Todo incidente de segurança precisa ser comunicado à ANPD?

O critério legal é risco ou dano relevante

O art. 48 da LGPD condiciona a comunicação à ANPD e aos titulares à existência de risco ou dano relevante decorrente do incidente. A Resolução CD/ANPD nº 15/2024 detalha esse conceito considerando fatores como o volume de titulares afetados, a natureza dos dados (comum ou sensível), a probabilidade de uso indevido e a reversibilidade dos efeitos.

Exemplos que costumam ficar abaixo do gatilho

Falha técnica corrigida em minutos, sem evidência de acesso indevido por terceiro, ou envio de dado para destinatário interno equivocado, com recuperação imediata do arquivo, tendem a não atingir o patamar de risco relevante. Nesses casos, o controlador ainda deve documentar o ocorrido internamente, mas não é obrigado a comunicar externamente.

Exemplos que costumam atingir o gatilho

Vazamento de base com CPF, senha ou dado sensível para acesso público, invasão confirmada de sistema com extração de dados, ou incidente que já resultou em fraude reportada por titulares tendem a configurar risco relevante e a exigir comunicação dentro do prazo de três dias úteis.

A decisão não é discricionária sem limites

Mesmo quando a empresa avalia internamente que o incidente não atinge o gatilho, essa decisão pode ser revista pela ANPD, que tem poder de apurar incidentes não comunicados de que venha a tomar conhecimento por outra via, inclusive reclamação de titular. Documentar a análise de risco que fundamentou a decisão de não comunicar é, por isso, tão importante quanto a própria comunicação nos casos que exigem aviso.

Um exemplo hipotético ajuda a ilustrar a linha: se um funcionário envia por engano uma planilha de contatos para outro colega da mesma empresa e o arquivo é excluído em minutos, sem cópia feita ou acesso por pessoa estranha, esse incidente tende a ficar apenas registrado. Já se a mesma planilha é enviada para um endereço externo desconhecido e não há confirmação de exclusão, a análise de risco muda de figura e a comunicação passa a ser recomendável.

Quando a dúvida persiste sobre qual lado dessa linha o incidente ocupa, ou quando a empresa já recebeu questionamento de titular ou da própria ANPD, vale submeter o caso concreto a um advogado que possa avaliar à distância a documentação reunida e orientar a decisão de comunicar ou não.