Introdução: quando o incidente acontece, o relógio começa a correr
Imagine que sua equipe de TI identifica, numa tarde de quinta-feira, que um banco de dados com informações de clientes foi acessado por terceiros não autorizados. Ou que um colaborador enviou por engano uma planilha com dados cadastrais para o destinatário errado. Ou que um ataque de ransomware bloqueou o acesso aos sistemas da empresa e há indícios de que arquivos foram copiados antes do bloqueio.
Em qualquer um desses cenários, a partir do momento em que o incidente é confirmado, a Lei Geral de Proteção de Dados Pessoais impõe obrigações com prazo. Não são obrigações para o futuro, não são boas práticas recomendadas. São deveres legais que começam a correr no momento em que a empresa toma conhecimento de que dados pessoais foram afetados.
A maioria das empresas brasileiras descobre que não estava preparada para responder a um incidente de dados exatamente quando o incidente acontece. Sem processo definido, sem responsáveis designados, sem cadastro ativo nos sistemas da autoridade reguladora e sem um canal de comunicação LGPD estruturado para comunicar os titulares afetados, o que era um problema técnico gerenciável se transforma em passivo jurídico, reputacional e administrativo.
Este artigo explica o que a LGPD e a ANPD exigem quando um incidente de segurança ocorre, quais são os prazos, o que a falta de preparação custa, o que os casos reais ensinam e como o Canal LGPD funciona como a primeira linha de resposta que protege a empresa nos momentos mais críticos.
O que é um incidente de segurança sob a LGPD: muito mais do que você imagina
Um equívoco comum entre gestores é associar incidente de segurança apenas a ataques hackers sofisticados ou a grandes vazamentos noticiados pela imprensa. A definição da ANPD é significativamente mais ampla e tem implicações práticas importantes para qualquer empresa que trate dados pessoais.
Pela Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança, incidente de segurança é qualquer evento adverso confirmado que comprometa a confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. O que isso significa na prática?
Um e-mail enviado para o destinatário errado contendo uma lista de clientes é um incidente. Um notebook sem criptografia roubado com dados de colaboradores é um incidente. Um banco de dados exposto por erro de configuração em um ambiente de nuvem é um incidente. Um ataque de ransomware que potencialmente copiou arquivos antes de bloqueá-los é um incidente. A publicação acidental de informações pessoais em um site ou sistema é um incidente. A perda de documentos físicos com dados cadastrais de titulares é um incidente.
A pergunta relevante não é se houve um ataque. É se houve comprometimento de dados pessoais com potencial de causar risco ou dano relevante aos titulares. E essa avaliação precisa ser feita pelo próprio controlador, com base em critérios definidos pela ANPD: o incidente envolve dados sensíveis, dados de crianças ou adolescentes, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal ou dados em larga escala? Se sim, a comunicação à ANPD e aos titulares é obrigatória.
Segundo os painéis interativos de incidentes comunicados publicados pela ANPD em junho de 2025, os tipos mais frequentes de incidentes reportados são, por ordem de ocorrência, roubo de credenciais e engenharia social, sequestro de dados por ransomware, acesso não autorizado a sistemas e divulgação indevida de dados pessoais. Ransomware e roubo de credenciais dominam o cenário, mas os incidentes mais silenciosos, como erros humanos e configurações inadequadas, respondem por uma parcela significativa dos casos e são justamente os menos antecipados nos planos de resposta.
Os 3 dias úteis que definem tudo
O elemento mais crítico e menos conhecido do regime de incidentes de segurança sob a LGPD é o prazo. Antes da Resolução CD/ANPD nº 15/2024, a lei falava em “prazo razoável” sem especificação. A resolução encerrou essa ambiguidade: o controlador tem 3 dias úteis para comunicar o incidente à ANPD e aos titulares afetados.
Esse prazo tem características que precisam ser compreendidas com precisão pelo gestor.
O primeiro ponto é que o prazo começa a contar do momento em que o controlador confirma que o incidente afetou dados pessoais, não da data em que o incidente ocorreu. Isso significa que a fase de investigação interna, que acontece antes da confirmação, não conta para o prazo. Mas assim que a empresa tem ciência consolidada de que dados foram comprometidos, o relógio começa.
O segundo ponto é que se não for possível reunir todas as informações exigidas em 3 dias úteis, a empresa pode e deve fazer uma comunicação preliminar dentro do prazo, informando o que já sabe, e complementar as informações em até 20 dias úteis adicionais. A comunicação preliminar não cumpre integralmente a obrigação do artigo 48 da LGPD, mas demonstra boa-fé e evita o descumprimento do prazo.
