Resposta rápida: quando um incidente deve ser comunicado?
A Resolução CD/ANPD nº 15/2024 estabelece que nem todo incidente de segurança é reportável. A análise precisa confirmar cumulativamente que houve incidente de segurança, que o evento envolve dados pessoais sujeitos à LGPD e que ele pode acarretar risco ou dano relevante aos titulares.
Quando a comunicação é exigida, o controlador deve comunicar a ANPD e os titulares afetados em três dias úteis, salvo prazo específico de outra legislação. O operador deve informar o controlador sem demora injustificada.
Principais conclusões
- Vulnerabilidade não é automaticamente incidente.
- Nem todo incidente deve ser comunicado externamente.
- O prazo é três dias úteis para comunicação do controlador em casos reportáveis.
- Comunicação preliminar pode ser complementada em até 20 dias úteis.
- Titulares devem ser informados diretamente e de forma individualizada quando possível.
- Incidentes, inclusive não reportados, devem ser registrados por pelo menos cinco anos.
Quais incidentes devem ser reportados?
Use três perguntas:
- O evento de segurança realmente ocorreu?
- Ele envolve dados pessoais sujeitos à LGPD?
- Pode causar risco ou dano relevante aos titulares?
Se uma dessas respostas for negativa, a comunicação externa pode não ser exigida, mas a documentação interna continua importante.
Vulnerabilidade não é automaticamente incidente
Descobrir uma falha em sistema sem evidência de comprometimento não significa necessariamente que ocorreu incidente de segurança com dados pessoais. Ainda assim, a vulnerabilidade deve ser tratada e a organização deve preservar evidências da análise.
O que é risco ou dano relevante?
A avaliação deve considerar natureza e categorias dos dados, volume, titulares afetados, impactos possíveis, contexto, medidas de proteção existentes e potencial de consequências materiais ou morais.
Dados sensíveis, crianças, credenciais, informações financeiras, grande escala ou possibilidade de discriminação, fraude ou dano à reputação podem elevar a relevância.
Não use apenas o número de registros como critério.
O prazo atual: três dias úteis
Para incidentes reportáveis, o controlador comunica ANPD e titulares em três dias úteis contados conforme a regulamentação.
Agentes de pequeno porte elegíveis
A regulamentação prevê prazo em dobro para agentes de pequeno porte que se enquadram nas regras aplicáveis, normalmente seis dias úteis. A elegibilidade deve ser documentada; não é automática para qualquer startup ou pequena empresa.
E se a investigação ainda não terminou?
A falta de todos os detalhes não deve paralisar o fluxo. A regulamentação permite comunicação preliminar e complementação das informações em até 20 dias úteis.
Não espere o relatório forense final para iniciar a avaliação regulatória. O relógio de incidentes e a investigação técnica precisam caminhar em paralelo.
Controlador vs operador: quem comunica?
A obrigação de comunicação externa é do controlador.
O operador deve informar o controlador sem demora injustificada e fornecer informações necessárias à análise. Por isso, contratos com fornecedores precisam prever escalonamento rápido.
Um SLA de “72 horas para avisar o cliente” pode ser inadequado se consumir praticamente todo o prazo regulatório disponível ao controlador.
O que comunicar à ANPD?
A comunicação deve reunir, conforme a regulamentação e a informação disponível, elementos como:
- natureza do incidente;
- categorias e número aproximado de titulares;
- categorias e volume de dados;
- medidas de segurança utilizadas;
- riscos e possíveis consequências;
- medidas adotadas ou planejadas;
- informações sobre comunicação aos titulares;
- justificativas para eventual atraso;
- contatos relevantes.
Como comunicar os titulares?
A comunicação deve ser direta e individualizada sempre que possível. O objetivo é permitir que a pessoa entenda o ocorrido, o possível impacto e as medidas que pode tomar.
Conteúdo esperado
Explique em linguagem clara:
- natureza do incidente;
- dados afetados;
- riscos relevantes;
- medidas já adotadas;
- recomendações ao titular;
- canal de contato.
Evite linguagem excessivamente técnica ou vaga.
Registro obrigatório por cinco anos
A Resolução 15/2024 exige manutenção de registro dos incidentes por pelo menos cinco anos, inclusive eventos que não foram comunicados à ANPD por não atingirem o limiar de reportabilidade.
O registro deve preservar fatos, avaliação de risco, decisões, medidas e justificativas.
Fluxo de resposta em 12 passos
1. Detecte e preserve evidências
Registre horário, sistemas, alertas, logs e contexto antes de destruir evidências úteis.
2. Contenha a ameaça ativa
Revogue credenciais, isole sistemas, bloqueie acesso ou implemente outra contenção proporcional.
3. Confirme se ocorreu incidente
Diferencie vulnerabilidade, falso positivo e evento confirmado.
4. Identifique dados e escopo LGPD
Quais dados? Quais titulares? Quais sistemas? A LGPD se aplica?
5. Identifique controlador e operador
Em cadeia de fornecedores, determine quem tem obrigação externa e quem precisa escalar.
6. Avalie risco ou dano relevante
Use critérios documentados e consistentes.
7. Inicie o fluxo do prazo imediatamente
Não deixe a área jurídica descobrir o incidente dias depois.
8. Prepare a comunicação à ANPD
Use informações confirmadas e sinalize o que ainda está em investigação.
9. Prepare a comunicação aos titulares
Mantenha linguagem clara e instruções acionáveis.
10. Coordene outras notificações
Setor regulado, contrato, seguro, consumidor, autoridade estrangeira ou parceiro podem ter regras adicionais.
11. Complemente, mitigue e teste
Envie complementação quando necessária, valide correções e acompanhe novos indícios.
12. Encerre com registro de cinco anos e lições aprendidas
Documente causa, impacto, decisões, remediações e mudanças de controle.
Erros comuns
“Só decidiremos se notificamos depois da perícia.”
Arriscado. O prazo regulatório não espera necessariamente o encerramento completo da investigação.
“Nosso fornecedor notificará a ANPD por nós.”
A obrigação externa, na Resolução 15, é do controlador.
“Se não reportarmos, não precisamos documentar.”
Errado. O registro de incidentes continua exigido.
“Os dados estavam criptografados, então nunca é reportável.”
Criptografia é fator de mitigação, não uma regra automática de exclusão.
“Um comunicado público no site é suficiente.”
A regulamentação prioriza comunicação direta e individualizada quando possível.
O que testar antes de um incidente?
- contatos 24x7 ou de emergência;
- acesso a logs;
- owners de sistemas;
- fornecedores críticos;
- classificação de dados;
- matriz de risco;
- modelos de comunicação;
- conta no SEI!ANPD e representantes autorizados;
- capacidade de localizar titulares;
- exercícios tabletop.
Perguntas frequentes
Todo vazamento precisa ser comunicado?
Não. É necessário avaliar os critérios cumulativos da Resolução 15/2024.
O prazo é 72 horas?
A regra brasileira usa três dias úteis, não simplesmente 72 horas corridas.
O operador comunica diretamente a ANPD?
A obrigação externa é do controlador; o operador informa o controlador sem demora injustificada.
Quanto tempo manter o registro do incidente?
Pelo menos cinco anos conforme a Resolução 15/2024.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil