Comunicação de incidente de segurança à ANPD: prazos e conteúdo

O incidente de segurança com dados pessoais que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos próprios titulares em até três dias úteis, contados do momento em que o controlador soube que o incidente afetou dados pessoais. A regra está na Resolução CD/ANPD 15/2024, que também define o conteúdo mínimo da comunicação e a obrigação de manter um registro de todos os incidentes, inclusive dos que não forem comunicados.

Quando o incidente precisa ser comunicado?

A comunicação é obrigatória quando o incidente puder acarretar risco ou dano relevante aos titulares. A resolução considera relevante, em especial, o incidente que afete significativamente interesses e direitos fundamentais e que envolva ao menos um destes fatores: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo ou dados em larga escala.

Um acesso indevido rapidamente contido, sem exposição real de dados, pode não exigir comunicação, mas precisa ser avaliado e registrado. A decisão de não comunicar deve estar documentada.

Qual é o prazo e como ele é contado?

O prazo de três dias úteis começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais, e não da data em que o ataque ocorreu. Se nem todas as informações estiverem disponíveis, a empresa comunica o que já sabe e complementa depois, em até 20 dias úteis contados da comunicação, justificando o que faltou. Agentes de pequeno porte, nos termos da Resolução CD/ANPD 2/2022, têm prazos em dobro.

O que informar à ANPD?

A comunicação é feita por formulário eletrônico da ANPD e deve conter, entre outros pontos:

• descrição do incidente, incluindo a causa principal, se conhecida;
• natureza e categorias de dados afetados;
• número de titulares afetados, com destaque para crianças, adolescentes e idosos;
• medidas de segurança adotadas antes e depois do incidente;
• riscos e possíveis impactos para os titulares;
• motivos de eventual demora na comunicação;
• medidas para reverter ou mitigar os efeitos;
• datas da ocorrência e do conhecimento, dados do encarregado e identificação de controlador e operador.

Como comunicar os titulares?

A comunicação aos titulares deve ser feita em linguagem simples, de forma direta e individual sempre que possível (e-mail, aplicativo, carta). Ela deve explicar o que aconteceu, quais dados foram afetados, quais riscos existem, o que a empresa está fazendo e o que o titular pode fazer para se proteger, com um canal de contato. Quando não for possível identificar ou contatar individualmente os afetados, a empresa deve divulgar o incidente em seus canais (site, aplicativo, redes sociais) por pelo menos três meses.

Plano de resposta: o que fazer nas primeiras horas

1. Conter: isolar sistemas, revogar acessos, preservar evidências.
2. Avaliar: quais dados, quantos titulares, qual o risco.
3. Decidir: há risco ou dano relevante? Documente o raciocínio.
4. Comunicar: ANPD e titulares dentro do prazo, com o que já se sabe.
5. Coordenar: seguradora de risco cibernético, fornecedores envolvidos, comunicação institucional.
6. Registrar e aprender: atualizar o registro de incidentes e corrigir as causas.

Startups e empresas digitais devem ter esse roteiro escrito antes do incidente, com responsáveis definidos. Três dias úteis passam rápido quando a equipe ainda está entendendo o que aconteceu.

Quais são os riscos de não comunicar?

A ANPD pode abrir processo de fiscalização e aplicar sanções, como advertência, multa de até 2% do faturamento no Brasil (limitada a R$ 50 milhões por infração) e publicização da infração. A comunicação tempestiva e bem documentada é considerada na dosimetria e demonstra boa-fé. Além disso, a falta de transparência aumenta o risco de ações de titulares e de danos à reputação.

Perguntas frequentes

O operador também comunica a ANPD?

A obrigação de comunicar é do controlador. O operador deve avisar o controlador rapidamente e colaborar com as informações, o que deve estar previsto em contrato.

Ransomware sem vazamento confirmado precisa ser comunicado?

Depende da avaliação de risco. A indisponibilidade de dados também é incidente de segurança e pode gerar risco relevante, por exemplo em serviços de saúde ou financeiros.

Por quanto tempo guardar o registro do incidente?

Por no mínimo cinco anos a partir do registro, salvo se outra obrigação exigir prazo maior.

Como o Chambarelli Advogados pode ajudar

A área de Regulação de Novas Tecnologias, com o time de startups e negócios digitais, prepara planos de resposta a incidentes e conduz a comunicação à ANPD e aos titulares. Agende uma conversa com um dos nossos sócios.

Conteúdo informativo, atualizado em outubro de 2026. Não substitui a análise do caso concreto.