Incidentes de segurança com dados pessoais — o que a empresa precisa comunicar, e quando

O ponto de partida

O art. 48 da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, detalhou como essa obrigação deve ser cumprida.

Os pontos centrais do regulamento

• Prazo: a comunicação deve ser feita em até três dias úteis contados do conhecimento de que o incidente afetou dados pessoais.
• Critério: a obrigação surge quando o incidente pode acarretar risco ou dano relevante aos titulares — avaliação que considera, entre outros fatores, o tipo de dado e o volume de pessoas afetadas.
• Registro: independentemente da comunicação, o controlador deve manter registro dos incidentes pelo prazo mínimo de cinco anos.

Onde as empresas costumam falhar

O prazo curto torna inviável improvisar. As falhas mais comuns não são jurídicas, mas de processo: ausência de um fluxo interno de reporte, falta de clareza sobre quem decide, contratos com fornecedores sem regras de notificação e dificuldade em reunir rapidamente as informações exigidas.

Na prática

• Mantenha um plano de resposta a incidentes com responsáveis, etapas e modelos de comunicação definidos.
• Revise os contratos com operadores para exigir notificação imediata de incidentes.
• Treine as equipes para reconhecer e escalar um incidente desde o primeiro sinal.