Vazamento de dados: quando comunicar titulares e a ANPD

Um incidente com dados pessoais não começa pela redação de um comunicado. Primeiro é necessário conter o evento, preservar evidências e descobrir quais sistemas, pessoas e informações foram alcançados. Em seguida, o controlador avalia se a ocorrência pode acarretar risco ou dano relevante, critério que aciona a comunicação à ANPD e aos titulares pela Resolução CD/ANPD nº 15/2024. Confundir qualquer indisponibilidade com vazamento ou, no extremo oposto, esperar certeza absoluta antes de avaliar, pode ampliar o dano e comprometer os prazos.

Incidente, violação e alcance real

A ocorrência pode envolver confidencialidade, integridade ou disponibilidade: acesso indevido, alteração, destruição ou indisponibilidade prolongada. A equipe deve identificar ambiente, intervalo, dados, titulares e possibilidade de extração ou uso, preservando logs antes de reinicializações e correções que apaguem vestígios.

A contenção pode começar antes da conclusão completa, com revogação de credenciais e isolamento de sistemas enquanto a investigação continua e registra quem tomou cada decisão.

Avaliação de risco ou dano relevante

Dados sensíveis, financeiros, de autenticação, protegidos por sigilo, de crianças e adolescentes ou tratados em larga escala elevam a atenção. Também importam facilidade de identificação, medidas de proteção, número e vulnerabilidade dos titulares e possíveis efeitos materiais, morais ou discriminatórios. Criptografia efetiva e inutilização da chave podem reduzir o risco, desde que demonstradas.

A conclusão precisa ser fundamentada e, mesmo quando não houver comunicação, o registro deve explicar os fatos, os critérios considerados e as medidas adotadas.

Prazo e conteúdo da comunicação

O regulamento estabelece comunicação à ANPD e aos titulares em três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais e pode gerar risco ou dano relevante, ressalvadas hipóteses específicas. Informações ainda indisponíveis podem ser complementadas de forma fundamentada, enquanto a mensagem inicial explica natureza, dados afetados, riscos e medidas de proteção em linguagem clara.

A comunicação tempestiva não exige especulação, pois pode indicar os limites da apuração e ser atualizada, mantendo coerência entre autoridades, titulares e canais públicos.

Papéis de controlador e operador

O operador deve fornecer ao controlador as informações necessárias sem demora, conforme contrato e instruções. O controlador decide e realiza a comunicação, sem prejuízo das obrigações específicas de cada parte. Contratos devem prever canal, prazo, logs, cooperação forense e aprovação de mensagens, pois negociar essas responsabilidades durante o incidente consome tempo crítico.

Em cadeias com vários fornecedores, a mesma ocorrência pode exigir avaliações distintas para bases e controladores diferentes.

Registro, aprendizado e conservação

A Resolução exige manutenção, por pelo menos cinco anos, do registro dos incidentes com dados pessoais, inclusive daqueles não comunicados. O documento deve reunir avaliação, decisões, comunicações e medidas, e as causas técnicas e organizacionais precisam alimentar correções de acesso, retenção, backup e resposta, para que o encerramento não se limite à troca de senha.

Perguntas frequentes

Todo vazamento deve ser comunicado? A comunicação externa é exigida quando houver possibilidade de risco ou dano relevante, mas todo incidente deve ser avaliado e registrado. O prazo começa quando a investigação termina? Não; o marco é o conhecimento nas condições do regulamento, admitindo complementação fundamentada. O operador comunica diretamente? Em regra, ele informa o controlador, que é responsável pela comunicação prevista na LGPD.

Como uma análise jurídica pode ajudar

A análise jurídica trabalha ao lado da resposta técnica para qualificar dados, titulares e consequências e registrar a decisão dentro do prazo. Isso permite comunicar com transparência sem expor detalhes que criem novo risco, além de preservar evidências e transformar o incidente em medidas de prevenção verificáveis.