Entenda como reconhecer, conter, avaliar e comunicar uma violação de dados pessoais, com um roteiro para as primeiras horas e controles viáveis para pequenas e médias empresas.
Quando uma pequena loja virtual envia uma planilha de clientes ao fornecedor errado, o problema não se resume a um e-mail equivocado. Nomes, endereços, telefones e histórico de compras podem ficar acessíveis a quem não deveria recebê-los. Essa situação pode ser chamada, em linguagem corrente, de data breach, mesmo sem invasão, malware ou atuação de hackers.
A terminologia jurídica e regulatória exige mais precisão. Nem toda falha tecnológica é um incidente de segurança envolvendo dados pessoais, e nem todo incidente precisa ser comunicado à Autoridade Nacional de Proteção de Dados. É necessário confirmar se dados pessoais foram afetados, conter a exposição, preservar evidências, avaliar as consequências possíveis para os titulares e registrar a decisão tomada.
Este guia organiza essa resposta sem prometer que um único procedimento servirá para todos os casos. Os prazos legais não substituem metas internas mais curtas, e o enquadramento depende dos fatos disponíveis. O objetivo é permitir que uma empresa, inclusive de pequeno porte, saia do alerta inicial para uma decisão rastreável, proporcional e compatível com a LGPD e com a Resolução CD/ANPD nº 15/2024.
Principais pontos
- Data breach é uma expressão de uso amplo; para aplicar a LGPD, importa identificar se houve incidente de segurança envolvendo dados pessoais, e não apenas uma falha de TI.
- Conter o incidente e preservar evidências são atividades paralelas, com responsáveis, prazos internos e critérios de escalonamento.
- A comunicação depende da possibilidade de risco ou dano relevante aos titulares, avaliada conforme os critérios da LGPD e da Resolução CD/ANPD nº 15/2024.
- O controlador é responsável pelas comunicações exigidas, enquanto o operador deve avisá-lo sem demora e colaborar com informações e evidências.
- Um plano mínimo, priorizado, testado e documentado permite que uma PME responda ao incidente sem depender de uma equipe exclusiva de segurança.
O que é um data breach e como reconhecer uma violação de dados
Data breach é uma expressão em inglês geralmente usada para descrever comprometimento, exposição, alteração, perda, destruição ou indisponibilidade indevida de dados. Na aplicação da LGPD, porém, convém usar a categoria mais precisa adotada pela ANPD: incidente de segurança que envolva dados pessoais. Esse incidente ocorre quando um evento confirmado compromete a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. O termo não deve ser tratado como sinônimo de toda falha de segurança.
Um evento é um indício que ainda precisa ser verificado, como um alerta automático de acesso incomum. Ele pode ser um falso positivo ou revelar apenas uma tentativa bloqueada. Um incidente de segurança é um acontecimento confirmado que compromete ou ameaça ativos, serviços ou informações. Se nenhum dado pessoal estiver envolvido, ele pode exigir resposta técnica e contratual, mas não será, por esse motivo isolado, um incidente com dados pessoais sujeito às regras específicas de comunicação da LGPD.
Quando dados pessoais são afetados, a análise deve identificar a propriedade comprometida. Há perda de confidencialidade quando alguém acessa ou recebe dados sem autorização; de integridade, quando registros são alterados indevidamente; de disponibilidade, quando os dados deixam de estar acessíveis a quem precisa deles; e de autenticidade, quando não é possível confiar na origem ou autoria de uma informação. Um ransomware pode afetar a disponibilidade mesmo sem evidência de extração, enquanto a alteração fraudulenta de dados bancários afeta a integridade.
Ataques de phishing, configurações incorretas, abuso de privilégios, perda de notebooks, descarte inadequado e erros de envio são causas possíveis. Na loja virtual usada como exemplo, a planilha encaminhada ao fornecedor errado confirma acesso indevido por um destinatário não autorizado. A declaração de que o arquivo foi apagado é uma medida de mitigação, mas não desfaz o incidente; ela precisa ser registrada e, quando possível, acompanhada de confirmação sobre abertura, cópia, encaminhamento e retenção.
