titulares e autoridade avaliem o episódio. O art. 48, §1º, exige informar quais categorias de dados foram atingidas e quem são os titulares envolvidos, descrever as salvaguardas técnicas empregadas e os riscos identificados, justificar eventual atraso e indicar o que já foi feito — ou está planejado — para conter e reduzir os efeitos. O envio ocorre no prazo definido pela ANPD, e não pode se limitar a dizer que houve uma falha técnica. ## O que a ANPD pode determinar depois de avaliar a gravidade Depois de receber a notícia, a ANPD pode medir a gravidade e exigir proteção adicional. Entre as respostas previstas no art. 48, §2º, estão divulgar amplamente o ocorrido e adotar novas ações de contenção ou mitigação. A análise também considera, pelo §3º, se recursos técnicos tornavam a informação ilegível para pessoas não autorizadas; criptografia efetiva, por exemplo, pode reduzir o impacto, mas não dispensa a avaliação concreta. ## Também é preciso prevenir, não só comunicar A resposta ao incidente começa antes de qualquer vazamento. O art. 46 obriga controlador e operador a manter salvaguardas administrativas e técnicas contra acesso indevido, perda, destruição, alteração e divulgação ilícita ou acidental. Avisar depois da falha não compensa a ausência de prevenção; ao contrário, controles incompatíveis com o risco podem pesar na apuração da responsabilidade. ## Perguntas frequentes ### Todo vazamento precisa ser comunicado à ANPD? Não qualquer vazamento, mas apenas aquele que possa acarretar risco ou dano relevante aos titulares, conforme o caput do art. 48; a avaliação desse risco cabe primeiro ao próprio controlador. ## Proveniência - [Constituição Federal, art. 5º, LXXIX](https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm) — verificado em 2026-07-15 · texto compilado, com as alterações posteriores incorporadas, conferido em 2026-08-12 · Fonte oficial usada como referência e proveniência. - [Lei 13.709/2018 (LGPD), arts. 46 e 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-08-30 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: dever de segurança preventiva e regras de comunicação de incidente --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [ANPD: o órgão que fiscaliza a proteção de dados](https://wikijuridica.com.br/glossario/anpd/index.md) - [Pseudonimização: proteger o dado mantendo a reversibilidade](https://wikijuridica.com.br/glossario/pseudonimizacao/index.md) - [Encarregado (DPO): o canal entre empresa e titulares](https://wikijuridica.com.br/glossario/encarregado-dpo/index.md) - [Transferência internacional de dados: enviar dado para fora](https://wikijuridica.com.br/glossario/transferencia-internacional-dados/index.md) - [Dados vazados à venda em grupos: como remover e agir](https://wikijuridica.com.br/lgpd/dados-vazados-revendidos-remocao/index.md) - [Anonimização: quando o dado deixa de ser pessoal](https://wikijuridica.com.br/glossario/anonimizacao/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/glossario/incidente-de-seguranca/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 48** — `urn:lex:br:federal:lei:2018-08-14;13709!art48` - [Vazamento de dados virou consignado no meu nome](https://wikijuridica.com.br/bancario/vazamento-dados-pessoais-usado-consignado-fraudulento/index.md) - [Conta invadida e plataforma não recupera acesso: passos e provas](https://wikijuridica.com.br/consumidor/conta-plataforma-invadida-nao-recupero-acesso/index.md) - [E-mail invadido: como retomar o controle e proteger contas](https://wikijuridica.com.br/digital/email-invadido-acesso-indevido/index.md) - [Caí em phishing: o que fazer com os dados vazados](https://wikijuridica.com.br/digital/phishing-link-falso-dados/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Dever de comunicar incidente de segurança na LGPD. Wiki Jurídica. 2026-08-30. https://wikijuridica.com.br/glossario/incidente-de-seguranca/ Versão do conteúdo: sha256:84ae39e6ab2a396ed85ccf3cc6090b1a706e9ad1f4595dcd00bef7b2b69896ac Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-glossario-incidente-de-seguranca", "type": "webpage", "title": "Dever de comunicar incidente de segurança na LGPD", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 30]]}, "URL": "https://wikijuridica.com.br/glossario/incidente-de-seguranca/", "language": "pt-BR", "version": "sha256:84ae39e6ab2a396ed85ccf3cc6090b1a706e9ad1f4595dcd00bef7b2b69896ac", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: