Vazamento de Dados: Quando e Como Comunicar o Incidente à ANPD e aos Titulares?

Uma planilha com nomes, CPFs e dados bancários é enviada ao destinatário errado. A equipe pede que ele apague o arquivo e considera o problema resolvido. Dois dias depois, descobre que o link permitia download sem autenticação e havia sido acessado por endereços desconhecidos. Quando começa o prazo para comunicar? Quem decide se há risco relevante? O que deve ser dito aos titulares?

Responder a um incidente com dados pessoais exige duas linhas de trabalho simultâneas. A linha técnica contém o evento, preserva evidências, recupera sistemas e reduz exposição. A linha jurídica e de comunicação identifica controlador e operador, avalia o risco, cumpre prazos e fornece informação útil sem especular.

Desde 2024, a Resolução CD/ANPD nº 15 detalha o art. 48 da Lei Geral de Proteção de Dados. Para incidentes comunicáveis, o controlador deve informar a ANPD e os titulares em três dias úteis, salvo prazo específico. A comunicação incompleta pode ser complementada de forma fundamentada, mas esperar ter certeza sobre cada detalhe pode fazer a empresa perder a janela inicial.

Este guia apresenta um fluxo prático para organizações privadas. A prevenção começa antes do incidente: uma Política de Privacidade coerente e um Contrato de Tratamento de Dados Pessoais com fornecedores ajudam a saber quais dados existem, quem decide e quem precisa avisar.

Incidente de segurança é mais amplo que vazamento

A ANPD define incidente de segurança como evento adverso confirmado relacionado à violação da confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais.

Vazamento normalmente lembra divulgação ou acesso indevido, isto é, perda de confidencialidade. Mas ransomware que torna prontuários indisponíveis, alteração não autorizada de dados cadastrais e falsificação de registros também podem ser incidentes relevantes.

Uma vulnerabilidade ainda não explorada não é, sozinha, incidente confirmado. Mesmo assim, deve ser corrigida e documentada. Se houver evidência de exploração, download, alteração, indisponibilidade ou uso indevido, a classificação muda.

Incidente de TI que não envolve pessoa natural identificada ou identificável não entra automaticamente no fluxo de comunicação da LGPD. Dados efetivamente anonimizados exigem análise diferente. A equipe precisa confirmar o ativo e a informação afetados antes de concluir.

Quem é responsável por comunicar?

O controlador — quem toma as decisões referentes ao tratamento — é responsável pela comunicação externa à ANPD e aos titulares. O encarregado pode preparar ou protocolar atos conforme seus poderes, mas a responsabilidade organizacional não é transferida a ele.

O operador trata dados em nome do controlador e deve informar o incidente sem demora injustificada, fornecendo elementos para avaliação e resposta. Um provedor de nuvem não deve decidir sozinho que o evento “não é relevante” e permanecer em silêncio quando o cliente é o controlador.

Em cadeias complexas, uma empresa pode ser operadora em relação ao cliente e controladora de dados próprios, como cadastro de funcionários. O mesmo evento pode exigir dois fluxos internos.

O DPA deve indicar canal de emergência, disponibilidade 24/7, prazo interno curto, informações mínimas, preservação de logs, suboperadores, cooperação e custos. Um prazo contratual de 24 horas para o operador avisar o controlador não substitui o prazo regulatório; ele cria espaço para o controlador cumprir o seu.

Quais incidentes precisam ser comunicados?

Segundo a orientação da ANPD, três critérios são cumulativos: ocorrência confirmada, envolvimento de dados pessoais sujeitos à LGPD e possibilidade de risco ou dano relevante aos titulares. Nem toda falha precisa ser comunicada, mas a decisão de não comunicar deve ser fundamentada.

Risco relevante pode existir quando o evento favorece fraude, roubo de identidade, discriminação, dano moral, material ou reputacional, prejuízo à saúde ou violação de sigilo. Dados sensíveis, autenticação, finanças, crianças, adolescentes, idosos, pessoas vulneráveis e grande escala aumentam preocupação.