A base legal do tratamento não altera essa classificação. Consentimento, execução de contrato ou legítimo interesse podem justificar determinadas operações, mas não autorizam exposição incompatível com a finalidade nem eliminam os deveres de segurança, prevenção e responsabilização.
| Situação | Exemplo | Tratamento inicial |
|---|---|---|
| Evento de segurança | Sistema sinaliza uma tentativa bloqueada de acesso | Validar o alerta e registrar a conclusão; não presumir que dados foram afetados |
| Incidente sem dados pessoais | Servidor de conteúdo público fica indisponível | Corrigir o serviço e verificar obrigações operacionais ou contratuais |
| Incidente com dados pessoais | Funcionário consulta cadastros sem necessidade profissional | Conter, preservar evidências, avaliar titulares e documentar o risco |
| Incidente potencialmente comunicável | Banco exposto permite acesso a documentos, credenciais ou dados financeiros | Escalonar imediatamente e avaliar risco ou dano relevante conforme a LGPD e a regulamentação |
Por que uma violação de dados exige resposta rápida e organizada
A urgência deve ser observada pela perspectiva das pessoas e da continuidade do tratamento. Endereços combinados com hábitos de compra podem favorecer golpes direcionados; credenciais expostas podem permitir tomada de contas; dados de saúde podem provocar constrangimento ou discriminação. O dano ao titular não depende de a empresa sofrer perda financeira imediata.
A velocidade também influencia a qualidade da investigação. Sessões ativas podem continuar sendo usadas, links públicos podem ser indexados e registros técnicos podem ser sobrescritos pela rotação normal do sistema. Por outro lado, agir sem coordenação pode apagar provas, interromper serviços desnecessariamente ou criar mensagens contraditórias. A meta não é apenas agir depressa, mas atribuir decisões a pessoas identificadas e rever o plano conforme novos fatos aparecem.
Os marcos abaixo são metas internas recomendadas, não novos prazos legais. Empresas podem encurtá-los conforme a criticidade. Um caso com dados sensíveis, crianças, credenciais ativas, fraude em andamento ou exposição pública deve ser levado imediatamente à direção, à área de privacidade e ao apoio técnico ou jurídico disponível.
Na loja virtual, revogar em poucos minutos o link de uma planilha compartilhada pode impedir novos acessos. Até o fim das primeiras horas, a empresa deve saber quem coordena o caso, quais sistemas precisam ser isolados e se há indícios de acesso efetivo. No mesmo dia útil, deve existir uma avaliação inicial do impacto sobre os clientes. A investigação pode continuar, mas não deve impedir a adoção de medidas protetivas nem o controle dos prazos regulatórios.
Uma resposta organizada forma uma trilha de decisão. Datas, fontes, responsáveis, hipóteses descartadas, medidas emergenciais e aprovações permitem reconstruir o ocorrido. Sem esses registros, a empresa pode corrigir a falha técnica e ainda assim não conseguir demonstrar por que comunicou, deixou de comunicar ou escolheu determinada forma de mitigação.
| Faixa de tempo desde o alerta | Responsável principal | Resultado esperado | Condição de escalonamento |
|---|---|---|---|
| Até 1 hora | Atendimento, TI ou pessoa que recebeu o alerta | Abrir registro, preservar a mensagem original e acionar o coordenador | Escalar imediatamente se houver exposição pública, fraude ativa, credenciais, dados sensíveis ou pessoas vulneráveis |
| Até 4 horas | Coordenador do incidente e responsável técnico | Conter o vetor, exportar evidências voláteis e delimitar sistemas e dados preliminares | Acionar direção e apoio especializado se a contenção falhar ou houver propagação |
| No mesmo dia útil | Privacidade, jurídico, áreas de negócio e direção | Produzir avaliação inicial dos titulares, consequências plausíveis e obrigações | Priorizar decisão executiva se o cenário puder gerar risco ou dano relevante |
| Antes do prazo regulatório aplicável | Controlador, com validação da direção | Decidir e executar as comunicações cabíveis ou registrar a justificativa para não comunicar | Não aguardar certeza absoluta quando já existirem informações mínimas suficientes |
O que fazer nas primeiras horas após descobrir o incidente
A confirmação inicial não exige investigação concluída. Se um fornecedor informa que recebeu uma planilha de clientes por engano, já há elementos para abrir um caso e iniciar a resposta. Uma pessoa deve atuar como coordenadora, mantendo a linha do tempo e cobrando entregas, enquanto profissionais técnicos, privacidade, jurídico, atendimento e direção executam tarefas compatíveis com suas funções.
