Comunicação de incidentes
O que a lei diz
A organização precisa comunicar à ANPD e às pessoas afetadas, em prazo razoável, qualquer incidente de segurança, como vazamento ou invasão, que possa causar risco ou dano relevante.
- A comunicação deve ser feita à ANPD e às pessoas titulares dos dados.
- Ela deve trazer, no mínimo, os dados afetados, as pessoas envolvidas, as medidas de segurança usadas, os riscos, os motivos da demora, se houver, e as medidas para reverter ou reduzir os prejuízos.
- O prazo é definido pela ANPD em regulamento: consulte o regulamento vigente.
Texto da lei
Como está publicado na Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), texto compilado, sem as redações revogadas. Consultado em 29 de setembro de 2026.
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:
I - ampla divulgação do fato em meios de comunicação; e
II - medidas para reverter ou mitigar os efeitos do incidente.
§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.
Visões por perfil
Escolha um perfil para ver o que o artigo pede de quem ocupa esse papel:
Ao desenhar fluxos, inclua o aviso de incidente como parte da experiência: modelos de tela e de mensagem prontos, que digam o que aconteceu e o que a pessoa deve fazer, cheguem por mais de um canal e não pareçam golpe.
O que fazer
Prepare modelos de tela e de mensagem para avisar as pessoas afetadas.
Deixe claro o que a pessoa deve fazer, como trocar a senha ou ficar atenta a golpes.
Garanta que o aviso seja acessível e chegue por mais de um canal.
Evite que o aviso pareça um golpe: sem links suspeitos e pelo canal oficial.
Aviso de vazamento
Como as pessoas afetadas ficam sabendo.
Errado: Parece golpe
Mensagem
SMS: “Seus dados podem ter vazado! Clique aqui para proteger sua conta: bit.ly/xyz”
Link encurtado e urgência: igual a um golpe.
Certo: Aviso pelos canais oficiais
Mensagem
No aplicativo e por e-mail: “Houve um acesso indevido aos seus dados de endereço. Nunca pedimos senha. Veja o que fazer em Minha conta > Segurança.”
Diz o que aconteceu e o que fazer, sem se confundir com fraude.
Ao criar e manter o sistema, prepare-se para detectar e investigar incidentes: logs de acesso, monitoramento, um procedimento para conter o problema e preservar evidências, e a capacidade de identificar quais dados e quais pessoas foram afetados, informações que a comunicação à ANPD exige.
O que fazer
Mantenha logs de acesso e monitoramento para detectar incidentes.
Tenha um procedimento para conter o incidente e preservar as evidências.
Saiba identificar quais dados e quais pessoas foram afetados.
Participe dos simulados do plano de resposta.
Depois de uma invasão
A equipe precisa saber quem foi afetado.
Errado: Sem rastro
// Logs de acesso desativados para economizar espaço: // não há como saber quais registros foram lidosSem logs, é impossível dizer quem foi afetado.
Certo: Logs que respondem às perguntas da lei
auditoria.registrar({ quem: sessao.usuarioId, acao: "leitura", recurso: "clientes", ids: resultado.map((cliente) => cliente.id), });Permite listar as pessoas envolvidas e a natureza dos dados.
Ao acompanhar a produção e a vida do produto, tenha um plano de resposta a incidentes com papéis e contatos definidos. Num incidente, acione o encarregado imediatamente e decida com ele e com o jurídico sobre a comunicação à ANPD e às pessoas, que deve acontecer em prazo razoável.
O que fazer
Garanta que exista um plano de resposta com papéis e contatos definidos.
Acione o encarregado assim que souber de um incidente.
Decida com o encarregado e o jurídico sobre a comunicação à ANPD e às pessoas.
Faça simulados periódicos.
As primeiras horas
A equipe acaba de descobrir um acesso indevido.
Errado: Esperar para ver
Decisão
“Vamos investigar por algumas semanas antes de avisar alguém.”
A demora aumenta o dano e precisa ser justificada na comunicação.
Certo: Plano acionado
Decisão
“Incidente registrado; encarregado acionado na hora; avaliação de risco e decisão sobre a comunicação conforme o plano e o regulamento da ANPD.”
Resposta rápida e organizada.
Ao testar o sistema, teste também o plano de resposta a incidentes: participe de simulados e verifique se os alertas disparam, se é possível listar as pessoas afetadas e se a comunicação em massa funciona.
O que fazer
Participe dos simulados e verifique se cada etapa funciona.
Confirme que os alertas de monitoramento disparam em situações fora do normal.
Verifique se é possível listar as pessoas afetadas por um incidente.
Teste o envio de comunicações em massa às pessoas.
Simulado de incidente
Uma exportação suspeita é simulada de madrugada.
Errado: Defeito: ninguém é alertado
O que o teste encontrou
No simulado, 10 mil registros foram exportados de madrugada e nenhum alerta foi disparado.
O incidente passaria despercebido.
Certo: Esperado: alerta e lista de afetados
Resultado esperado
Alerta em poucos minutos; relatório com as pessoas e os tipos de dados envolvidos gerado em uma hora.
A equipe tem o que precisa para agir e comunicar.
Ao escrever a comunicação de um incidente, lembre que a lei pede que ela diga, no mínimo, quais dados foram afetados, quem foi envolvido, os riscos e as medidas adotadas. Escreva com clareza, sem minimizar e sem jargão, e diga o que a pessoa deve fazer.
O que fazer
Deixe modelos de comunicação prontos, em linguagem simples.
Diga o que aconteceu, quais dados foram afetados, o que a organização está fazendo e o que a pessoa deve fazer.
Evite minimizar o ocorrido ou usar jargão técnico.
Indique um canal para dúvidas.
Comunicação às pessoas afetadas
O texto enviado depois de um vazamento.
Errado: Vago e minimizador
Texto enviado
“Identificamos um evento de segurança de baixa relevância. Nenhuma ação é necessária.”
Não diz o que aconteceu nem quais dados foram afetados.
Certo: Claro e com o que fazer
Texto enviado
“Em 12 de setembro, uma pessoa não autorizada acessou nomes e endereços de clientes. Senhas e cartões não foram afetados. Já bloqueamos o acesso. Fique atento a mensagens falsas em nosso nome. Dúvidas: privacidade@exemplo.com.”
Traz o que a lei pede, em palavras que a pessoa entende.