Incidente de dados nas primeiras 72 horas: o que a empresa precisa fazer

O art. 48 da LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O gatilho é o risco, e não o incidente em si: falhas internas sem exposição de dados não pedem o mesmo roteiro que um vazamento confirmado.

A comunicação precisa mencionar, no mínimo, a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas de segurança utilizadas, os riscos relacionados ao incidente, os motivos da demora quando a comunicação não for imediata e as medidas adotadas para reverter ou mitigar os efeitos. O regulamento da ANPD detalhou prazo e forma desse aviso, fixando 3 dias úteis para a comunicação à autoridade a partir do conhecimento do incidente.

No juízo de gravidade, a lei manda avaliar a comprovação de medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis para terceiros não autorizados. Criptografia efetiva do dado exposto muda a análise de risco, e é por isso que o inventário do que estava exposto e de como estava protegido é peça das primeiras horas.

A primeira prioridade é técnica: interromper o acesso, revogar credenciais comprometidas, isolar sistemas afetados e impedir que o evento continue. Contenção sem registro, porém, cria um segundo problema: sem preservação de logs e imagens de sistema, a empresa não conseguirá reconstruir o que aconteceu nem explicar quando começou.

O segundo passo é dimensionar: quais bases foram acessadas, quantos titulares, quais campos, desde quando. Essa avaliação separa o incidente com risco relevante, que pede comunicação formal, do evento interno sem exposição, que pede registro interno e correção. Errar para o lado de comunicar menos é o erro mais caro.

Só depois desse dimensionamento a empresa escreve a comunicação. Texto publicado antes de saber o que foi afetado tende a gerar segunda versão em poucos dias, e a retificação custa mais credibilidade do que a espera de algumas horas para consolidar os fatos.

A comunicação à autoridade segue formulário e prazo definidos em regulamento, e o conteúdo mínimo já está na lei: natureza dos dados, titulares envolvidos, medidas de segurança, riscos, motivos da demora e medidas de mitigação. Preparar esse conjunto em 3 dias úteis exige que a empresa saiba rapidamente o que trata, onde e com quem, o que é resultado de governança anterior ao incidente.

A comunicação ao titular merece linguagem direta: o que aconteceu, quais dados dele podem ter sido afetados, quais riscos isso cria, o que a empresa já fez e o que ele mesmo pode fazer, como trocar senhas ou ficar atento a tentativas de golpe. Aviso genérico que não diz o que vazou multiplica ligações de suporte e desconfiança.

A autoridade pode determinar providências adicionais depois de verificar a gravidade, entre elas a ampla divulgação do fato e medidas para reverter ou mitigar os efeitos. Responder a essa fase com a documentação organizada nas primeiras horas é consideravelmente mais simples do que reconstruir a cronologia sob cobrança.

Grande parte dos incidentes que atinge empresas começa em sistema de terceiro: hospedagem, CRM, plataforma de atendimento. Mesmo assim, o dever de comunicar é do controlador, porque é ele quem decide sobre o tratamento. O contrato com o operador precisa ter antecipado o dever de avisar sem demora, com conteúdo mínimo, justamente para esse cenário.

A empresa precisa documentar o que recebeu do fornecedor e quando: hora da detecção relatada, dados afetados, medidas já adotadas. Essa linha do tempo é o que permite cumprir o prazo regulamentar e demonstrar que a resposta começou no primeiro conhecimento do evento, e não na primeira reunião sobre ele.

Dividir a resposta em duas vozes, uma da empresa e outra do fornecedor, tende a gerar mensagens divergentes sobre o mesmo evento. O caminho prático é uma única narrativa factual, com papel de cada um definido no contrato, e canal único para o mercado e para os titulares.

Encerrada a fase aguda, o fechamento pede três peças: relatório do incidente com cronologia e causa raiz, registro das medidas corretivas com prazo e responsável, e revisão do plano de resposta à luz do que falhou. O registro das operações de tratamento e do próprio incidente é o documento que sustenta a versão da empresa perante a autoridade e eventuais questionamentos.

O quadro de sanções administrativas da LGPD vai da advertência à multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de bloqueio e eliminação de dados e publicização da infração. A resposta rápida, documentada e proporcional é o que a autoridade avalia ao distinguir esforço de conformidade de negligência.

Vale registrar também o aprendizado interno: credencial compartilhada, backup desatualizado, acesso de ex-colaborador ativo. Incidente sem causa raiz identificada tende a se repetir com outro nome, e a repetição é o fator que mais pesa na análise de negligência.

O plano de resposta é o documento que a empresa escreve quando nada está acontecendo, e é ele que decide a qualidade das primeiras 72 horas depois. Sem plano, cada hora vira decisão improvisada sobre quem fala, quem decide contenção e quando acionar assessoria; com plano, essas escolhas já foram feitas em ambiente de calma, e a crise executa. O plano não precisa de sofisticação técnica: precisa de nomes, prazos e ordem.

O plano também define o que não fazer: publicar texto antes do dimensionamento, apagar evidências na pressa de corrigir e deixar a comunicação externa em várias vozes. Ensaio anual simples, uma mesa de trabalho que percorre o cenário e os papéis, revela lacunas de contato e de autoridade em uma hora, e revela exatamente quando não há incidente acontecendo.

Na prática, escolher quem senta na mesa antes de a crise chegar pesa mais do que o roteiro escrito. "Na hora de contratar apoio jurídico, a empresa precisa verificar se o advogado entende o produto, o contrato e a base de dados do negócio, porque é isso que define a resposta. Quem responde a incidente lê o sistema, o contrato com o fornecedor e a política de retenção antes de opinar", diz Diego Castro, advogado especialista em direito digital (OAB/PI 15.613).

A linha do tempo é a peça central da defesa da empresa perante a autoridade, perante titulares e perante o fornecedor quando a falha parte dele. Horário da detecção, horário do conhecimento da empresa, decisões tomadas com hora e autor, medidas de contenção aplicadas: esse conjunto transforma a resposta em histórico verificável, e não em narrativa reconstruída depois sob cobrança.

O registro também protege a empresa contra a própria memória: semanas depois, versões divergentes sobre quando o incidente começou aparecem em depoimento, petição e fiscalização. A prática que resolve é simples e barata: documento único de linha do tempo, atualizado em tempo real durante a resposta, com anexo dos registros técnicos relevantes. Quando a falha está no operador, essa linha do tempo mostra se o aviso contratual foi cumprido, e alimenta a discussão de responsabilidade pelo incidente de terceiro.

A guarda dos registros acompanha a lógica de responsabilidade: o registro das operações de tratamento e o histórico do incidente formam o dossiê que sustenta a empresa na fiscalização e em eventual disputa judicial, e a eliminação desses registros junto com a rotina de descarte de dados destrói exatamente a prova que a empresa mais vai querer ter.