--- title: "Incidente sem comunicação à ANPD ainda precisa de registro interno?" description: "Mesmo sem notificar a ANPD, a empresa tem dever de documentar internamente incidentes de segurança. Veja o que registrar e por quanto tempo." url: "https://wikijuridica.com.br/lgpd/registro-interno-incidentes/" lang: "pt-BR" page_type: "pergunta" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:ce9263cc4398444df87d5bf6e580dde074fd8379e5058af2467993d1fbf0a644" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei 13.709/2018 (LGPD)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-07-15" claim: "dever de manter registro das operações de tratamento de dados pessoais (art. 37) e critério de risco relevante para comunicação de incidente (art. 48)" - name: "ANPD - Comunicado de Incidente de Segurança" url: "https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis" verified_at: "2026-07-14" claim: "poder da ANPD de apurar incidentes não comunicados de que venha a tomar conhecimento, ainda que o controlador tenha concluído pela dispensa da comunicação" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Incidente sem comunicação à ANPD ainda precisa de registro interno? Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 A empresa concluiu que um incidente não atinge o patamar de risco relevante e, por isso, não precisa comunicar à ANPD. Isso encerra a obrigação? Não. Existe um dever de documentação que sobrevive à dispensa da comunicação externa. ## O dever de registro do art. 37 da LGPD O [art. 37](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art37) da [Lei 13.709/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) exige que o controlador e o operador mantenham registro das operações de tratamento de dados pessoais que realizam, especialmente quando baseadas em legítimo interesse. Esse dever é amplo e não se limita a incidentes graves: ele sustenta a capacidade da empresa de demonstrar, a qualquer momento, como trata os dados sob sua responsabilidade. ## O que documentar em incidente de baixo risco Mesmo sem comunicação externa, vale registrar a data em que o incidente foi identificado, a natureza dos dados envolvidos, a análise de risco que levou à conclusão de que não era relevante, e as medidas de contenção adotadas. Esse registro serve tanto de defesa em caso de questionamento futuro quanto de histórico interno para identificar padrões de vulnerabilidade. ## Por que esse registro protege a própria empresa Se a ANPD, por reclamação de titular ou notícia, vier a apurar o incidente meses depois, é o registro interno contemporâneo que permite à empresa demonstrar que a decisão de não comunicar foi tomada com base em análise fundamentada, e não em omissão. Documentação feita depois do fato, de forma reconstituída, tem peso muito menor do que registro produzido no momento do incidente. ## Um caso hipotético que ilustra a diferença Imagine que uma equipe interna detecta acesso indevido a um relatório interno, sem indício de que o dado saiu da empresa, e conclui, com base em análise técnica documentada no mesmo dia, que o risco é baixo. Meses depois, um titular reclama à ANPD achando que houve vazamento. Nesse cenário, o registro produzido na época do incidente é o que permite à empresa demonstrar, com data e fundamento, que a decisão de não comunicar foi criteriosa, e não uma tentativa de esconder o ocorrido. ## Perguntas frequentes ### Por quanto tempo a empresa deve guardar esse registro? A [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) não fixa um prazo único e genérico de guarda para todo registro; o prazo depende da finalidade do tratamento e de eventual regulamentação setorial aplicável. Na dúvida, manter o registro pelo prazo de prescrição da pretensão de reparação civil aplicável ao caso é uma referência prudente. ## Proveniência - [Lei 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: dever de manter registro das operações de tratamento de dados pessoais (art. 37) e critério de risco relevante para comunicação de incidente (art. 48) - [ANPD - Comunicado de Incidente de Segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — verificado em 2026-07-14 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: poder da ANPD de apurar incidentes não comunicados de que venha a tomar conhecimento, ainda que o controlador tenha concluído pela dispensa da comunicação --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Funcionário vazou dados de clientes: a empresa responde?](https://wikijuridica.com.br/lgpd/funcionario-vazou-dados-clientes/index.md) - [Todo incidente de segurança exige aviso à ANPD?](https://wikijuridica.com.br/lgpd/incidente-precisa-notificar-sempre/index.md) - [Como comunicar incidente de segurança à ANPD](https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/index.md) - [Vazamento no fornecedor: de quem é o dever de comunicar?](https://wikijuridica.com.br/lgpd/incidente-no-operador-quem-comunica/index.md) - [Empresa invadida: como formalizar a representação](https://wikijuridica.com.br/criminal/empresa-vitima-invasao-sistema-dados/index.md) - [Empresa fechou: o que acontece com meus dados?](https://wikijuridica.com.br/lgpd/falencia-empresa-dados-clientes/index.md) - [Suplente de diretoria sindical também tem estabilidade](https://wikijuridica.com.br/trabalhista/suplente-dirigente-sindical-estabilidade/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/registro-interno-incidentes/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 37** — `urn:lex:br:federal:lei:2018-08-14;13709!art37` - [Como comunicar incidente de segurança à ANPD](https://wikijuridica.com.br/lgpd/comunicar-incidente-anpd/index.md) - [Due diligence de LGPD antes de comprar uma empresa](https://wikijuridica.com.br/lgpd/due-diligence-protecao-dados-aquisicao-empresa/index.md) - [Registro das operações de tratamento: como montar](https://wikijuridica.com.br/lgpd/registro-operacoes-ropa/index.md) - [RIPD: quando o relatório de impacto é obrigatório](https://wikijuridica.com.br/lgpd/ripd-quando-obrigatorio/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Incidente sem comunicação à ANPD ainda precisa de registro interno?. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/registro-interno-incidentes/ Versão do conteúdo: sha256:ce9263cc4398444df87d5bf6e580dde074fd8379e5058af2467993d1fbf0a644 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-registro-interno-incidentes", "type": "webpage", "title": "Incidente sem comunicação à ANPD ainda precisa de registro interno?", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/registro-interno-incidentes/", "language": "pt-BR", "version": "sha256:ce9263cc4398444df87d5bf6e580dde074fd8379e5058af2467993d1fbf0a644", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: