Resumo executivo

Um incidente cibernético não é apenas um problema técnico. Em poucas horas, a empresa pode precisar conter o ataque, preservar evidências, verificar dados afetados, coordenar fornecedores, cumprir contratos, avaliar comunicações regulatórias e orientar titulares, clientes e parceiros.

A LGPD exige medidas técnicas e administrativas de segurança desde a concepção do produto ou serviço. Quando um incidente com dados pessoais puder acarretar risco ou dano relevante, o controlador deve comunicá-lo à ANPD e aos titulares. O Regulamento de Comunicação de Incidente de Segurança fixa prazo geral de três dias úteis após a confirmação, ressalvado prazo previsto em legislação específica.

Nem todo evento deve ser comunicado, mas todo incidente com dados pessoais precisa ser identificado, tratado, avaliado e registrado. O Regulamento exige a manutenção do registro de incidentes por pelo menos cinco anos, inclusive daqueles que não foram comunicados.

Um plano jurídico de resposta define critérios e responsabilidades antes da crise. Ele integra segurança, privacidade, jurídico, gestão, comunicação e negócio para que decisões urgentes sejam tomadas com base em fatos, evidências e obrigações aplicáveis.

1. As primeiras horas: contenção com preservação de evidências

A pressão para restabelecer sistemas pode levar à perda de registros essenciais. O plano deve permitir contenção rápida sem destruir a capacidade de compreender o que ocorreu.

As primeiras providências podem incluir:

  • acionar formalmente a equipe de resposta;

  • registrar data e hora da detecção e da confirmação;

  • limitar acessos e interromper o vetor de ataque;

  • isolar ativos afetados;

  • preservar registros, imagens e cópias forenses;

  • identificar sistemas, dados e processos atingidos;

  • alterar credenciais comprometidas;

  • confirmar disponibilidade de cópias de segurança;

  • controlar comunicações internas e externas;

  • envolver jurídico, privacidade e liderança.

Cada ação deve ter responsável e registro. A cadeia de custódia pode ser relevante para investigação, seguro, disputa contratual ou persecução criminal.

O jurídico deve atuar desde o início, sem bloquear a resposta técnica. Sua função é ajudar a organizar fatos, proteger direitos, identificar obrigações e documentar decisões.

2. Confirmação do incidente e início do prazo

O prazo regulatório depende da confirmação, não de uma compreensão perfeita de todos os detalhes. A organização precisa distinguir:

  • alerta ou suspeita;

  • evento em investigação;

  • incidente confirmado;

  • incidente confirmado com dados pessoais;

  • incidente capaz de gerar risco ou dano relevante.

O momento da confirmação deve ser registrado. A ausência de todas as informações não justifica demora indefinida. O Regulamento permite comunicação preliminar quando os dados ainda estiverem incompletos, desde que a impossibilidade seja justificada e as informações sejam complementadas, de maneira fundamentada, em até vinte dias úteis contados da comunicação.

O plano deve definir quem possui autoridade para confirmar o incidente e quem aprova a avaliação de risco e as comunicações.

3. Nem todo incidente precisa ser comunicado à ANPD

Segundo a ANPD, a comunicação é obrigatória quando três condições estão presentes:

  • a ocorrência está confirmada;

  • envolve dados pessoais sujeitos à LGPD;

  • pode acarretar risco ou dano relevante aos titulares.

O risco ou dano relevante deve ser avaliado de acordo com o contexto. O Regulamento considera a possibilidade de impacto significativo em interesses e direitos fundamentais e, cumulativamente, o envolvimento de pelo menos uma das seguintes categorias:

  • dados pessoais sensíveis;

  • dados de crianças, adolescentes ou idosos;

  • dados financeiros;

  • dados de autenticação em sistemas;

  • dados protegidos por sigilo legal, judicial ou profissional;

  • dados em larga escala.

Também devem ser considerados quantidade e perfil dos titulares, natureza e volume dos dados, possibilidade de discriminação, fraude, roubo de identidade, dano material ou moral, indisponibilidade de serviço e medidas de proteção existentes.

Criptografia eficaz e medidas que tornem os dados ininteligíveis para terceiros podem reduzir o risco, mas precisam ser comprovadas e avaliadas no contexto real.

4. Prazo de três dias úteis

O controlador deve comunicar à ANPD e aos titulares o incidente capaz de causar risco ou dano relevante no prazo de três dias úteis, contado conforme o Regulamento, ressalvada legislação específica.

Esse prazo não deve ser confundido com prazos estrangeiros. Uma empresa sujeita a múltiplas jurisdições ou setores pode ter obrigações paralelas, com marcos iniciais e conteúdos diferentes.

Para cumprir o prazo brasileiro, o fluxo interno precisa ser mais rápido. Contratos com operadores e fornecedores podem exigir aviso inicial em poucas horas, porque o controlador ainda terá de investigar, avaliar e preparar a comunicação.

A demora deve ser justificada. A comunicação voluntária, a cooperação e a boa-fé são consideradas pela ANPD em eventual fiscalização, enquanto o atraso injustificado pode levar a medidas e sanções.

5. O papel do controlador, do operador e do encarregado

A obrigação legal de comunicar à ANPD e aos titulares é do controlador. A comunicação à Autoridade deve ser apresentada pelo encarregado ou por representante legalmente constituído do controlador, por meio do procedimento eletrônico indicado pela ANPD.

O operador deve informar o incidente ao controlador sem demora injustificada e fornecer as informações necessárias. Ele também possui deveres de prevenção e segurança.

O contrato deve definir:

  • prazo e canal de notificação;

  • dados mínimos do aviso inicial;

  • preservação de evidências;

  • acesso a registros e pessoal técnico;

  • atualizações periódicas;

  • cooperação na avaliação e comunicação;

  • aprovação de mensagens públicas;

  • investigação e causa raiz;

  • correção e prevenção;

  • custos e responsabilidade conforme a causa;

  • obrigações de suboperadores.

O encarregado coordena a interface de proteção de dados, mas a resposta não deve ser atribuída exclusivamente a ele. Segurança, tecnologia, jurídico, negócio e alta administração possuem papéis próprios.

6. Conteúdo da comunicação à ANPD

A comunicação precisa fornecer informação suficiente para que a Autoridade compreenda o evento, o risco e as medidas adotadas.

Entre os elementos relevantes estão:

  • natureza do incidente;

  • data de conhecimento e confirmação;

  • categorias e volume de dados pessoais;

  • categorias e quantidade estimada de titulares;

  • medidas de segurança existentes;

  • riscos e possíveis impactos;

  • ações de contenção e mitigação;

  • comunicação aos titulares;

  • motivo de eventual demora;

  • identificação e contato do controlador, encarregado ou representante;

  • operadores e terceiros envolvidos, quando aplicável.

Se o relato for preliminar, a organização deve manter controle do prazo de complementação e protocolar a atualização no mesmo processo.

Informações empresariais sensíveis podem receber pedido fundamentado de sigilo no processo, de acordo com as regras aplicáveis. Isso não autoriza omissão de dados necessários à avaliação da Autoridade.

7. Comunicação aos titulares

A comunicação deve permitir que a pessoa compreenda o risco e adote medidas para se proteger. Linguagem técnica ou genérica reduz a utilidade do aviso.

O Regulamento exige linguagem simples e fácil entendimento. Sempre que possível, a comunicação deve ser direta e individualizada, por canal habitualmente utilizado.

O conteúdo mínimo inclui:

  • natureza e categoria dos dados afetados;

  • medidas técnicas e de segurança utilizadas, preservados os segredos aplicáveis;

  • riscos e possíveis impactos;

  • motivo da demora, se houver;

  • medidas adotadas ou planejadas para reverter ou mitigar efeitos;

  • data de conhecimento do incidente;

  • contato para informações e, quando aplicável, do encarregado.

Também pode ser útil orientar troca de senha, autenticação multifator, monitoramento de conta, prevenção a fraude e canal de suporte, conforme o incidente.

Se não for possível individualizar os afetados, pode ser necessário ampliar o universo comunicado. A comunicação indireta e pública é excepcional, deve ser justificada e alcançar o maior número possível de titulares com destaque adequado.

13. Responsabilidade e reparação

A LGPD prevê que controlador ou operador que, no exercício de tratamento, causar dano patrimonial, moral, individual ou coletivo em violação à legislação é obrigado a repará-lo.

