Incidente de segurança e LGPD: contenção, prova e comunicação sem improviso
Um vazamento de dados não deve ser tratado apenas como um problema de informática.
Nas primeiras horas, decisões apressadas podem ampliar a exposição, destruir registros importantes ou gerar uma comunicação imprecisa aos clientes e à Autoridade Nacional de Proteção de Dados.
A resposta empresarial precisa reunir tecnologia, gestão, jurídico, comunicação e os fornecedores que participam do tratamento de dados.
O objetivo inicial é conter o incidente, preservar a prova e levantar informações suficientes para proteger os titulares e decidir, dentro do prazo, se a comunicação obrigatória deverá ser realizada.
O que pode ser considerado um incidente com dados pessoais?
A expressão “vazamento” costuma indicar divulgação ou acesso indevido, mas o conceito regulatório é mais amplo.
Segundo a ANPD, incidente de segurança com dados pessoais é um evento adverso confirmado que compromete a confidencialidade, a integridade, a disponibilidade ou a autenticidade desses dados.
Isso pode ocorrer por ataque externo, erro humano, perda de equipamento, envio de arquivo ao destinatário errado, publicação acidental, alteração indevida de cadastro ou indisponibilidade provocada por ransomware.
Uma vulnerabilidade ainda não explorada exige correção, mas não constitui, por si só, um incidente confirmado.
Da mesma forma, um evento que envolva apenas informações efetivamente anonimizadas pode não estar sujeito ao procedimento de comunicação da LGPD.
O que fazer nas primeiras horas após descobrir o incidente?
1. Acione uma equipe responsável e centralize as decisões
Defina imediatamente quem coordenará a resposta.
A equipe deve reunir, conforme a estrutura da empresa, responsáveis por tecnologia, gestão, jurídico, comunicação, segurança da informação e proteção de dados.
Uma única linha de comando reduz ordens contraditórias e permite registrar quem decidiu, quando decidiu e com base em quais informações.
Empregados que identificarem o problema devem saber a quem reportá-lo, sem circular capturas de tela, planilhas ou credenciais em grupos informais.
2. Contenha o acesso sem apagar as evidências
Isole contas, equipamentos, integrações ou ambientes afetados de forma tecnicamente segura.
Revogue sessões e credenciais comprometidas, restrinja permissões e bloqueie a continuidade da exposição.
Evite restaurar aparelhos, apagar mensagens, limpar registros ou formatar máquinas antes da preservação técnica das evidências.
Conter não significa destruir os vestígios necessários para compreender a origem, a extensão e a duração do incidente.
Logs, alertas, e-mails, arquivos, configurações, imagens forenses e registros de acesso podem ser essenciais para a análise jurídica, contratual e técnica.
3. Abra uma linha do tempo do incidente
Registre a data e o horário da primeira detecção, da confirmação e de cada medida adotada.
Identifique os sistemas envolvidos, as pessoas que tiveram acesso, as decisões tomadas e os fornecedores acionados.
Esse histórico ajuda a demonstrar diligência e a preencher eventual comunicação à ANPD.
Não espere a investigação terminar para começar o registro.
4. Acione fornecedores e verifique os contratos
Muitos incidentes começam em serviços de nuvem, softwares de gestão, plataformas de pagamento, escritórios terceirizados ou equipamentos mantidos por terceiros.
Se o fornecedor atua como operador de dados, deve informar o controlador sem demora injustificada e fornecer as informações necessárias à resposta.
Confira os contratos para localizar prazos de notificação, responsabilidades, canais de emergência, obrigações de cooperação, auditoria e preservação de registros.
A ausência de cláusulas claras pode atrasar a contenção e dificultar a identificação de quem controla as decisões sobre o tratamento.
5. Proteja a continuidade da operação
A resposta precisa considerar faturamento, atendimento, folha de pagamento, logística e demais processos críticos.
Restabeleça o serviço por ambiente confiável, com validação técnica e controle de acesso.
Reconectar um sistema ainda comprometido pode reiniciar a exposição e prejudicar a investigação.
Quais informações precisam ser levantadas?
Antes de decidir sobre a comunicação, a empresa deve construir uma visão minimamente confiável do ocorrido.
- Natureza do evento: acesso, cópia, alteração, perda, destruição, indisponibilidade ou divulgação.
- Período: quando o incidente começou, quando foi identificado e quando foi contido.
- Dados afetados: nome, CPF, contato, credenciais, informações financeiras, dados de saúde ou outras categorias.
- Titulares: clientes, empregados, candidatos, fornecedores, crianças, adolescentes, idosos ou outros grupos.
- Dimensão: quantidade estimada de pessoas e de registros atingidos.
- Proteções existentes: criptografia, autenticação, segregação, pseudonimização, backups e controles de acesso.
- Possíveis consequências: fraude, roubo de identidade, discriminação, dano financeiro, reputacional ou à saúde.
- Medidas de mitigação: bloqueios, redefinições, correções, monitoramento e orientações aos titulares.
As primeiras estimativas podem mudar.
Por isso, diferencie no relatório interno o que está confirmado, o que é provável e o que ainda depende de apuração.
Todo vazamento precisa ser comunicado à ANPD?
Não.
Conforme a orientação oficial da ANPD, a comunicação é exigida quando estiverem presentes, cumulativamente, 3 (três) elementos:
- a ocorrência do incidente estiver confirmada;
- o evento envolver dados pessoais sujeitos à LGPD; e
- puder acarretar risco ou dano relevante aos titulares.