A categoria de dado não decide sozinha. Uma lista de e-mails de evento público, rapidamente bloqueada e sem download, tem contexto diferente de e-mails associados a diagnóstico, dívida ou filiação sindical. Da mesma forma, poucos titulares podem sofrer impacto alto.

Proteções efetivas importam. Um notebook perdido com disco criptografado, credenciais revogadas e evidência de que não houve acesso pode gerar avaliação diferente do mesmo equipamento sem senha. Não basta afirmar “estava criptografado”; registre tecnologia, gestão de chaves e estado do dispositivo.

Como avaliar risco ou dano relevante?

Comece pela atividade: por que os dados eram tratados e quais consequências decorrem de exposição ou indisponibilidade? Prontuário, folha de pagamento, geolocalização, autenticação e preferências de consumo produzem riscos distintos.

Mapeie quantidade e perfil dos titulares. Crianças, pacientes, trabalhadores em situação de conflito, vítimas de violência e clientes endividados podem estar mais expostos. “Apenas 50 pessoas” não é justificativa suficiente.

Liste naturezas e combinações. Nome isolado pode ter baixo impacto; nome, CPF, telefone, renda, banco e senha permitem engenharia social. Dados aparentemente comuns se tornam perigosos quando agregados.

Analise alcance, duração, facilidade de cópia, intenção do agente, possibilidade de reversão e medidas já adotadas. Um envio a destinatário conhecido que confirma exclusão é diferente de arquivo indexado por buscador. Ainda assim, confirmação verbal não elimina necessidade de verificar logs e cópias.

O que fazer nas primeiras horas?

Acione equipe de resposta e nomeie um coordenador. Registre hora da detecção, quem informou, sistemas, contas e dados possivelmente afetados. Abra canal reservado para decisões e evite dispersão em mensagens pessoais.

Contenha sem destruir prova: revogue credenciais, isole máquinas, retire link público, bloqueie token, interrompa integração ou restaure serviço conforme plano. Preserve logs, imagens, cabeçalhos, versões e evidências de acesso antes de formatar equipamentos.

Não apague e-mails ou arquivos para “eliminar o vazamento” sem cadeia de preservação. A destruição pode impedir saber quem acessou e demonstrar diligência.

Confirme fornecedores envolvidos e acione cláusulas do DPA. Se houver ransomware, não trate pagamento como substituto de contenção, recuperação e avaliação dos dados. Cópia exfiltrada pode existir mesmo após descriptografia.

Quando começa o prazo de três dias úteis?

A Resolução CD/ANPD nº 15 estabelece comunicação em três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada legislação específica. A página oficial de Comunicação de Incidente da ANPD confirma esse prazo.

O relógio não deve ser manipulado por atraso interno. Se segurança confirma na sexta-feira que dados pessoais foram acessados, a empresa não pode considerar que o controlador só soube quando a diretoria se reuniu na quarta. Fluxo de escalonamento precisa levar a informação rapidamente a quem decide.

Três dias úteis não são 72 horas corridas. Feriados nacionais e locais e o canal aplicável devem ser considerados. Se norma setorial estabelecer prazo diferente, aplique o mais exigente conforme a obrigação específica.

Agentes de tratamento de pequeno porte que realmente se enquadrem na Resolução nº 2 podem ter prazo em dobro para a comunicação à ANPD e aos titulares. A empresa deve comprovar o enquadramento; “ser pequena” no uso cotidiano não basta quando há tratamento de alto risco ou outra exclusão.

E se ainda faltarem informações?

O controlador não precisa inventar. Se não dispõe de todas as informações, pode apresentar comunicação preliminar e justificar as lacunas. A orientação oficial prevê complementação fundamentada em até vinte dias úteis a partir da comunicação.

