Incidente sem comunicação à ANPD ainda precisa de registro interno?
A empresa concluiu que um incidente não atinge o patamar de risco relevante e, por isso, não precisa comunicar à ANPD. Isso encerra a obrigação? Não. Existe um dever de documentação que sobrevive à dispensa da comunicação externa.
O dever de registro do art. 37 da LGPD
O art. 37 da Lei 13.709/2018 exige que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais que realizam, especialmente quando baseadas em legítimo interesse. Esse dever é amplo e não se limita a incidentes graves: ele sustenta a capacidade da empresa de demonstrar, a qualquer momento, como trata os dados sob sua responsabilidade.
O que documentar em incidente de baixo risco
Mesmo sem comunicação externa, vale registrar a data em que o incidente foi identificado, a natureza dos dados envolvidos, a análise de risco que levou à conclusão de que não era relevante, e as medidas de contenção adotadas. Esse registro serve tanto de defesa em caso de questionamento futuro quanto de histórico interno para identificar padrões de vulnerabilidade.
Por que esse registro protege a própria empresa
Se a ANPD, por reclamação de titular ou notícia, vier a apurar o incidente meses depois, é o registro interno contemporâneo que permite à empresa demonstrar que a decisão de não comunicar foi tomada com base em análise fundamentada, e não em omissão. Documentação feita depois do fato, de forma reconstituída, tem peso muito menor do que registro produzido no momento do incidente.
Um caso hipotético que ilustra a diferença
Imagine que uma equipe interna detecta acesso indevido a um relatório interno, sem indício de que o dado saiu da empresa, e conclui, com base em análise técnica documentada no mesmo dia, que o risco é baixo. Meses depois, um titular reclama à ANPD achando que houve vazamento. Nesse cenário, o registro produzido na época do incidente é o que permite à empresa demonstrar, com data e fundamento, que a decisão de não comunicar foi criteriosa, e não uma tentativa de esconder o ocorrido.
Perguntas frequentes
Por quanto tempo a empresa deve guardar esse registro?
A LGPD não fixa um prazo único e genérico de guarda para todo registro; o prazo depende da finalidade do tratamento e de eventual regulamentação setorial aplicável. Na dúvida, manter o registro pelo prazo de prescrição da pretensão de reparação civil aplicável ao caso é uma referência prudente.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.