O princípio operacional é conter sem destruir. Solicitar a exclusão do arquivo e bloquear o compartilhamento são medidas adequadas, mas a mensagem enviada, os cabeçalhos do e-mail, os registros de auditoria e a confirmação do destinatário devem ser preservados. Em uma credencial comprometida, a equipe pode revogar sessões e trocar segredos, desde que registre o estado anterior e exporte os logs disponíveis. Em nuvem, permissões devem ser restringidas antes de alterações que eliminem histórico.
Cada atualização deve distinguir fatos confirmados, hipóteses e lacunas. A anotação de que houve download confirmado é diferente de uma suposição baseada na existência de um link. Essa disciplina evita tanto minimizar o caso quanto comunicar como certeza algo ainda não comprovado.
Mudanças emergenciais podem ser autorizadas por um responsável previamente definido. Se não houver tempo para o fluxo normal, abra um registro simplificado com solicitante, aprovador, horário, motivo, comandos ou configurações alteradas e plano de reversão. A regularização documental deve ocorrer assim que a situação estiver estável.
| Ordem e meta interna | Ação | Responsável sugerido | Evidência ou entrega | Quando escalar |
|---|---|---|---|---|
| 1. Imediatamente | Registrar o alerta sem alterar a fonte original | Quem recebeu o aviso | Data, horário, origem, descrição e cópia íntegra da mensagem ou alerta | Se houver perigo físico, fraude em andamento ou exposição pública |
| 2. Até 1 hora | Nomear coordenador e abrir canal restrito de resposta | Gestor de plantão ou direção | Número do caso, participantes, responsáveis e horário da próxima atualização | Se ninguém tiver autoridade para conter sistemas ou contratar apoio |
| 3. Até 2 horas | Executar contenção reversível e proporcional | TI, segurança ou administrador do serviço | Sessões revogadas, link bloqueado, conta isolada ou regra temporária registrada | Se a exposição continuar, atingir outros ambientes ou ameaçar serviço crítico |
| 4. Em paralelo | Preservar logs, e-mails, configurações e imagens necessárias | Responsável técnico ou especialista habilitado | Exportações protegidas contra alteração, origem, período e responsável pela coleta | Se houver suspeita de crime, disputa contratual ou necessidade de perícia |
| 5. Até 4 horas | Mapear dados, titulares, operadores, período e alcance preliminar | Privacidade e área de negócio | Inventário inicial com fatos confirmados e lacunas | Se houver dados sensíveis, credenciais, crianças, dados financeiros ou grande alcance |
| 6. No mesmo dia útil | Avaliar risco, definir mitigação e controlar os prazos externos | Controlador, direção, privacidade e jurídico | Decisão preliminar fundamentada e plano da próxima atualização | Se o incidente puder acarretar risco ou dano relevante |
Como avaliar o risco para os titulares e decidir sobre a comunicação
A quantidade de registros não decide o caso sozinha. A Resolução CD/ANPD nº 15/2024 relaciona o risco ou dano relevante à possibilidade de o incidente afetar significativamente interesses e direitos fundamentais dos titulares e, de forma cumulativa, envolver ao menos uma das situações previstas na norma, como dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, informações protegidas por sigilo legal, judicial ou profissional ou tratamento em larga escala.
A presença de uma dessas categorias exige atenção, mas a decisão ainda deve considerar o contexto e as consequências plausíveis. Natureza e volume dos dados, facilidade de identificar pessoas, duração da exposição, número e perfil dos titulares, confirmação de acesso, intenção do destinatário, possibilidade de reutilização e efetividade da proteção técnica ajudam a estimar a gravidade e a probabilidade.
A empresa deve responder às perguntas da matriz e anexar as evidências disponíveis. Em vez de somar pontos mecanicamente, o responsável registra uma conclusão qualitativa: risco residual baixo, moderado ou elevado, acompanhada da razão. Se faltarem fatos essenciais, a incerteza também deve ser registrada e pode justificar avaliação mais cautelosa.
Compare dois casos. No primeiro, um arquivo criptografado é enviado ao destinatário errado, a chave permanece protegida, o envio é cancelado antes do download e os registros confirmam que não houve acesso. A combinação de barreiras verificáveis reduz o risco residual. No segundo, uma planilha aberta com CPF, histórico de compras e dados de contato é baixada por destinatário desconhecido e permanece fora do controle da empresa. Aqui, identificação, fraude e golpes direcionados são consequências plausíveis, tornando o escalonamento e a comunicação muito mais prováveis.
