As 72 Horas que Definem o Risco Regulatório de um Incidente de Dados 

A notificação à ANPD não começa quando o incidente é descoberto. Começa quando a empresa decide se está preparada para um. 

O que a LGPD chama de incidente de segurança 

Incidente de segurança com dados pessoais, para fins da Lei Geral de Proteção de Dados Pessoais (LGPD), é qualquer evento adverso que resulte em acesso não autorizado, destruição, perda, alteração ou comunicação indevida de dados pessoais. A definição está no artigo 46 da Lei nº 13.709/2018 e foi detalhada pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, que regula os procedimentos de comunicação de incidentes. 

Não se confunde com qualquer falha de sistema ou vulnerabilidade técnica. O que a lei exige é que o evento tenha afetado dados pessoais e que esse efeito possa gerar riscos ou danos relevantes para os titulares. A distinção não é secundária: ela determina se a empresa está ou não diante de uma obrigação de notificação. 

A pergunta prática que o gestor de compliance ou o encarregado de dados precisa responder é esta: o evento afetou dados pessoais de forma que possa prejudicar os titulares? Se a resposta for sim, o relógio já começou a correr. 

A obrigação de notificação: quem notifica, para quem e em que prazo 

A obrigação de comunicar um incidente recai sobre o controlador, entendido como a pessoa natural ou jurídica que toma as decisões sobre o tratamento de dados. O operador, que trata dados por conta do controlador, não notifica a Autoridade Nacional de Proteção de Dados (ANPD) diretamente, mas tem obrigação contratual e legal de comunicar o incidente ao controlador sem demora injustificada. 

O encarregado de dados, também chamado de Data Protection Officer (DPO), ocupa papel central na coordenação da resposta: é o canal de comunicação com a ANPD e com os titulares afetados, e deve ser acionado imediatamente após a identificação do incidente. 

A notificação tem dois destinatários: 

• A ANPD, à qual o controlador deve comunicar o incidente em até 72 horas a partir do momento em que tomar ciência. 

• Os titulares afetados, que devem ser comunicados quando o incidente puder lhes causar risco ou dano relevante, em prazo e por meio compatíveis com a situação. 

O prazo de 72 horas vale para a comunicação preliminar à ANPD, não para o relatório completo do incidente. A Resolução nº 15/2024 prevê a possibilidade de complementação da notificação inicial por meio de relatório circunstanciado, entregue posteriormente, com informações detalhadas sobre a extensão do dano, as medidas adotadas e as recomendações aos titulares. 

Quando o prazo começa a correr 

O gatilho não é a confirmação técnica do incidente. É o momento em que a organização toma ciência de que um evento com dados pessoais ocorreu. 

Isso tem implicação direta na conduta interna. A tentação de prolongar a investigação antes de formalizar o conhecimento interno do incidente é um risco real. A ANPD observa o comportamento da empresa e avalia se houve dilação artificial do prazo como estratégia de postergação. Uma investigação razoável e documentada é legítima. Um silêncio organizacional sem registro é um agravante. 

A recomendação operacional é clara: no momento em que qualquer área da empresa recebe sinal de incidente com dados pessoais, o fluxo interno de escalonamento precisa ser ativado. A partir daí, a ciência é da organização, não apenas da área técnica que identificou o problema. 

Incidentes que não exigem notificação imediata 

A Resolução nº 15/2024 introduz um critério de relevância para a obrigação de comunicação. Nem todo incidente com dados pessoais gera dever imediato de notificação à ANPD e aos titulares. 

A comunicação é obrigatória quando o incidente puder acarretar risco ou dano relevante aos titulares. A Resolução apresenta parâmetros para essa avaliação: natureza e categoria dos dados afetados, perfil dos titulares, número de pessoas envolvidas, facilidade de reversão do dano e a probabilidade de ocorrência de prejuízo concreto. 

