Exemplos: planilha com dados de beneficiários enviada ao destinatário errado, notebook roubado com cadastros, ataque de ransomware ao servidor da prefeitura, acesso de servidor a prontuário sem necessidade. Nem todo incidente exige comunicação à ANPD, mas todo incidente deve ser registrado e avaliado. O erro mais comum é esperar “ter certeza” antes de agir e perder o prazo.
O que é incidente de segurança com dados pessoais
É qualquer evento adverso confirmado ou sob suspeita que comprometa a confidencialidade (acesso por quem não deveria), a integridade (alteração indevida) ou a disponibilidade (perda ou indisponibilidade) de dados pessoais. Nem todo incidente é um ataque externo: erros internos (e-mail enviado à pessoa errada, documento esquecido na impressora) são muito comuns. A LGPD trata do tema no art. 46 (medidas de segurança) e no art. 48 (comunicação).
Para que serve entender o conceito
Permite reagir rápido: conter o dano, apurar causas, comunicar quem deve ser comunicado e evitar sanções e danos aos titulares. Também ajuda a distinguir o que precisa ser comunicado do que apenas deve ser registrado.
Base legal: quando comunicar
O art. 48 da Lei nº 13.709/2018 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação deve mencionar, no mínimo: a descrição da natureza dos dados pessoais afetados; as informações sobre os titulares envolvidos; a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados; os riscos relacionados ao incidente; os motivos da demora, no caso de a comunicação não ter sido imediata; e as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo. O art. 46 impõe aos agentes de tratamento medidas de segurança técnicas e administrativas aptas a proteger os dados.
A Resolução CD/ANPD nº 15/2024 regulamenta o tema. Segundo o texto publicado, o incidente pode afetar significativamente interesses e direitos fundamentais quando, cumulativamente, envolver dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, de autenticação, protegidos por sigilo ou em larga escala (art. 5º). O art. 6º fixa o prazo de três dias úteis, contado do conhecimento de que o incidente afetou dados pessoais, para a comunicação à ANPD, ressalvada legislação específica que preveja prazo diverso, e permite complementar as informações de forma fundamentada. A resolução também prevê que o controlador mantenha registro do incidente, inclusive dos não comunicados, por prazo mínimo definido no regulamento. Como a ANPD pode atualizar suas normas, o município deve conferir a versão vigente.
Como funciona na prática: plano de resposta
- Identificar: canal interno para servidores relatarem qualquer suspeita imediatamente.
- Conter: interromper o acesso, desligar o sistema ou isolar o equipamento, recolher o documento enviado por engano.
- Avaliar o risco: que dados, quantos titulares, qual a sensibilidade, qual a possibilidade de dano.
- Registrar: documentar fatos, datas, medidas e decisões, inclusive nos incidentes sem comunicação.
- Comunicar: à ANPD e aos titulares, quando houver risco ou dano relevante, dentro do prazo, com as informações exigidas.
- Corrigir e aprender: eliminar a causa, ajustar controles, treinar equipes.
O encarregado coordena a comunicação, com apoio da área de tecnologia, da procuradoria e da assessoria de comunicação.
Imagine que um servidor de município de pequeno porte envie por e-mail, a um grupo errado, a lista de beneficiários de um programa social com CPF e informações de saúde. O encarregado é acionado no mesmo dia, o e-mail é recolhido, o risco é avaliado como relevante (dados sensíveis), a ANPD é comunicada dentro do prazo e os titulares são informados. O município registra o caso e passa a exigir criptografia e conferência de destinatários.
Incidente e responsabilidade
Quando há dano, o controlador e o operador podem ser obrigados a repará-lo (art. 42), e a ANPD pode aplicar sanções, que, para o poder público, incluem advertência, publicização da infração e outras medidas (art. 52, §3º). Contratos com fornecedores devem prever a comunicação rápida de incidentes pelo operador. Veja operador de dados.
Erros comuns
- Esperar “ter certeza” antes de agir e perder o prazo.
- Não ter canal interno para servidores relatarem falhas.
- Deixar de registrar incidentes que não precisam ser comunicados.
- Não ter backup nem plano de contingência contra ransomware.
- Comunicar sem as informações mínimas exigidas.
- Culpar o servidor em vez de corrigir o processo que permitiu o erro.
Como se preparar antes do incidente
O melhor momento para elaborar o plano de resposta é antes que o problema ocorra. Defina quem aciona quem, com telefones atualizados; preveja um modelo de comunicação à ANPD e aos titulares; mantenha backups testados e isolados; registre os contratos de fornecedores com contatos para emergências; e faça simulações periódicas, como um exercício de mesa em que a equipe percorre o roteiro diante de um caso hipotético. Quem já ensaiou reage em horas; quem nunca ensaiou costuma perder dias.
