{"id":17441,"date":"2026-10-24T09:00:00","date_gmt":"2026-10-24T12:00:00","guid":{"rendered":"https:\/\/fcm.law\/?p=17441"},"modified":"2026-10-19T15:08:14","modified_gmt":"2026-10-19T18:08:14","slug":"incidente-de-seguranca-sem-dado-pessoal-comunicacao-anpd","status":"publish","type":"post","link":"https:\/\/fcm.law\/en\/incidente-de-seguranca-sem-dado-pessoal-comunicacao-anpd\/privacidade-protecao-de-dados\/","title":{"rendered":"Incidente de seguran\u00e7a sem dado pessoal: o que a empresa deve, e n\u00e3o deve, comunicar"},"content":{"rendered":"

Um prestador de tecnologia descobre que seu ambiente de desenvolvimento foi comprometido por um ataque na cadeia de suprimentos, com c\u00f3digo adulterado e credenciais a revogar, mas sem ind\u00edcio de que dados de pessoas tenham vazado. A pergunta que chega ao jur\u00eddico \u00e9 imediata: temos de avisar a Autoridade Nacional de Prote\u00e7\u00e3o de Dados<\/a>? A resposta come\u00e7a por separar duas coisas que o susto costuma embaralhar, porque nem todo incidente de seguran\u00e7a \u00e9 incidente de dados pessoais, e o dever de comunicar nasce s\u00f3 da segunda hip\u00f3tese.<\/p>\n

O erro de reflexo, nos dois sentidos, custa caro. Comunicar \u00e0 ANPD um evento que n\u00e3o envolveu dado pessoal exp\u00f5e a empresa sem necessidade; silenciar sobre um que envolveu, e que trazia risco relevante, abre flanco de san\u00e7\u00e3o.<\/p>\n

\"incidente<\/figure>\n

Quando o incidente de seguran\u00e7a vira dever de comunicar \u00e0 ANPD<\/h2>\n

O Regulamento de Comunica\u00e7\u00e3o de Incidente de Seguran\u00e7a, aprovado pela Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 15\/2024, define incidente como o evento adverso confirmado que viola a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (art. 3\u00ba, XII). Dessa defini\u00e7\u00e3o j\u00e1 se extrai o primeiro filtro: se o que foi comprometido n\u00e3o s\u00e3o dados pessoais, mas c\u00f3digo-fonte, segredo de projeto ou infraestrutura de desenvolvimento, o evento \u00e9 um problema de seguran\u00e7a da informa\u00e7\u00e3o e de contrato, n\u00e3o um incidente sob a LGPD.<\/p>\n

Havendo dados pessoais no comprometimento, o dever de comunicar ainda depende de um segundo filtro. O art. 4\u00ba do Regulamento exige a comunica\u00e7\u00e3o quando o incidente possa acarretar risco ou dano relevante aos titulares, e o art. 5\u00ba detalha o que torna o risco relevante: a possibilidade de afetar significativamente interesses e direitos fundamentais, somada a elementos como dados sens\u00edveis, dados de crian\u00e7as, adolescentes ou idosos, dados financeiros ou de autentica\u00e7\u00e3o, e tratamento em larga escala. Confirmado o dever, o prazo \u00e9 curto, de tr\u00eas dias \u00fateis para comunicar \u00e0 ANPD (art. 6\u00ba) e aos titulares (art. 9\u00ba), contado de quando o agente toma conhecimento de que o incidente afetou dados pessoais, em dobro para o agente de pequeno porte.<\/p>\n

Quem comunica \u00e9 o controlador, e o prestador costuma ser operador<\/h2>\n

Mesmo quando h\u00e1 dever de comunicar, ele n\u00e3o \u00e9 de quem sofreu o ataque, e sim de quem decide sobre o tratamento. O art. 48 da LGPD p\u00f5e a comunica\u00e7\u00e3o \u00e0 ANPD e aos titulares no controlador, e o Regulamento segue a mesma linha ao atribuir o dever ao controlador (art. 4\u00ba). O prestador de tecnologia, que opera dados por conta do cliente, costuma ser operador, e seu papel no incidente \u00e9 informar o controlador e munici\u00e1-lo para a avalia\u00e7\u00e3o de risco, n\u00e3o acionar a ANPD por conta pr\u00f3pria. O Regulamento, ali\u00e1s, s\u00f3 menciona o operador para exigir que a comunica\u00e7\u00e3o ao \u00f3rg\u00e3o identifique quem ele \u00e9, quando aplic\u00e1vel (art. 6\u00ba, \u00a7 2\u00ba, X).<\/p>\n

