Prazo de incidente LGPD: como agir em 3 dias úteis

Uma invasão, um e-mail enviado ao destinatário errado ou uma base exposta por configuração inadequada exigem decisões rápidas. A busca por “LGPD incidente prazo” geralmente acontece quando a empresa já precisa entender se deve comunicar o caso e qual é o próximo passo. Nesse momento, improviso aumenta o risco técnico, jurídico e reputacional.

A resposta objetiva é que, quando o incidente de segurança puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em até três dias úteis, contados do conhecimento do incidente. Mas cumprir o prazo não significa apenas enviar uma notificação. É preciso identificar o ocorrido, conter a exposição, preservar evidências e produzir informações confiáveis.

LGPD incidente: prazo começa quando a empresa toma conhecimento

A Resolução CD/ANPD nº 15/2024 estabelece o prazo de três dias úteis para a comunicação de incidentes de segurança com dados pessoais que possam gerar risco ou dano relevante aos titulares. A contagem começa a partir do momento em que o controlador toma conhecimento do incidente, e não após a conclusão de toda a investigação técnica.

Esse ponto merece atenção. Em uma operação sem monitoramento, uma atividade suspeita pode permanecer invisível por dias ou semanas. Quando o problema é percebido, o prazo regulatório já passa a correr. Por isso, ferramentas de segurança, alertas centralizados, gestão de acessos e acompanhamento de backups não são apenas recursos de TI: são controles que ajudam a empresa a responder dentro de uma janela curta.

O controlador é, em regra, a organização que toma as decisões sobre o tratamento dos dados pessoais, como uma empresa que mantém cadastro de clientes, colaboradores ou fornecedores. Já o operador, como um fornecedor que processa dados em nome do controlador, deve colaborar imediatamente com a apuração e fornecer as informações necessárias. Contratos com parceiros de tecnologia precisam prever essa comunicação, os responsáveis e os tempos de resposta.

Nem todo incidente exige comunicação à ANPD

Incidente de segurança não é sinônimo automático de comunicação regulatória. Uma tentativa bloqueada pelo firewall, por exemplo, pode ser um evento relevante para a segurança da informação, mas não necessariamente um incidente com dados pessoais comprometidos. Da mesma forma, uma falha interna corrigida antes de gerar acesso indevido pode ter impacto limitado.

A análise deve considerar as circunstâncias reais. Houve acesso, destruição, perda, alteração, divulgação ou indisponibilidade não autorizada de dados pessoais? Quais dados estavam envolvidos? Quantas pessoas podem ter sido afetadas? Os dados incluem informações financeiras, de saúde, biometria, credenciais de acesso ou dados de crianças e adolescentes? Existe possibilidade concreta de fraude, discriminação, dano financeiro ou exposição da privacidade?

Também importa avaliar se os dados estavam protegidos por medidas que reduzam o potencial de dano, como criptografia efetiva. Uma cópia de backup criptografada e inacessível sem chaves válidas apresenta uma situação diferente de uma planilha aberta, com CPF, telefone e informações comerciais de centenas de clientes.

A decisão deve ser documentada mesmo quando a conclusão for pela não comunicação. O registro demonstra que a empresa identificou o evento, avaliou os riscos, aplicou medidas de contenção e tomou uma decisão fundamentada. Em uma fiscalização, essa rastreabilidade faz diferença.

O que fazer nas primeiras horas após a detecção

As primeiras horas determinam a qualidade da resposta. A prioridade é interromper a causa ou limitar o alcance do incidente sem eliminar evidências úteis à investigação. Desligar indiscriminadamente servidores, apagar arquivos de log ou alterar credenciais sem registrar as ações pode dificultar a identificação da origem e do volume de dados afetados.

Uma resposta organizada começa por acionar os responsáveis definidos no plano de incidentes: gestão, TI, segurança da informação, área jurídica ou encarregado pelo tratamento de dados, conforme a estrutura da empresa. Em seguida, a equipe técnica verifica os ativos envolvidos, isola acessos comprometidos, redefine senhas quando necessário, revoga sessões, aplica bloqueios no firewall e valida a integridade dos sistemas.

