Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares, em três dias úteis, o incidente com dados pessoais que possa causar risco ou dano relevante. A informação pode ser complementada em 20 dias úteis, e todo incidente deve ser registrado por no mínimo cinco anos.
O controlador de dados deve comunicar à ANPD e aos titulares afetados, em até três dias úteis, o incidente de segurança com dados pessoais que possa causar risco ou dano relevante. A regra está no Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, que regulamenta o art. 48 da LGPD. Se faltar informação, é possível fazer uma comunicação preliminar e complementá-la em até 20 dias úteis.
Agentes de tratamento de pequeno porte têm prazos em dobro. E todo incidente, comunicado ou não, precisa ser registrado internamente por pelo menos cinco anos.
O que conta como incidente de segurança?
O regulamento define incidente de segurança como qualquer evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Isso inclui vazamento, mas não só. Um ataque de ransomware que torna dados indisponíveis, uma alteração indevida de cadastros ou o envio de dados para a pessoa errada também podem se enquadrar.
Segundo a página oficial da ANPD, a comunicação é necessária quando três condições aparecem juntas:
- O incidente foi confirmado pelo agente de tratamento.
- Envolve dados pessoais sujeitos à LGPD.
- Pode acarretar risco ou dano relevante aos titulares.
A própria ANPD destaca que nem todo incidente precisa ser comunicado. Mas todos precisam ser avaliados e registrados.
Quando um incidente pode causar risco ou dano relevante?
O regulamento combina dois testes. O incidente precisa poder afetar de forma significativa os interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes tipos de dado:
- Dados pessoais sensíveis.
- Dados de crianças, adolescentes ou idosos.
- Dados financeiros.
- Dados de autenticação em sistemas, como usuários e senhas.
- Dados protegidos por sigilo legal, judicial ou profissional.
- Dados em larga escala.
O efeito significativo inclui situações que impedem o titular de exercer direitos ou usar um serviço, ou que causam danos materiais ou morais, como discriminação, fraude financeira e roubo de identidade. O regulamento não fixa um número para "larga escala"; considera volume, duração, frequência e extensão geográfica do tratamento.
Quais são os prazos?
| Obrigação | Prazo | Observação |
|---|---|---|
| Comunicar a ANPD | 3 dias úteis | Contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais |
| Comunicar os titulares | 3 dias úteis | Mesmo marco inicial; comunicação direta e individual sempre que possível |
| Complementar a comunicação à ANPD | 20 dias úteis | Contados da data da comunicação, de forma fundamentada |
| Comprovar a comunicação aos titulares | 3 dias úteis | Após o fim do prazo de comunicação aos titulares, por declaração no processo |
| Manter aviso público, se não for possível avisar cada titular | Mínimo de 3 meses | Em site, aplicativo, redes sociais ou canais de atendimento |
| Guardar o registro do incidente | Mínimo de 5 anos | Vale também para incidentes não comunicados |
Agentes de tratamento de pequeno porte, como definidos pela Resolução CD/ANPD nº 2/2022, têm os prazos de comunicação contados em dobro e devem declarar essa condição na comunicação. Legislações setoriais podem ter prazos próprios, que o regulamento ressalva.
O que informar na comunicação à ANPD?
A comunicação deve trazer, no mínimo, as informações que a LGPD lista no art. 48 e que o regulamento detalha. Na prática, prepare:
- Descrição do incidente, incluindo a causa principal, se identificada.
- Natureza e categorias dos dados afetados.
- Número de titulares afetados, discriminando crianças, adolescentes e idosos, quando for o caso.
- Número total de titulares nas atividades de tratamento afetadas.
- Medidas técnicas e de segurança adotadas antes e depois do incidente, preservados os segredos comerciais.
- Riscos e possíveis impactos para os titulares.
- Medidas adotadas ou planejadas para mitigar os efeitos.
- Data do incidente e data em que o controlador tomou conhecimento, quando possível determinar.
- Motivos de eventual demora na comunicação.
- Identificação do controlador e, se for o caso, declaração de agente de pequeno porte.
- Identificação do operador, quando houver.
- Dados de contato do encarregado ou de quem representa o controlador.
Se algumas dessas informações ainda não estiverem disponíveis dentro dos três dias úteis, faça a comunicação preliminar com o que já se sabe e use o prazo de complementação.
Como fazer a comunicação na prática?
Segundo a ANPD, a comunicação é feita por peticionamento eletrônico no sistema SEI!ANPD, pelo encarregado ou por um representante legalmente constituído do controlador. O passo a passo resumido:
- Acesse o SEI!ANPD como usuário externo.
- Abra um processo do tipo "ANPD – Comunicados de Incidentes à Agência Nacional de Proteção de Dados".