Separe “confirmado”, “estimado”, “em investigação” e “não identificado”. Uma estimativa de 10 mil titulares não deve aparecer como fato exato; uma possibilidade de exfiltração não deve ser negada sem evidência.

A complementação deve permanecer no mesmo processo e atualizar causa, escopo, titulares, medidas e comunicação. Não envie versões conflitantes sem explicar mudança de conclusão.

O prazo adicional não autoriza postergar a mensagem aos titulares quando a obrigação já está caracterizada. Pessoas precisam de informação a tempo de trocar senha, bloquear cartão ou monitorar fraude.

Que informações enviar à ANPD?

A comunicação deve identificar controlador, encarregado ou representante, operador envolvido, data e hora do conhecimento e descrição do incidente. Também deve informar natureza e categoria dos dados, quantidade de titulares, medidas de segurança, riscos, causa quando conhecida e ações de contenção e mitigação.

Inclua a avaliação que levou à conclusão de risco relevante e as premissas usadas. Se a quantidade ainda não é conhecida, explique método de estimativa e plano de confirmação.

Informe se os titulares foram comunicados, por qual meio e com qual conteúdo. Se houve atraso, apresente razões. Solicitação de sigilo sobre informações comerciais deve ser específica e fundamentada, não genérica.

Use o canal oficial indicado pela ANPD e preserve número do processo, protocolo, arquivos enviados e poderes de representação. Cadastros de acesso devem ser preparados antes de um incidente, não no último dia do prazo.

O que deve constar na mensagem aos titulares?

A mensagem precisa explicar natureza do incidente e categorias de dados afetadas, riscos e possíveis impactos, data de conhecimento, medidas adotadas e planejadas, contato do controlador e do encarregado quando aplicável e recomendações práticas.

Use linguagem simples. “Evento de segurança com possível exfiltração” é menos útil que “uma pessoa não autorizada pode ter baixado uma planilha com seu nome, CPF e dados bancários”. Não exponha detalhes técnicos que facilitem novo ataque.

Recomendações devem corresponder ao risco: trocar senha reutilizada, ativar autenticação multifator, contatar banco por canal oficial, desconfiar de mensagens que citem dados vazados, monitorar contas ou solicitar novo documento quando indicado.

Não peça que o titular envie novamente CPF, senha, código ou cartão para “confirmar identidade” em resposta ao mesmo incidente. Informe domínio, telefone e canais oficiais para reduzir phishing.

Como comunicar: e-mail, aplicativo ou aviso público?

A regra privilegia comunicação direta e individualizada quando os titulares podem ser identificados. Use meios normalmente empregados: e-mail, mensagem no aplicativo, telefone, carta ou combinação adequada.

Se a comunicação individual for inviável ou os titulares não puderem ser determinados, a Resolução prevê divulgação ampla em página, aplicativo, redes e canais de atendimento, com visualização direta e fácil por período mínimo de seis meses.

Um banner escondido no rodapé não substitui mensagem individual quando a empresa possui e-mails válidos. A ANPD já exigiu comunicações diretas em processos nos quais o controlador tinha meios de contato.

Documente entrega, devoluções, visualizações e taxa de alcance. Para mensagens que falharam, defina segunda rota. Comunicação é obrigação de resultado informativo razoável, não mero disparo sem controle.

O que não escrever na comunicação?

Não afirme “nenhum dado foi acessado” se os logs são incompletos. Diga o que foi confirmado e o que permanece em apuração. Transparência inclui incerteza bem delimitada.

Não minimize: “apenas dados cadastrais” pode ser inadequado quando incluem CPF, renda e telefone. Também não dramatize com cenários remotos que gerem pânico sem orientar ação.

Evite culpar fornecedor antes de concluir investigação. O controlador continua responsável por comunicar; disputa contratual ocorre em outra frente.

Não condicione suporte a renúncia, quitação ou confidencialidade. Titular tem direito à informação e pode reclamar à autoridade ou buscar reparação.

Como dividir papéis durante a resposta?

