Incidente de segurança tem prazo, forma e registro. A condução jurídica organiza a contenção, a avaliação de risco, a comunicação à ANPD e aos titulares e a defesa do que vem depois.
Cada decisão das primeiras horas é documentada: quando a empresa soube, o que foi afetado, quem foi acionado e qual medida conteve o incidente. Esse registro é o que sustenta a posição da empresa perante a ANPD e em juízo.
Análise da natureza dos dados atingidos, do volume, dos titulares afetados e da probabilidade de dano relevante. É essa avaliação que define se existe dever de comunicação e em que extensão.
Prazo de três dias úteis, contado do conhecimento de que o incidente afetou dados pessoais, conforme a Resolução CD/ANPD nº 15/2024, em dobro para agentes de tratamento de pequeno porte. A comunicação é feita pelo formulário eletrônico da ANPD e pode ser complementada em vinte dias úteis.
Processo de apuração e processo administrativo na ANPD, defesa nas ações movidas por titulares e por clientes atingidos, discussão de responsabilidade com fornecedores e seguradora, e manutenção do registro do incidente pelo prazo mínimo de cinco anos.
Três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, conforme o art. 6º da Resolução CD/ANPD nº 15/2024. O mesmo prazo vale para a comunicação aos titulares afetados, e ele é contado em dobro para agentes de tratamento de pequeno porte.
Não. A obrigação alcança os incidentes que possam acarretar risco ou dano relevante aos titulares. Os demais precisam ser registrados internamente, com o motivo da ausência de comunicação.
O registro do incidente (descrição, dados afetados, medidas adotadas e comunicações realizadas) deve ser mantido pelo prazo mínimo de cinco anos, inclusive quando o incidente não foi comunicado.
Ser vítima de ataque não afasta, por si só, a responsabilidade prevista nos arts. 42 a 45 da LGPD. A discussão gira em torno das medidas de segurança adotadas antes do incidente e da resposta dada depois dele, outra razão para que cada passo seja registrado.
O prazo corre do conhecimento do fato. Chame pelo WhatsApp descrevendo o que se sabe até agora; a primeira orientação é sobre contenção e registro.