- Preencha o formulário, preliminar ou completo, como documento principal.
- Anexe a comprovação de representação, como o ato de designação do encarregado ou procuração.
- Para complementar depois, use o peticionamento intercorrente no mesmo processo.
A comunicação é destinada aos controladores. Um operador, como uma empresa de software ou de nuvem que trata dados em nome do cliente, deve avisar o controlador para que ele cumpra o prazo. Esse fluxo deveria estar previsto em contrato.
O que dizer aos titulares?
A comunicação aos titulares deve usar linguagem simples e conter, ao menos, a natureza e as categorias dos dados afetados, as medidas de segurança adotadas, os riscos e possíveis impactos, os motivos de eventual demora, as medidas de mitigação, a data de conhecimento do incidente e um contato para mais informações.
Sempre que possível, ela deve ser individual e direta, preferencialmente pelo canal que a empresa já usa com o titular. A divulgação pela imprensa é excepcional e precisa ser justificada.
O que precisa constar no registro interno?
O registro do art. 10 do regulamento vale para todos os incidentes, inclusive os que a empresa decidiu não comunicar. Ele deve trazer a data de conhecimento, uma descrição geral das circunstâncias, a natureza e a categoria dos dados afetados, o número de titulares, a avaliação de risco, as medidas de correção e mitigação, a forma e o conteúdo das comunicações feitas e, quando for o caso, os motivos para não comunicar. A ANPD pode pedir esse registro a qualquer momento.
Como se preparar antes de acontecer?
Três dias úteis passam rápido. Quem só começa a se organizar depois do incidente costuma perder o prazo. O mínimo que deve estar pronto:
- Um responsável pela decisão de comunicar, com substituto.
- O encarregado com acesso ativo ao SEI!ANPD e a documentação de representação em ordem.
- Modelos de comunicação à ANPD e aos titulares já redigidos.
- Contratos com operadores que obriguem o aviso imediato de incidentes.
- Um critério escrito para avaliar risco ou dano relevante, alinhado ao regulamento.
- Uma planilha ou sistema de registro de incidentes.
Esses itens se encaixam no plano geral de resposta a incidentes e no checklist de adequação à LGPD.
Próximo passo
Se a sua empresa precisa de apoio para montar o plano de resposta ou para atuar em um incidente, compare as empresas de cibersegurança e consulte os rankings, calculados com metodologia pública. Se você presta serviços de resposta a incidentes ou adequação à LGPD, crie ou reivindique o perfil gratuito da sua empresa.
Fontes
- ANPD — Comunicação de incidente de segurança — prazo de três dias úteis (arts. 6º e 9º), complementação em 20 dias úteis, peticionamento no SEI!ANPD, critérios e conteúdo da comunicação aos titulares
- Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — critérios de risco, marco inicial do prazo, registro por cinco anos, prazo em dobro para pequeno porte, vigência
- Cescon Barrieu — ANPD aprova o Regulamento de Comunicação de Incidente de Segurança — itens mínimos da comunicação, aviso público por três meses, larga escala sem número fixo
- CNB/SP — Implementação da comunicação de incidente de segurança sob a ótica da Resolução CD/ANPD 15 — definição de incidente de segurança (art. 3º)
- Fórum Brasileiro de CSIRTs 2024 (CERT.br) — apresentação sobre a Resolução CD/ANPD nº 15/2024 — conteúdo mínimo do registro de incidentes (art. 10)
- Planalto — Lei nº 13.709/2018 (LGPD) — dever de comunicar (art. 48) e sanções (art. 52)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O prazo de três dias úteis começa quando?
Começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais. Não começa quando termina a investigação nem quando a empresa conclui a avaliação de risco. Por isso a comunicação preliminar existe: ela permite cumprir o prazo e complementar depois.
Todo vazamento precisa ser comunicado à ANPD?
Não. A comunicação é obrigatória quando o incidente confirmado envolve dados pessoais e pode causar risco ou dano relevante aos titulares, segundo os critérios do regulamento. Mesmo quando a empresa decide não comunicar, precisa registrar o incidente e a avaliação que levou a essa decisão.
Quem faz a comunicação, o controlador ou o operador?
O controlador. A ANPD informa que a comunicação é feita pelo encarregado ou por representante legal do controlador. O operador deve avisar o controlador sem demora, e esse dever deveria constar do contrato entre as partes.
Pequenas empresas têm regras diferentes?
Agentes de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022, têm os prazos de comunicação contados em dobro. Eles precisam declarar essa condição na comunicação. O dever de registrar e de avaliar o incidente continua valendo.
Qual a consequência de não comunicar?
O descumprimento pode levar a processo administrativo sancionador. A LGPD prevê sanções como advertência e multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52).