Estruturando o plano de resposta a incidentes antes do primeiro vazamento

Por que o plano é peça de conformidade, não só de tecnologia

O art. 50 da LGPD prevê que controladores e operadores formulem regras de boas práticas e de governança estabelecendo condições de organização, regime de funcionamento, procedimentos — inclusive reclamações e petições de titulares —, normas de segurança, padrões técnicos, obrigações dos envolvidos, ações educativas e mecanismos internos de supervisão e mitigação de riscos.

O §2º, I detalha o que um programa de governança em privacidade deve conter no mínimo, e a alínea g é explícita: contar com planos de resposta a incidentes e remediação.

Ou seja, o plano não é iniciativa opcional da área técnica. Ele é elemento que a empresa vai precisar demonstrar quando a autoridade perguntar como estava organizada antes do problema.

Os papéis que precisam ter nome e telefone

Defina, com pessoa titular e suplente: quem coordena a resposta; quem decide desligar sistema ou serviço; quem conduz a análise técnica; o encarregado, responsável por receber e encaminhar comunicações de titulares e da autoridade; quem aprova a comunicação externa; e quem registra a linha do tempo.

O ponto sensível é o poder de decisão. Plano que exige aval de um diretor inacessível às três da manhã não funciona — estabeleça alçadas por gravidade e autorize decisões provisórias com ratificação posterior.

Inclua contatos externos preparados de antemão: assessoria jurídica, resposta a incidentes contratada, seguradora e o canal da autoridade. Procurar fornecedor durante a crise custa horas que o prazo regulatório não devolve.

Classificação e gatilhos de escalonamento

O plano precisa de uma tabela simples que traduza sintoma em nível. Nível baixo: tentativa bloqueada, sem acesso a dado. Nível médio: acesso indevido interno a poucos registros, contido. Nível alto: exfiltração confirmada, dado sensível envolvido, muitos titulares.

Cada nível dispara ações e prazos internos definidos. Fixe o prazo interno de comunicação sempre menor que o prazo regulatório, para absorver imprevistos — e confirme na regulamentação vigente da autoridade qual é esse prazo antes de calibrar a tabela.

Inclua o gatilho jurídico separadamente: a avaliação de risco ou dano relevante, que ativa o dever de comunicar previsto no art. 48, é decisão que combina fato técnico e análise jurídica, e o plano deve dizer quem participa dela.

Segurança documentada é o que sustenta a defesa

O art. 46 impõe a adoção de medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

O plano deve referenciar, e não repetir, os controles existentes: política de acesso, criptografia, cópias de segurança testadas, segmentação de rede, gestão de fornecedores. E deve exigir que cada incidente gere registro do que falhou e do que foi corrigido.

Esse registro cumpre dupla função: alimenta a melhoria contínua e demonstra diligência, elemento que pesa na gradação prevista para as sanções administrativas.

Testar, revisar e o que costuma quebrar no teste

Um plano nunca exercitado é ficção. Faça ao menos um exercício anual de mesa, com cenário realista, cronômetro e ata do que deu errado. É comum descobrir que a lista de titulares por sistema não existe, que ninguém sabe extrair a base de contatos para o aviso, ou que o contrato com o fornecedor de nuvem não prevê prazo de notificação compatível.

Exemplo: em um exercício, uma empresa de varejo constatou que levaria três dias apenas para identificar quais clientes tinham dados no sistema comprometido. A correção não foi jurídica: foi mapear a base e criar a consulta antes de precisar dela.

Revise o documento a cada mudança relevante de sistema, fornecedor ou estrutura. E trate a revisão como entrega datada, com responsável — plano sem data de revisão perde valor probatório.

Estruturar esse conjunto, integrando exigência legal, contrato de fornecedor e operação real, costuma ser conduzido por advogado em conjunto com a área técnica, em trabalho remoto sobre os documentos que a própria empresa já mantém.