--- title: "O que caracteriza um incidente de segurança de dados" description: "Veja o que a LGPD considera incidente de segurança com dados pessoais, do vazamento ao acesso indevido, e quando nasce o dever de comunicar." url: "https://wikijuridica.com.br/lgpd/incidente-de-seguranca-o-que-e/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:c613828a7da46b36b177086fd35d13d1d5979e9fd2f993e2fbb2e9782503c9e9" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "LGPD (Lei 13.709/2018), arts. 46 e 48" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-07-15" claim: "dever de segurança do controlador e critérios para comunicação de incidente à autoridade e ao titular" - name: "ANPD — Comunicação de Incidente de Segurança (CIS)" url: "https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis" verified_at: "2026-07-15" claim: "orientação da ANPD sobre o dever do art. 48 da LGPD de comunicar o incidente ao titular quando há risco ou dano relevante, além da comunicação à autoridade" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # O que caracteriza um incidente de segurança de dados Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Nem todo problema de sistema é um incidente de segurança para efeitos legais, e nem todo incidente precisa ser comunicado à autoridade. A confusão entre esses dois pontos é comum: um funcionário que acessa indevidamente um cadastro, um servidor mal configurado exposto na internet e um ataque de ransomware são situações diferentes entre si, mas todas podem se enquadrar no mesmo conceito legal quando colocam dados pessoais em risco. ## O dever de segurança que antecede o incidente O [art. 46](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art46) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. É o descumprimento — ou a falha — desse dever que costuma estar por trás de um incidente. ## O que dispara a obrigação de comunicar O art. 48 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável definido pela autoridade. Nem todo incidente atinge esse patamar: um erro corrigido em minutos, sem exposição real do dado a terceiro, tende a não gerar dever de comunicação; um vazamento de banco de dados com CPF e senha, sim. ## Vazamento, acesso indevido e perda: três cenários distintos Vazamento externo (dado exposto na internet ou capturado por invasor), acesso indevido interno (funcionário que consulta dado fora de sua atribuição) e perda ou destruição acidental (backup corrompido, exclusão sem cópia) são formas diferentes do mesmo problema: a integridade ou a confidencialidade do dado pessoal foi comprometida sem autorização do titular ou base legal que sustente aquele acesso. ## O que a comunicação ao titular deve conter Quando o dever de comunicar existe, a informação ao titular precisa descrever a natureza dos dados afetados, as medidas técnicas e de segurança utilizadas para proteção, os riscos relacionados ao incidente e as medidas adotadas para reverter ou mitigar seus efeitos — não basta um aviso genérico de que "houve um problema técnico". ## Perguntas frequentes ### A empresa pode ser responsabilizada mesmo comunicando o incidente corretamente? Sim: comunicar corretamente reduz risco de sanção adicional, mas não afasta a responsabilidade pela falha de segurança que deu origem ao incidente, avaliada à parte pela autoridade competente. ## Proveniência - [LGPD (Lei 13.709/2018), arts. 46 e 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: dever de segurança do controlador e critérios para comunicação de incidente à autoridade e ao titular - [ANPD — Comunicação de Incidente de Segurança (CIS)](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: orientação da ANPD sobre o dever do art. 48 da LGPD de comunicar o incidente ao titular quando há risco ou dano relevante, além da comunicação à autoridade --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [CPF é dado sensível? O engano mais comum da LGPD](https://wikijuridica.com.br/lgpd/cpf-e-dado-sensivel/index.md) - [Endereço IP é dado pessoal? O que diz a lei brasileira](https://wikijuridica.com.br/lgpd/ip-e-dado-pessoal/index.md) - [Direito ao esquecimento existe no Brasil? O que a lei prevê](https://wikijuridica.com.br/lgpd/direito-ao-esquecimento/index.md) - [Vazou nome e e-mail: dá para pedir indenização?](https://wikijuridica.com.br/lgpd/vazamento-dado-nao-sensivel-indenizacao/index.md) - [Tratamento de dados na LGPD: o que a lei considera assim](https://wikijuridica.com.br/lgpd/o-que-conta-como-tratamento/index.md) - [ANPD: o órgão que fiscaliza a proteção de dados](https://wikijuridica.com.br/glossario/anpd/index.md) - [Exercício de direitos é gratuito: empresa não pode cobrar taxa](https://wikijuridica.com.br/lgpd/cobranca-taxa-fornecer-dados/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/incidente-de-seguranca-o-que-e/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 46** — `urn:lex:br:federal:lei:2018-08-14;13709!art46` - [Dados vazados usados em golpe: quem responde pelo prejuízo](https://wikijuridica.com.br/bancario/vazamento-dados-fraude-consequente/index.md) - [REsp 2.266.886 do STJ: direito do consumidor](https://wikijuridica.com.br/jurisprudencia/stj-resp-2266886/index.md) - [Dados vazaram? O roteiro jurídico para o titular agir](https://wikijuridica.com.br/lgpd/dados-vazaram-o-que-fazer/index.md) - [Vazamento de dados gera dano moral? Entenda o critério](https://wikijuridica.com.br/lgpd/dano-moral-vazamento-panorama/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. O que caracteriza um incidente de segurança de dados. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/incidente-de-seguranca-o-que-e/ Versão do conteúdo: sha256:c613828a7da46b36b177086fd35d13d1d5979e9fd2f993e2fbb2e9782503c9e9 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-incidente-de-seguranca-o-que-e", "type": "webpage", "title": "O que caracteriza um incidente de segurança de dados", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/incidente-de-seguranca-o-que-e/", "language": "pt-BR", "version": "sha256:c613828a7da46b36b177086fd35d13d1d5979e9fd2f993e2fbb2e9782503c9e9", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: