Um incidente de segurança com dados pessoais gera três frentes simultâneas: conter tecnicamente, decidir sobre a comunicação obrigatória e preservar a prova do que foi feito. As três correm ao mesmo tempo, e é a documentação da resposta que costuma definir a consequência.
O dever de comunicar
O artigo 48 da Lei 13.709/2018 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
A Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidente, definindo o que deve constar da notificação e fixando prazo de três dias úteis, contados do conhecimento do incidente, para a comunicação à autoridade nacional.
O § 1º do artigo 48 lista o conteúdo mínimo: descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, indicação das medidas técnicas e de segurança utilizadas, os riscos relacionados, os motivos da demora quando a comunicação não for imediata e as medidas adotadas para reverter ou mitigar os efeitos.
Como avaliar o risco
Nem todo incidente exige comunicação, e a avaliação precisa ser registrada mesmo quando conclui pela desnecessidade, porque é ela que demonstra a diligência do controlador.
- Natureza dos dados: dado sensível, financeiro ou de criança e adolescente eleva o risco.
- Volume e identificabilidade dos titulares afetados.
- Existência de medidas que tornem os dados ininteligíveis a terceiros, como criptografia adequada.
- Possibilidade concreta de fraude, discriminação, dano à reputação ou prejuízo financeiro.
- Facilidade de reversão do incidente e efetividade das medidas de contenção.
As primeiras 72 horas
A resposta a incidente é operação com ordem definida. Improvisar aqui é o que costuma transformar um problema técnico em processo administrativo.
- Conter: isolar o vetor, revogar credenciais e interromper o acesso indevido.
- Preservar: registrar logs, imagens e evidências antes que sejam sobrescritos.
- Avaliar: identificar quais dados, de quantos titulares, e qual o risco concreto.
- Comunicar: notificar a autoridade nacional no prazo regulamentar e os titulares quando houver risco relevante.
- Documentar: manter o registro cronológico das decisões e do que fundamentou cada uma.
- Corrigir: implementar a medida que impede a repetição, com evidência da implementação.
Responsabilidade e reparação
O artigo 44 dispõe que o tratamento é irregular quando deixa de observar a legislação ou quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes. O parágrafo único responsabiliza pelo dano quem, deixando de adotar as medidas de segurança do artigo 46, der causa ao dano.
O artigo 43 traz as excludentes: não realização do tratamento, ausência de violação à legislação, e culpa exclusiva do titular ou de terceiro.
Na esfera indenizatória, os tribunais têm exigido a demonstração de dano concreto quando o incidente envolve apenas dados cadastrais, sem presumir o abalo moral pelo simples vazamento. Quando há dado sensível, fraude consumada ou exposição pública, a análise costuma ser distinta.
Perguntas frequentes
- Todo vazamento precisa ser comunicado à ANPD?
- Apenas os que possam acarretar risco ou dano relevante aos titulares, na forma do artigo 48 da Lei 13.709/2018. A avaliação que conclui pela ausência de risco relevante deve ser documentada.
- Qual é o prazo para comunicar?
- A Resolução CD/ANPD nº 15/2024 fixa três dias úteis, contados do conhecimento do incidente, para a comunicação à autoridade nacional, com previsão de complementação posterior das informações.
- Vazamento gera dano moral automático?
- Não. Em incidentes envolvendo dados cadastrais, a jurisprudência tem exigido demonstração de dano concreto, e não o presume. A situação muda quando há dado sensível, fraude consumada ou exposição pública.
- A empresa pode ser punida mesmo tendo sido atacada?
- Pode, se não tiver adotado as medidas de segurança exigidas pelo artigo 46 ou se descumprir o dever de comunicação. O ataque de terceiro não é, por si, excludente: o que se examina é a adequação das medidas e da resposta.
Base legal
- Lei 13.709/2018, artigos 43, 44, 46, 48 e 52.
- Resolução CD/ANPD nº 15/2024 (comunicação de incidente de segurança).
- Resolução CD/ANPD nº 4/2023 (dosimetria e aplicação de sanções).
Atendimento em Mogi das Cruzes e São Paulo
O Monacelli Fachinetti atende em proteção de dados e lgpd presencialmente em Mogi das Cruzes e em São Paulo, e atua em processos de todo o Brasil, inclusive nos tribunais superiores.
Redação e revisão jurídica
Vitor Monacelli Fachinetti Júnior, OAB/SP 93.574. Advocacia criminal e cível desde 1988.
Última revisão em 25 de agosto de 2026.
Este conteúdo tem caráter geral e informativo e não constitui consulta jurídica. A aplicação de cada regra depende dos fatos do caso concreto, e prazos e requisitos podem variar conforme a situação e a jurisprudência aplicável.
Precisa de orientação sobre um caso concreto?
Falar com o escritórioEste texto integra o conteúdo de Proteção de Dados e LGPD.