O controlador deve comunicar à ANPD e aos titulares, quando houver risco ou dano relevante, em até três dias úteis. Se ainda faltarem informações, a comunicação pode ser preliminar e depois complementada, de forma fundamentada, em até vinte dias úteis.
Quando um incidente envolve dados pessoais, a dificuldade raramente está apenas em detectar o evento. O desafio é reunir fatos confiáveis, identificar responsabilidades e registrar decisões dentro de um prazo curto, sem transformar hipótese em certeza.
PARTE 01
O relógio começa antes do relatório perfeito
A Resolução CD/ANPD nº 15/2024 vinculou o prazo à confirmação de que o incidente afetou dados pessoais. A organização precisa, portanto, ter critérios para diferenciar alerta técnico, suspeita em investigação e incidente confirmado.
Esperar que todas as respostas estejam prontas pode consumir o prazo. O caminho responsável é registrar o que já foi confirmado, o que permanece sob apuração e quem responde por cada evidência.
- Data e hora da detecção e da confirmação
- Sistemas, processos e bases afetadas
- Categorias e volume estimado de titulares
- Dados pessoais envolvidos, inclusive sensíveis
- Medidas de contenção já executadas
PARTE 02
Monte uma sala de evidências
Logs, mensagens, atas, capturas, pareceres e decisões não devem ficar espalhados em conversas individuais. Um dossiê de incidente com versão, autoria, acesso controlado e linha do tempo reduz contradições.
O repositório deve permitir preservar o original, registrar novas versões e separar fatos confirmados de análises provisórias. Isso ajuda a equipe técnica, o encarregado, o jurídico e a liderança a trabalhar sobre a mesma base.
- Linha do tempo única
- Matriz de responsáveis
- Registro de decisões e justificativas
- Controle de acesso por necessidade
- Pacote de evidências exportável para auditoria
PARTE 03
Avalie risco com contexto
A comunicação não depende somente da quantidade de registros. Natureza dos dados, possibilidade de identificação, público afetado, medidas de proteção e consequências prováveis influenciam a avaliação de risco ou dano relevante.
Documente o raciocínio. Uma conclusão registrada com premissas, fontes e responsáveis é mais defensável do que uma decisão informal, mesmo quando a apuração evolui depois.
- Dano material ou moral
- Discriminação e fraude
- Risco à integridade física
- Exposição de crianças e adolescentes
- Dados financeiros, de autenticação ou de saúde
PARTE 04
Transforme resposta em rotina verificável
Um plano útil define acionamento, papéis, modelo de registro, critérios de gravidade, canais de comunicação e testes periódicos. A gestão documental sustenta o plano porque torna evidências localizáveis no momento crítico.
Depois do incidente, registre causa, correção, aprendizados e ações preventivas. O fechamento formal evita que a organização repita a mesma falha e fornece histórico para auditorias futuras.
PERGUNTAS FREQUENTES
Dúvidas sobre o tema
A comunicação pode ser feita sem todas as informações?+
Sim. A ANPD admite comunicação preliminar e complementação fundamentada em até vinte dias úteis quando as informações ainda não estiverem completas.
Todo incidente deve ser comunicado?+
A obrigação está ligada a incidentes que possam acarretar risco ou dano relevante aos titulares. A avaliação deve ser documentada caso a caso.
REFERÊNCIAS
Fontes consultadas
Fontes primárias acessadas para verificar os pontos normativos e técnicos deste conteúdo.