Na loja virtual, a promessa de exclusão feita por fornecedor conhecido pode reduzir a probabilidade de uso indevido, especialmente se houver vínculo contratual e confirmação verificável. Ela não elimina automaticamente o risco. A decisão final deve mostrar quais fatos foram aceitos, quais permaneceram incertos, quais medidas protegeram os titulares e quem aprovou a conclusão.
| Pergunta | Indício de menor risco | Indício de maior risco | Registro necessário |
|---|---|---|---|
| O incidente pode afetar significativamente direitos ou interesses dos titulares? | Consequência remota, limitada e prontamente reversível | Possibilidade de fraude, discriminação, dano financeiro, identidade indevida, constrangimento ou perda de controle | Cenários de dano considerados e justificativa |
| Há categoria especialmente relevante prevista na regulamentação? | Dados comuns de baixo potencial de abuso | Dados sensíveis, financeiros, de autenticação, sujeitos a sigilo ou relativos a crianças, adolescentes ou idosos | Categorias de dados e perfil dos titulares |
| Houve acesso ou possibilidade real de uso? | Barreira técnica eficaz e ausência de acesso comprovada | Download, consulta, cópia, publicação ou credencial reutilizável | Logs, confirmação do destinatário e limitações da apuração |
| Qual foi a extensão? | Poucos titulares, período curto e ambiente controlado | Tratamento em larga escala, exposição prolongada ou múltiplos sistemas | Estimativas, método de cálculo e intervalo temporal |
| A mitigação é efetiva e verificável? | Chave preservada, token revogado antes do uso ou recuperação confirmada | Dados continuam acessíveis, copiáveis ou fora do controle | Ação, horário, executor e teste de eficácia |
| Qual é a decisão? | Não comunicar, com justificativa e monitoramento | Comunicar ANPD e titulares e adotar proteção adicional | Parecer, aprovador, data e fatos pendentes |
Quando e como comunicar a ANPD e as pessoas afetadas
O artigo 48 da Lei nº 13.709/2018 atribui ao controlador a comunicação à ANPD e aos titulares quando o incidente de segurança puder acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 estabelece, como regra geral, prazo de três dias úteis, contado do conhecimento, pelo controlador, de que o incidente afetou dados pessoais. A contagem não começa necessariamente no primeiro alerta técnico, mas não pode ser adiada artificialmente por falta de organização interna.
O operador não substitui o controlador nessa obrigação. Ele deve comunicar o fato ao controlador sem demora injustificada, fornecer o momento em que tomou conhecimento, os dados e sistemas envolvidos, as medidas de contenção e as evidências disponíveis. O contrato pode fixar uma meta interna mais curta para esse aviso, porque o prazo do controlador continua correndo a partir da ciência relevante.
Se todas as informações exigidas não estiverem disponíveis, a comunicação à ANPD pode ser feita de forma preliminar, com justificativa. A complementação deve ocorrer em até vinte dias úteis contados da data da comunicação inicial à ANPD. Portanto, esse prazo não recomeça a partir de cada descoberta nem é contado do incidente. Agentes de tratamento de pequeno porte que efetivamente façam jus ao regime diferenciado da Resolução CD/ANPD nº 2/2022 possuem prazo em dobro para comunicações e demais prazos abrangidos por esse tratamento; isso leva, em regra, a seis dias úteis para a comunicação inicial e a quarenta dias úteis para a complementação.
Ser uma PME em linguagem comercial não basta: é necessário verificar o enquadramento regulatório e as hipóteses que afastam o benefício.
A comunicação à ANPD deve usar o canal eletrônico indicado pela Autoridade e apresentar as informações requeridas no formulário vigente. Já a comunicação aos titulares deve ser feita diretamente e em linguagem simples, com conteúdo capaz de orientar proteção. Se a comunicação individual for inviável ou não for possível identificar todos os afetados, a regulamentação admite divulgação pública pelos canais disponíveis do controlador, de modo destacado e pelo período regulamentar aplicável.