O operador pode responder solidariamente quando descumprir obrigações legais ou não seguir instruções lícitas do controlador. Controladores diretamente envolvidos no tratamento também podem responder de forma solidária, observadas as hipóteses legais de exclusão.

O tratamento é considerado irregular quando viola a legislação ou não oferece a segurança que o titular pode esperar, considerados o modo, os riscos e as técnicas disponíveis na época.

Na apuração, podem ser relevantes:

  • adequação dos controles antes do evento;

  • atualização e gestão de vulnerabilidades;

  • treinamento e acesso;

  • seleção e fiscalização de fornecedores;

  • velocidade e qualidade da resposta;

  • comunicação e mitigação;

  • cooperação com titulares e autoridades;

  • documentação das decisões.

Ausência de segurança absoluta não significa responsabilidade automática por todo incidente. A avaliação depende de conduta, obrigação, causalidade, dano e legislação aplicável. Porém, a falta de governança e evidências dificulta a demonstração de diligência.

14. Registro por pelo menos cinco anos

O Regulamento da ANPD exige que o controlador mantenha registro dos incidentes de segurança com dados pessoais por pelo menos cinco anos, inclusive daqueles não comunicados.

O registro deve permitir compreender:

  • data de conhecimento;

  • descrição e circunstâncias;

  • dados e titulares envolvidos;

  • avaliação de risco ou dano;

  • justificativa para comunicar ou não;

  • medidas de prevenção, contenção e mitigação;

  • comunicações realizadas;

  • responsáveis pela análise e decisão;

  • evidências e documentos associados.

O arquivo precisa ser protegido, ter acesso controlado e observar outras regras de retenção. A conservação não autoriza manter indefinidamente cópias desnecessárias de dados expostos.

15. Estrutura do plano jurídico de resposta

Um plano útil é acionável e integrado ao plano técnico. Ele pode conter:

Governança

  • critérios de ativação;

  • líder do incidente;

  • comitê de crise;

  • substitutos e contatos externos;

  • níveis de autoridade;

  • canal seguro de comunicação.

Avaliação

  • momento de confirmação;

  • formulário de coleta de fatos;

  • matriz de risco aos titulares;

  • mapa de sistemas e dados;

  • análise de jurisdições e setores;

  • decisão documentada de comunicação.

Execução

  • contenção e recuperação;

  • preservação de evidências;

  • comunicação à ANPD e titulares;

  • notificações contratuais e setoriais;

  • atendimento e relações públicas;

  • monitoramento de prazos.

Encerramento

  • causa raiz;

  • plano de remediação;

  • relatório executivo;

  • revisão de contratos e controles;

  • lições aprendidas;

  • atualização do plano.

Conclusão

Incidentes cibernéticos exigem decisões rápidas, mas não improvisadas. A empresa precisa conter o evento, preservar evidências, avaliar riscos aos titulares e cumprir obrigações que podem correr simultaneamente.

O prazo de três dias úteis torna indispensável a integração prévia entre controlador, operadores, segurança, jurídico, privacidade, comunicação e liderança. Contratos, contatos, modelos de comunicação e critérios de risco devem estar preparados antes da crise.

Um plano jurídico de resposta reduz incerteza, melhora a proteção dos titulares e permite demonstrar diligência, transparência e prestação de contas.

Chamada institucional

O Nascimento Peixoto Advogados pode apoiar empresas na elaboração e revisão de planos jurídicos de resposta a incidentes, avaliação de risco, comunicações à ANPD e aos titulares, análise contratual, exercícios simulados e gestão jurídica da crise.

Material associado sugerido: Plano Jurídico de Resposta a Incidentes, com matriz de risco, fluxo decisório, cronograma, responsáveis e modelos de comunicação.

Conteúdo informativo e geral. Não constitui parecer jurídico, promessa de resultado ou recomendação para caso específico. Obrigações e prazos dependem dos dados, do setor, das jurisdições e das circunstâncias de cada incidente.

Fontes oficiais consultadas

Fontes verificadas em 13 de outubro de 2026. Procedimentos, formulários, prazos setoriais e orientações da ANPD devem ser novamente conferidos na data do incidente ou da publicação.