O ponto de atenção é que esse filtro não é discricionário. A empresa não decide se quer notificar com base em conveniência: ela aplica os critérios legais e documenta a conclusão. Se a avaliação interna indicar ausência de risco relevante e a ANPD entender o contrário, a organização precisará demonstrar que a análise foi feita de forma séria, com base em critérios objetivos. 

O que a notificação precisa conter 

A comunicação preliminar à ANPD, feita em até 72 horas, deve conter ao menos: 

• Descrição da natureza dos dados pessoais afetados. 

• Informações sobre os titulares envolvidos, com estimativa de quantidade. 

• Indicação das medidas técnicas e administrativas adotadas para conter o incidente. 

• Identificação do encarregado de dados ou do representante responsável pela comunicação. 

• Descrição dos possíveis impactos e riscos decorrentes do incidente. 

O erro mais comum nessa etapa é a generalização. Notificações que descrevem o incidente em termos vagos, sem quantificação de titulares e sem indicação de medidas concretas adotadas, fragilizam a posição da empresa diante da ANPD. A autoridade interpreta a falta de detalhamento como ausência de preparo, não como humildade diante da incerteza. 

O relatório complementar, entregue em prazo a ser definido conforme a complexidade do caso, deve conter análise mais aprofundada das causas, das consequências e das medidas de mitigação adotadas. 

As consequências de não notificar, ou de notificar mal 

A LGPD prevê sanções administrativas aplicáveis pelos agentes que descumprem suas obrigações, incluindo advertência, multa de até 2% do faturamento do grupo econômico no Brasil, limitada a R$ 50 milhões por infração, e publicização da infração. 

Mas o risco não é apenas financeiro. A postura da empresa diante do incidente integra a avaliação da ANPD. Uma notificação tardia, genérica ou prestada apenas após pressão regulatória é tratada como indicativo de má-fé ou de desorganização estrutural, o que agrava o juízo sobre a conduta da empresa. 

A jurisprudência regulatória no Brasil ainda é incipiente, mas a trajetória dos reguladores europeus sob o Regulamento Geral sobre a Proteção de Dados (GDPR) mostra um padrão claro: empresas que notificam dentro do prazo, com detalhamento adequado e plano de mitigação consistente, recebem tratamento significativamente mais favorável do que aquelas que chegam à autoridade em posição defensiva. 

O componente reputacional não deve ser subestimado. Incidentes que chegam à imprensa antes de chegarem à ANPD resultam em dupla exposição, e a empresa perde o controle da narrativa. 

O que precisa existir antes do incidente 

Cumprir o prazo de 72 horas com uma notificação adequada é impossível para uma empresa que não estava minimamente organizada antes da crise. 

O pré-requisito mais elementar é o mapeamento de dados. Sem saber quais dados a empresa trata, onde estão armazenados, quem os acessa e por quanto tempo são retidos, a primeira pergunta que a ANPD vai fazer, quais e quantos titulares foram afetados, não tem resposta em 72 horas. 

O Plano de Resposta a Incidentes (PRI) é o segundo elemento estrutural. Esse documento define quem faz o quê no momento de uma crise: quem declara o incidente, quem aciona o encarregado, quem notifica a ANPD, quem comunica os titulares, quem gerencia a comunicação externa. Sem um PRI testado, a organização improvisa sob pressão, e improvisação gera omissão. 

O encarregado de dados precisa ter autoridade e acesso real para coordenar essa resposta. Um DPO externo bem integrado à estrutura da empresa consegue atuar com agilidade no momento do incidente porque já conhece os fluxos de dados, os contratos com operadores e os riscos mais relevantes do negócio. 

A preparação é, em última análise, o que determina se a empresa vai tratar o incidente como um evento gerenciável ou como uma crise sem contenção. 

Se a sua empresa ainda não tem um Plano de Resposta a Incidentes estruturado ou precisa revisar o mapeamento de dados como base para uma resposta regulatória eficiente, entre em contato com o SMN Advogados. Atuamos como DPO externo e oferecemos suporte completo em adequação à LGPD, do diagnóstico à gestão de crises.