Comunicação de incidente de segurança à ANPD: o passo a passo
Três dias úteis. É esse o prazo que a Resolução CD/ANPD nº 15/2024 dá ao controlador para comunicar à autoridade e aos titulares um incidente de segurança que possa gerar risco ou dano relevante, contado a partir do momento em que a empresa toma conhecimento do fato. Perder esse prazo, ou fazer a comunicação incompleta, expõe a empresa a apuração e eventual sanção administrativa.
Passo 1: avalie se o incidente atinge risco ou dano relevante
Nem todo incidente exige comunicação externa. O primeiro passo é avaliar a extensão do vazamento, o tipo de dado envolvido — comum ou sensível — e a probabilidade real de prejuízo aos titulares. Incidente de baixo risco, já contido e sem indício de acesso indevido por terceiros, tende a exigir apenas registro interno.
Passo 2: reúna as informações exigidas pelo art. 48, § 1º, da LGPD
Antes de comunicar, monte o dossiê mínimo: descrição da natureza dos dados pessoais afetados, informações sobre os titulares envolvidos, medidas técnicas e de segurança já adotadas para conter o incidente e os riscos relacionados a ele. Comunicação incompleta é tratada como descumprimento parcial da obrigação.
Passo 3: registre a comunicação dentro do prazo de três dias úteis
A comunicação à ANPD deve ser feita pelos canais oficiais indicados pela autoridade, com base nos artigos da Resolução CD/ANPD nº 15/2024. O prazo de três dias úteis corre do conhecimento do incidente pelo controlador, não da data em que o incidente efetivamente ocorreu — por isso, documentar a data exata em que a equipe interna identificou o problema é essencial para comprovar que o prazo foi respeitado.
Passo 4: comunique também os titulares afetados
Paralelamente à comunicação à ANPD, o controlador deve avisar os titulares cujos dados foram afetados, com linguagem clara sobre o que aconteceu e o que fazer. Enviar apenas um comunicado genérico, sem indicar a natureza do dado exposto, não cumpre a obrigação e pode ser questionado tanto pela autoridade quanto pelos próprios titulares.
Passo 5: documente e mantenha registro mesmo após a comunicação
O art. 37 da LGPD exige que o controlador mantenha registro das operações de tratamento de dados. Depois de comunicar o incidente, mantenha esse registro atualizado com as medidas de correção adotadas, porque a ANPD pode abrir Processo de Apuração de Incidente para verificar a efetividade das providências tomadas.
O que acontece se a empresa não comunicar a tempo
A ausência de comunicação, ou a comunicação feita fora do prazo, pode levar à apuração pela ANPD e à aplicação de sanções administrativas previstas na LGPD, que vão de advertência a multa. Empresas que enfrentam esse tipo de situação, especialmente quando o incidente já gerou reclamações de titulares, costumam se beneficiar de assessoria jurídica para estruturar a resposta à autoridade e reduzir a exposição.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.