Incidente de segurança e vazamento de dados: quando comunicar à ANPD e aos titulares?

Incidente não é sinônimo apenas de vazamento público

Acesso indevido, ransomware, perda de disponibilidade, alteração de dados, envio ao destinatário errado e exposição acidental podem ser incidentes. A avaliação considera confidencialidade, integridade, disponibilidade e autenticidade.

Primeiro é preciso confirmar o evento e delimitar quais dados, titulares e sistemas foram afetados.

Critério de risco ou dano relevante

A comunicação não é automática para qualquer erro. O controlador deve avaliar natureza e sensibilidade dos dados, volume, perfil dos titulares, possibilidade de fraude, discriminação, dano financeiro ou reputacional e medidas de mitigação.

Dados de saúde, biometria, crianças, credenciais e informações financeiras tendem a elevar o risco.

Prazo de 3 dias úteis

A Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis para comunicar a ANPD e os titulares quando presentes os requisitos. Informações complementares podem seguir no prazo regulamentar.

Empresas precisam de plano de resposta que funcione no fim de semana, feriado e fora do horário comercial, porque o tempo inicial é curto.

Preservação forense e comunicação

A equipe jurídica não deve ordenar a destruição de logs em nome da privacidade. Logs podem ser essenciais para investigação e defesa. A retenção deve ter finalidade e segurança.

A comunicação aos titulares precisa ser clara e útil: o que ocorreu, quais dados foram afetados, riscos e providências recomendadas, sem minimizar nem especular fatos não confirmados.

A atuação do Dr. Max Kolbe

Max Kolbe atua em Direito Digital na interface entre tecnologia, direitos da personalidade, proteção de dados, responsabilidade civil e regulação de plataformas. Em 2026, sua atuação pública passou a incluir análises sobre o ECA Digital, deepfakes, inteligência artificial, exposição de crianças e adolescentes e riscos jurídicos de novos modelos digitais. No Kolbe Advogados, a abordagem parte da preservação de prova digital, identificação do agente responsável, definição da medida mais eficiente e coordenação entre providências extrajudiciais, regulatórias, civis e, quando cabível, criminais.

Exemplo prático

Exemplo: um fornecedor de folha de pagamento sofre invasão e exfiltra dados de empregados de várias empresas. É necessário definir quem é controlador e operador em cada fluxo, quem comunica, quais empregados foram afetados e como coordenar a resposta contratual sem perder o prazo regulatório.

Documentos e provas que normalmente devem ser preservados

• Relatório técnico inicial
• Logs e evidências forenses
• Mapa de dados afetados
• Contrato com fornecedor
• Lista de titulares
• Plano de resposta
• Comunicações realizadas

Perguntas frequentes

Todo vazamento deve ser comunicado?

Não. A obrigação depende de dados pessoais e possibilidade de risco ou dano relevante.

Qual é o prazo?

Três dias úteis para ANPD e titulares, quando a comunicação é obrigatória, salvo prazo específico.

Operador comunica diretamente à ANPD?

A regra de comunicação é centrada no controlador, mas contratos e cooperação do operador são essenciais.

Posso esperar a perícia terminar?

Não se isso fizer perder o prazo. O regulamento prevê comunicação e complementação posterior.

Ransomware sem vazamento é incidente?

Pode ser, pois disponibilidade e integridade também fazem parte da segurança de dados.

Precisa analisar um problema digital concreto?

Organize links, prints, e-mails, contratos, registros técnicos e datas. A estratégia depende do conteúdo, da plataforma, do tipo de dado ou direito afetado e da urgência da medida.