# Comunicação de incidente de segurança à ANPD: prazos e o que informar — Citeo > Pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares, em três dias úteis, o incidente com dados pessoais que possa causar... Fonte: https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# Comunicação de incidente de segurança à ANPD: prazos e o que informar **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 6 min de leitura Resposta rápidaPela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares, em três dias úteis, o incidente com dados pessoais que possa causar risco ou dano relevante. A informação pode ser complementada em 20 dias úteis, e todo incidente deve ser registrado por no mínimo cinco anos. O controlador de dados deve comunicar à ANPD e aos titulares afetados, em até três dias úteis, o incidente de segurança com dados pessoais que possa causar risco ou dano relevante. A regra está no Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, que regulamenta o art. 48 da LGPD. Se faltar informação, é possível fazer uma comunicação preliminar e complementá-la em até 20 dias úteis. Agentes de tratamento de pequeno porte têm prazos em dobro. E todo incidente, comunicado ou não, precisa ser registrado internamente por pelo menos cinco anos. ## O que conta como incidente de segurança? O regulamento define incidente de segurança como qualquer evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Isso inclui vazamento, mas não só. Um ataque de ransomware que torna dados indisponíveis, uma alteração indevida de cadastros ou o envio de dados para a pessoa errada também podem se enquadrar. Segundo a página oficial da ANPD, a comunicação é necessária quando três condições aparecem juntas: 1. O incidente foi confirmado pelo agente de tratamento. 2. Envolve dados pessoais sujeitos à LGPD. 3. Pode acarretar risco ou dano relevante aos titulares. A própria ANPD destaca que nem todo incidente precisa ser comunicado. Mas todos precisam ser avaliados e registrados. ## Quando um incidente pode causar risco ou dano relevante? O regulamento combina dois testes. O incidente precisa poder afetar de forma significativa os interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes tipos de dado: - Dados pessoais sensíveis. - Dados de crianças, adolescentes ou idosos. - Dados financeiros. - Dados de autenticação em sistemas, como usuários e senhas. - Dados protegidos por sigilo legal, judicial ou profissional. - Dados em larga escala. O efeito significativo inclui situações que impedem o titular de exercer direitos ou usar um serviço, ou que causam danos materiais ou morais, como discriminação, fraude financeira e roubo de identidade. O regulamento não fixa um número para "larga escala"; considera volume, duração, frequência e extensão geográfica do tratamento. ## Quais são os prazos? ObrigaçãoPrazoObservaçãoComunicar a ANPD3 dias úteisContados do conhecimento, pelo controlador, de que o incidente afetou dados pessoaisComunicar os titulares3 dias úteisMesmo marco inicial; comunicação direta e individual sempre que possívelComplementar a comunicação à ANPD20 dias úteisContados da data da comunicação, de forma fundamentadaComprovar a comunicação aos titulares3 dias úteisApós o fim do prazo de comunicação aos titulares, por declaração no processoManter aviso público, se não for possível avisar cada titularMínimo de 3 mesesEm site, aplicativo, redes sociais ou canais de atendimentoGuardar o registro do incidenteMínimo de 5 anosVale também para incidentes não comunicados Agentes de tratamento de pequeno porte, como definidos pela Resolução CD/ANPD nº 2/2022, têm os prazos de comunicação contados em dobro e devem declarar essa condição na comunicação. Legislações setoriais podem ter prazos próprios, que o regulamento ressalva. ## O que informar na comunicação à ANPD? A comunicação deve trazer, no mínimo, as informações que a LGPD lista no art. 48 e que o regulamento detalha. Na prática, prepare: - Descrição do incidente, incluindo a causa principal, se identificada. - Natureza e categorias dos dados afetados. - Número de titulares afetados, discriminando crianças, adolescentes e idosos, quando for o caso. - Número total de titulares nas atividades de tratamento afetadas. - Medidas técnicas e de segurança adotadas antes e depois do incidente, preservados os segredos comerciais. - Riscos e possíveis impactos para os titulares. - Medidas adotadas ou planejadas para mitigar os efeitos. - Data do incidente e data em que o controlador tomou conhecimento, quando possível determinar. - Motivos de eventual demora na comunicação. - Identificação do controlador e, se for o caso, declaração de agente de pequeno porte. - Identificação do operador, quando houver. - Dados de contato do encarregado ou de quem representa o controlador. Se algumas dessas informações ainda não estiverem disponíveis dentro dos três dias úteis, faça a comunicação preliminar com o que já se sabe e use o prazo de complementação. ## Como fazer a comunicação na prática? Segundo a ANPD, a comunicação é feita por peticionamento eletrônico no sistema SEI!ANPD, pelo encarregado ou por um representante legalmente constituído do controlador. O passo a passo resumido: 1. Acesse o SEI!ANPD como usuário externo. 2. Abra um processo do tipo "ANPD – Comunicados de Incidentes à Agência Nacional de Proteção de Dados". 3. Preencha o formulário, preliminar ou completo, como documento principal. 4. Anexe a comprovação de representação, como o ato de designação do encarregado ou procuração. 5. Para complementar depois, use o peticionamento intercorrente no mesmo processo. A comunicação é destinada aos controladores. Um operador, como uma empresa de software ou de nuvem que trata dados em nome do cliente, deve avisar o controlador para que ele cumpra o prazo. Esse fluxo deveria estar previsto em contrato. ## O que dizer aos titulares? A comunicação aos titulares deve usar linguagem simples e conter, ao menos, a natureza e as categorias dos dados afetados, as medidas de segurança adotadas, os riscos e possíveis impactos, os motivos de eventual demora, as medidas de mitigação, a data de conhecimento do incidente e um contato para mais informações. Sempre que possível, ela deve ser individual e direta, preferencialmente pelo canal que a empresa já usa com o titular. A divulgação pela imprensa é excepcional e precisa ser justificada. ## O que precisa constar no registro interno? O registro do art. 10 do regulamento vale para todos os incidentes, inclusive os que a empresa decidiu não comunicar. Ele deve trazer a data de conhecimento, uma descrição geral das circunstâncias, a natureza e a categoria dos dados afetados, o número de titulares, a avaliação de risco, as medidas de correção e mitigação, a forma e o conteúdo das comunicações feitas e, quando for o caso, os motivos para não comunicar. A ANPD pode pedir esse registro a qualquer momento. ## Como se preparar antes de acontecer? Três dias úteis passam rápido. Quem só começa a se organizar depois do incidente costuma perder o prazo. O mínimo que deve estar pronto: - Um responsável pela decisão de comunicar, com substituto. - O encarregado com acesso ativo ao SEI!ANPD e a documentação de representação em ordem. - Modelos de comunicação à ANPD e aos titulares já redigidos. - Contratos com operadores que obriguem o aviso imediato de incidentes. - Um critério escrito para avaliar risco ou dano relevante, alinhado ao regulamento. - Uma planilha ou sistema de registro de incidentes. Esses itens se encaixam no plano geral de [resposta a incidentes](/artigo/resposta-a-incidentes-o-que-ter-pronto) e no [checklist de adequação à LGPD](/artigo/lgpd-empresas-digitais-checklist-adequacao). ## Próximo passo Se a sua empresa precisa de apoio para montar o plano de resposta ou para atuar em um incidente, compare as [empresas de cibersegurança](/empresas/cyber) e consulte os [rankings](/rankings), calculados com [metodologia pública](/metodologia). Se você presta serviços de resposta a incidentes ou adequação à LGPD, [crie ou reivindique o perfil gratuito](/cadastro) da sua empresa. ## Fontes - [ANPD — Comunicação de incidente de segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — prazo de três dias úteis (arts. 6º e 9º), complementação em 20 dias úteis, peticionamento no SEI!ANPD, critérios e conteúdo da comunicação aos titulares - [Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança](https://www.mattosfilho.com.br/unico/regulamento-incidente-seguranca/) — critérios de risco, marco inicial do prazo, registro por cinco anos, prazo em dobro para pequeno porte, vigência - [Cescon Barrieu — ANPD aprova o Regulamento de Comunicação de Incidente de Segurança](https://cesconbarrieu.com.br/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca/) — itens mínimos da comunicação, aviso público por três meses, larga escala sem número fixo - [CNB/SP — Implementação da comunicação de incidente de segurança sob a ótica da Resolução CD/ANPD 15](https://cnbsp.org.br/2024/06/03/artigo-implementacao-da-comunicacao-de-incidente-de-seguranca-sobre-a-otica-da-resolucao-cd-anpd-15-por-luiz-henrique-de-cristo/) — definição de incidente de segurança (art. 3º) - [Fórum Brasileiro de CSIRTs 2024 (CERT.br) — apresentação sobre a Resolução CD/ANPD nº 15/2024](https://forum.cert.br/forum2024/slides/forumcsirts2024-opiceblum.pdf) — conteúdo mínimo do registro de incidentes (art. 10) - [Planalto — Lei nº 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — dever de comunicar (art. 48) e sanções (art. 52) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### O prazo de três dias úteis começa quando? Começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais. Não começa quando termina a investigação nem quando a empresa conclui a avaliação de risco. Por isso a comunicação preliminar existe: ela permite cumprir o prazo e complementar depois. ### Todo vazamento precisa ser comunicado à ANPD? Não. A comunicação é obrigatória quando o incidente confirmado envolve dados pessoais e pode causar risco ou dano relevante aos titulares, segundo os critérios do regulamento. Mesmo quando a empresa decide não comunicar, precisa registrar o incidente e a avaliação que levou a essa decisão. ### Quem faz a comunicação, o controlador ou o operador? O controlador. A ANPD informa que a comunicação é feita pelo encarregado ou por representante legal do controlador. O operador deve avisar o controlador sem demora, e esse dever deveria constar do contrato entre as partes. ### Pequenas empresas têm regras diferentes? Agentes de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2/2022, têm os prazos de comunicação contados em dobro. Eles precisam declarar essa condição na comunicação. O dever de registrar e de avaliar o incidente continua valendo. ### Qual a consequência de não comunicar? O descumprimento pode levar a processo administrativo sancionador. A LGPD prevê sanções como advertência e multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/iso-27001-o-que-e-como-se-certificar) Segurança### [ISO/IEC 27001: o que é e como uma empresa se certifica](https://mail.citeo.com.br/artigo/iso-27001-o-que-e-como-se-certificar) 18 de out · 5 min de leitura