Entender o que aconteceu.
Com a equipe de TI, levantamos quais dados, quantos titulares e quais sistemas foram atingidos.
Direito Digital · Serviço
Incidente e vazamento de dados: como a empresa deve responder
Assessoria a empresas que sofreram ataque hacker, sequestro de dados ou vazamento: contenção, avaliação de risco, comunicação à ANPD e aos titulares.
Num incidente, os primeiros dias pesam mais que os meses seguintes.
Um ataque de ransomware que trava os sistemas, uma planilha enviada ao destinatário errado, um notebook furtado, um banco de dados exposto. Qualquer evento que afete a confidencialidade, a integridade ou a disponibilidade de dados pessoais é um incidente de segurança, e a LGPD exige resposta organizada.
Pela Resolução CD/ANPD 15/2024, o incidente que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares em 3 dias úteis contados do conhecimento de que dados pessoais foram afetados, com possibilidade de complementar as informações em 20 dias úteis. Para agentes de pequeno porte, os prazos contam em dobro.
Quando comunicar
Nem todo incidente precisa ser comunicado. Todos precisam ser registrados.
O risco é relevante quando o incidente pode afetar significativamente interesses e direitos dos titulares e envolve pelo menos um critério, como dados sensíveis, de crianças, adolescentes ou idosos, dados financeiros, de autenticação, protegidos por sigilo ou em larga escala. Mesmo sem comunicação, o registro do incidente deve ser mantido por no mínimo 5 anos.
01
Prazo curto
Três dias úteis para avaliar o risco e comunicar, em meio à crise técnica.
02
Comunicação ao titular
Mensagem em linguagem simples, que informa sem gerar pânico nem admitir o que não se sabe.
03
Exposição a sanções
Comunicação tardia ou incompleta pesa na fiscalização da ANPD.
Nas primeiras horas
Do alerta à resposta documentada.
Cumprir o prazo.
Decidimos com base nos critérios da ANPD se o incidente deve ser comunicado e redigimos as comunicações.
Evitar a repetição.
Revisão de contratos, acessos e procedimentos, além de um plano de resposta pronto para o próximo alerta.
Como atuamos
Resposta jurídica ao incidente.
01
Avaliação jurídica do risco e da necessidade de comunicação
02
Comunicação do incidente à ANPD no prazo regulamentar
03
Redação da comunicação aos titulares afetados
04
Registro do incidente e documentação das medidas adotadas
05
Coordenação com a equipe técnica e a perícia forense
06
Atuação no processo de fiscalização da ANPD
07
Defesa em reclamações e ações de titulares
Responsabilidade editorial
Informação jurídica com base verificável.
Conteúdo informativo preparado pelo M de Paula Advogados. A aplicação da norma depende dos fatos e do momento da análise.