As duas comunicações têm destinatários e finalidades diferentes. A ANPD recebe elementos técnicos, jurídicos e de governança para supervisão. O titular precisa compreender o que aconteceu com seus dados, quais consequências são plausíveis, quais medidas foram adotadas e o que pode fazer agora. Informações investigativas que aumentem a vulnerabilidade do ambiente não devem ser expostas desnecessariamente ao público.
Se a conclusão for não comunicar, o controlador deve conservar a análise e continuar monitorando fatos novos. Uma confirmação posterior de acesso, por exemplo, pode alterar o risco e exigir nova decisão. A contenção e o suporte às pessoas não devem esperar o encerramento da discussão jurídica.
| Elemento | ANPD | Titulares |
|---|---|---|
| Destinatário | Autoridade Nacional de Proteção de Dados | Pessoas afetadas ou potencialmente afetadas |
| Responsável | Controlador, com colaboração do operador | Controlador, com apoio de atendimento, privacidade e comunicação |
| Prazo geral | Três dias úteis da ciência, pelo controlador, de que o incidente afetou dados pessoais | Três dias úteis, observado o marco regulatório aplicável e a necessidade de aviso útil |
| Canal | Canal ou formulário eletrônico indicado pela ANPD | Contato direto disponível, como e-mail, mensagem, correspondência ou outro meio eficaz; divulgação pública quando cabível |
| Conteúdo central | Natureza do incidente, controlador, encarregado ou contato, categorias e número estimado de titulares e registros, medidas de segurança, riscos, razões de eventual demora e providências adotadas | Descrição clara do incidente, dados envolvidos, riscos ou consequências, medidas adotadas, recomendações de proteção e canal de contato |
| Complementação | Até vinte dias úteis contados da comunicação inicial à ANPD, quando justificada a entrega preliminar | Atualizar os titulares quando fatos novos alterarem materialmente riscos, medidas ou orientações |
| Procedimento interno | Guardar cópia do envio, protocolo, anexos, aprovador e complementações | Guardar versão da mensagem, lista ou método de destinatários, data, canal, falhas de entrega e divulgação alternativa |
Como preparar um plano de resposta compatível com uma PME
Uma PME com recursos limitados não precisa começar por uma estrutura sofisticada. A configuração mínima reúne um coordenador titular e um substituto, contatos de emergência, inventário dos sistemas mais críticos, autoridade para bloquear acessos, modelo de registro e apoio externo previamente identificado. A prioridade é conseguir detectar, conter, avaliar e decidir, e não acumular documentos que ninguém utiliza.
Na primeira prioridade, a empresa deve saber onde estão os dados de clientes, funcionários e fornecedores, quem administra cada sistema e quais operadores participam do tratamento. Na segunda, precisa reduzir riscos imediatos com autenticação forte, revisão de acessos privilegiados, atualizações críticas, backups separados e registros de atividade. Na terceira, deve fortalecer contratos, modelos de comunicação e exercícios.
As frequências da tabela são uma referência operacional, não obrigações universais previstas na LGPD. Elas podem ser ajustadas conforme volume, sensibilidade, mudanças no ambiente e capacidade da empresa. O importante é definir a frequência escolhida, guardar evidências de execução e registrar exceções.
Uma simulação curta pode usar o envio incorreto da planilha. Sem desligar sistemas, a equipe localiza os contatos, identifica quem pode revogar o link, preenche a matriz de risco e prepara uma decisão. O exercício termina com responsáveis e datas para corrigir lacunas. Uma simulação anual pode ser insuficiente em ambiente que muda toda semana; por isso, alterações relevantes de fornecedor, plataforma ou tratamento devem provocar revisão adicional.
O relatório de impacto à proteção de dados examina riscos de determinados tratamentos e apoia a prevenção, mas não substitui o registro do incidente concreto. Da mesma forma, possuir backup não basta: a empresa deve demonstrar que consegue restaurá-lo dentro de um tempo compatível com sua operação.
