Notificação de incidente à ANPD: prazo e o que enviar

Quando o incidente é comunicável

A obrigação não nasce de todo incidente, e sim daquele que pode acarretar risco ou dano relevante aos titulares. A avaliação considera, entre outros pontos, a natureza e a sensibilidade dos dados atingidos, o volume e a identificação dos titulares, a existência de titulares vulneráveis — crianças e adolescentes, por exemplo — e as consequências prováveis do vazamento.

Um incidente não comunicável ainda é um incidente registrável. A ausência de registro é o que torna difícil sustentar, depois, que a avaliação de risco foi feita.

Os prazos, em ordem

• 3 dias úteis para comunicar à ANPD e aos titulares, contados do conhecimento de que o incidente afetou dados pessoais.
• Prazo em dobro para agentes de tratamento de pequeno porte.
• Até 20 dias úteis após a comunicação inicial para complementar informações que ainda não eram conhecidas.
• Mais 3 dias úteis, após comunicar os titulares, para declarar à ANPD que a comunicação foi feita.

A contagem parte do conhecimento de que dados pessoais foram afetados — não do fim da investigação nem da conclusão da recuperação. É por isso que a definição do marco temporal é, na prática, um problema de evidência: alguém precisa conseguir demonstrar quando a empresa soube.

O que a comunicação precisa conter

• Descrição da natureza e da categoria dos dados pessoais afetados.
• Número, ainda que estimado, de titulares envolvidos e quantos deles são dados sensíveis.
• Momento do incidente e o momento em que a empresa tomou conhecimento.
• Medidas técnicas e de segurança que estavam em uso para proteger os dados.
• Riscos e possíveis consequências para os titulares.
• Medidas adotadas para reverter ou mitigar os efeitos, com o que já foi concluído e o que segue em curso.
• Identificação e contato do encarregado ou de quem responde pelo tratamento.

Quando parte disso ainda não é conhecida no terceiro dia útil, o caminho é comunicar com o que já se sabe, deixar explícito o que está sob apuração e usar a janela de complementação — e não perder o prazo esperando um número final.

Por que o registro interno pesa mais que o formulário

A comunicação é um evento; o registro é o que sustenta a versão da empresa depois. Em fiscalização, a diferença entre uma decisão defensável e uma falha de diligência costuma estar na existência de trilha: quando o alerta apareceu, quem avaliou, com que critério concluiu, o que foi contido e em que ordem. Esse material é construído durante o incidente, sob pressão — ou não existe.

Quem assina essa decisão

A avaliação de risco relevante é jurídica antes de ser técnica, e cabe ao encarregado junto ao jurídico. O papel da técnica é fornecer o que essa decisão exige: escopo confirmado, indício de exfiltração, marco temporal e coleta preservada de forma que resista a contestação posterior.