Incidentes

Ocorreu um vazamento de dados na empresa: o que fazer nas primeiras horas?

A empresa deve conter o incidente, preservar registros, identificar dados e pessoas afetadas, avaliar os riscos e documentar as decisões. A comunicação à ANPD e aos titulares depende dos critérios legais e da regulamentação vigente.

Resposta direta: A empresa deve conter o incidente, preservar registros, identificar dados e pessoas afetadas, avaliar os riscos e documentar as decisões. A comunicação à ANPD e aos titulares depende dos critérios legais e da regulamentação vigente.

O que aconteceu e o que a lei estabelece?

Os artigos 46 a 49 da LGPD tratam da segurança e dos incidentes. O Regulamento de Comunicação de Incidente de Segurança da ANPD disciplina avaliação, conteúdo, prazos e formas de comunicação quando houver risco ou dano relevante.

Exemplo prático

Um empregado envia uma planilha de clientes ao destinatário errado. A resposta deve registrar o envio, tentar impedir o uso, verificar se houve acesso, avaliar o conteúdo e definir providências proporcionais.

Documentos e registros que devem ser preservados

  • data, horário e cronologia do incidente
  • logs, alertas e registros técnicos
  • categorias e volume estimado de dados
  • contratos dos fornecedores envolvidos
  • comunicações e decisões adotadas

Providências recomendadas

  1. conter sem apagar evidências
  2. acionar responsáveis técnicos e jurídicos
  3. avaliar natureza, alcance e consequências
  4. registrar fundamentos das decisões
  5. realizar comunicações cabíveis e corrigir a causa

A prioridade deve ser a adequação preventiva e, quando aplicável, o relacionamento institucional com a ANPD. Em fiscalização, a organização pode apresentar informações e defesa administrativa. Medidas judiciais devem ser consideradas somente diante de conflito concreto e após análise de urgência, documentação e proporcionalidade.

Quando buscar orientação jurídica?

Pode ser útil buscar análise individual quando houver dados sensíveis, crianças, credenciais, risco financeiro, grande número de titulares, indisponibilidade relevante ou dúvida sobre a necessidade de comunicação.

Perguntas frequentes

Todo incidente deve ser comunicado à ANPD?

Não necessariamente. A decisão depende da existência de risco ou dano relevante e dos critérios regulamentares, devendo ser documentada.

Posso esperar a investigação terminar?

A apuração deve ser célere. Não é prudente aguardar indefinidamente quando houver dever de comunicação sujeito a prazo.

Existe garantia de resultado?

Não. A orientação depende dos fatos e documentos e não representa promessa de resultado.

Conclusão

Proteção de dados exige decisões justificadas, documentação e medidas compatíveis com o risco. Organizar o tratamento antes de um problema costuma reduzir incertezas e tornar a resposta mais segura.

Conteúdo informativo. Este texto não substitui consulta jurídica, não cria relação advogado-cliente e deve ser revisto diante de alterações legais ou regulamentares.

Leia também

Solicitar análise jurídica

Solicite uma análise jurídica das atividades de tratamento de dados, dos documentos existentes e das medidas de adequação compatíveis com o porte e o risco do negócio.

Solicitar consulta jurídica