Comunicar ou não? A decisão legal mais crítica após um incidente de segurança

Quando é obrigatório comunicar um incidente de segurança?

De acordo com a Resolução CD/ANPD nº 15/2024, a comunicação é obrigatória quando o incidente representar risco ou dano relevante aos titulares. A ANPD deve ser notificada em até 3 dias úteis, com descrição detalhada do ocorrido, medidas tomadas e impacto potencial. A não comunicação pode resultar em multas severas e danos à reputação.

O relógio está correndo: você tem 8 dias úteis

Imagine que você descobre uma violação de dados na sua empresa. O café esfria na xícara enquanto você pensa: comunicar à ANPD ou não? A nova Resolução CD/ANPD nº 15/2024 transformou essa dúvida em uma corrida contra o tempo. Agora, a decisão não é mais um 'talvez' – é um 'sim' ou 'não' com consequências sérias.

O que mudou com a Resolução 15/2024?

Antes, a LGPD já exigia comunicação em caso de risco ou dano relevante. Mas a nova resolução detalha os critérios: prazos, conteúdo mínimo da comunicação e, principalmente, quando você pode (e deve) ficar calado. Sim, há situações em que não comunicar é a escolha certa – e legal.

Por exemplo, se o incidente não afetar a privacidade dos titulares (como um ataque a um servidor de testes sem dados pessoais), você pode respirar aliviado. Mas se houver risco de dano material ou moral, a comunicação é obrigatória em até 8 dias úteis. É como aquele aviso de 'vazamento de água' no condomínio: se não avisar logo, o prejuízo triplica.

O dilema do 'comunicar ou não'

Decidir não comunicar é como jogar roleta-russa com a LGPD. Se a ANPD descobrir depois que você omitiu um incidente grave, a multa pode chegar a 2% do faturamento (limitada a R$ 50 milhões). Por outro lado, comunicar incidentes irrelevantes pode gerar desgaste e burocracia desnecessários. É o clássico 'menos é mais' – mas com um manual de instruções.

Uma dica prática: crie um comitê de resposta a incidentes. Reúna o DPO, o jurídico e o TI. Eles vão avaliar se o incidente se enquadra nos critérios da resolução. Se tiver dúvida, comunique. É melhor pecar pelo excesso do que pela falta – a não ser que você goste de explicar para o regulador por que escondeu um vazamento de CPFs.

Checklist para não errar

• Identifique se há dados pessoais envolvidos.
• Avalie o risco: há probabilidade de dano aos titulares?
• Documente tudo: logs, ações tomadas, decisões.
• Comunique à ANPD em até 8 dias úteis, se obrigatório.
• Informe os titulares afetados, se necessário.

Lembre-se: a resolução não é um bicho de sete cabeças, mas exige atenção. E, como diria um velho amigo advogado: 'Na dúvida, comunique. Depois a gente explica.'

FAQ