Um prestador de tecnologia descobre que seu ambiente de desenvolvimento foi comprometido por um ataque na cadeia de suprimentos, com código adulterado e credenciais a revogar, mas sem indício de que dados de pessoas tenham vazado. A pergunta que chega ao jurídico é imediata: temos de avisar a Autoridade Nacional de Proteção de Dados? A resposta começa por separar duas coisas que o susto costuma embaralhar, porque nem todo incidente de segurança é incidente de dados pessoais, e o dever de comunicar nasce só da segunda hipótese.
O erro de reflexo, nos dois sentidos, custa caro. Comunicar à ANPD um evento que não envolveu dado pessoal expõe a empresa sem necessidade; silenciar sobre um que envolveu, e que trazia risco relevante, abre flanco de sanção.
Quando o incidente de segurança vira dever de comunicar à ANPD
O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, define incidente como o evento adverso confirmado que viola a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (art. 3º, XII). Dessa definição já se extrai o primeiro filtro: se o que foi comprometido não são dados pessoais, mas código-fonte, segredo de projeto ou infraestrutura de desenvolvimento, o evento é um problema de segurança da informação e de contrato, não um incidente sob a LGPD.
Havendo dados pessoais no comprometimento, o dever de comunicar ainda depende de um segundo filtro. O art. 4º do Regulamento exige a comunicação quando o incidente possa acarretar risco ou dano relevante aos titulares, e o art. 5º detalha o que torna o risco relevante: a possibilidade de afetar significativamente interesses e direitos fundamentais, somada a elementos como dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros ou de autenticação, e tratamento em larga escala. Confirmado o dever, o prazo é curto, de três dias úteis para comunicar à ANPD (art. 6º) e aos titulares (art. 9º), contado de quando o agente toma conhecimento de que o incidente afetou dados pessoais, em dobro para o agente de pequeno porte.
Quem comunica é o controlador, e o prestador costuma ser operador
Mesmo quando há dever de comunicar, ele não é de quem sofreu o ataque, e sim de quem decide sobre o tratamento. O art. 48 da LGPD põe a comunicação à ANPD e aos titulares no controlador, e o Regulamento segue a mesma linha ao atribuir o dever ao controlador (art. 4º). O prestador de tecnologia, que opera dados por conta do cliente, costuma ser operador, e seu papel no incidente é informar o controlador e municiá-lo para a avaliação de risco, não acionar a ANPD por conta própria. O Regulamento, aliás, só menciona o operador para exigir que a comunicação ao órgão identifique quem ele é, quando aplicável (art. 6º, § 2º, X).
Esse dever de o operador avisar o controlador não está no Regulamento de incidentes, e sim na lógica do art. 39 da LGPD, que obriga o operador a seguir as instruções do controlador, e no contrato que liga os dois. É aí que mora a segunda obrigação, a que sobrevive mesmo sem incidente de dados pessoais: o contrato de prestação de serviço quase sempre tem cláusula de notificação de evento de segurança, com prazo próprio, independente da LGPD. Um ataque que não tocou dado pessoal pode não gerar nenhum dever perante a ANPD e, ainda assim, disparar o dever de comunicar o cliente dentro do prazo pactuado, sob pena de responsabilidade contratual.
O roteiro que evita o erro nos dois sentidos
Diante do evento, a sequência que organiza a decisão tem três perguntas encadeadas. A primeira apura se dados pessoais foram de fato comprometidos, e não apenas expostos a risco teórico, porque sem isso não há incidente sob a LGPD. A segunda, caso a resposta seja sim, mede o risco relevante pelos critérios do art. 5º do Regulamento, para saber se o prazo de três dias úteis começou a correr. A terceira, sempre, verifica o contrato: que dever de notificação ao cliente existe, em que prazo e com que conteúdo, ainda que a resposta às duas primeiras perguntas seja negativa. Documentar cada resposta, com data e fundamento, é o que permite demonstrar depois que a empresa não comunicou por avaliação fundamentada, e não por omissão.
Perguntas frequentes
Todo incidente de segurança precisa ser comunicado à ANPD?
Não. Só o incidente que envolve dados pessoais (art. 3º, XII, da Resolução CD/ANPD 15/2024) e que possa acarretar risco ou dano relevante aos titulares (arts. 4º e 5º). Evento que atinge código-fonte ou infraestrutura, sem comprometer dados pessoais, não gera dever de comunicação à ANPD, embora possa gerar dever contratual perante clientes.
Qual é o prazo para comunicar o incidente?
Três dias úteis para comunicar à ANPD (art. 6º) e aos titulares (art. 9º), contados de quando o agente toma conhecimento de que o incidente afetou dados pessoais. O prazo é em dobro para agentes de pequeno porte (art. 6º, § 8º, e art. 9º, § 6º).
O prestador de tecnologia que foi atacado comunica a ANPD?
Em regra, não diretamente. O dever de comunicar à ANPD e aos titulares é do controlador (LGPD, art. 48). O prestador que atua como operador deve informar o controlador e apoiá-lo na avaliação, além de cumprir o prazo de notificação previsto no contrato de prestação de serviço.
Leia também
- Controlador e operador na LGPD, sobre como o papel de cada agente define quem responde.
- O regulamento de fiscalização da ANPD, sobre como a Autoridade apura descumprimentos.
Fontes
Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais; segurança no art. 46, comunicação de incidente pelo controlador no art. 48, obrigações do operador no art. 39): planalto.gov.br
Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança; conceito no art. 3º, XII, dever do controlador no art. 4º, critério de risco relevante no art. 5º, prazos nos arts. 6º e 9º): gov.br/anpd
Este conteúdo tem caráter informativo e não constitui opinião legal para caso concreto.
Comments are closed