Segurança confirma, contém, preserva e recupera. Privacidade ou jurídico enquadra papéis, avalia risco, coordena prazo e redige comunicações. Comunicação adapta linguagem e canais. Atendimento prepara respostas consistentes. Liderança decide recursos e aceita riscos residuais.

O encarregado conecta titulares e ANPD, mas não deve ser o único responsável por investigação técnica. Da mesma forma, TI não deve decidir sozinho sobre relevância jurídica.

Defina titular e substituto para cada função. Incidentes acontecem em feriados; dependência de uma pessoa sem acesso remoto aumenta atraso.

Registre decisões com horário, evidências e responsável. Ata curta e contínua é melhor que reconstrução posterior baseada em memória.

Como agir quando o incidente vem de fornecedor?

Peça linha do tempo, sistemas, dados, titulares, medidas, indicadores de comprometimento e cópia de evidências relevantes. Não aceite resposta vaga “o ambiente já está seguro”.

Determine se o fornecedor atua como operador, suboperador ou controlador independente. O rótulo contratual ajuda, mas a função real no tratamento é decisiva.

O controlador não deve esperar disputa sobre culpa para comunicar. Pode informar que a causa está em apuração e atualizar depois. Paralelamente, preserva direitos contratuais, seguro e eventual regresso.

Revise o DPA após o evento: prazo de aviso, auditoria, subcontratação, exclusão, segurança e cooperação. Se a cláusula permitiu silêncio por vários dias, ela não atende à operação.

Como tratar ransomware?

Ransomware pode violar disponibilidade e confidencialidade. A nota de resgate afirmar “copiamos seus dados” é indício; logs de saída, ferramentas do invasor e comportamento do grupo ajudam a confirmar. Ausência de prova de exfiltração não é prova automática de ausência.

Isole redes, preserve imagem forense, altere credenciais por dispositivo limpo, proteja backups e identifique persistência. Restaurar arquivos sem remover acesso pode reiniciar ataque.

A avaliação deve considerar serviços interrompidos. Em hospital ou plataforma essencial, indisponibilidade por si só pode causar dano relevante mesmo sem publicação.

Decisões sobre negociação, autoridades e seguro devem seguir plano próprio. Não publique detalhes que prejudiquem investigação ou exponham nova vulnerabilidade.

Como tratar e-mail enviado à pessoa errada?

Solicite exclusão e confirmação, revogue link quando possível e verifique download. Identifique destinatário, vínculo, quantidade, dados e possibilidade de uso. Um destinatário conhecido e cooperativo reduz risco, mas não apaga o incidente.

Se o e-mail continha anexo com senha enviada em canal separado, avalie se a senha foi acessível. Proteção fraca, como CPF do próprio titular, pode não impedir abertura.

Se houve encaminhamento ou conta desconhecida, amplie investigação. Preserve cabeçalhos e logs do provedor.

Depois, aplique prevenção: confirmação de destinatário, classificação, restrição de download, DLP e revisão de anexos com dados sensíveis.

Como tratar perda de notebook ou celular?

Bloqueie remotamente, revogue sessões, certificados e tokens e acione rastreamento permitido. Identifique dados locais, sincronizados e acessos que o dispositivo permitia.

Criptografia de disco, senha forte, MFA e gerenciamento corporativo são evidências importantes. Tela bloqueada sem criptografia pode não proteger o armazenamento removível.

Registre boletim quando adequado, mas não trate o boletim como análise de risco. Ele prova comunicação do extravio, não o nível de proteção dos dados.

Se o dispositivo é pessoal em programa BYOD, a empresa ainda precisa de inventário, separação de perfil, remoção remota e procedimento de desligamento.

Como tratar exposição de credenciais?

Force redefinição, encerre sessões, revogue tokens e exija MFA. Verifique reutilização em outros sistemas corporativos e atividade anômala desde antes da detecção.

Comunique de forma que o titular reconheça canais legítimos. Não inclua link encurtado nem peça senha atual. Oriente acesso digitando domínio ou usando aplicativo oficial.

