Vazamento de dados: comunicação à ANPD e prazos

Quando um incidente de segurança com dados pessoais pode causar risco ou dano relevante aos titulares, a empresa controladora deve comunicá-lo à ANPD e aos titulares em até três dias úteis, contados de quando soube que o incidente afetou dados pessoais (Resolução CD/ANPD 15/2024, arts. 6º e 9º). Agentes de pequeno porte têm o prazo em dobro. Todo incidente, comunicado ou não, deve ser registrado e guardado por pelo menos cinco anos (art. 10). O que decide o resultado é o que a empresa faz nas primeiras horas.

Onde está o risco

Três dias úteis passam rápido. Nesse tempo a empresa precisa descobrir o que aconteceu, quais dados foram atingidos, quantas pessoas, quais riscos e quais medidas tomou. Sem um plano, a primeira manhã é gasta tentando descobrir quem deve ser avisado.

O incidente não é só o ataque hacker. A ANPD considera incidente qualquer evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (art. 3º, XII). Um e-mail com planilha de clientes enviado ao destinatário errado, um notebook furtado sem criptografia ou um sistema sequestrado por ransomware entram na conta.

Como funciona a regra

• Quem comunica: o controlador, por meio do encarregado ou de representante com poderes, pelo canal eletrônico da ANPD (art. 6º). A página da ANPD orienta usar o peticionamento eletrônico no sistema SEI da agência.
• Quando é obrigatório: quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolve pelo menos um destes: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação, como login e senha; dados sob sigilo legal, judicial ou profissional; ou dados em larga escala (art. 5º).
• Prazo para a ANPD: três dias úteis do conhecimento de que o incidente afetou dados pessoais, salvo prazo diferente em lei específica (art. 6º).
• Complemento: as informações podem ser completadas, de forma fundamentada, em até 20 dias úteis contados da comunicação (art. 6º, §3º).
• Prazo para os titulares: os mesmos três dias úteis, em linguagem simples e, quando possível, de forma direta e individual, por e-mail, telefone, mensagem ou carta (art. 9º).
• Pequeno porte: os prazos de comunicação contam em dobro para agentes de tratamento de pequeno porte, conforme o regulamento.
• Registro: todo incidente, inclusive o não comunicado, deve ser registrado e mantido por no mínimo cinco anos (art. 10).
• Operador: a obrigação de comunicar é do controlador. A ANPD orienta que o operador avise o controlador sem demora injustificada e entregue as informações necessárias, e recomenda prever isso em contrato.

Plano das primeiras horas e dias

1. Acione o time de resposta. Encarregado de dados, TI ou segurança, jurídico e alguém da direção com poder de decisão. Abra um registro com data e hora de cada passo.
2. Contenha o incidente. Revogue acessos, troque senhas, isole máquinas, feche links públicos e suspenda integrações comprometidas.
3. Preserve evidências. Não apague logs nem formate equipamentos antes de copiar o que for necessário para a investigação.
4. Confirme se há dados pessoais. A data em que a empresa soube que dados pessoais foram afetados marca o início do prazo. Anote-a. Um mapeamento de dados atualizado acelera essa etapa.
5. Avalie o risco. Que tipos de dados, de quantas pessoas, se estavam criptografados, quem teve acesso e que danos são possíveis. Use os critérios do art. 5º.
6. Decida e documente. Se houver risco ou dano relevante, prepare as comunicações. Se não houver, registre os motivos da decisão (art. 10).
7. Comunique a ANPD. Pelo canal oficial, com as informações disponíveis e os documentos que comprovem a representação. O que faltar entra no complemento.
8. Comunique os titulares. Explique o que aconteceu, quais dados, quais riscos, o que a empresa fez e o que a pessoa pode fazer para se proteger. Se não for possível avisar um a um, publique o aviso no site, no aplicativo e nas redes por pelo menos três meses (art. 9º).
9. Junte a declaração. Em até três dias úteis após o fim do prazo de comunicação aos titulares, junte ao processo na ANPD a declaração de que avisou os titulares, com os meios usados (art. 9º).
10. Corrija a causa. Ajuste a falha, revise acessos e contratos e treine a equipe. A pronta adoção de medidas corretivas e a cooperação são consideradas na dosimetria de eventuais sanções (LGPD, art. 52, §1º, VII e X).

Linha do tempo

Erros comuns

• Esperar ter todas as respostas para comunicar. O regulamento admite complemento em 20 dias úteis. Comunique no prazo com o que houver e explique o que falta.
• Comunicar só a ANPD. A própria agência alerta que a obrigação não se cumpre sem avisar os titulares quando há risco ou dano relevante.
• Apagar rastros na pressa de consertar. Sem logs, a empresa não consegue mostrar o alcance do incidente nem o que fez para contê-lo.
• Não registrar o incidente "pequeno". Mesmo o que não é comunicado precisa estar no registro, com a avaliação e os motivos.
• Deixar o fornecedor fora do plano. Se o incidente ocorreu no sistema de um operador, a empresa depende dele para obter informações. Preveja prazos de aviso e cooperação em contrato.
• Ignorar a criptografia. No juízo de gravidade, a ANPD considera se os dados estavam ininteligíveis para quem os acessou (LGPD, art. 48, §3º). Proteger antes reduz o impacto depois.

Checklist

Perguntas frequentes

Qual o prazo para comunicar um vazamento de dados à ANPD? Três dias úteis, contados de quando a empresa soube que o incidente afetou dados pessoais, para incidentes que possam causar risco ou dano relevante. Agentes de pequeno porte têm prazo em dobro. As informações podem ser complementadas em até 20 dias úteis.

Todo incidente precisa ser comunicado? Não. Só aqueles que podem afetar significativamente os direitos dos titulares e envolvem dados sensíveis, financeiros, de autenticação, sob sigilo, de crianças, adolescentes ou idosos, ou dados em larga escala. Todos, porém, devem ser registrados, com a justificativa quando não houver comunicação.

Como avisar os clientes afetados? De forma direta e individual sempre que possível, pelos meios que a empresa já usa para falar com eles. O aviso deve explicar, em linguagem simples, o que aconteceu, quais dados foram afetados, os riscos, as medidas adotadas e um contato para dúvidas. Recomendações para o titular se proteger são vistas como boa prática.

E se o vazamento aconteceu no sistema de um fornecedor? A comunicação continua sendo dever do controlador. O operador deve informar o controlador sem demora e fornecer os dados necessários. Por isso o contrato precisa prever prazos de aviso e cooperação.

A empresa pode ser multada por um vazamento? As sanções da LGPD vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, entre outras (art. 52). Na dosimetria, contam a cooperação, as medidas de segurança adotadas e a pronta correção.

Próximo passo

O guia LGPD na prática traz a etapa de resposta a incidentes dentro do processo de adequação e ajuda a montar o roteiro interno. Para preparar o plano, os modelos de comunicação e as cláusulas com fornecedores, o Dados em Conformidade reúne essas entregas com escopo definido. Mais conteúdo em LGPD.

Fontes

• Resolução CD/ANPD 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança), publicada no DOU de 26/04/2024, arts. 3º, XII, 5º, 6º, 9º e 10. Vigente, segundo a página de regulamentações da ANPD.
• ANPD, página "Comunicação de Incidente de Segurança" (gov.br/anpd), consultada em novembro de 2026.
• Lei 13.709/2018 (LGPD), arts. 46, 48 e 52 (texto atualizado até a Lei 15.352/2026).
• Resolução CD/ANPD 2/2022 (regulamento para agentes de tratamento de pequeno porte).

Conteúdo informativo. Não substitui consulta a um advogado.