Vazamento de dados: quando comunicar a ANPD e os clientes

23 de agosto de 2026LGPD de Todos12 min de leitura

Nem todo incidente precisa ser comunicado, e o teste da ANPD tem duas pernas que precisam existir ao mesmo tempo. Quando o dever nasce, o prazo é de três dias úteis, ou seis para agentes de pequeno porte, contados de quando você descobre que o incidente afetou dados pessoais. E se a conclusão for que não precisa comunicar, você ainda registra o incidente e o motivo da decisão, por cinco anos.

A pergunta chega sempre no pior momento. Alguém abriu um anexo estranho, um notebook sumiu do carro, um e-mail com a planilha de clientes foi para o endereço errado. No meio do susto, a dúvida que trava todo mundo é se aquilo tem que ser avisado à Autoridade, e a resposta que se encontra na internet costuma ser "sim, em dois dias úteis", que está errada em duas frentes.

1. O que conta como incidente de segurança

O Regulamento define incidente como qualquer evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade dos dados pessoais. Repare no que essa definição não diz: ela não fala em hacker, nem em ataque, nem em vazamento para a internet.

Vale a pena olhar as quatro propriedades uma a uma, porque três delas passam despercebidas na maioria das empresas:

• confidencialidade, quando alguém que não devia ver, viu. É o caso que todo mundo reconhece
• integridade, quando o dado foi alterado ou destruído sem autorização, inclusive por acidente
• disponibilidade, quando você perde o acesso ao dado. Um sequestro de dados que criptografa a base é incidente mesmo que nada tenha saído da empresa
• autenticidade, quando não dá mais para garantir quem produziu ou alterou aquela informação

A palavra confirmado também importa. Suspeita não é incidente: enquanto você está apurando, o relógio da comunicação não começou. O que não vale é adiar a apuração para adiar o relógio, porque a data do conhecimento entra na própria comunicação e uma demora inexplicada fica visível.

2. O teste das duas pernas

O dever de comunicar não nasce de todo incidente, e sim daquele que possa acarretar risco ou dano relevante aos titulares. O Art. 5º do Regulamento define isso com duas condições que precisam existir ao mesmo tempo, e é aqui que quase todo material da internet simplifica demais.

A primeira perna é o efeito: o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares. O próprio regulamento exemplifica: impedir o exercício de um direito ou o uso de um serviço, ou causar dano material ou moral, como discriminação, violação à integridade física, à imagem e à reputação, fraude financeira ou roubo de identidade.

A segunda perna é o tipo de dado. Precisa envolver pelo menos um destes seis:

3. Quando o relógio começa a andar

O prazo é de três dias úteis, e ele conta do conhecimento pelo controlador de que o incidente afetou dados pessoais. Não conta da data do vazamento, nem da data em que alguém desconfiou de alguma coisa. Para agentes de tratamento de pequeno porte, o prazo é contado em dobro, ou seja, seis dias úteis.

Essa distinção não é preciosismo. Na prática, entre o evento e a compreensão de que dados pessoais foram atingidos costumam se passar dias: primeiro alguém percebe que o sistema está estranho, depois se descobre o que aconteceu, e só então se entende o que foi alcançado. O prazo começa no terceiro momento.

Repare na última linha: o dobro do pequeno porte vale para os prazos de comunicação e de complementação, e não para a guarda do registro. Cinco anos valem para todo mundo.

4. Comunicar à ANPD: o que ela pede

A comunicação é feita por formulário eletrônico da ANPD e precisa trazer doze informações. Vale ler a lista antes da crise, porque metade dela depende de coisas que só existem se você preparou antes.

Entre os doze itens estão a natureza e a categoria dos dados afetados, o número de titulares atingidos, discriminando quantas são crianças, adolescentes ou idosos, as medidas de segurança que existiam antes e as adotadas depois, os riscos e possíveis impactos, a data da ocorrência e a do conhecimento, a identificação do controlador e do operador, a descrição do incidente com a causa principal, e o total de titulares tratados nas atividades atingidas.