O terceiro ponto é que a comunicação à ANPD precisa ser feita pelo encarregado de dados ou por representante legalmente constituído do controlador, por meio de peticionamento eletrônico no sistema SEI da ANPD. Esse cadastro no sistema precisa ser feito com antecedência, pois exige formalizações preliminares. Uma empresa que tenta fazer o cadastro no SEI no momento em que o incidente ocorre pode perder o prazo de 3 dias úteis apenas tentando se registrar.
O quarto ponto é que a comunicação aos titulares afetados deve acontecer no mesmo prazo de 3 dias úteis, de forma direta e individualizada sempre que possível, usando os canais habitualmente utilizados pela empresa para se comunicar com eles. Quando não for possível identificar individualmente os titulares, a comunicação pode ser feita de forma ampla pelo site, aplicativo ou redes sociais, mantida por período mínimo de 3 meses.
O quinto ponto é que todos os incidentes de segurança precisam ser registrados internamente pela empresa pelo prazo mínimo de 5 anos, incluindo os incidentes que não geraram obrigação de comunicação à ANPD. Esse registro pode ser solicitado pela ANPD a qualquer momento e é parte essencial da evidência de conformidade.
Para agentes de tratamento de pequeno porte, os prazos de comunicação à ANPD e aos titulares são contados em dobro, ou seja, 6 dias úteis. Essa flexibilidade existe, mas não elimina as obrigações de registro, avaliação e resposta.
O que acontece quando o prazo não é cumprido? A ANPD pode instaurar processo administrativo sancionador por descumprimento dos artigos 6º e 9º da Resolução nº 15/2024. A demora injustificada na comunicação de incidente que possa causar risco ou dano relevante aos titulares sujeita os agentes às sanções administrativas previstas no artigo 52 da LGPD. E como os casos reais demonstram, a ANPD não aceita “inviabilidade técnica” como justificativa para não comunicar.
O que os casos reais ensinam: quando a falta de canal custa caro
O Brasil já tem precedentes concretos de como a ANPD age quando um incidente não é comunicado adequadamente aos titulares. Dois casos ensinam lições diretas para qualquer empresa que trate dados pessoais.
O primeiro é o caso do INSS. Em 2022, o Sistema Corporativo de Benefícios do INSS foi comprometido, expondo dados de beneficiários incluindo CPF, dados bancários e data de nascimento. O INSS fez a comunicação à ANPD, mas alegou inviabilidade técnica para individualizar os titulares afetados e não realizou a comunicação a eles. A ANPD não aceitou a justificativa. O entendimento da Autoridade foi direto: mesmo sem possibilidade de comunicação individualizada, o INSS poderia ter feito a comunicação de forma indireta, por meio de ampla divulgação do incidente nos seus canais. O Coordenador-Geral de Fiscalização da ANPD, Fabrício Lopes, declarou na ocasião que a comunicação aos titulares é medida fundamental para que eles possam se proteger após um incidente de segurança. O resultado foi a condenação do INSS a publicizar a infração na primeira página do seu site e no aplicativo Meu INSS por 60 dias. O recurso administrativo foi negado pelo Conselho Diretor da ANPD, que manteve a sanção integralmente.
O segundo é o caso da Secretaria de Saúde de Santa Catarina. Em agosto de 2021, dados da lista de espera do SUS foram exfiltrados, afetando aproximadamente 300 mil titulares com dados que incluíam nome, CPF, filiação, endereço, contato e informações do tipo de procedimento solicitado, portanto dados sensíveis de saúde. A Secretaria comunicou o incidente à ANPD em 3 dias após a descoberta, cumprindo esse prazo. Mas não comunicou os titulares afetados de forma clara, adequada e tempestiva, não apresentou o RIPD solicitado pela ANPD e não disponibilizou outras informações requisitadas. O resultado foi a aplicação de 4 advertências, 3 delas consideradas graves, e a determinação de manutenção de comunicado geral de incidente no site por 90 dias além de comunicação direta aos titulares identificados.
O que esses dois casos têm em comum é revelador: em ambos, a infração mais grave não foi o incidente em si, mas a falha na comunicação aos titulares. A ANPD pune não apenas a vulnerabilidade que permitiu o incidente, mas principalmente a ausência de processos para comunicar as pessoas afetadas de forma organizada, tempestiva e rastreável.