Se a empresa armazenava senha em texto claro ou com proteção inadequada, o risco aumenta e a falha estrutural precisa ser corrigida, não apenas redefinida.

Monitore tentativas de credential stuffing e phishing que usem contexto do vazamento. O incidente pode continuar produzindo efeitos por meses.

Quais registros devem ser mantidos?

A Resolução nº 15 exige que o controlador mantenha registro de incidentes, inclusive os não comunicados, por pelo menos cinco anos, salvo obrigação adicional de prazo maior.

O registro deve reunir data de conhecimento, circunstâncias, natureza e categoria dos dados, número de titulares, avaliação de risco, possíveis danos, correções, mitigação, comunicações realizadas e motivo da ausência de comunicação quando for o caso.

Inclua evidências e versões, mas restrinja acesso. O dossiê contém vulnerabilidades e dados pessoais; não deve ficar em pasta aberta.

Conecte o incidente ao inventário de tratamento, RIPD, fornecedor, sistema e plano de ação. Isso permite demonstrar aprendizado e identificar repetição.

Como a Política de Privacidade se relaciona ao incidente?

A política informa categorias, finalidades, compartilhamentos, segurança em nível adequado e canais do titular. Se o incidente revela tratamento que não aparece na política, existe problema de transparência além da segurança.

Não altere silenciosamente a política para fingir que o compartilhamento sempre foi informado. Registre a não conformidade, corrija o tratamento e comunique mudanças de modo apropriado.

A Política de Privacidade não deve prometer “segurança absoluta” ou “nenhum vazamento”. Deve explicar medidas e responsabilidades com linguagem realista.

Quando o incidente envolve cookies, pixels ou SDKs, revise também a Política de Cookies, consentimento, configuração e fornecedores. Chamar rastreamento não autorizado de “incidente” não elimina problema de base legal.

Quando outras normas também se aplicam?

Bancos, saúde, telecomunicações, seguros, serviços públicos e infraestruturas reguladas podem ter deveres próprios de segurança e comunicação. Contratos com clientes também podem fixar avisos mais curtos.

No início da resposta, crie matriz de obrigações: ANPD, titulares, regulador setorial, parceiro, seguradora, autoridade policial e outras partes quando aplicável. Cada uma pode exigir conteúdo e canal diferentes.

Não use o prazo de três dias úteis como autorização para ignorar prazo setorial de horas. Também não conclua que comunicar outro regulador substitui ANPD.

Transferências internacionais podem exigir coordenação com autoridades e contratos estrangeiros. Defina qual entidade é controladora em cada jurisdição antes de enviar mensagens contraditórias.

Erros comuns durante a crise

O primeiro é atrasar escalonamento para “confirmar com certeza”. O segundo é restaurar sistema e apagar logs. O terceiro é deixar fornecedor conduzir toda a narrativa sem dados verificáveis.

O quarto é contar prazo a partir da reunião da diretoria, não do conhecimento organizacional relevante. O quinto é comunicar à ANPD e esquecer os titulares. O sexto é publicar nota genérica sem dizer categorias de dados e medidas.

O sétimo é afirmar que “não houve impacto financeiro” como se esse fosse o único dano. O oitavo é pedir ao titular mais dados sensíveis por e-mail. O nono é não registrar motivo de não comunicação.

O décimo é encerrar o incidente quando o site volta. Recuperação técnica não substitui correção de processo, comunicação, monitoramento e aprendizado.

Como fazer a revisão pós-incidente?

Reconstrua linha do tempo: acesso inicial, persistência, detecção, escalonamento, contenção, comunicação e recuperação. Compare com o plano e identifique atrasos reais.

Encontre causas técnicas e organizacionais. Uma senha exposta pode ter origem em falta de MFA, mas também em concessão excessiva de privilégios, ausência de inventário e pressão por entrega.

