Desde abril de 2024, a Resolução CD/ANPD 15 fixa o prazo: quando o controlador toma conhecimento de que um incidente de segurança afetou dados pessoais e pode gerar risco ou dano relevante aos titulares, tem três dias úteis para comunicar a ANPD e os próprios titulares. Informações complementares podem ser enviadas em até vinte dias úteis depois da comunicação inicial. Para agentes de pequeno porte, os prazos contam em dobro.
O prazo que parece suficiente
Três dias úteis parecem suficientes até o incidente acontecer. Na prática, o ataque de ransomware é descoberto numa sexta à noite, o TI ainda está tentando entender o que saiu, o fornecedor de sistema não atende, e ninguém sabe se a decisão de comunicar é do jurídico, da diretoria ou do encarregado de dados. Quando a empresa se organiza, o prazo já passou.
O atraso pesa. A comunicação fora do prazo, ou a falta dela, entra na conta da ANPD ao avaliar a conduta da empresa. E a agência ganhou força: em 2026 a lei transformou a ANPD em agência reguladora, com autonomia técnica, administrativa e financeira. As sanções da LGPD vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além da publicização da infração, que para muita empresa custa mais que a multa.
O documento que faz a diferença
O que separa a empresa que cumpre o prazo da que não cumpre é um documento simples, preparado antes:
- Responsável: quem é avisado primeiro e quem tem autoridade para decidir sobre a comunicação.
- Risco: os critérios para avaliar se há risco ou dano relevante, já que nem todo incidente precisa ser comunicado, mas todo incidente precisa ser registrado.
- Comunicação: os modelos de comunicação à ANPD e aos titulares, prontos para preencher.
- Contatos: os contatos de fornecedores críticos, perícia técnica e assessoria jurídica.
- Registro: o registro do incidente, que a resolução exige manter por pelo menos cinco anos.
Contratos com fornecedores também entram aqui. Se o vazamento acontece no sistema de um terceiro, o prazo da empresa continua correndo. O contrato precisa obrigar o fornecedor a avisar rápido e a colaborar com a apuração.
Sem plano, os três dias úteis vão ser gastos descobrindo quem deveria estar decidindo.
Um plano de resposta a incidentes leva poucas semanas para ser montado e testado.
Conteúdo informativo. Cada incidente exige análise própria.