É exatamente aqui que o Canal LGPD deixa de ser ferramenta de conformidade cotidiana e se torna instrumento de gestão de crise.
O custo real de um incidente no Brasil em 2025
Para o gestor que ainda trata o tema de incidentes de segurança como pauta exclusiva de TI, os números do Relatório IBM Cost of a Data Breach 2025, conduzido pelo Ponemon Institute com 600 organizações entre março de 2024 e fevereiro de 2025, oferecem uma perspectiva diferente.
O custo médio de uma violação de dados no Brasil atingiu R$ 7,19 milhões em 2025, um aumento de 6,5% em relação aos R$ 6,75 milhões de 2024. Enquanto a média global caiu pela primeira vez em cinco anos, chegando a US$ 4,44 milhões, o Brasil seguiu na direção contrária. Os setores mais impactados foram saúde, com custo médio de R$ 11,43 milhões por incidente, finanças com R$ 8,92 milhões e serviços com R$ 8,51 milhões.
Os atacantes permanecem em média 276 dias nos sistemas comprometidos antes de executar suas ações, evidenciando que incidentes raramente são descobertos rapidamente. O phishing emergiu como o principal vetor de ataque no Brasil em 2025, responsável por 18% das violações, com custo médio de R$ 7,18 milhões por incidente. O comprometimento de fornecedores e da cadeia de suprimentos aparece como segunda maior causa, com 15% dos casos e custo médio de R$ 8,98 milhões.
Esses números traduzem o incidente de dados em linguagem de negócio: não é um evento de TI. É um evento financeiro, jurídico e reputacional. E o custo não se concentra no momento da descoberta. Ele se distribui ao longo do tempo, em honorários jurídicos, notificações, medidas corretivas, auditoria, multas regulatórias e, frequentemente, aumento nos preços dos produtos e serviços para absorver o impacto. Quase metade das organizações que sofreram violações relataram aumento nos preços ao consumidor em decorrência do incidente.
O relatório também confirma algo importante para a decisão de preparação prévia: empresas que realizaram simulações de ataque antes de um incidente real tiveram custo médio 28% menor na remediação. Ter um plano de resposta documentado e testado não é burocracia. É investimento com retorno mensurável.
O que a ANPD verifica quando recebe uma notificação de incidente
A partir do momento em que o controlador comunica um incidente à ANPD, a Autoridade abre um processo de comunicação de incidente de segurança. Esse processo tem fases e poderes que o gestor precisa conhecer antes de precisar usá-los.
A ANPD verifica a gravidade do incidente com base nas informações fornecidas e nas que solicitar adicionalmente. Com base nessa avaliação, pode determinar ao controlador medidas corretivas imediatas sem necessidade de manifestação prévia do controlador, incluindo suspensão de atividades de tratamento, comunicação ampla do incidente em meios de comunicação de massa às custas da empresa, implementação de medidas de segurança específicas e comunicação direta a titulares específicos.
A ANPD pode realizar auditorias e inspeções a qualquer momento, tanto para verificar as informações fornecidas quanto para fiscalizar o cumprimento das medidas determinadas. Pode ainda solicitar o Registro de Operações de Tratamento, o RIPD e o relatório de tratamento do incidente a qualquer tempo.
Se o controlador não adotar as medidas determinadas pela ANPD no prazo e nas condições estabelecidas, a Autoridade pode instaurar processo administrativo sancionador. E se a ANPD tomar conhecimento de um incidente que não foi comunicado pelo controlador, pode iniciar um procedimento de apuração de ofício e, caso o incidente seja confirmado, exigir a comunicação retroativa e instaurar processo sancionador.
Em todo esse processo, o canal de comunicação LGPD é o elemento central exigido pela Autoridade. Quando a ANPD determina que o controlador comunique os titulares, a empresa precisa ter um canal por onde essa comunicação chega de forma organizada. Quando titulares que tomam conhecimento do incidente querem saber o que aconteceu com seus dados, fazer perguntas ou exercer seus direitos de acesso, correção ou exclusão, precisam de um canal para isso. E quando a ANPD verifica se a empresa tem processos de atendimento a titulares, é o Canal LGPD que demonstra que esses processos existem e funcionam.
O cenário brasileiro de incidentes em 2025: o que os números revelam
Além dos casos individuais, os dados agregados da ANPD oferecem uma perspectiva do ambiente regulatório que as empresas estão enfrentando.
