O que é um incidente de segurança sob a LGPD?
A LGPD define incidente de segurança como qualquer acesso não autorizado — e também qualquer situação acidental ou ilícita de destruição, perda, alteração, comunicação ou difusão de dados pessoais. Isso inclui: invasão de sistema (hack), funcionário que envia lista de clientes por engano, notebook roubado com dados sem criptografia, ou banco de dados exposto na internet.
O que a empresa deve fazer ao descobrir o incidente
- Contenção imediata: isolar o sistema comprometido, revogar acessos, preservar evidências
- Avaliação do dano: quantos titulares afetados, que tipo de dados, risco de dano aos titulares
- Comunicação à ANPD: prazo de 72 horas a partir da ciência do incidente (para incidentes de risco relevante)
- Comunicação aos titulares: quando o incidente puder acarretar risco ou dano relevante, os titulares devem ser informados em prazo razoável
- Documentação: registrar tudo — o que aconteceu, quando foi descoberto, quem foi afetado, quais medidas foram tomadas
Critério de risco relevante para notificar
Nem todo incidente precisa ser comunicado à ANPD. A obrigação existe quando o incidente pode acarretar risco ou dano relevante aos titulares: dados sensíveis (saúde, financeiros, biometria), dados de crianças, credenciais de acesso, dados em grande volume, ou quando o incidente pode levar a fraude, discriminação ou dano financeiro.
O que comunicar à ANPD
A comunicação deve conter: descrição do incidente, data e período, tipo de dado afetado, número de titulares afetados, medidas de contenção adotadas, riscos aos titulares, e dados de contato do DPO ou responsável.
Responsabilidade civil por vazamento
A empresa pode ser responsabilizada civilmente pelos danos causados aos titulares em razão do vazamento — inclusive dano moral. Se dados de saúde foram expostos e o titular sofreu discriminação, se credenciais foram vazadas e houve fraude, a empresa que não adotou medidas adequadas de segurança responde objetivamente.
Perguntas frequentes
Posso esconder o vazamento da ANPD?
Não é recomendado — e pode agravar significativamente as sanções. A omissão ou ocultação de incidente é considerada violação grave e pode levar a multas maiores e publicização da infração. A ANPD está desenvolvendo canais de denúncia e pode descobrir o incidente por outros meios.
Pequena empresa precisa comunicar à ANPD também?
Sim, se o incidente envolver risco relevante aos titulares, independentemente do porte. O critério é o risco, não o tamanho da empresa.