Três desses itens são a razão pela qual um registro de operações bem feito paga o próprio custo no pior dia: quantos titulares aquela atividade trata, quais categorias de dado ela envolve e quais medidas de segurança estavam declaradas. Quem tem o registro das operações em dia responde isso em minutos; quem não tem, tenta reconstruir sob pressão e com prazo correndo.

Existe também um item que quase ninguém espera: os motivos da demora, caso a comunicação saia fora do prazo. Ou seja, o regulamento admite o atraso e exige que ele seja explicado, o que é bem diferente de fingir que ele não aconteceu.

5. Comunicar ao titular: o que muda

O mesmo prazo vale para avisar as pessoas afetadas, mas o conteúdo e o tom são outros. São sete informações, e o regulamento exige, com todas as letras, linguagem simples e de fácil entendimento, de forma direta e individualizada.

Direta e individualizada quer dizer pelos meios que você já usa para falar com aquela pessoa: telefone, e-mail, mensagem ou carta. Aviso genérico no rodapé do site não cumpre a regra quando dá para identificar quem foi afetado.

Quando não dá para identificar, o caminho é outro: comunicar pelos meios de divulgação disponíveis, como o site, o aplicativo, as redes sociais e os canais de atendimento, de modo que a informação seja de fácil visualização e fique no ar por, no mínimo, três meses. E, em qualquer caso, o controlador precisa juntar ao processo uma declaração de que a comunicação foi feita, dizendo por quais meios, em até três dias úteis depois do fim do prazo.

6. Quando você decide não comunicar

Concluir que o caso não exige comunicação é uma decisão legítima, e ela também gera obrigação: o registro do incidente, guardado por no mínimo cinco anos, com os motivos da ausência de comunicação escritos. É o Art. 10, e ele vale inclusive para o incidente que ninguém fora da empresa ficou sabendo.

O registro tem oito itens obrigatórios: a data do conhecimento, a descrição geral das circunstâncias, a natureza e a categoria dos dados afetados, o número de titulares, a avaliação do risco e dos possíveis danos, as medidas de correção e mitigação, a forma e o conteúdo da comunicação quando houve, e o motivo quando não houve.

Essa é a parte do regulamento que mais muda o dia a dia de quem não tem equipe de segurança, e a que menos aparece nos resumos. Ela transforma a pergunta "preciso comunicar?" em "preciso decidir e registrar", que é uma pergunta bem mais fácil de responder bem. E cria uma consequência silenciosa: a empresa que analisou três incidentes no ano e concluiu que nenhum exigia comunicação tem três decisões documentadas para mostrar. A que não registrou nada não tem como provar que analisou, e do lado de fora isso é indistinguível de não ter percebido.

Vale ligar isso ao que a lei chama de prestação de contas, assunto do nosso texto sobre como comprovar que a sua empresa está se adequando: um fato com data e responsável vale como evidência, uma intenção não.

7. A armadilha de quem não indicou Encarregado

A comunicação à ANPD precisa ser feita pelo encarregado, com documento que comprove o vínculo, ou por representante com poderes para atuar junto à Autoridade. E os documentos precisam ser apresentados junto com a comunicação, dentro do prazo.

Encarregado é o nome que a lei usa, no Art. 5º, VIII. O mercado costuma chamar essa pessoa de DPO, do inglês data protection officer, e as duas palavras apontam para o mesmo papel. Quem precisa indicar encarregado, e quem está dispensado, tem texto próprio.

Aqui duas normas se cruzam de um jeito que ninguém percebe em tempo de paz. A Resolução 2/2022 dispensa o agente de tratamento de pequeno porte de indicar encarregado, e essa dispensa é real. Só que o regulamento de incidentes não abre exceção para quem se valeu dela: se você não tem encarregado, precisa de um representante constituído, com instrumento de poderes, e precisa disso durante a crise, com seis dias úteis correndo.