Segundo os painéis interativos publicados pela ANPD em junho de 2025, foram comunicados 1.508 incidentes de segurança à Autoridade até dezembro de 2025, com média de 350 incidentes por ano entre 2023 e 2025 e um aumento de 8% de 2024 para 2025. Em 2025, 71% dos incidentes ocorreram no setor privado e 29% no setor público. Os tipos predominantes são roubo de credenciais e engenharia social, seguidos de ransomware e acesso não autorizado a sistemas.
Em paralelo, 2025 registrou 27 novos processos fiscalizatórios abertos pela ANPD, número superior ao somatório de todos os processos abertos entre 2020 e 2024. Isso significa que a ANPD está fiscalizando com muito mais intensidade. No entanto, apenas 2 processos administrativos sancionadores foram abertos em 2025, indicando que a maioria das empresas fiscalizadas ainda tem oportunidade de corrigir antes de ser sancionada.
Para o gestor, essa combinação de números revela uma janela estratégica: a ANPD está claramente em modo de fiscalização ativa, mas a maioria dos casos ainda resulta em oportunidade de adequação, não em multa. Empresas que chegam à fiscalização com Canal LGPD funcional, plano de resposta a incidentes documentado e histórico de comunicações organizadas partem de uma posição muito diferente das que chegam sem nada disso.
O ano de 2025 também foi marcado por três grandes incidentes que afetaram empresas e órgãos com os quais qualquer empresa pode se relacionar como parceira ou fornecedora: o megavazamento de 16 bilhões de credenciais com impacto de 3,5 bilhões de registros em português, o vazamento nos Correios em junho que afetou aproximadamente 2% da base de cadastro com exposição de CPF, e-mail, data de nascimento e telefone, e o incidente no Sisbajud do CNJ em julho que expôs dados de 46,8 milhões de chaves Pix de 11 milhões de pessoas. Vale registrar que no caso Pix, o Banco Central declarou que a legislação não obrigava a comunicação do incidente, pois os dados expostos eram cadastrais e não permitiam movimentação financeira. Os órgãos comunicaram por opção de transparência. Esse detalhe é relevante para o gestor entender que nem todo incidente obriga comunicação: apenas aqueles que possam acarretar risco ou dano relevante aos titulares.
O Canal LGPD como primeira linha de resposta ao incidente
Quando um incidente acontece, as perguntas chegam de todos os lados. Clientes que leram uma notícia querem saber se seus dados foram afetados. Colaboradores que receberam um comunicado interno querem detalhes. Parceiros comerciais pedem confirmação sobre dados que compartilharam com a empresa. E titulares que descobriram o problema por outros meios querem exercer seus direitos de acesso e exclusão de dados.
Sem um Canal LGPD estruturado, essas perguntas chegam por WhatsApp para o celular do gestor, por e-mail para a caixa geral da empresa, pelas redes sociais e pelo telefone do departamento comercial. Cada uma chega por um caminho, é respondida de uma forma diferente, sem registro, sem prazo controlado e sem garantia de consistência. O que a ANPD vê nesse cenário é exatamente o que condenou no caso INSS: ausência de processo para comunicar e atender os titulares afetados.
Com o canal de privacidade LGPD da BCompliance&Law estruturado e ativo antes do incidente acontecer, o cenário é diferente. Quando o incidente é confirmado, a empresa tem imediatamente disponível o mecanismo pelo qual os titulares afetados podem ser comunicados de forma organizada. Cada solicitação recebida é registrada com data e identificação do titular. O fluxo de atendimento está definido: quem recebe, quem analisa, quem responde e em quanto tempo. O histórico de cada interação fica documentado e disponível. Em uma fiscalização da ANPD, esse histórico é apresentado como evidência de que a empresa tem processos para atender os titulares, o que a lei reconhece expressamente como fator atenuante na dosimetria de sanções.
O Canal LGPD resolve ainda um problema prático que os casos reais revelam: a comunicação aos titulares quando não é possível individualizá-los. Se a empresa não consegue identificar precisamente quais titulares foram afetados, o Canal LGPD é o ponto de chegada para aqueles que, por conta própria, querem saber se foram afetados e o que está sendo feito. Ele também pode ser utilizado como o canal de divulgação ampla exigido pela ANPD em casos onde a comunicação individualizada não é possível, mantendo o histórico de todo o processo.
