CONSULTORIAS ESPECIALIZADAS · GUIA INFORMATIVO
Resposta a incidentes de segurança e comunicação à ANPD: registro, avaliação e transparência
Incidentes com dados pessoais exigem organização de evidências, avaliação responsável e comunicação adequada quando houver risco ou dano relevante. Este guia reúne parâmetros gerais e fontes oficiais, sem classificar incidente concreto, definir obrigação individual ou substituir análise técnica e jurídica.
Revisão editorial: Conteúdo revisado em 18 de agosto de 2026.
Primeiro momento: contenção sem apagar evidências
A resposta inicial exige registrar data, hora, sistemas envolvidos, pessoas acionadas e medidas de contenção. A preservação organizada de evidências ajuda a compreender o evento e a orientar decisões posteriores, sem antecipar conclusões sobre sua causa ou extensão.
O que precisa ser avaliado
A análise considera, entre outros elementos, a natureza dos dados pessoais envolvidos, as circunstâncias do acesso ou exposição, as medidas de segurança adotadas, os possíveis impactos aos titulares e as providências de mitigação. O enquadramento depende de informações técnicas e jurídicas do caso.
Registro, governança e prestação de contas
O registro do incidente, das decisões tomadas e das medidas adotadas contribui para a governança e para a demonstração de responsabilidade. A LGPD orienta princípios de segurança, prevenção, transparência e responsabilização no tratamento de dados pessoais.
Comunicação à ANPD e aos titulares
Quando o incidente puder acarretar risco ou dano relevante aos titulares, o controlador deve observar as regras de comunicação à ANPD e aos titulares. A comunicação deve usar linguagem clara e conter as informações exigidas pela regulamentação aplicável.
Prazo e informações mínimas: por que o planejamento importa
A Resolução CD/ANPD n.º 15/2024 disciplina o procedimento de comunicação de incidente de segurança. Ter registros organizados e canais definidos auxilia a apuração responsável, mas não dispensa a avaliação do contexto, do papel dos agentes de tratamento e do risco envolvido.
Limites deste guia
Este conteúdo não determina se um evento específico é incidente de segurança, se gera risco ou dano relevante, se exige comunicação, qual prazo se aplica ou qual medida técnica deve ser adotada. Situações concretas dependem de análise técnica e jurídica individualizada.
PERGUNTAS FREQUENTES
Dúvidas gerais
Todo evento de segurança exige comunicação à ANPD?
Não necessariamente. A avaliação depende do contexto e das regras aplicáveis, inclusive da possibilidade de risco ou dano relevante aos titulares.
A comunicação aos titulares deve usar linguagem técnica?
A orientação da ANPD destaca linguagem simples e de fácil entendimento, com informações adequadas sobre o evento e as medidas adotadas.
Um registro interno substitui a análise do incidente?
Não. O registro organiza evidências e decisões, mas a avaliação técnica e jurídica do caso continua necessária.
Este guia define se preciso comunicar um caso concreto?
Não. A classificação do evento e as obrigações aplicáveis dependem de análise individualizada do contexto, dos dados e dos riscos envolvidos.
Canais institucionais
Para assuntos de atendimento, utilize os canais oficiais do escritório. A comunicação inicial não substitui avaliação jurídica individualizada.
Consultar canais oficiais e segurança