O regulamento ainda avisa o que acontece se os documentos não vierem: a ANPD pode tratar o caso pelo procedimento de apuração, que é o rito de quem não comunicou. Ou seja, uma comunicação feita no prazo mas sem a representação em ordem pode acabar valendo como comunicação nenhuma.

É por isso que decidir quem fala pela empresa com a Autoridade é tarefa de agora, e não de depois. Indicar um encarregado mesmo sem obrigação, aliás, é considerado política de boas práticas pela própria Resolução 2/2022, ponto que a gente detalha em LGPD para pequena empresa.

8. Perguntas frequentes

Todo vazamento precisa ser comunicado à ANPD?

Não. Pelo Art. 4º do Regulamento de Comunicação de Incidente de Segurança, o dever nasce quando o incidente possa acarretar risco ou dano relevante aos titulares. E o Art. 5º define isso com duas pernas que precisam existir ao mesmo tempo: o incidente tem que poder afetar significativamente interesses e direitos fundamentais e, cumulativamente, envolver pelo menos um de seis tipos de dado. Só uma das duas não obriga a comunicar.

O prazo de três dias conta a partir de quando?

Do dia em que o controlador toma conhecimento de que o incidente afetou dados pessoais, e não da data do vazamento. É o que diz o Art. 6º, § 1º. Na prática isso costuma dar alguns dias de diferença, porque primeiro se descobre o incidente e só depois se descobre o que ele alcançou. Para agentes de pequeno porte que estejam no regime diferenciado, o prazo é contado em dobro, ou seja, seis dias úteis.

E se eu decidir que não precisa comunicar?

Você ainda precisa registrar. O Art. 10 manda o controlador manter o registro do incidente, inclusive daquele não comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos. E entre os oito itens obrigatórios do registro está, expressamente, os motivos da ausência de comunicação. A decisão de não comunicar é legítima, mas ela precisa estar escrita, datada e fundamentada.

Sou pequeno porte e não indiquei Encarregado. Quem comunica?

Um representante constituído. O Art. 6º, § 5º exige que a comunicação seja feita pelo encarregado, com documento que comprove o vínculo, ou por representante com poderes para atuar junto à ANPD, e os documentos precisam ir junto com a comunicação, dentro do prazo. Como a Resolução 2/2022 dispensa de indicar encarregado o pequeno porte que não faz tratamento de alto risco, quem não indicou precisa resolver a representação no meio da crise, com o relógio correndo.

A ANPD pode descobrir um incidente que eu não comuniquei?

Pode, e existe um procedimento próprio para isso. Pelos Arts. 16 e 17, a Autoridade pode apurar de ofício incidentes não comunicados de que venha a tomar conhecimento, determinar que a comunicação seja feita e ainda instaurar processo administrativo sancionador pelo descumprimento. É exatamente nesse cenário que o registro com o motivo da ausência de comunicação deixa de ser burocracia e vira defesa.

Qual é a resolução da ANPD sobre incidentes de segurança?

A Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança. O Art. 48 da LGPD diz que se comunica o incidente que possa acarretar risco ou dano relevante aos titulares, e o regulamento diz como: prazo de três dias úteis a partir do conhecimento, seis para agente de pequeno porte, comunicação por formulário eletrônico com doze informações, e comunicação também aos titulares afetados. É esse regulamento que a ANPD usa para cobrar o prazo e o conteúdo, e vale ler a lista de informações antes de qualquer crise.

Fontes: Lei nº 13.709/2018 (LGPD), Art. 48 e Art. 52, § 1º, IX · Resolução CD/ANPD nº 15/2024, que aprova o Regulamento de Comunicação de Incidente de Segurança, Arts. 3º a 10, 16 e 17. Consta como vigente, sem alterações, na tabela de regulamentações da ANPD · Resolução CD/ANPD nº 2/2022, Arts. 11 e 14, II, no texto vigente com a alteração da Resolução nº 15/2024

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.