O que aconteceu e o que a lei estabelece?
Os artigos 46 a 49 da LGPD tratam da segurança e dos incidentes. O Regulamento de Comunicação de Incidente de Segurança da ANPD disciplina avaliação, conteúdo, prazos e formas de comunicação quando houver risco ou dano relevante.
Exemplo prático
Um empregado envia uma planilha de clientes ao destinatário errado. A resposta deve registrar o envio, tentar impedir o uso, verificar se houve acesso, avaliar o conteúdo e definir providências proporcionais.
Documentos e registros que devem ser preservados
- data, horário e cronologia do incidente
- logs, alertas e registros técnicos
- categorias e volume estimado de dados
- contratos dos fornecedores envolvidos
- comunicações e decisões adotadas
Providências recomendadas
- conter sem apagar evidências
- acionar responsáveis técnicos e jurídicos
- avaliar natureza, alcance e consequências
- registrar fundamentos das decisões
- realizar comunicações cabíveis e corrigir a causa
A prioridade deve ser a adequação preventiva e, quando aplicável, o relacionamento institucional com a ANPD. Em fiscalização, a organização pode apresentar informações e defesa administrativa. Medidas judiciais devem ser consideradas somente diante de conflito concreto e após análise de urgência, documentação e proporcionalidade.
Quando buscar orientação jurídica?
Pode ser útil buscar análise individual quando houver dados sensíveis, crianças, credenciais, risco financeiro, grande número de titulares, indisponibilidade relevante ou dúvida sobre a necessidade de comunicação.
Perguntas frequentes
Todo incidente deve ser comunicado à ANPD?
Não necessariamente. A decisão depende da existência de risco ou dano relevante e dos critérios regulamentares, devendo ser documentada.
Posso esperar a investigação terminar?
A apuração deve ser célere. Não é prudente aguardar indefinidamente quando houver dever de comunicação sujeito a prazo.
Existe garantia de resultado?
Não. A orientação depende dos fatos e documentos e não representa promessa de resultado.
Conclusão
Proteção de dados exige decisões justificadas, documentação e medidas compatíveis com o risco. Organizar o tratamento antes de um problema costuma reduzir incertezas e tornar a resposta mais segura.
Leia também
- Como adequar uma pequena empresa à LGPD sem criar burocracia desnecessária?
- Meus dados foram vazados: o que fazer e como se proteger?
- A empresa recebeu um pedido de titular pela LGPD: como responder?
- Contrato precisa ter cláusula de proteção de dados? O que deve constar?
Solicitar análise jurídica
Solicite uma análise jurídica das atividades de tratamento de dados, dos documentos existentes e das medidas de adequação compatíveis com o porte e o risco do negócio.
Solicitar consulta jurídica