Em resumo
- Incidentes de segurança com dados pessoais que possam acarretar risco ou dano relevante devem ser comunicados à ANPD e aos titulares.
- O regulamento da ANPD (Resolução CD/ANPD 15/2024) fixou o prazo de três dias úteis a partir do conhecimento do incidente; agentes de pequeno porte têm prazo em dobro.
- O controlador deve manter registro de todos os incidentes, inclusive dos não comunicados, por pelo menos cinco anos.
- A resposta exige um plano prévio: contenção, avaliação, comunicação e lições aprendidas.
Nenhuma empresa está imune a incidentes de segurança: ataques de ransomware, e-mails enviados ao destinatário errado, credenciais vazadas, falhas de fornecedores. O que a LGPD cobra não é a ausência total de incidentes, mas a capacidade de responder bem a eles.
O que é um incidente de segurança?
É qualquer evento adverso confirmado relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade dos dados pessoais. Pode ser um vazamento, uma perda, uma destruição, um acesso não autorizado ou a indisponibilidade de sistemas com dados pessoais.
Quando é preciso comunicar?
A LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante (art. 48). O regulamento da ANPD detalha critérios — por exemplo, incidentes que envolvam dados sensíveis, dados de crianças e adolescentes, dados financeiros, dados de autenticação ou em larga escala tendem a exigir comunicação.
Quais são os prazos?
| Obrigação | Prazo |
|---|---|
| Comunicação à ANPD | 3 dias úteis do conhecimento de que o incidente afetou dados pessoais |
| Comunicação aos titulares | 3 dias úteis |
| Agentes de pequeno porte | Prazos em dobro |
| Registro do incidente | Manter por, no mínimo, 5 anos |
O que fazer nos primeiros dias?
- Conter: isolar sistemas, revogar credenciais, acionar fornecedores de tecnologia.
- Preservar evidências para investigação.
- Avaliar: quais dados, quantos titulares, qual o risco.
- Acionar o comitê de crise: TI, jurídico, encarregado, comunicação e diretoria.
- Decidir sobre a comunicação à ANPD e aos titulares, documentando a análise.
- Comunicar com clareza: o que aconteceu, quais dados, quais medidas foram tomadas e o que o titular pode fazer.
- Registrar o incidente e as decisões.
- Revisar controles e contratos com fornecedores — veja contratos com operadores.
Como se preparar antes?
Com um plano de resposta a incidentes, papéis definidos, modelos de comunicação, contatos de fornecedores, seguro cibernético quando adequado e simulações periódicas.
Como o Legal Dept. atua em incidentes de segurança?
O Legal Dept., departamento jurídico as a service do Chambarelli Advogados, apoia a empresa na frente Regulatório & LGPD: plano de resposta, análise de risco, comunicações à ANPD e aos titulares e revisão contratual com fornecedores. A empresa conta com um time jurídico dedicado, com fluxo, tecnologia e previsibilidade, que já conhece a operação — o que faz toda a diferença quando o prazo é de dias úteis.
O registro de incidentes e o acompanhamento das medidas ficam no painel de gestão jurídica — tecnologia como cultura, custo previsível. Saiba mais em www.chambarelli.com.br.
Perguntas frequentes
Todo incidente precisa ser comunicado à ANPD?
Não. Apenas os que possam acarretar risco ou dano relevante aos titulares. Mas todos devem ser registrados.
O operador também precisa comunicar?
O operador deve informar o controlador; a comunicação à ANPD e aos titulares cabe, em regra, ao controlador.
Pagar o resgate em um ataque de ransomware resolve?
Não resolve as obrigações legais e não garante a recuperação dos dados. A decisão envolve riscos jurídicos e deve ser tomada com orientação especializada.
Conteúdo informativo, atualizado em 20 de outubro de 2026. Não substitui a análise jurídica do caso concreto.
Conteúdo da equipe do Legal Dept., o departamento jurídico as a service do Chambarelli Advogados — escritório de Direito Empresarial e Tributário com sedes no Rio de Janeiro e em São Paulo.