A avaliação deve considerar o contexto do tratamento, as categorias e quantidades de titulares, a natureza e o volume dos dados, os potenciais danos e a efetividade das medidas de proteção e mitigação.
Dados sensíveis, informações protegidas por sigilo, credenciais, dados financeiros, grande escala e grupos vulneráveis tendem a elevar o risco.
Decidir que o incidente não será comunicado exige análise documentada.
O silêncio sem investigação e sem registro deixa a empresa vulnerável caso a ocorrência chegue ao conhecimento da ANPD por reclamação, notícia pública ou comunicação de terceiro.
Qual é o prazo para comunicar?
O artigo 48 da LGPD determina a comunicação do incidente capaz de causar risco ou dano relevante aos titulares.
A Resolução CD/ANPD nº 15/2024 estabelece o prazo de 3 (três) dias úteis para a comunicação à ANPD e aos titulares, ressalvada a existência de prazo específico previsto em outra legislação.
O prazo curto exige que a análise comece no momento em que o controlador toma conhecimento do incidente, sem aguardar um laudo definitivo para organizar a resposta.
Quando as informações ainda estiverem incompletas, a empresa pode apresentar comunicação preliminar e, de forma fundamentada, complementá-la em até 20 (vinte) dias úteis, contados da comunicação inicial.
A comunicação preliminar não encerra a obrigação.
Ela precisa ser complementada no prazo e no mesmo processo.
Como comunicar os titulares sem agravar o problema?
A comunicação deve ser direta e individualizada sempre que for possível identificar as pessoas afetadas.
A linguagem precisa ser simples, objetiva e compatível com o risco.
O comunicado deve indicar a natureza e as categorias de dados afetados, as medidas de proteção utilizadas, os riscos e possíveis impactos, as providências adotadas, a data em que a empresa tomou conhecimento e um canal de contato.
Se houver demora, os motivos deverão ser informados.
Evite minimizar fatos confirmados ou afirmar, sem base técnica, que “nenhum dado foi utilizado”.
Não divulgue detalhes de segurança capazes de facilitar novos ataques.
A comunicação deve permitir que o titular adote providências úteis, como alterar senha, monitorar movimentações, desconfiar de contatos fraudulentos ou bloquear um documento.
Quais erros costumam aumentar o passivo?
- Demorar para envolver os responsáveis pela decisão.
- Tratar o incidente apenas com o fornecedor de informática.
- Apagar registros ou restaurar equipamentos antes de preservar evidências.
- Enviar comunicado genérico sem identificar dados, riscos e medidas concretas.
- Fazer anúncio público antes de definir fatos confirmados e canais de atendimento.
- Comunicar somente a ANPD e esquecer os titulares afetados.
- Usar a lista de afetados em canais inseguros ou anexá-la indevidamente ao processo.
- Deixar de registrar a fundamentação quando concluir pela não comunicação.
- Ignorar obrigações contratuais, securitárias, consumeristas ou regulatórias paralelas.
Uma resposta desorganizada pode gerar novos vazamentos durante a própria tentativa de correção.
Checklist empresarial para as primeiras horas
- Confirmar quem lidera a resposta e abrir um canal interno restrito.
- Conter tecnicamente o incidente sem eliminar evidências.
- Preservar logs, arquivos, mensagens, alertas e configurações relevantes.
- Registrar horários, fatos confirmados, hipóteses e decisões.
- Classificar os dados pessoais e estimar os titulares afetados.
- Avaliar danos possíveis e grupos vulneráveis.
- Acionar operadores, fornecedores, seguradora e assessorias pertinentes.
- Verificar se há risco ou dano relevante e controlar o prazo de 3 (três) dias úteis.
- Preparar, quando necessária, a comunicação à ANPD e aos titulares.
- Planejar correção, continuidade, monitoramento e revisão dos controles.
Conclusão: rapidez precisa vir acompanhada de método
As primeiras horas de um vazamento de dados influenciam a extensão do dano, a qualidade da prova e a capacidade de a empresa cumprir a LGPD.
Uma PME não precisa improvisar uma estrutura complexa durante a crise.
Precisa ter responsáveis definidos, contatos de emergência, inventário mínimo de sistemas e dados, regras contratuais com fornecedores e um roteiro de resposta previamente aprovado.
Empresas de São Miguel do Iguaçu, Foz do Iguaçu e demais municípios do Oeste do Paraná podem começar revisando seus acessos, contratos de tecnologia e canais internos de reporte.
Para complementar essa prevenção, consulte os cuidados com o WhatsApp da empresa e a proteção de dados de clientes e empregados e os registros empresariais que ajudam a reduzir riscos jurídicos.
A orientação jurídica em um caso concreto deve considerar a natureza dos dados, a arquitetura dos sistemas, os contratos envolvidos e as consequências efetivas para os titulares.
Fontes oficiais
- Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, especialmente os artigos 46 e 48.
- ANPD: Comunicação de Incidente de Segurança.
- Resolução CD/ANPD nº 15, de 24 de abril de 2024.
Atualizado em 22 de setembro de 2026.
Autor: Anderson Fernandes.
Ferreira e Fernandes Sociedade de Advogados.
Conteúdo informativo sobre proteção de dados e prevenção de riscos empresariais.