Ao mesmo tempo, devem ser preservados logs de servidores, firewall, e-mail, endpoints, aplicativos e serviços em nuvem. Esses registros ajudam a responder perguntas essenciais: quando o evento começou, como ocorreu, quais contas foram usadas, quais dados foram acessados e se a atividade ainda está em andamento.

Em casos de ransomware, por exemplo, restaurar rapidamente pode ser necessário para a continuidade do negócio. Porém, a restauração deve ser feita após a contenção e a validação do ambiente, para evitar que o malware volte a atingir os dados recuperados. Backups isolados, testados e monitorados reduzem o tempo de indisponibilidade, mas não eliminam a obrigação de avaliar eventual exposição de dados antes da criptografia.

Como preparar uma comunicação consistente

A comunicação à ANPD deve apresentar um retrato claro do que se sabe no momento. Isso inclui a descrição da natureza e da categoria dos dados pessoais afetados, os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, as providências adotadas para contenção e mitigação, além do contato do encarregado ou de outro canal responsável.

Nem sempre será possível levantar todos os dados em três dias úteis. A empresa não deve usar a falta de informação completa como motivo para silenciar. A comunicação pode ser complementada posteriormente, desde que a organização explique as razões e mantenha uma investigação ativa. Transparência, nesse cenário, é melhor do que uma notificação vaga ou tardia.

Quando houver risco ou dano relevante, os titulares também precisam ser comunicados em linguagem simples e objetiva. A mensagem deve explicar a natureza do incidente, indicar quais dados podem estar envolvidos, informar os riscos e orientar ações práticas de proteção. Se houve exposição de credenciais, por exemplo, é adequado orientar a troca de senha e o uso de autenticação multifator. Se o risco envolver fraude, a empresa pode recomendar atenção redobrada a contatos suspeitos e movimentações incomuns.

A comunicação não deve minimizar o fato nem criar alarme desnecessário. O objetivo é dar ao titular condições reais de se proteger. Textos genéricos, sem orientação, tendem a gerar mais dúvidas e sobrecarregar canais de atendimento.

O prazo de incidente LGPD depende de uma operação preparada

O maior desafio não é decorar os três dias úteis. É criar condições para que a empresa descubra, investigue e responda ao incidente com velocidade. Isso exige responsabilidade definida, inventário atualizado de ativos, controle de acessos, políticas de senha, autenticação multifator, proteção de endpoints, firewall gerenciado e cópias de segurança com testes periódicos de restauração.

Também exige processos. Um colaborador precisa saber para quem reportar um e-mail suspeito. Um fornecedor precisa saber qual contato acionar ao detectar uma falha. A diretoria precisa conhecer quem tem autoridade para aprovar uma comunicação externa. Sem essa definição prévia, horas são perdidas em tentativas de localizar responsáveis enquanto o prazo avança.

Para pequenas e médias empresas, manter esse nível de acompanhamento internamente pode ser difícil. É nesse ponto que uma gestão de TI preventiva, com monitoramento, suporte técnico e SLA, reduz a dependência de ações reativas. A RL Solucion atua com uma só solução para infraestrutura, segurança, backup e suporte ilimitado, ajudando empresas a manterem seus ambientes sempre online e mais preparados para responder a eventos críticos.

Registre, corrija e aprenda com o evento

Depois da contenção e das comunicações necessárias, o incidente ainda não terminou. A empresa deve realizar uma análise de causa raiz, corrigir vulnerabilidades, revisar permissões, atualizar sistemas e confirmar que os controles adotados funcionam. Se uma conta foi comprometida por ausência de autenticação multifator, a correção precisa alcançar contas semelhantes, não apenas o usuário afetado.

O relatório final deve registrar a linha do tempo, os ativos envolvidos, os dados potencialmente afetados, as decisões tomadas, as comunicações realizadas e as melhorias definidas. Esse documento apoia a governança, facilita auditorias e transforma uma ocorrência crítica em aprendizado operacional.

O prazo da LGPD é curto porque a proteção do titular não pode esperar o fim de uma investigação perfeita. Empresas que combinam prevenção, monitoramento e um plano de resposta claro ganham tempo para tomar decisões responsáveis quando cada hora conta.