O que ter antes do incidente acontecer
A lição mais consistente dos casos reais, dos dados do IBM e dos regulamentos da ANPD é que a resposta a incidentes começa antes do incidente. Empresas que têm estrutura mínima de governança de dados respondem mais rápido, sofrem menos danos e recebem sanções menores. A LGPD reconhece a adoção de mecanismos de governança e a prontidão na resposta como fatores de atenuação das penalidades.
O primeiro elemento é o cadastro prévio no sistema SEI da ANPD. Esse cadastro é necessário para comunicar qualquer incidente à Autoridade e exige formalizações preliminares que levam tempo. Fazer isso depois que o incidente ocorreu pode inviabilizar o cumprimento do prazo de 3 dias úteis.
O segundo é a definição de quem é responsável pela comunicação à ANPD em caso de incidente. A resolução exige que seja o encarregado de dados ou um representante legalmente constituído. Sem essa designação prévia, a empresa perde tempo crítico no momento do incidente tentando definir quem age.
O terceiro é um processo documentado de avaliação de risco do incidente. Nem todo incidente obriga comunicação. Mas a avaliação precisa ser feita e documentada. A ANPD pode questionar qualquer decisão de não comunicar, e a ausência de documentação que justifique essa decisão é ela própria uma infração.
O quarto é o contrato com operadores e fornecedores que defina o prazo de notificação ao controlador em caso de incidente. Os fornecedores de sistemas de nuvem, plataformas de e-commerce, sistemas de ponto e folha de pagamento são operadores de dados pessoais. A Resolução nº 15/2024 recomenda que o contrato estabeleça o prazo de notificação do operador ao controlador, que na prática funciona como 2 dias úteis para que o controlador consiga cumprir os seus 3 dias úteis. Sem contrato, o controlador assume sozinho toda a responsabilidade mesmo por incidentes causados pelo fornecedor.
O quinto é o plano de resposta a incidentes documentado. Quem aciona quem, quais sistemas isolar, como classificar o risco, qual o fluxo de comunicação interno e externo, quem fala com a imprensa, quem aciona o jurídico. Esse plano precisa existir antes do incidente e ser testado periodicamente.
O sexto, e o que conecta todos os anteriores, é o Canal LGPD ativo e funcional. É por meio dele que a empresa recebe as solicitações dos titulares afetados, organiza o fluxo de atendimento, controla os prazos de resposta e gera o histórico documentado que demonstra à ANPD que os direitos dos titulares estão sendo respeitados. Em um incidente, o Canal LGPD da BCompliance&Law é o mecanismo que transforma uma crise de comunicação em um processo gerenciável, com registro completo de cada interação e evidência documentada de conformidade disponível para qualquer fiscalização.
Conclusão: a melhor resposta a um incidente começa antes dele
O Brasil comunicou 1.508 incidentes de segurança à ANPD até o final de 2025. Desses, a grande maioria ainda não resultou em processo sancionador. Mas a estrutura para sancionar está completa, os precedentes estão estabelecidos e o número de processos fiscalizatórios abertos em 2025 foi maior do que o somatório de todos os anos anteriores.
O custo médio de uma violação de dados no Brasil é de R$ 7,19 milhões. O custo de estruturar um Canal LGPD e um plano de resposta a incidentes é uma fração desse valor. E a diferença entre uma empresa que chega à fiscalização com processo documentado e canal funcional e uma empresa que improvisa na hora do incidente não é apenas financeira. É a diferença entre demonstrar boa-fé e responsabilidade, o que a lei reconhece como fator atenuante, e demonstrar o contrário.
O Canal LGPD não é apenas uma ferramenta de conformidade cotidiana. É, pela própria estrutura da lei, a interface entre a empresa e os titulares de dados. E em nenhum momento essa interface é mais crítica do que quando um incidente acontece e os titulares afetados precisam ser encontrados, informados e atendidos dentro de um prazo que a lei contabiliza em dias úteis. Este artigo integra a série Canal LGPD da BCompliance&Law, que aborda em profundidade cada dimensão da conformidade com a LGPD no ambiente corporativo — dos direitos dos titulares às sanções da ANPD, dos incidentes de segurança à adequação setorial.
Quando um incidente acontecer na sua empresa, a ANPD vai perguntar como você comunicou os titulares afetados. Sua empresa tem hoje a resposta pronta para essa pergunta?
Para empresas de menor porte, a BCompliance&Law oferece planos de Canal LGPD com contratação direta, conheça nossos planos. Para empresas com mais de 100 funcionários, o Canal LGPD da BCompliance&Law entrega a estrutura que sua operação exige. Fale com um especialista.