| Prioridade | Controle mínimo | Frequência sugerida | Evidência esperada |
|---|---|---|---|
| 1. Responder | Coordenador, substituto, contatos e autoridade para contenção emergencial | Revisão trimestral e após mudança de equipe | Lista datada, confirmação dos contatos e regra de aprovação |
| 1. Conhecer | Inventário dos sistemas críticos, dados e operadores | Revisão semestral e após novo sistema ou fornecedor | Planilha ou ferramenta com proprietário, finalidade, dados e acessos |
| 1. Registrar | Modelo único para cronologia, risco, decisão e ações | Uso em todo incidente confirmado com dados pessoais | Registro preenchido, anexos e aprovação |
| 2. Proteger acessos | Autenticação forte e revisão de contas privilegiadas | Revisão trimestral e desligamento imediato de contas sem necessidade | Relatório de contas, aprovações e revogações |
| 2. Recuperar | Backup separado e teste de restauração | Backup conforme criticidade e teste ao menos trimestral para sistemas essenciais | Log do teste, amostra restaurada, duração e falhas corrigidas |
| 2. Investigar | Retenção e exportação de logs dos serviços prioritários | Verificação mensal de funcionamento | Amostra de logs, período coberto e teste de exportação |
| 3. Coordenar terceiros | Cláusulas de aviso, contenção, evidências e contatos | Na contratação e renovação | Contrato, anexo de segurança e teste do contato de emergência |
| 3. Exercitar | Simulação de mesa com cenário simples | Semestral e após mudança relevante | Ata, participantes, tempos, lacunas e plano de ação |
Erros que aumentam o impacto de um data breach
A tentativa de resolver depressa pode prejudicar a apuração. Formatar um notebook, apagar a caixa de e-mail ou reiniciar repetidamente um servidor pode eliminar registros voláteis e alterar horários. A alternativa segura é isolar o equipamento quando necessário, fotografar ou registrar seu estado, preservar logs e, em casos relevantes, solicitar a uma pessoa habilitada uma imagem forense antes de mudanças destrutivas.
Preservar não significa deixar o ataque continuar. Se uma conta estiver sendo usada, revogue sessões e bloqueie o acesso, mas exporte antes os registros que puderem ser obtidos sem aumentar a exposição. Anote origem, período, ferramenta, formato, responsável pela coleta e local de guarda. Quando tecnicamente viável, use armazenamento somente para leitura ou mecanismos de verificação de integridade.
Outro erro é transformar a exigência de aprovação em motivo para inércia. O plano deve conceder autoridade emergencial para bloquear contas, retirar um serviço da internet ou suspender uma integração. A pessoa que executa registra a mudança, o aprovador, a justificativa e o plano de reversão; depois, a alteração passa por revisão retrospectiva. Assim, a empresa ganha velocidade sem perder rastreabilidade.
Também é inadequado usar apenas a quantidade de cadastros para decidir ou enviar uma mensagem genérica para encerrar o assunto. A comunicação proporcional deve refletir riscos concretos e oferecer ações úteis, como troca de senha, ativação de autenticação adicional ou atenção a contatos fraudulentos, quando essas orientações forem pertinentes ao caso.
Por fim, restaurar o serviço não encerra o incidente. A empresa deve confirmar a remoção do vetor, revisar credenciais, acompanhar sinais de reutilização dos dados, corrigir processos e atribuir prazo aos aprendizados. Sem essa etapa, a mesma causa pode produzir uma nova violação.
| Erro | Risco criado | Alternativa segura e rastreável |
|---|---|---|
| Formatar ou devolver o dispositivo imediatamente | Perda de arquivos, memória, horários e rastros de acesso | Isolar o equipamento, registrar seu estado e obter imagem técnica quando a gravidade justificar |
| Apagar e-mails ou logs para conter o caso | Destruição da cronologia e da prova do alcance | Exportar mensagens, cabeçalhos e logs antes da exclusão, sempre que isso não ampliar o risco |
| Alterar o ambiente sem registro | Impossibilidade de saber o que resolveu ou agravou o incidente | Abrir mudança emergencial com executor, aprovador, horário, comandos, motivo e reversão |
| Esperar a investigação completa | Continuidade da exposição e atraso na avaliação | Conter com os fatos confirmados e revisar a decisão em marcos definidos |
| Tratar o caso apenas como problema de TI | Riscos aos titulares e obrigações ficam sem análise | Envolver negócio, privacidade, atendimento, jurídico e direção conforme o impacto |
| Confiar apenas na declaração do destinatário | Mitigação não comprovada | Pedir confirmação detalhada, confrontar logs e registrar limitações |
| Enviar aviso genérico | O titular não entende o risco nem sabe como se proteger | Explicar dados envolvidos, consequências plausíveis, providências e ações recomendadas |
| Restaurar e encerrar | Causa raiz e acessos indevidos permanecem | Validar a correção, monitorar recorrência e acompanhar plano de melhoria |
Perguntas frequentes
Data breach e vazamento de dados são a mesma coisa?
