Incidente de segurança não é apenas invasão por hacker. O envio de um documento ao destinatário errado, a perda de um notebook, a publicação indevida de uma planilha, o acesso não autorizado e a indisponibilidade causada por ransomware também podem comprometer dados pessoais.
1. Conter o incidente
A prioridade é interromper a exposição ou reduzir seus efeitos. Isso pode envolver bloquear acessos, retirar arquivo do ar, desconectar equipamento, alterar credenciais, acionar fornecedor de tecnologia e preservar evidências.
A ação deve ser coordenada para evitar perda de registros importantes para a investigação.
2. Confirmar o que ocorreu
É necessário identificar data, origem, sistemas afetados, categorias de dados, quantidade aproximada de pessoas, possibilidade de cópia ou alteração e medidas de proteção existentes, como criptografia.
Nem todo evento de tecnologia envolve dados pessoais e nem todo incidente precisa ser comunicado. A avaliação deve ser documentada.
3. Avaliar risco ou dano relevante
A LGPD exige comunicação quando o incidente puder acarretar risco ou dano relevante aos titulares. A ANPD considera elementos como dados sensíveis, sigilo, fraude, discriminação, roubo de identidade, volume, vulnerabilidade das pessoas e eficácia das medidas de mitigação.
Incidentes envolvendo crianças, idosos, saúde, dados financeiros ou credenciais podem demandar atenção especial.
4. Comunicar dentro do prazo aplicável
O Regulamento de Comunicação de Incidente de Segurança estabelece, como regra geral, prazo de três dias úteis para comunicação à ANPD e aos titulares, quando presentes os critérios legais, ressalvada legislação específica.
Se nem todas as informações estiverem disponíveis, a comunicação à ANPD pode ser complementada posteriormente, com justificativa. Existem regras diferenciadas para agentes de pequeno porte, mas não há dispensa geral de avaliação e resposta.
5. Informar de forma útil aos titulares
A comunicação deve utilizar linguagem simples e indicar a natureza dos dados, riscos, medidas adotadas, data do conhecimento, formas de mitigação e canal de contato. O objetivo não é apenas cumprir uma formalidade, mas permitir que a pessoa se proteja.
6. Corrigir causas e registrar aprendizados
Depois da contenção, a empresa deve revisar processos, acessos, contratos, treinamentos e controles. O registro do incidente e das decisões demonstra responsabilização e ajuda a evitar repetição.
Operadores devem informar o controlador sem demora injustificada. Por isso, contratos com fornecedores de tecnologia precisam prever fluxos claros de comunicação.
Base legal e fontes oficiais
Lei Geral de Proteção de Dados – Lei nº 13.709/2018, arts. 46 e 48: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm
ANPD – Comunicação de Incidente de Segurança: https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis
ANPD – regulamentações vigentes: https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd
Conteúdo de caráter exclusivamente informativo. A aplicação da legislação depende das circunstâncias de cada situação e não substitui análise jurídica individualizada por profissional habilitado.