Incidente de dados: quando começa o prazo da ANPD

O controlador deve comunicar à ANPD e aos titulares o incidente confirmado com dados pessoais que possa causar risco ou dano relevante. O regulamento de comunicação de incidentes dá três dias úteis para isso, ressalvado prazo de legislação específica, contados do conhecimento pelo controlador de que dados pessoais foram afetados. A contagem começa antes da abertura do formulário eletrônico.

Para decidir e comunicar dentro do prazo, registre quando a afetação dos dados foi conhecida, contenha o evento, preserve as evidências e avalie os possíveis impactos para as pessoas. Se ainda faltarem informações, a comunicação à ANPD pode ser preliminar, com justificativa e posterior complementação. A apuração técnica e a preparação do aviso aos titulares devem avançar ao mesmo tempo.

Quando o incidente exige comunicação

A decisão reúne três condições: um evento de segurança confirmado, dados pessoais sujeitos à LGPD afetados e possibilidade de risco ou dano relevante aos titulares. Uma vulnerabilidade sem exploração conhecida não basta para caracterizar um incidente. Já um acesso indevido confirmado, a alteração não autorizada ou a indisponibilidade de dados pessoais exigem avaliação mesmo quando não há prova de divulgação pública.

O risco ou dano relevante pressupõe que o incidente possa afetar significativamente interesses e direitos fundamentais das pessoas e, cumulativamente, envolva ao menos uma categoria prevista no regulamento: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; credenciais de autenticação; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala. A categoria, sozinha, não encerra a análise. Examine a atividade afetada, a quantidade de titulares e de dados, a duração da exposição ou indisponibilidade e a possibilidade de fraude, discriminação, prejuízo material ou impedimento de usar um serviço.

Considere também se os dados estavam protegidos de modo a impedir a identificação dos titulares e se a contenção reduziu efetivamente o risco. Registre a evidência que sustenta cada conclusão e o que ainda está incerto. Se o evento foi detectado por um operador, ele deve informar o controlador sem demora injustificada e fornecer os elementos necessários; a obrigação de comunicar à ANPD e às pessoas cabe ao controlador.

Um fluxo interno para as primeiras 72 horas

As 72 horas corridas são uma janela sugerida para organizar a resposta, não um prazo regulatório. O vencimento legal é contado em dias úteis a partir da ciência de que dados pessoais foram afetados. Por isso, a cronologia deve distinguir o alerta inicial, a confirmação do incidente e o momento em que o controlador soube da afetação dos dados.

Ao receber o alerta: a equipe técnica registra origem, data e hora, identifica sistemas, arquivos ou dispositivos possivelmente envolvidos e adota a contenção cabível. Guarde registros de acesso e alterações, cópias dos elementos relevantes e a identificação de quem os coletou; isso permite reconstruir o alcance do evento sem depender apenas da memória da equipe.
Ao confirmar a afetação: o responsável técnico informa ao controlador o que foi constatado e o que permanece em investigação. O encarregado ou responsável pela privacidade reúne as categorias de dados, a estimativa de pessoas atingidas, as proteções existentes e os possíveis impactos. O controlador registra a avaliação de risco e a decisão sobre a comunicação.
Antes do protocolo: quem representará o controlador confere seus poderes, reúne as informações disponíveis para o formulário e identifica lacunas que precisarão ser justificadas. Em paralelo, a equipe prepara o aviso aos titulares e define medidas capazes de reduzir os efeitos do incidente.

Uma cronologia de trabalho pode ter, para cada marco, data, hora, responsável, evidência e decisão: alerta recebido; incidente confirmado; ciência da afetação de dados pessoais; contenção; avaliação de risco; decisão de comunicar; aviso aos titulares; protocolo; e complementação. A data estimada em que o evento ocorreu deve aparecer separadamente da data em que o controlador tomou conhecimento dele.

O que reunir para o envio à ANPD

Descreva o incidente e sua causa principal, se já for possível identificá-la. Informe a natureza e as categorias de dados afetados, o número estimado de titulares atingidos e o total de titulares cujos dados são tratados na atividade envolvida. Acrescente os riscos e possíveis impactos, as medidas de segurança adotadas antes e depois do evento, as providências para mitigar seus efeitos e as datas de ocorrência, quando determinável, e de conhecimento pelo controlador.

A identificação do controlador, do operador quando houver e do encarregado ou representante também integra a comunicação. Segundo a orientação de peticionamento da ANPD, o envio ocorre pelo SEI!ANPD: abra um processo de comunicados de incidentes, preencha o formulário preliminar ou completo e anexe a documentação que comprova a representação do controlador. Guarde o número do processo e o comprovante do protocolo.

Quando não houver informações suficientes para uma comunicação completa, justifique o envio preliminar. A complementação fundamentada pode ser apresentada em até vinte dias úteis contados da comunicação, por petição intercorrente no mesmo processo. A comunicação preliminar exige esse complemento; ela não encerra a obrigação. Ao anexar documentos, confira o nível de acesso, pois documentos classificados como públicos podem ficar disponíveis para consulta.

Os prazos de comunicação e complementação são contados em dobro para agentes de tratamento de pequeno porte enquadrados nas regras aplicáveis. A regra para agentes de pequeno porte define quem pode usar o tratamento diferenciado e prevê exclusões, inclusive para determinadas operações de alto risco. A condição comercial de pequena empresa não basta para aplicar o prazo maior.

O aviso aos titulares tem conteúdo e entrega próprios

Quando o incidente puder causar risco ou dano relevante, o controlador deve avisar as pessoas afetadas no prazo aplicável. Use linguagem simples para dizer quais dados foram atingidos, quais são os riscos e possíveis impactos, que medidas foram ou serão adotadas para reduzir os efeitos, quando o controlador soube do incidente e por qual contato a pessoa pode pedir esclarecimentos. Informe as medidas de proteção dos dados sem expor segredos comerciais ou industriais; se a comunicação atrasar, explique o motivo.

Se for possível identificar os titulares, a comunicação deve ser direta e individualizada, por um meio habitualmente usado para contatá-los, como e-mail, mensagem, telefone ou carta. Quando isso for inviável, a divulgação deve permitir conhecimento amplo e fácil visualização pelos afetados, por pelo menos três meses. Registre o conteúdo e os canais utilizados: o controlador também deve juntar ao processo uma declaração de que comunicou os titulares, em até três dias úteis após o fim do prazo para esse aviso.

Registre também a decisão de não comunicar

O controlador deve manter o registro dos incidentes com dados pessoais, inclusive dos que não foram comunicados à ANPD e aos titulares, por pelo menos cinco anos a partir da criação do registro, salvo obrigação de guarda mais longa. Anote as circunstâncias, a data de conhecimento, os dados e titulares afetados, a avaliação de risco, os possíveis danos, as medidas de correção e mitigação e a razão concreta para não comunicar. Quando houver comunicação, conserve sua forma e seu conteúdo no mesmo histórico.

Se a investigação revelar novas categorias de dados atingidos ou alterar a estimativa de impacto, atualize a cronologia e reavalie a decisão. O registro deve mostrar quais fatos eram conhecidos em cada momento; uma conclusão tomada antes de descobrir novos elementos não substitui a análise exigida por eles.