Um vazamento de dados com risco relevante aos titulares abre, no Brasil, um relógio de três dias úteis: é o prazo que o controlador tem para comunicar o incidente tanto à ANPD quanto às pessoas afetadas, contado a partir do momento em que a organização toma conhecimento de que dados pessoais foram comprometidos. Quem falha nesse prazo se expõe a processo administrativo sancionador. A ação prioritária é preparar, antes de qualquer crise, o fluxo jurídico-operacional que transforma a detecção técnica em notificação formal dentro da janela legal.
A regra está na Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança e detalhou o artigo 48 da LGPD. O marcos legal e o procedimento oficial formam um sistema de três camadas que toda equipe de segurança e privacidade precisa dominar antes de precisar dele.
Quando a comunicação é obrigatória
O dever nasce quando o incidente pode acarretar risco ou dano relevante aos titulares. O Regulamento exige dois elementos cumulativos: potencial de afetar significativamente interesses e direitos fundamentais — como fraudes financeiras ou roubo de identidade — e a presença de pelo menos um critério de sensibilidade: dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal ou dados em larga escala.
Na prática, isso significa que um ataque com credenciais comprometidas, um exposure de banco com senhas ou um vazamento de registros de saúde quase sempre cai na obrigação. A triagem desses critérios precisa acontecer nas primeiras horas da investigação, porque o prazo de três dias úteis corre do conhecimento do controlador, não da conclusão da perícia.
O que enviar no formulário
A comunicação à ANPD deve conter doze informações enumeradas no artigo 6º, entre elas: natureza e categoria dos dados afetados; número de titulares afetados, discriminando crianças, adolescentes e idosos; medidas de segurança adotadas antes e depois do evento; riscos e possíveis impactos; motivos de eventual demora; medidas de reversão ou mitigação; datas de ocorrência e de conhecimento; identificação de controlador, operador e encarregado; descrição da causa principal; e o total de titulares tratados nas atividades afetadas.
O envio é feito por peticionamento eletrônico no sistema SEI!ANPD, conforme o procedimento oficial publicado pela ANPD, com login pelo Gov.br. Há dois detalhes que travam equipes desavisadas: a comunicação parte do encarregado (DPO) ou de representante legalmente constituído, e o documento que comprova esse vínculo — ato de designação, contrato ou procuração — precisa ser anexado junto com a petição inicial. Sem esse anexo, a ANPD pode instaurar procedimento próprio de apuração.
Preliminar, complementar e aviso ao titular
Se a investigação ainda não fechou números e escopo, a Resolução permite comunicar em etapas. A comunicação preliminar vai dentro dos três dias úteis com o que se sabe; a complementar, fundamentada e protocolada no mesmo processo, pode chegar em até vinte dias úteis contados da data da primeira. O regulamento também prevê prazo em dobro para agentes de tratamento de pequeno porte.
Em paralelo, o titular precisa ser avisado nos mesmos três dias úteis, em linguagem simples, de forma direta e individualizada quando possível. Se a identificação for inviável, a divulgação ampla — site, aplicativos, redes sociais e canais de atendimento — deve permanecer visível por pelo menos três meses. E há um prazo dentro do prazo: em até três dias úteis após o fim da janela de notificação, o controlador junta ao processo uma declaração de que os titulares foram avisados, com os meios utilizados. Ignorar essa etapa formal compromete todo o processo.
O relógio de 72 horas legais
O fundamento de tudo é o artigo 48 da Lei nº 13.709/2018, a LGPD: o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A ANPD pode ainda determinar ampla divulgação em meios de comunicação às expensas do controlador quando a notificação original não alcançar parcela significativa dos afetados — um custo reputacional e financeiro que nenhuma organização quer descobrir durante a crise.
Para équipes que já operam resposta a incidentes com governança definida, a integração é direta: os artefatos técnicos existentes alimentam os campos do formulário. Um guia consolidado de resposta a incidentes, como o novo guia do NIST que exige governança formal, fornece a estrutura de autoridade e evidência; a preservação de evidência durante a recuperação sustenta os campos sobre causa e cronologia; e a base mínima de logs recomendada pelo ENISA garante que a data de conhecimento — que dispara o prazo — seja demonstrável, e não estimada.
Procedimento para o dia do incidente
| Momento | Ação | Responsável |
|---|---|---|
| Hora 0 | Registrar formalmente a data e hora do conhecimento; congelar evidências | Blue team / forensics |
| Horas 1–12 | Triagem dos critérios do art. 5º; ativar encarregado e jurídico | DPO + segurança |
| Dia útil 1 | Redigir comunicação preliminar; reunir documento de vínculo do encarregado | DPO |
| Dia útil 3 | Protocolar no SEI!ANPD e notificar titulares (individual ou divulgação ampla) | DPO + comunicação |
| Dia útil 6 | Anexar declaração de comunicação aos titulares ao processo | DPO |
| Até 20 dias úteis | Protocolar comunicação complementar no mesmo processo | DPO + forensics |
| Contínuo | Manter registro interno por no mínimo cinco anos, mesmo de incidentes não comunicados | Governança |
Sinais a verificar agora
Antes do incidente, quatro verificações revelam se a organização está pronta. Primeira: o encarregado tem conta ativa no SEI!ANPD e o documento de designação está atualizado — credenciais bloqueadas na hora da crise custam horas preciosas. Segunda: existe template pré-aprovado da comunicação preliminar com os doze campos do artigo 6º. Terceira: o runbook de resposta a incidentes tem um ramo específico de privacidade, com gatilho claro para a triagem do artigo 5º. Quarta: os logs mínimos cobrem os sistemas que tratam dados pessoais, permitindo demonstrar quando o conhecimento ocorreu.
Prioridades de preparação
P1: integrar o prazo de três dias úteis ao runbook de incidentes com alarme de calendário para os marcos da tabela; testar o acesso ao SEI!ANPD; e revisar o template da comunicação preliminar contra os doze itens obrigatórios. P2: simular um incidente com dados sensíveis em exercício tabletop incluindo o jurídico; formalizar a política de registro interno de cinco anos; e mapear quais bases de dados da organização contenham os critérios do artigo 5º, para que a triagem inicial seja consulta e não investigação.
As organizações que tratam a comunicação à ANPD como extensão natural da resposta técnica — mesma cadeia de comando, mesma disciplina de evidência, mesmo calendário — transformam uma obrigação legal com prazo curto em um processo executável. As que deixam a decisão para o dia do incidente descobrem que três dias úteis é tempo demais para improvisar e curto demais para aprender.