O Caso do Setor Aéreo: Um Protocolo Real em Ação
O que torna o incidente do programa de fidelidade relevante como referência não é o volume de dados expostos — a empresa, deliberadamente, não tornou esse número público — mas a sequência de ações que se seguiu à identificação do problema. A companhia confirmou o incidente, adotou medidas de contenção assim que o identificou, avaliou o risco potencial para os titulares afetados e comunicou a ocorrência à ANPD em cumprimento ao Art. 48 da LGPD.
Esse encadeamento não é burocrático — é o ponto onde a conformidade se diferencia da negligência. Uma organização que identifica uma falha e aguarda para entender sua extensão completa antes de qualquer ação já começou errado. A LGPD não exige que a comunicação seja perfeita: exige que seja tempestiva, honesta e acompanhada das medidas que estão ao alcance da empresa no momento em que o incidente é confirmado.
As Etapas Obrigatórias Que a LGPD Exige Após um Incidente de Segurança
| Etapa | O que envolve |
|---|---|
| 1. Confirmação e isolamento do incidente | Verificar se o incidente efetivamente ocorreu e isolar o ponto de falha para impedir que o comprometimento se amplie, confirmando o tipo de falha, os sistemas afetados e a janela temporal de exposição antes de qualquer comunicação externa. |
| 2. Adoção imediata de medidas de contenção e cibersegurança | Bloquear acessos não autorizados, revogar credenciais comprometidas, isolar sistemas afetados e acionar o time de resposta a incidentes — ações que precisam acontecer em paralelo à investigação, não depois dela. |
| 3. Avaliação do risco para os titulares afetados | Considerar a natureza dos dados afetados (sensíveis ou não), a probabilidade de dano real — fraude, discriminação, dano reputacional — e a capacidade de os dados serem utilizados de forma prejudicial aos titulares. |
| 4. Comunicação à ANPD (Art. 48 da LGPD) | Obrigatória quando o incidente puder acarretar risco ou dano relevante aos titulares. A notificação deve descrever a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança adotadas e os riscos relacionados ao incidente. |
| 5. Comunicação direta aos titulares afetados | Quando o risco for relevante e individual, a empresa precisa comunicar os titulares de forma clara, acessível e suficiente para que possam se proteger — de forma personalizada, não um aviso genérico publicado no rodapé do site. |
| 6. Documentação integral do processo de resposta | Cada etapa da resposta precisa ser registrada com data, responsável e decisão tomada — a evidência que a organização apresenta à ANPD para demonstrar que agiu com diligência desde a identificação. |
As Primeiras Horas: Onde a Resposta Ganha ou Perde
O incidente do setor aéreo ilustra um princípio que os times de privacidade mais experientes conhecem bem: as primeiras horas após a identificação de uma falha são as mais críticas — e as que maior parte das organizações passa sem um plano estruturado. Não porque falte boa intenção, mas porque o Plano de Resposta a Incidentes, quando existe, muitas vezes não foi testado, os papéis não foram definidos e a cadeia de comunicação interna não está clara.
Pense na diferença entre dois cenários. No primeiro, um analista de segurança identifica uma anomalia em um log de acesso e reporta ao seu gestor, que aciona o DPO, que convoca uma reunião para o dia seguinte. No segundo, a mesma anomalia aciona um protocolo definido: isolamento imediato do sistema afetado, notificação simultânea do time de TI e do encarregado de dados e início da documentação do incidente dentro da hora. O risco aos titulares pode ser idêntico nos dois cenários — mas a capacidade de demonstrar diligência à ANPD não é.
A Comunicação à ANPD: O Que o Art. 48 Determina
O Art. 48 da LGPD estabelece a obrigação de comunicação à ANPD e aos titulares afetados em prazo razoável — e o regulamento específico da ANPD sobre incidentes de segurança detalha os requisitos de prazo, formato e conteúdo da notificação. A comunicação não pode aguardar o encerramento completo da investigação: a lei foi redigida para garantir que a autoridade seja informada enquanto o incidente ainda está em curso, de modo a poder acompanhar as medidas adotadas.
O conteúdo mínimo da comunicação inclui a descrição da natureza dos dados afetados, uma estimativa do número de titulares — mesmo que provisória e sujeita a revisão —, as medidas técnicas e de segurança adotadas desde a identificação e os riscos relacionados ao incidente. Porém, a comunicação não precisa ser definitiva: uma notificação inicial com as informações disponíveis no momento, complementada por atualizações à medida que a investigação avança, é o modelo que a ANPD aceita e espera.
Todavia, o que a ANPD não aceita é o silêncio. Empresas que identificam um incidente relevante e optam por aguardar para avaliar se a exposição foi relevante o suficiente para comunicar incorrem em dois erros simultâneos: atrasam a proteção dos titulares afetados e acumulam exposição regulatória proporcional ao tempo de omissão.
Avaliação de Risco: O Critério que Define as Obrigações
Nem todo incidente de segurança que envolve dados pessoais precisa ser comunicado à ANPD com a mesma urgência — e nem todo incidente exige comunicação direta ao titular. O critério que determina as obrigações específicas é a avaliação de risco: qual é a probabilidade de que o incidente cause dano real e relevante às pessoas cujos dados foram comprometidos?
