Vazamento não se resolve com silêncio. A LGPD exige comunicação em prazo razoável, e a ANPD fixou o parâmetro. O que a empresa faz nos três primeiros dias define o desfecho.
O art. 48 da LGPD obriga o controlador a comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD 15/2024 fixou o prazo em três dias úteis contados do conhecimento do incidente.
A primeira hora é de contenção, não de comunicação. Isolar o vetor, revogar credenciais comprometidas, preservar logs. Log apagado no calor do incidente destrói a única prova de extensão que a empresa teria.
A segunda etapa é o dimensionamento: quais categorias de dados foram atingidas, quantos titulares, houve dados sensíveis, houve exfiltração efetiva ou apenas acesso. A resposta a essas perguntas define se a comunicação é obrigatória e o que ela precisa conter.
A comunicação à ANPD segue formulário próprio e exige descrição do incidente, categorias e número aproximado de titulares, medidas adotadas e riscos. A comunicação ao titular é devida quando há risco relevante, e precisa ser em linguagem simples, informando o que aconteceu e o que a pessoa pode fazer.
O que reduz sanção não é a ausência de incidente — é a demonstração de que havia programa. O art. 52, parágrafo 1º, lista entre os critérios de dosimetria a adoção reiterada de mecanismos internos de minimização de danos e a pronta adoção de medidas corretivas.
Referências
- Lei 13.709/2018, arts. 46, 48 e 52
- ANPD, Resolução CD/ANPD 15/2024
- ANPD, Comunicado de Incidente de Segurança
Conteúdo informativo. Não constitui parecer nem substitui análise do caso concreto.
