O que caracteriza um incidente de segurança de dados

Por · Revisão: Rafael Toledo · Atualizado em 2026-08-06 · 2 fontes oficiais verificadas

Nem todo problema de sistema é um incidente de segurança para efeitos legais, e nem todo incidente precisa ser comunicado à autoridade. A confusão entre esses dois pontos é comum: um funcionário que acessa indevidamente um cadastro, um servidor mal configurado exposto na internet e um ataque de ransomware são situações diferentes entre si, mas todas podem se enquadrar no mesmo conceito legal quando colocam dados pessoais em risco.

O dever de segurança que antecede o incidente

O art. 46 da LGPD obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. É o descumprimento — ou a falha — desse dever que costuma estar por trás de um incidente.

O que dispara a obrigação de comunicar

O art. 48 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável definido pela autoridade. Nem todo incidente atinge esse patamar: um erro corrigido em minutos, sem exposição real do dado a terceiro, tende a não gerar dever de comunicação; um vazamento de banco de dados com CPF e senha, sim.

Vazamento, acesso indevido e perda: três cenários distintos

Vazamento externo (dado exposto na internet ou capturado por invasor), acesso indevido interno (funcionário que consulta dado fora de sua atribuição) e perda ou destruição acidental (backup corrompido, exclusão sem cópia) são formas diferentes do mesmo problema: a integridade ou a confidencialidade do dado pessoal foi comprometida sem autorização do titular ou base legal que sustente aquele acesso.

O que a comunicação ao titular deve conter

Quando o dever de comunicar existe, a informação ao titular precisa descrever a natureza dos dados afetados, as medidas técnicas e de segurança utilizadas para proteção, os riscos relacionados ao incidente e as medidas adotadas para reverter ou mitigar seus efeitos — não basta um aviso genérico de que "houve um problema técnico".

Perguntas frequentes

A empresa pode ser responsabilizada mesmo comunicando o incidente corretamente?

Sim: comunicar corretamente reduz risco de sanção adicional, mas não afasta a responsabilidade pela falha de segurança que deu origem ao incidente, avaliada à parte pela autoridade competente.

Proveniência

Onde buscar este serviço

O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:

Conteúdos relacionados

Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.