Um incidente que expõe endereços de e-mail cadastrais de um banco de dados de newsletter tem impacto potencial muito diferente de um incidente que expõe dados de cartão de crédito, histórico de viagens e endereços residenciais de clientes de um programa de fidelidade aéreo. No segundo caso, a combinação de informações cria um perfil de risco concreto para cada titular — e a comunicação individualizada não é uma opção generosa da empresa: é uma obrigação legal.
Contudo, a avaliação de risco precisa ser documentada independentemente de qual seja o resultado. Se a empresa avalia que o risco é baixo e decide não comunicar os titulares, essa decisão e seus fundamentos precisam estar registrados — porque é exatamente esse registro que a ANPD vai solicitar se o caso vier a ser investigado posteriormente.
O Erro Que Transforma um Incidente em Crise
Apesar disso, a maior parte dos problemas de resposta a incidentes que chegam à ANPD não é técnica — é de governança. A empresa identificou o problema, mas o DPO não foi acionado imediatamente. Ou o DPO foi acionado, mas não tinha autoridade para paralisar sistemas sem aprovação da diretoria. Ou a comunicação à ANPD foi feita, mas de forma incompleta, sem os dados mínimos exigidos pelo regulamento — gerando uma sequência de notificações complementares que transmite desorganização ao regulador.
O incidente em si raramente é o que determina a severidade da sanção. O que determina é a qualidade da resposta: se a empresa agiu com diligência, documentou o processo, comunicou a autoridade e protegeu os titulares na medida das suas possibilidades. Senão existir um plano de resposta testado antes do incidente acontecer, nada disso ocorrerá na velocidade e na organização que a ANPD espera.
Conclusão: Incidente Não É Exceção — É Contingência
O caso do programa de fidelidade do setor aéreo funciona como referência porque demonstra que é possível atravessar um incidente de segurança sob a LGPD de forma estruturada, transparente e juridicamente defensável — mas isso exige preparação anterior ao incidente, não apenas reação posterior. Plano de resposta documentado, papéis definidos, canal de acionamento do encarregado de dados claro e simulações periódicas são o que transforma o protocolo de resposta de uma lista teórica em uma capacidade operacional real.
Entretanto, para a maioria das organizações, essa preparação ainda não existe. E é exatamente essa ausência que transforma um incidente técnico gerenciável em uma crise regulatória e reputacional evitável. Ainda assim, o ponto de partida é mais simples do que parece: documentar o que a empresa faria nas primeiras 24 horas se identificasse uma falha envolvendo dados de clientes — e garantir que esse documento reflita a realidade dos sistemas, das pessoas e dos prazos que a LGPD estabelece.
Para compreender como estruturar a documentação de avaliações de impacto exigidas em incidentes de alto risco, veja também: Matriz de Riscos da ANPD para Grandes Empresas: Como Automatizar o RIPD/LIA em Larga Escala. Para entender como o canal de atendimento ao titular se integra ao processo de resposta a incidentes, veja também: Na Mira da ANPD: Por Que Grandes Empresas São Alvos e o Risco de Esconder Seu Canal de Atendimento.
Perguntas frequentes (FAQ)
Suas dúvidas sobre incidentes de segurança e LGPD
1. Em quanto tempo uma empresa precisa comunicar um incidente de dados à ANPD?
A LGPD determina que a comunicação deve ocorrer em prazo razoável — e o regulamento específico da ANPD sobre incidentes de segurança detalha os prazos aplicáveis a cada tipo de notificação. O ponto central é que a comunicação não pode aguardar o encerramento completo da investigação: uma notificação inicial com as informações disponíveis no momento, complementada por atualizações posteriores, é o modelo esperado. O atraso injustificado na comunicação é infração autônoma à LGPD e pode agravar as sanções aplicáveis ao incidente.
2. O que precisa constar na comunicação de incidente enviada à ANPD?
O Art. 48 da LGPD e o regulamento da ANPD estabelecem o conteúdo mínimo: descrição da natureza dos dados pessoais afetados, informações sobre os titulares envolvidos (incluindo estimativa do número, mesmo que provisória), as medidas técnicas e de segurança adotadas desde a identificação do incidente e os riscos relacionados ao comprometimento dos dados. A comunicação pode ser complementada à medida que a investigação avança — o que não pode é ser omitida ou adiada até que todas as informações estejam disponíveis.
3. Todo incidente de dados precisa ser comunicado diretamente aos titulares afetados?
Não. A obrigação de comunicação direta aos titulares existe quando o incidente puder acarretar risco ou dano relevante e individual às pessoas afetadas. A avaliação de risco — considerando a natureza dos dados, a probabilidade de uso prejudicial e o perfil dos titulares — é o que determina se a comunicação individualizada é obrigatória. Mas mesmo quando a empresa avalia que o risco não justifica comunicação direta, essa avaliação precisa ser documentada, porque a ANPD pode solicitar os fundamentos da decisão em uma eventual fiscalização.
4. O que acontece com uma empresa que identifica um incidente e não comunica à ANPD?
A ausência de comunicação obrigatória à ANPD é infração à LGPD e pode resultar em sanções administrativas que incluem advertência, multa de até 2% do faturamento da organização — limitada a R$ 50 milhões por infração —, publicização da infração e bloqueio ou eliminação dos dados relacionados ao incidente. Além das sanções administrativas, a omissão agrava a exposição da empresa a ações judiciais pelos titulares afetados e compromete a avaliação regulatória sobre a boa-fé da organização em caso de investigação.
