O que caracteriza um incidente de segurança de dados
Nem todo problema de sistema é um incidente de segurança para efeitos legais, e nem todo incidente precisa ser comunicado à autoridade. A confusão entre esses dois pontos é comum: um funcionário que acessa indevidamente um cadastro, um servidor mal configurado exposto na internet e um ataque de ransomware são situações diferentes entre si, mas todas podem se enquadrar no mesmo conceito legal quando colocam dados pessoais em risco.
O dever de segurança que antecede o incidente
O art. 46 da LGPD obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. É o descumprimento — ou a falha — desse dever que costuma estar por trás de um incidente.
O que dispara a obrigação de comunicar
O art. 48 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável definido pela autoridade. Nem todo incidente atinge esse patamar: um erro corrigido em minutos, sem exposição real do dado a terceiro, tende a não gerar dever de comunicação; um vazamento de banco de dados com CPF e senha, sim.
Vazamento, acesso indevido e perda: três cenários distintos
Vazamento externo (dado exposto na internet ou capturado por invasor), acesso indevido interno (funcionário que consulta dado fora de sua atribuição) e perda ou destruição acidental (backup corrompido, exclusão sem cópia) são formas diferentes do mesmo problema: a integridade ou a confidencialidade do dado pessoal foi comprometida sem autorização do titular ou base legal que sustente aquele acesso.
O que a comunicação ao titular deve conter
Quando o dever de comunicar existe, a informação ao titular precisa descrever a natureza dos dados afetados, as medidas técnicas e de segurança utilizadas para proteção, os riscos relacionados ao incidente e as medidas adotadas para reverter ou mitigar seus efeitos — não basta um aviso genérico de que "houve um problema técnico".
Perguntas frequentes
A empresa pode ser responsabilizada mesmo comunicando o incidente corretamente?
Sim: comunicar corretamente reduz risco de sanção adicional, mas não afasta a responsabilidade pela falha de segurança que deu origem ao incidente, avaliada à parte pela autoridade competente.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
- O encarregado de dados (DPO) da própria empresa e, se não houver resposta, a ANPD pelos canais oficiais de petição.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.