Não necessariamente. Vazamento costuma descrever exposição ou divulgação indevida. Data breach é uma expressão mais ampla e pode incluir alteração, destruição ou indisponibilidade. Para fins da LGPD, a análise deve verificar se houve incidente de segurança envolvendo dados pessoais.
Todo alerta de segurança é um incidente com dados pessoais?
Não. Um alerta pode ser um evento ainda não confirmado, e um incidente tecnológico pode ocorrer sem afetar dados pessoais. A empresa deve validar o fato, identificar os ativos atingidos e registrar por que concluiu haver ou não envolvimento de dados pessoais.
Todo incidente com dados pessoais deve ser comunicado à ANPD?
Não. A comunicação é exigida quando o incidente puder acarretar risco ou dano relevante aos titulares. Mesmo quando não comunica, o controlador deve avaliar o caso, registrar a justificativa e rever a decisão se surgirem fatos novos.
Qual é o prazo geral para comunicar o incidente?
A Resolução CD/ANPD nº 15/2024 estabelece, como regra, três dias úteis contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais. Agentes de pequeno porte que tenham direito ao regime diferenciado podem contar com prazo em dobro, após confirmação de seu enquadramento.
A complementação em vinte dias úteis é contada de quando?
Quando a comunicação à ANPD for preliminar e a complementação estiver justificada, o prazo de até vinte dias úteis é contado da data da comunicação inicial à ANPD. Para agente de pequeno porte abrangido pelo prazo em dobro, esse período pode ser ampliado conforme o regime regulatório aplicável.
Quem deve comunicar: controlador ou operador?
O controlador realiza as comunicações exigidas à ANPD e aos titulares. O operador deve informar o controlador sem demora injustificada e colaborar com dados, logs, cronologia, contenção e demais evidências necessárias.
O que fazer se a empresa ainda não souber quantas pessoas foram afetadas?
Registre a estimativa disponível, o método usado e a limitação da apuração. A comunicação inicial à ANPD pode ser complementada nos termos da regulamentação, mas a incerteza não deve atrasar injustificadamente uma comunicação já exigível.
Uma empresa pequena precisa ter um plano formal?
Precisa adotar medidas proporcionais à sua realidade. Um plano simples pode definir coordenador e substituto, contatos, autoridade emergencial, sistemas prioritários, forma de registro, matriz de risco, fornecedores envolvidos e modelos de comunicação.
Por quanto tempo devem ser conservados os registros de incidentes?
A Resolução CD/ANPD nº 15/2024 exige que o controlador mantenha o registro dos incidentes de segurança envolvendo dados pessoais por pelo menos cinco anos, inclusive daqueles não comunicados à ANPD e aos titulares. A contagem é feita a partir da data do registro do incidente, sem prejuízo de prazo superior previsto em regra setorial ou necessário a outra obrigação aplicável.
Quais informações devem constar do registro interno?
O registro deve permitir compreender a natureza do incidente, sua data, dados e titulares afetados, avaliação de risco, medidas técnicas e administrativas, razões da decisão de comunicar ou não, comunicações realizadas e providências destinadas a evitar recorrência.
Conclusão
Responder a um data breach exige distinguir o alerta técnico do incidente confirmado e verificar se dados pessoais foram afetados. A partir daí, contenção, preservação, avaliação do risco, comunicação e aprendizado formam decisões conectadas, mas com responsáveis e entregas próprias.
Para a loja virtual, isso significa bloquear o acesso à planilha, preservar os registros do envio, confirmar o que o destinatário fez, avaliar as consequências para os clientes e documentar a decisão. Se houver possibilidade de risco ou dano relevante, o controlador deve observar o prazo contado de sua ciência de que o incidente afetou dados pessoais, sem usar a investigação incompleta como justificativa para inércia.
Uma empresa pequena pode começar com poucos elementos: contatos válidos, autoridade emergencial, inventário dos sistemas críticos, matriz de decisão, modelos de registro e testes periódicos. O valor do plano aparece nas evidências de que ele funciona. Revise agora quem receberia um alerta, quem poderia bloquear um acesso e onde seria registrada a decisão; se essas respostas não estiverem claras, essa é a primeira lacuna a corrigir.
