Um incidente de segurança com dados pessoais gera três frentes simultâneas: conter tecnicamente, decidir sobre a comunicação obrigatória e preservar a prova do que foi feito. As três correm ao mesmo tempo, e é a documentação da resposta que costuma definir a consequência.
O dever de comunicar
O artigo 48 da Lei 13.709/2018 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
A Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidente, definindo o que deve constar da notificação e fixando prazo de três dias úteis, contados do conhecimento do incidente, para a comunicação à autoridade nacional. É prazo em dias úteis, e não as setenta e duas horas corridas do modelo europeu, referência que circula com frequência e não corresponde à regra brasileira.
A mesma resolução impõe ao controlador manter registro de incidentes de segurança, inclusive daqueles que não foram comunicados por avaliação de ausência de risco relevante, pelo prazo mínimo de cinco anos. Esse registro é o que permite demonstrar depois, à autoridade nacional, que houve avaliação e que ela foi fundamentada.
O § 1º do artigo 48 lista o conteúdo mínimo: descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, indicação das medidas técnicas e de segurança utilizadas, os riscos relacionados, os motivos da demora quando a comunicação não for imediata e as medidas adotadas para reverter ou mitigar os efeitos.
Como avaliar o risco
Nem todo incidente exige comunicação, e a avaliação precisa ser registrada mesmo quando conclui pela desnecessidade, porque é ela que demonstra a diligência do controlador.
- Natureza dos dados: dado sensível, financeiro ou de criança e adolescente eleva o risco.
- Volume e identificabilidade dos titulares afetados.
- Existência de medidas que tornem os dados ininteligíveis a terceiros, como criptografia adequada.
- Possibilidade concreta de fraude, discriminação, dano à reputação ou prejuízo financeiro.
- Facilidade de reversão do incidente e efetividade das medidas de contenção.
A ordem das providências
A resposta a incidente é operação com ordem definida, e o relógio regulamentar corre em três dias úteis, não em setenta e duas horas. Improvisar aqui é o que costuma transformar um problema técnico em processo administrativo.
- Conter: isolar o vetor, revogar credenciais e interromper o acesso indevido.
- Preservar: registrar logs, imagens e evidências antes que sejam sobrescritos.
- Avaliar: identificar quais dados, de quantos titulares, e qual o risco concreto.
- Comunicar: notificar a autoridade nacional no prazo regulamentar e os titulares quando houver risco relevante.
- Documentar: manter o registro cronológico das decisões e do que fundamentou cada uma.
- Corrigir: implementar a medida que impede a repetição, com evidência da implementação.
Responsabilidade e reparação
O artigo 44 dispõe que o tratamento é irregular quando deixa de observar a legislação ou quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes. O parágrafo único responsabiliza pelo dano quem, deixando de adotar as medidas de segurança do artigo 46, der causa ao dano.
O artigo 43 traz as excludentes: não realização do tratamento, ausência de violação à legislação, e culpa exclusiva do titular ou de terceiro.
Na esfera indenizatória, os tribunais têm exigido a demonstração de dano concreto quando o incidente envolve apenas dados cadastrais, sem presumir o abalo moral pelo simples vazamento. Quando há dado sensível, fraude consumada ou exposição pública, a análise costuma ser distinta.
Perguntas frequentes
- Todo vazamento precisa ser comunicado à ANPD?
- Apenas os que possam acarretar risco ou dano relevante aos titulares, na forma do artigo 48 da Lei 13.709/2018. A avaliação que conclui pela ausência de risco relevante deve ser documentada.
- Qual é o prazo para comunicar?
- A Resolução CD/ANPD nº 15/2024 fixa três dias úteis, contados do conhecimento do incidente, para a comunicação à autoridade nacional, com previsão de complementação posterior das informações. O prazo de setenta e duas horas que se costuma mencionar vem do regulamento europeu e não é o da regra brasileira.
- É preciso guardar registro de incidente que não foi comunicado?
- Sim. A Resolução CD/ANPD nº 15/2024 exige a manutenção do registro de incidentes de segurança, inclusive dos não comunicados, pelo prazo mínimo de cinco anos. É esse registro que sustenta, perante a autoridade nacional, a decisão de não comunicar.
- Vazamento gera dano moral automático?
- Não. Em incidentes envolvendo dados cadastrais, a jurisprudência tem exigido demonstração de dano concreto, e não o presume. A situação muda quando há dado sensível, fraude consumada ou exposição pública.
- A empresa pode ser punida mesmo tendo sido atacada?
- Pode, se não tiver adotado as medidas de segurança exigidas pelo artigo 46 ou se descumprir o dever de comunicação. O ataque de terceiro não é, por si, excludente: o que se examina é a adequação das medidas e da resposta.
Fontes e referências
- Lei 13.709/2018, artigos 43, 44, 46, 48 e 52, em planalto.gov.br.
- Resolução CD/ANPD nº 15/2024, que aprova o regulamento de comunicação de incidente de segurança: prazo de três dias úteis contados do conhecimento e manutenção do registro de incidentes, inclusive dos não comunicados, por no mínimo cinco anos, em gov.br/anpd.
- Resolução CD/ANPD nº 4/2023 (dosimetria e aplicação de sanções), em gov.br/anpd.
Atendimento em Mogi das Cruzes e São Paulo
O Monacelli Fachinetti atende em proteção de dados e lgpd presencialmente em Mogi das Cruzes e em São Paulo, e atua em processos de todo o Brasil, inclusive nos tribunais superiores.
Redação e revisão jurídica
Vitor Monacelli Fachinetti Júnior, OAB/SP 93.574. Advocacia criminal e cível desde 1988.
Última revisão de mérito em 27 de agosto de 2026.
Este conteúdo tem caráter geral e informativo e não constitui consulta jurídica. A aplicação de cada regra depende dos fatos do caso concreto, e prazos e requisitos podem variar conforme a situação e a jurisprudência aplicável.
Precisa de orientação sobre um caso concreto?
Falar com o escritórioEste texto integra o conteúdo de Proteção de Dados e LGPD.