Plano de resposta a incidentes: três dias úteis para responder doze perguntas

2 de setembro de 2026LGPD de Todos10 min de leitura

A lei não obriga ninguém a ter um plano de resposta a incidentes. Ela obriga a entregar, em três dias úteis, um conjunto de informações que só existe se alguém tiver se preparado antes. É por isso que o plano deixa de ser opcional na prática: ele é o único jeito de o prazo caber.

Existe uma confusão de endereço nesse assunto, e ela atrapalha mais do que parece. Quase todo material cita o Art. 48 quando fala de plano, e o Art. 48 é o da comunicação, ou seja, do que fazer depois. O plano está em outro lugar da lei, e a diferença muda o que você precisa ter pronto. Este texto trata do antes: o que montar hoje para que o dia do incidente seja uma tarde ruim, e não uma semana perdida.

1. O plano não está no Art. 48

O Art. 48 trata da comunicação do incidente. O plano aparece no Art. 50, entre os itens mínimos de um programa de governança em privacidade. A alínea é a "g", e ela é curta.

Repare no verbo que abre o Art. 50: os agentes poderão formular regras de boas práticas e de governança. É faculdade, e por isso a resposta honesta para "sou obrigado a ter um plano?" é não. Mas o mesmo artigo, no caput, lista o que essas regras organizam, e ali estão as normas de segurança, os procedimentos, os mecanismos internos de supervisão e de mitigação de riscos. Quem decide montar um programa, monta com plano dentro.

E existe a parte que torna a faculdade quase teórica. O Art. 52, § 1º lista os critérios que a ANPD pondera ao dosar uma sanção, e dois deles conversam direto com isso: o inciso VIII valoriza a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, e o inciso X valoriza a pronta adoção de medidas corretivas. Pronta adoção é exatamente o que um plano compra.

2. As doze informações que o seu plano existe para produzir

O jeito útil de escrever um plano é de trás para frente: olhando o que a comunicação exige e perguntando de onde cada resposta vai sair. O Regulamento de Comunicação de Incidente de Segurança lista o conteúdo, e ele é bem mais longo do que o senso comum imagina.

São doze informações. Entre elas, a descrição do incidente com a causa principal quando for possível identificar, a natureza e a categoria dos dados afetados, o número de titulares afetados com destaque para crianças, adolescentes e idosos, as medidas técnicas e de segurança usadas antes e depois do incidente, os riscos e possíveis impactos, as medidas de reversão ou mitigação, a data da ocorrência e a data do conhecimento, a identificação do controlador com a declaração de ser ou não agente de pequeno porte, a identificação do operador quando houver, os dados do encarregado, o total de titulares cujos dados são tratados nas atividades afetadas e, se a comunicação atrasar, os motivos da demora.

Agora leia essa lista de novo procurando o que não dá para descobrir em três dias úteis no meio de uma crise.

É por isso que o plano não é um documento sobre gestão de crise. Ele é a lista do que precisa existir para essas respostas serem possíveis, e o registro das operações é a peça mais pesada de todas. Quem mantém o registro em dia responde metade da comunicação copiando de um lugar só.

3. Quem decide, e o que acontece se for em um sábado

O prazo conta do conhecimento, e conhecimento não espera segunda-feira. A pergunta mais barata de responder antes, e a mais cara de responder durante, é quem decide.

Três nomes resolvem quase tudo, e eles cabem em uma linha cada: quem recebe o aviso interno, quem decide se comunica, e quem escreve. Nas empresas sem departamento jurídico costuma ser a mesma pessoa nos três papéis, e tudo bem. O que não pode é a resposta ser "a gente vê na hora", porque na hora o relógio já está andando.

A decisão de comunicar ou não tem critério próprio, com duas condições que precisam existir ao mesmo tempo, e ela está detalhada em quando comunicar a ANPD e os clientes. O plano não repete esse critério: ele só garante que exista alguém com nome para aplicá-lo, e um caminho para chegar nessa pessoa fora do horário comercial.

Vale escrever também o que não fazer, porque nesse ponto o instinto atrapalha. Não apagar rastro para "limpar" o sistema, porque é isso que responde a data da ocorrência. Não prometer ao cliente que nada vazou antes de olhar. E não deixar de avisar internamente por medo de estar exagerando: quem avisa cedo demais custa uma conversa, quem avisa tarde custa prazo.

4. O registro, que vale até para o incidente que você não comunicou

Aqui a faculdade acaba. Manter registro de incidente é obrigação, ela alcança inclusive o que você decidiu não comunicar, e o prazo é de no mínimo cinco anos. É a parte deste assunto que quase ninguém sabe que existe.

O regulamento fixa o conteúdo mínimo desse registro, e são oito itens: a data de conhecimento, a descrição geral das circunstâncias, a natureza e a categoria dos dados afetados, o número de titulares afetados, a avaliação do risco e dos possíveis danos, as medidas de correção e mitigação quando aplicável, a forma e o conteúdo da comunicação caso ela tenha sido feita, e os motivos da ausência de comunicação quando for esse o caso.