Crie ações com responsável, prazo e evidência de conclusão. “Treinar equipe” é insuficiente sem público, conteúdo, controle e mudança de sistema quando necessária.

Atualize DPA, Política de Privacidade, Termos de Uso, inventário e plano somente onde o incidente revelou lacunas. Não use revisão documental para ocultar falha operacional.

Checklist para as primeiras 24 horas

Confirme o evento e abra registro. Preserve logs e delimite ativos. Contenha acessos e acione operador, segurança, privacidade, jurídico, comunicação e liderança.

Identifique controlador, dados, titulares e possível risco. Registre quando a organização soube que dados pessoais foram afetados. Verifique prazos setoriais e canal da ANPD.

Prepare fatos mínimos para comunicação preliminar e mensagem aos titulares. Defina medidas práticas que eles podem adotar. Crie canal de suporte com roteiro seguro.

Não espere o laudo final para começar. A investigação técnica continua enquanto a obrigação regulatória é tratada.

Checklist para decidir não comunicar

Descreva incidente, dados, quantidade, contexto, proteção, alcance, medidas e possíveis danos. Explique por que não há risco ou dano relevante, com evidências.

Registre participantes e data da decisão. Defina sinais que fariam reabrir avaliação, como novo log, reclamação, divulgação ou confirmação de download.

Mantenha o dossiê pelo prazo mínimo de cinco anos. Não use frase padrão “baixo risco” sem matriz e fatos.

Se a informação mudar, reavalie imediatamente. Decisão inicial não congela obrigação.

Checklist da comunicação ao titular

Informe o que aconteceu, quando foi conhecido, quais dados, quais riscos, o que a empresa fez e o que a pessoa pode fazer. Forneça contato verificável.

Use linguagem curta, sem jargão e sem culpa prematura. Diferencie fatos confirmados de investigação. Não exponha outros titulares nem detalhes de segurança perigosos.

Escolha canal direto e individual quando possível. Teste links, domínio, remetente e atendimento antes do disparo. Monitore entrega e aplique rota alternativa.

Guarde versão exata, lista de destinatários, horários e indicadores de alcance. Atualize se o escopo mudar materialmente.

Como preparar a empresa antes do incidente?

Mantenha inventário de dados, responsáveis, fornecedores e contatos de emergência. Sem saber onde estão os dados, a equipe não consegue avaliar escopo em três dias úteis.

Adote plano de resposta com critérios, matriz de risco, modelos de comunicação e decisão. Faça simulação anual com cenário realista: ransomware, envio indevido, fornecedor e perda de dispositivo.

Contratos com operadores precisam impor aviso rápido e informações mínimas. O modelo de DPA do DiretoDoc ajuda a estruturar papéis, segurança, suboperadores e incidentes; revise os prazos para que sejam mais curtos que a obrigação externa.

Proteja também informação confidencial não pessoal por meio de Contrato de Confidencialidade. NDA e LGPD têm funções diferentes: o primeiro cria dever contratual de sigilo; a segunda regula tratamento de dados pessoais e direitos dos titulares.

Uma resposta rápida precisa ser também confiável

O prazo de três dias úteis exige preparação, não pressa desorganizada. A empresa que conhece seus dados, possui logs, define papéis e contrata fornecedores com aviso rápido consegue informar fatos úteis sem sacrificar investigação.

O critério central é o risco ao titular. Comunicação não é exercício de relações públicas para proteger marca; é medida que permite prevenir fraude, trocar credenciais, buscar suporte e exercer direitos.

Depois do evento, o registro de cinco anos e a revisão de causas demonstram responsabilidade. Repetir o mesmo incidente porque a ação corretiva nunca foi verificada pesa mais do que admitir uma falha e corrigi-la.

Uma boa resposta consegue responder, com evidências, seis perguntas: o que ocorreu, quais dados, quem foi afetado, qual risco, o que foi feito e quando cada pessoa foi informada. Esse conjunto conecta segurança, LGPD e confiança de forma operacional.