--- title: "Comunicação de incidente de segurança à ANPD: o passo a passo" description: "Passo a passo para o controlador comunicar incidente de segurança à ANPD dentro do prazo de três dias úteis e evitar sanção." url: "https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:eed03ff31bdd4a77d907e5b77d336db675cd0cbc324d3875ee0672ab006912c7" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei 13.709/2018 (LGPD)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-07-15" claim: "conteúdo mínimo da comunicação de incidente (art. 48, § 1º) e dever de registro das operações de tratamento (art. 37)" - name: "ANPD - Comunicado de Incidente de Segurança" url: "https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis" verified_at: "2026-07-14" claim: "prazo de três dias úteis para comunicação e possibilidade de Processo de Apuração de Incidente pela ANPD, nos termos da Resolução CD/ANPD nº 15/2024" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Comunicação de incidente de segurança à ANPD: o passo a passo Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Três dias úteis. É esse o prazo que a Resolução CD/ANPD nº 15/2024 dá ao controlador para comunicar à autoridade e aos titulares um incidente de segurança que possa gerar risco ou dano relevante, contado a partir do momento em que a empresa toma conhecimento do fato. Perder esse prazo, ou fazer a comunicação incompleta, expõe a empresa a apuração e eventual sanção administrativa. ## Passo 1: avalie se o incidente atinge risco ou dano relevante Nem todo incidente exige comunicação externa. O primeiro passo é avaliar a extensão do vazamento, o tipo de dado envolvido — comum ou sensível — e a probabilidade real de prejuízo aos titulares. Incidente de baixo risco, já contido e sem indício de acesso indevido por terceiros, tende a exigir apenas registro interno. ## Passo 2: reúna as informações exigidas pelo art. 48, § 1º, da LGPD Antes de comunicar, monte o dossiê mínimo: descrição da natureza dos dados pessoais afetados, informações sobre os titulares envolvidos, medidas técnicas e de segurança já adotadas para conter o incidente e os riscos relacionados a ele. Comunicação incompleta é tratada como descumprimento parcial da obrigação. ## Passo 3: registre a comunicação dentro do prazo de três dias úteis A comunicação à ANPD deve ser feita pelos canais oficiais indicados pela autoridade, com base nos artigos da Resolução CD/ANPD nº 15/2024. O prazo de três dias úteis corre do conhecimento do incidente pelo controlador, não da data em que o incidente efetivamente ocorreu — por isso, documentar a data exata em que a equipe interna identificou o problema é essencial para comprovar que o prazo foi respeitado. ## Passo 4: comunique também os titulares afetados Paralelamente à comunicação à ANPD, o controlador deve avisar os titulares cujos dados foram afetados, com linguagem clara sobre o que aconteceu e o que fazer. Enviar apenas um comunicado genérico, sem indicar a natureza do dado exposto, não cumpre a obrigação e pode ser questionado tanto pela autoridade quanto pelos próprios titulares. ## Passo 5: documente e mantenha registro mesmo após a comunicação O [art. 37](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art37) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) exige que o controlador mantenha registro das operações de tratamento de dados. Depois de comunicar o incidente, mantenha esse registro atualizado com as medidas de correção adotadas, porque a ANPD pode abrir Processo de Apuração de Incidente para verificar a efetividade das providências tomadas. ## O que acontece se a empresa não comunicar a tempo A ausência de comunicação, ou a comunicação feita fora do prazo, pode levar à apuração pela ANPD e à aplicação de sanções administrativas previstas na [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm), que vão de advertência a multa. Empresas que enfrentam esse tipo de situação, especialmente quando o incidente já gerou reclamações de titulares, costumam se beneficiar de assessoria jurídica para estruturar a resposta à autoridade e reduzir a exposição. ## Proveniência - [Lei 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: conteúdo mínimo da comunicação de incidente (art. 48, § 1º) e dever de registro das operações de tratamento (art. 37) - [ANPD - Comunicado de Incidente de Segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — verificado em 2026-07-14 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: prazo de três dias úteis para comunicação e possibilidade de Processo de Apuração de Incidente pela ANPD, nos termos da Resolução CD/ANPD nº 15/2024 --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Vazamento no fornecedor: de quem é o dever de comunicar?](https://wikijuridica.com.br/lgpd/incidente-no-operador-quem-comunica/index.md) - [Todo incidente de segurança exige aviso à ANPD?](https://wikijuridica.com.br/lgpd/incidente-precisa-notificar-sempre/index.md) - [Incidente de baixo risco também precisa ser registrado?](https://wikijuridica.com.br/lgpd/registro-interno-incidentes/index.md) - [A empresa é obrigada a avisar sobre vazamento de dados?](https://wikijuridica.com.br/lgpd/empresa-obrigada-avisar-vazamento/index.md) - [Fornecedor vazou dados dos seus clientes: e agora?](https://wikijuridica.com.br/lgpd/fornecedor-vazou-dados-meus-clientes/index.md) - [LGPD Penal: existe lei de dados para segurança pública no Brasil?](https://wikijuridica.com.br/lgpd/penal-seguranca-publica-existe/index.md) - [ITBI na compra do imóvel: quem paga e quando vence](https://wikijuridica.com.br/imobiliario/itbi-quem-paga-quando/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/comunicar-incidente-anpd/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 37** — `urn:lex:br:federal:lei:2018-08-14;13709!art37` - [Due diligence de LGPD antes de comprar uma empresa](https://wikijuridica.com.br/lgpd/due-diligence-protecao-dados-aquisicao-empresa/index.md) - [Incidente de baixo risco também precisa ser registrado?](https://wikijuridica.com.br/lgpd/registro-interno-incidentes/index.md) - [Registro das operações de tratamento: como montar](https://wikijuridica.com.br/lgpd/registro-operacoes-ropa/index.md) - [RIPD: quando o relatório de impacto é obrigatório](https://wikijuridica.com.br/lgpd/ripd-quando-obrigatorio/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Comunicação de incidente de segurança à ANPD: o passo a passo. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/ Versão do conteúdo: sha256:eed03ff31bdd4a77d907e5b77d336db675cd0cbc324d3875ee0672ab006912c7 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-comunicar-incidente-anpd", "type": "webpage", "title": "Comunicação de incidente de segurança à ANPD: o passo a passo", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/", "language": "pt-BR", "version": "sha256:eed03ff31bdd4a77d907e5b77d336db675cd0cbc324d3875ee0672ab006912c7", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: