Conteúdo informativo. A aplicação da legislação depende do contexto da organização e deve ser validada com assessoria especializada.
O que a lei diz — e o que a ANPD completou
O art. 48 da LGPD obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados e ao titular o incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Sobre o prazo, a lei diz apenas que a comunicação será feita em prazo razoável, conforme definido pela autoridade nacional.
Quem definiu foi a ANPD, na Resolução CD/ANPD nº 15/2024, o Regulamento de Comunicação de Incidente de Segurança, publicado em 26 de abril de 2024 e em vigor desde então. Ela responde às três perguntas que importam na hora da crise: quando comunicar, em quanto tempo e o que guardar. E deixa uma regra que vale para todo incidente: nem todo precisa ser comunicado, mas todo precisa ser registrado.
Quando o incidente precisa ser comunicado
Pelo art. 5º do regulamento, o incidente pode acarretar risco ou dano relevante quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes critérios:
- Dados pessoais sensíveis
- Dados de crianças, de adolescentes ou de idosos
- Dados financeiros
- Dados de autenticação em sistemas, como logins, tokens e senhas
- Dados protegidos por sigilo legal, judicial ou profissional
- Dados em larga escala
O que é afetar significativamente
O regulamento dá exemplos: o incidente que pode impedir o exercício de direitos ou o uso de um serviço, ou causar danos materiais ou morais — discriminação, violação da integridade física, do direito à imagem e à reputação, fraude financeira ou roubo de identidade (art. 5º, §1º). Larga escala considera o número de titulares, o volume de dados, a duração, a frequência e a extensão geográfica (art. 5º, §2º).
As duas condições precisam estar presentes. A avaliação é do controlador — e precisa ficar escrita: quando o incidente não é comunicado, os motivos entram no registro (art. 10, §1º, VIII).
Três dias úteis — contados de quando
A comunicação à ANPD deve ser feita em três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais (art. 6º, §1º) — não da data em que ele aconteceu, nem do fim da investigação. Ela é feita pelo formulário eletrônico da ANPD, pelo encarregado ou por representante constituído, com o documento que comprova o vínculo ou os poderes, entregue no mesmo prazo (art. 6º, §§4º a 6º).
As informações podem ser complementadas, de forma fundamentada, em até vinte dias úteis a contar da data da comunicação (art. 6º, §3º). Na prática, comunica-se no prazo o que já se sabe e completa-se depois — e, se a comunicação atrasar, os motivos da demora precisam ser informados (art. 6º, §2º, V).
O titular também precisa ser avisado em três dias úteis, em linguagem simples e de forma direta e individualizada — telefone, e-mail, mensagem ou carta — quando for possível identificá-lo (art. 9º). Se não for, o aviso vai para o site, os aplicativos, as redes sociais e os canais de atendimento, visível por pelo menos três meses (art. 9º, §3º).
Para os agentes de tratamento de pequeno porte, como definidos na Resolução CD/ANPD nº 2/2022, esses prazos são contados em dobro (art. 6º, §8º, e art. 9º, §6º). E, como são dias úteis, feriados não entram na conta.
O que a comunicação precisa conter
O art. 6º, §2º, lista doze informações. As que mais dependem de preparo prévio — e que ninguém consegue levantar do zero em três dias:
- Dados afetados: natureza e categoria, e o número de titulares, discriminando crianças, adolescentes e idosos
- Proteção: as medidas técnicas e de segurança adotadas antes e depois do incidente
- Riscos: os possíveis impactos aos titulares
- Datas: a da ocorrência, quando possível determiná-la, e a do conhecimento pelo controlador
- Responsáveis: dados do encarregado e identificação do controlador e, quando houver, do operador
- Descrição: o que aconteceu, a causa principal, se identificada, e o total de titulares tratados nas atividades afetadas
- Resposta: as medidas adotadas ou previstas para reverter ou mitigar os efeitos
O registro fica por cinco anos — comunicado ou não
O controlador deve manter o registro de todo incidente de segurança, inclusive dos que não foram comunicados à ANPD e aos titulares, por no mínimo cinco anos contados do registro (art. 10). O registro precisa ter, no mínimo, a data de conhecimento, as circunstâncias, a natureza e a categoria dos dados, o número de titulares, a avaliação de risco, as medidas de correção e a forma e o conteúdo da comunicação — ou os motivos de não comunicar.
A ANPD pode pedir, a qualquer tempo, informações adicionais — inclusive o registro das operações de tratamento dos dados afetados, o relatório de impacto à proteção de dados (RIPD) e o relatório de tratamento do incidente (art. 8º). Quem já mantém esses documentos atualizados tem a resposta pronta; quem não mantém começa a montá-la no meio da crise.
Um roteiro para os três dias úteis
Na ordem em que costuma acontecer:
- Registrar a data em que a empresa soube que dados pessoais foram afetados
- Conter o incidente e preservar as evidências
- Levantar quais dados, de quantos titulares e de quais atividades de tratamento — o registro das operações (ROPA) ajuda aqui
- Avaliar o risco pelos critérios do art. 5º e documentar a decisão de comunicar ou não
- Comunicar a ANPD pelo formulário eletrônico e avisar os titulares em linguagem simples
- Complementar as informações em até vinte dias úteis da comunicação, se necessário
- Guardar o registro completo por, no mínimo, cinco anos
Como o Fidrix Governança ajuda
No Fidrix Governança, o incidente de segurança tem registro próprio com os campos que a comunicação pede: datas da ocorrência e do conhecimento, categorias de dados e de titulares, número estimado de afetados, marcação de dados sensíveis, financeiros, de autenticação e de crianças, adolescentes ou idosos, medidas antes e depois do incidente e riscos prováveis. A severidade é decisão da equipe; o sistema só sugere. Quando a decisão é não comunicar, a justificativa escrita é obrigatória e fica no registro.
O prazo de comunicação à ANPD é contado em dias úteis, com os feriados nacionais e em dobro para quem é agente de pequeno porte, com alerta por e-mail antes de vencer e o atalho para o formulário da ANPD na própria tela. O ROPA, o teste de legítimo interesse e o RIPD ficam no mesmo portal. Veja o software de canal de denúncias, NR-01 e LGPD.