O que é um incidente de dados e quando ele precisa ser comunicado à ANPD

Um incidente de segurança, na linguagem da LGPD, é qualquer evento que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais — de um vazamento por invasão a um erro humano, como enviar uma planilha de clientes para o destinatário errado.

Nem todo incidente exige comunicação formal

A lei não exige que toda ocorrência seja reportada à Autoridade Nacional de Proteção de Dados (ANPD). O critério central é se o incidente pode acarretar risco ou dano relevante aos titulares dos dados — o que depende do tipo de dado exposto (dado sensível pesa mais), da quantidade de pessoas afetadas, e da probabilidade real de uso indevido daquela informação.

O que a comunicação precisa conter

Quando a comunicação é necessária, ela deve descrever a natureza dos dados afetados, os titulares envolvidos, as medidas técnicas e de segurança já utilizadas, os riscos relacionados ao incidente, e as medidas que serão adotadas para reverter ou mitigar os efeitos. Isso reforça por que ter um plano de resposta a incidente pronto antes de precisar dele é o que diferencia uma comunicação bem-feita de uma corrida contra o tempo sob pressão.

O prazo não é fixo, mas a demora tem custo

Diferente do GDPR europeu, que define 72 horas como prazo de referência, a LGPD fala em comunicação em "prazo razoável" — o que exige julgamento, mas não é uma licença para adiar. A orientação prática da ANPD tem sido: quanto antes, melhor, e a justificativa para qualquer atraso importa tanto quanto a comunicação em si.

O primeiro passo, sempre

Antes de qualquer comunicação externa, a prioridade é conter o incidente e entender seu real alcance técnico. Comunicar cedo demais, com informação incompleta ou incorreta, pode ser tão prejudicial quanto comunicar tarde — por isso o processo de resposta a incidente deve ter uma etapa técnica de confirmação antes da etapa de comunicação formal.