Um incidente envolvendo dados pessoais exige resposta rápida, mas não improvisada. Nas primeiras horas, a empresa precisa conter o problema, preservar evidências, identificar o alcance do evento e avaliar suas obrigações jurídicas. A ordem dessas medidas influencia tanto a proteção dos titulares quanto a capacidade de demonstrar uma atuação responsável.
Primeiro: conter o incidente sem destruir evidências
A prioridade técnica é interromper o acesso indevido, a exposição ou a perda de dados. Isso pode exigir o isolamento de equipamentos, a revogação de credenciais, o bloqueio de integrações ou a correção de uma vulnerabilidade.
Ao mesmo tempo, a empresa deve evitar apagar registros, formatar dispositivos ou alterar sistemas sem preservar cópias e logs relevantes. A destruição de evidências dificulta a investigação da origem, do período e do impacto do incidente.
Identificar quais dados e pessoas foram afetados
A análise inicial deve buscar respostas objetivas:
- Quais sistemas, contas ou fornecedores estiveram envolvidos?
- Que categorias de dados pessoais foram acessadas, alteradas, perdidas ou divulgadas?
- Quantas pessoas podem ter sido afetadas?
- Havia dados financeiros, credenciais, documentos, informações de saúde ou outros dados sensíveis?
- O acesso indevido continua ativo?
Nem sempre todas as informações estarão disponíveis imediatamente. Por isso, é importante registrar o que já foi confirmado, o que permanece incerto e quais verificações estão em andamento.
Formar uma equipe de resposta
A resposta normalmente envolve tecnologia, segurança da informação, jurídico, encarregado de dados, gestão e comunicação. A definição de responsáveis evita mensagens contraditórias e decisões isoladas.
Quando o incidente envolve fornecedor, plataforma ou operador de dados, os contratos e os canais de comunicação também precisam ser revisados. A empresa deve documentar solicitações, respostas, horários e providências adotadas.
Avaliar se existe risco ou dano relevante
Segundo a regulamentação da Autoridade Nacional de Proteção de Dados, o controlador deve comunicar à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. A avaliação considera, entre outros fatores, a natureza e o volume dos dados, o contexto do tratamento, as medidas de proteção existentes e as consequências possíveis para as pessoas.
Nem todo evento exige a mesma resposta pública. Ainda assim, mesmo quando se conclui pela ausência de comunicação obrigatória, a análise e seus fundamentos devem ser registrados.
Prazo para comunicar a ANPD e os titulares
Nos casos sujeitos à comunicação, a regra geral prevista pela Resolução CD/ANPD nº 15/2024 é de três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada a existência de prazo específico em outra legislação.
Se todas as informações ainda não estiverem disponíveis, a regulamentação admite comunicação preliminar, com complementação fundamentada posterior. A mensagem aos titulares deve ser clara, direta e indicar riscos, medidas adotadas e formas de obter orientação.
Manter o registro do incidente
O controlador deve conservar o registro dos incidentes de segurança com dados pessoais por, no mínimo, cinco anos. Esse registro deve reunir a descrição do ocorrido, data, causas conhecidas, dados afetados, avaliação de risco, medidas de contenção e fundamentos das decisões tomadas.
Erros que devem ser evitados
- Demorar para envolver as áreas técnica e jurídica;
- Apagar logs ou alterar equipamentos antes da preservação das evidências;
- Divulgar conclusões antes de confirmar os fatos;
- Comunicar titulares com linguagem vaga ou alarmista;
- Deixar de avaliar obrigações contratuais e regulatórias;
- Tratar o incidente apenas como problema de tecnologia.
Como reduzir o impacto de futuros incidentes
Planos de resposta, inventário de dados, controle de acessos, contratos revisados, treinamento e testes periódicos tornam a reação mais rápida e consistente. A prevenção também depende de governança, definição de responsabilidades e documentação dos processos.
Para situações que exigem coordenação jurídica e institucional, consulte investigações e situações empresariais sensíveis e a página de criminal compliance.
Fontes oficiais
- ANPD — Regulamento de Comunicação de Incidente de Segurança;
- ANPD — Comunicação de Incidente de Segurança.
Autoria: Renan Klein — OAB/PR 99.254
Revisado em: 31 de agosto de 2026.
Conteúdo informativo. A resposta adequada depende dos dados envolvidos, do contexto do incidente e das obrigações aplicáveis à organização.
