Por que ter um protocolo de resposta a incidentes?
A LGPD não exige apenas que as empresas evitem incidentes de segurança — exige que saibam como responder quando ocorrem. Empresas sem protocolo definido agem de forma desorganizada após um incidente, perdem o prazo de notificação à ANPD e agrava as consequências para os titulares e para a própria empresa. Um protocolo documentado é obrigação implícita da lei e demonstra boa-fé perante a ANPD.
As fases do protocolo de resposta
1. Detecção e Identificação
Identificar que o incidente ocorreu: alertas de sistema, relatório de funcionário, notificação de terceiro, reclamação de titular. Registrar data e hora da detecção — o prazo de 72h para notificar a ANPD começa aqui.
2. Contenção Imediata
Isolar sistemas comprometidos, revogar credenciais expostas, bloquear acessos suspeitos, preservar logs e evidências. Não apagar nada que possa ser evidência — tanto para a investigação interna quanto para eventual processo regulatório.
3. Avaliação do Impacto
Quantificar: quantos titulares foram afetados? Que tipo de dado foi exposto? Há risco de dano relevante (fraude, discriminação, dano financeiro, físico)? Essa avaliação determina se a notificação à ANPD e aos titulares é obrigatória.
4. Notificação
Se houver risco relevante: notificar a ANPD em 72h (prazo preferencial) com o formulário disponível no portal da ANPD. Notificar os titulares afetados em prazo razoável com informações sobre o que ocorreu e medidas de proteção que devem adotar.
5. Remediação
Corrigir a vulnerabilidade que permitiu o incidente, reforçar controles de segurança, treinar equipe sobre a falha identificada.
6. Documentação e Lições Aprendidas
Registrar tudo — linha do tempo, decisões tomadas, comunicações. Revisar o protocolo com base no que foi aprendido. Manter o registro por prazo adequado (mínimo 5 anos recomendado).
Equipe de resposta a incidentes
Para empresas de médio e grande porte, designar previamente: responsável pela contenção técnica (TI), responsável pela avaliação jurídica (DPO/advogado), responsável pela comunicação (com titulares e ANPD). Em pequenas empresas, uma pessoa pode acumular funções.
Perguntas frequentes
E se o incidente ocorrer com um fornecedor que processa nossos dados?
O operador (fornecedor) deve notificar o controlador (sua empresa) imediatamente. Sua empresa, como controlador, é responsável perante a ANPD e os titulares — mesmo que o incidente tenha ocorrido no fornecedor. Os contratos com operadores devem prever essa obrigação de notificação imediata.