Esse dever de o operador avisar o controlador n\u00e3o est\u00e1 no Regulamento de incidentes, e sim na l\u00f3gica do art. 39 da LGPD, que obriga o operador a seguir as instru\u00e7\u00f5es do controlador, e no contrato que liga os dois. \u00c9 a\u00ed que mora a segunda obriga\u00e7\u00e3o, a que sobrevive mesmo sem incidente de dados pessoais: o contrato de presta\u00e7\u00e3o de servi\u00e7o quase sempre tem cl\u00e1usula de notifica\u00e7\u00e3o de evento de seguran\u00e7a, com prazo pr\u00f3prio, independente da LGPD. Um ataque que n\u00e3o tocou dado pessoal pode n\u00e3o gerar nenhum dever perante a ANPD e, ainda assim, disparar o dever de comunicar o cliente dentro do prazo pactuado, sob pena de responsabilidade contratual.<\/p>\n

O roteiro que evita o erro nos dois sentidos<\/h2>\n

Diante do evento, a sequ\u00eancia que organiza a decis\u00e3o tem tr\u00eas perguntas encadeadas. A primeira apura se dados pessoais foram de fato comprometidos, e n\u00e3o apenas expostos a risco te\u00f3rico, porque sem isso n\u00e3o h\u00e1 incidente sob a LGPD. A segunda, caso a resposta seja sim, mede o risco relevante pelos crit\u00e9rios do art. 5\u00ba do Regulamento, para saber se o prazo de tr\u00eas dias \u00fateis come\u00e7ou a correr. A terceira, sempre, verifica o contrato: que dever de notifica\u00e7\u00e3o ao cliente existe, em que prazo e com que conte\u00fado, ainda que a resposta \u00e0s duas primeiras perguntas seja negativa. Documentar cada resposta, com data e fundamento, \u00e9 o que permite demonstrar depois que a empresa n\u00e3o comunicou por avalia\u00e7\u00e3o fundamentada, e n\u00e3o por omiss\u00e3o.<\/p>\n

Perguntas frequentes<\/h2>\n

Todo incidente de seguran\u00e7a precisa ser comunicado \u00e0 ANPD?<\/strong>
\nN\u00e3o. S\u00f3 o incidente que envolve dados pessoais (art. 3\u00ba, XII, da Resolu\u00e7\u00e3o CD\/ANPD 15\/2024) e que possa acarretar risco ou dano relevante aos titulares (arts. 4\u00ba e 5\u00ba). Evento que atinge c\u00f3digo-fonte ou infraestrutura, sem comprometer dados pessoais, n\u00e3o gera dever de comunica\u00e7\u00e3o \u00e0 ANPD, embora possa gerar dever contratual perante clientes.<\/p>\n

Qual \u00e9 o prazo para comunicar o incidente?<\/strong>
\nTr\u00eas dias \u00fateis para comunicar \u00e0 ANPD (art. 6\u00ba) e aos titulares (art. 9\u00ba), contados de quando o agente toma conhecimento de que o incidente afetou dados pessoais. O prazo \u00e9 em dobro para agentes de pequeno porte (art. 6\u00ba, \u00a7 8\u00ba, e art. 9\u00ba, \u00a7 6\u00ba).<\/p>\n

O prestador de tecnologia que foi atacado comunica a ANPD?<\/strong>
\nEm regra, n\u00e3o diretamente. O dever de comunicar \u00e0 ANPD e aos titulares \u00e9 do controlador (LGPD, art. 48). O prestador que atua como operador deve informar o controlador e apoi\u00e1-lo na avalia\u00e7\u00e3o, al\u00e9m de cumprir o prazo de notifica\u00e7\u00e3o previsto no contrato de presta\u00e7\u00e3o de servi\u00e7o.<\/p>\n

Leia tamb\u00e9m<\/h2>\n