Todo plano de resposta a incidentes é testado uma única vez de verdade — no primeiro incidente real. Desde a Resolução CD/ANPD nº 15/2024, esse teste tem cronômetro: incidentes com risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos afetados em 3 dias úteis a contar do conhecimento.
O que o regulamento exige
A comunicação deve descrever a natureza do incidente, dados e titulares afetados, medidas de contenção e mitigação, riscos e o contato do encarregado — e o registro interno é obrigatório mesmo quando se conclui que não há risco relevante (você precisa provar por que não comunicou). O critério de relevância considera dados sensíveis, volume, vulnerabilidade dos titulares e potencial de dano material ou moral.
O relógio corre contra a desorganização
Três dias úteis são suficientes para quem tem playbook: detectar, acionar o comitê, conter, avaliar risco e comunicar com base em modelos prontos. São desesperadores para quem vai descobrir no dia quem decide, o que dizer e onde estão os logs. A diferença não é sorte — é ensaio: simulados semestrais de incidente custam horas e economizam a multa e a manchete.
Transparência bem executada paga: casos internacionais mostram empresas que comunicaram rápido e saíram com reputação reforçada, enquanto gigantes que esconderam vazamentos por meses pagaram multas históricas — e viraram estudo de caso do que não fazer.
Referências e legislação
- Resolução CD/ANPD nº 15/2024 · Regulamento de comunicação de incidentes — acessar
- LGPD, art. 48 · Dever de comunicação de incidentes — acessar
- ISO/IEC 27035 · Gestão de incidentes de segurança da informação
Monte hoje o “kit primeiro dia”: árvore de acionamento com telefones, modelo de comunicação à ANPD, roteiro de avaliação de risco e um responsável por declarar o incidente. É o seguro mais barato do seu programa.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.