Repare no último item. Ele existe justamente para o caso em que você avalia e conclui que não precisa comunicar. Essa conclusão é legítima, e ela precisa estar escrita, com a data e o raciocínio. Decisão de não comunicar sem registro é indistinguível de não ter percebido, e a diferença entre as duas é enorme no dia em que alguém perguntar.

Na prática isso simplifica o plano: o formulário do registro é o plano em forma de documento. Se a sua empresa tem uma página com esses oito campos e sabe quem preenche, você tem o essencial.

5. O plano que ninguém leu é ficção

Vinte minutos de ensaio encontram mais defeito do que dez páginas de plano bem escrito. E ensaio aqui não é simulação de tecnologia, é conversa com um caso inventado em cima da mesa.

O formato que funciona sem estrutura dedicada é simples. Junte quem trabalha com os dados, descreva um caso plausível do seu negócio, e vá perguntando: quem descobriu, para quem essa pessoa avisa, quem decide, onde está a lista dos dados afetados, quem escreve, quem fala com o cliente. Anote onde a conversa travar. O que travou é o defeito do plano.

Os travamentos são sempre os mesmos três, e todos têm conserto barato: ninguém sabe para quem avisar fora do horário; ninguém sabe onde está o registro das operações; e ninguém sabe quem fala com o cliente. Resolver os três já coloca a empresa à frente da maioria.

E o ensaio tem um efeito colateral valioso. Ele é, ao mesmo tempo, a orientação da equipe descrita em treinamento de LGPD. Registrada a data e quem participou, uma reunião de vinte minutos vira duas evidências pelo preço de uma.

6. Perguntas frequentes

Plano de resposta a incidentes é obrigatório?

O plano em si não. Ele aparece no Art. 50, § 2º, I, alínea "g", como item mínimo de um programa de governança em privacidade, e o caput do Art. 50 diz que os agentes poderão formular essas regras. O que é obrigatório é o registro do incidente, e é obrigatório também comunicar quando o caso exigir, dentro do prazo. Como as duas coisas dependem de informação que não se levanta em três dias úteis, o plano vira necessidade prática mesmo sem ser exigência legal.

Qual a diferença entre o plano e a comunicação à ANPD?

Tempo. A comunicação é o depois: a lei fixa prazo, conteúdo e destinatário, e isso está no Art. 48 e no regulamento da ANPD. O plano é o antes: quem avisa quem, quem decide, onde estão as informações e o que não fazer. Confundir os dois é o erro que faz uma empresa achar que está preparada porque leu sobre prazos, quando na verdade ela não tem de onde tirar metade das respostas que o prazo exige.

Preciso registrar incidente que não afetou dados pessoais?

A obrigação de registro do regulamento trata de incidente de segurança com dados pessoais. Um problema técnico que não envolveu dado pessoal nenhum fica fora dela. Só que essa conclusão também é uma avaliação, e vale a mesma lógica do resto: anotar o caso e o motivo de ele não se enquadrar custa cinco minutos e evita ter que reconstruir o raciocínio meses depois.

Agente de tratamento de pequeno porte precisa de plano?

Precisa da mesma coisa que os outros, com dois alívios. O prazo de comunicação é contado em dobro, o que dá seis dias úteis em vez de três, e a política de segurança pode ser simplificada pela Resolução CD/ANPD nº 2/2022. O conteúdo do registro e o das comunicações não mudam. Ou seja, o pequeno porte ganha tempo, e não ganha desconto no que precisa saber responder.

O que o plano precisa ter, no mínimo?

Uma página resolve, e ela tem cinco linhas: quem recebe o aviso interno, quem decide se comunica, quem escreve, onde estão o registro das operações e a política de segurança, e como achar essas pessoas fora do horário comercial. Anexe o formulário dos oito campos do registro. Se esse conjunto existe e alguém já conferiu com quem vai executar, você tem plano. O resto é aprimoramento.

Quais são as etapas de resposta a um incidente?

Cinco, e o plano existe para que ninguém precise inventá-las no dia. Detectar e registrar: quem percebe avisa uma pessoa nomeada, com data e hora. Conter: cortar o acesso, trocar a senha, tirar do ar o que vazou. Avaliar: quais dados, quantas pessoas, se há dado sensível ou de criança, e se o incidente pode causar risco ou dano relevante. Comunicar: à ANPD e aos titulares, em três dias úteis, ou seis para agente de pequeno porte, quando a avaliação disser que precisa. Registrar e corrigir: guardar o que aconteceu e o que foi feito, mesmo quando não houve comunicação, porque a ANPD pode pedir esse registro depois.

Fontes: Lei nº 13.709/2018 (LGPD), Arts. 48, 50 e 52, § 1º · Resolução CD/ANPD nº 15/2024, Arts. 6º, 9º e 10 · Resolução CD/ANPD nº 2/2022, Arts. 12 e 13

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.