Vazamento de dados: quando a empresa precisa comunicar a ANPD e os titulares em três dias úteis

Nem todo incidente é automaticamente comunicável

A Resolução CD/ANPD nº 15/2024 obriga o controlador a comunicar a ANPD e os titulares quando o incidente puder acarretar risco ou dano relevante. A avaliação considera impacto significativo sobre direitos e, cumulativamente, fatores como dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, autenticação, sigilo legal ou tratamento em larga escala.

O prazo é de três dias úteis

A comunicação à ANPD deve ser feita em três dias úteis a partir do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, ressalvada legislação específica. O mesmo prazo se aplica à comunicação aos titulares. Se nem todas as informações estiverem disponíveis, a regulamentação admite complementação fundamentada.

Registro do incidente deve ser mantido

A ANPD também exige que os controladores mantenham registro dos incidentes de segurança com dados pessoais por pelo menos cinco anos, inclusive daqueles não comunicados. Isso significa que a decisão de não notificar também deve ser tecnicamente justificável e documentada.

Plano de resposta precisa existir antes do ataque

Empresas devem definir responsáveis, contatos, critérios de severidade, coleta de evidências, preservação de logs, comunicação com operadores, seguradora cibernética e assessoria jurídica. Contratos com fornecedores de nuvem e tecnologia devem conter obrigações de aviso suficientemente rápidas para permitir que o controlador cumpra o prazo regulatório.

Comentário de Yan

A pior hora para decidir quem comunica, quem investiga e quem fala com o titular é depois que o incidente acontece. O prazo de três dias úteis exige protocolo de resposta previamente definido e integração entre jurídico, segurança da informação e gestão.

Conclusão

Incidentes de segurança exigem resposta rápida e coordenada. A empresa precisa decidir com base em critérios documentados se há risco ou dano relevante, cumprir os prazos regulatórios quando aplicáveis e preservar evidências da resposta adotada.

Conteúdo informativo; não substitui análise jurídica individualizada.

Atualização do conteúdo: 12 de setembro de 2026.