{"id":7474,"date":"2026-09-30T09:00:00","date_gmt":"2026-09-30T12:00:00","guid":{"rendered":"https:\/\/dponet.com.br\/blog\/?p=7474"},"modified":"2026-09-29T18:31:47","modified_gmt":"2026-09-29T21:31:47","slug":"os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr","status":"publish","type":"post","link":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/","title":{"rendered":"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr?"},"content":{"rendered":"\n<div class=\"dponet-post-wrapper\">\n\n  <nav>\n    <h2>\u00cdndice<\/h2>\n    <ol>\n      <li><a href=\"#secao1\">O que a LGPD e a Resolu\u00e7\u00e3o n\u00ba 15\/2024 efetivamente exigem<\/a><\/li>\n      <li><a href=\"#secao2\">Onde o prazo se perde em opera\u00e7\u00f5es de grande porte<\/a><\/li>\n      <li><a href=\"#secao3\">Fornecedores e operadores: o prazo do controlador n\u00e3o espera o do contrato<\/a><\/li>\n      <li><a href=\"#secao4\">Evid\u00eancia audit\u00e1vel: o que a ANPD e o auditor v\u00e3o pedir<\/a><\/li>\n      <li><a href=\"#secao5\">O que o Board precisa ver<\/a><\/li>\n      <li><a href=\"#secao6\">Conclus\u00e3o<\/a><\/li>\n      <li><a href=\"#secao7\">Para times de privacidade em opera\u00e7\u00e3o de grande porte<\/a><\/li>\n      <li><a href=\"#faq\">Perguntas frequentes (FAQ)<\/a><\/li>\n    <\/ol>\n  <\/nav>\n\n  <article itemscope itemtype=\"https:\/\/schema.org\/Article\">\n\n    <section id=\"secao1\">\n      <h2>O que a LGPD e a Resolu\u00e7\u00e3o n\u00ba 15\/2024 efetivamente exigem<\/h2>\n      <p>N\u00f3s observamos um padr\u00e3o recorrente em opera\u00e7\u00f5es de grande porte: o plano de resposta a incidentes existe, foi aprovado e j\u00e1 passou por exerc\u00edcios de mesa. O que falta \u00e9 a ponte entre o plano t\u00e9cnico e a decis\u00e3o de comunicar. Quando o incidente real acontece, o SOC cont\u00e9m a amea\u00e7a em poucas horas, mas a pergunta &#8220;dados pessoais foram afetados?&#8221; circula por chamados e e-mails durante dias. Quando o jur\u00eddico \u00e9 finalmente acionado, o prazo regulat\u00f3rio j\u00e1 foi parcialmente consumido.<\/p>\n      <p>Parte dessa confus\u00e3o vem de uma refer\u00eancia importada. O prazo de 72 horas pertence ao regulamento europeu e aparece em muitos modelos de pol\u00edtica corporativa traduzidos. No Brasil, o art. 48 da LGPD obriga o controlador a comunicar \u00e0 ANPD e ao titular a ocorr\u00eancia de incidente que possa acarretar risco ou dano relevante, e remete \u00e0 Autoridade a defini\u00e7\u00e3o do prazo. Essa defini\u00e7\u00e3o veio com a Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 15\/2024: tr\u00eas dias \u00fateis.<\/p>\n\n      <h3>O gatilho: o conhecimento de que dados pessoais foram afetados<\/h3>\n      <p>A contagem dos tr\u00eas dias \u00fateis n\u00e3o come\u00e7a com a detec\u00e7\u00e3o t\u00e9cnica do incidente. Ela come\u00e7a quando o controlador toma conhecimento de que o incidente afetou dados pessoais. A distin\u00e7\u00e3o parece sutil, mas define se o fluxo ser\u00e1 defens\u00e1vel em uma auditoria.<\/p>\n      <p>Considere um analista do setor financeiro que, numa sexta-feira \u00e0 tarde, identifica acesso indevido a um reposit\u00f3rio de arquivos. Sabe-se que o reposit\u00f3rio foi acessado, mas ainda n\u00e3o se sabe o que ele cont\u00e9m. Na segunda-feira, a equipe de dados confirma que h\u00e1 cadastros com credenciais de autentica\u00e7\u00e3o. Qual \u00e9 a data do conhecimento? Se o procedimento n\u00e3o responde a isso por escrito, a resposta ser\u00e1 improvisada, e improviso n\u00e3o resiste a um pedido de evid\u00eancia.<\/p>\n\n      <h3>O que precisa ser comunicado<\/h3>\n      <p>Nem todo incidente exige comunica\u00e7\u00e3o. A resolu\u00e7\u00e3o limita a obriga\u00e7\u00e3o aos incidentes que possam acarretar risco ou dano relevante. Isso ocorre quando h\u00e1 potencial de afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolvimento de ao menos um destes elementos: dados sens\u00edveis; dados de crian\u00e7as, adolescentes ou idosos; dados financeiros; dados de autentica\u00e7\u00e3o em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala. Ressalva-se ainda a exist\u00eancia de prazo espec\u00edfico em legisla\u00e7\u00e3o setorial, que o time de compliance de cada segmento regulado deve mapear.<\/p>\n      <p>Por\u00e9m, a decis\u00e3o de n\u00e3o comunicar tamb\u00e9m precisa de prova. O controlador deve manter o registro de todo incidente, inclusive daqueles que concluiu n\u00e3o comunicar, com a fundamenta\u00e7\u00e3o da classifica\u00e7\u00e3o adotada.<\/p>\n    <\/section>\n\n    <section id=\"secao2\">\n      <h2>Onde o prazo se perde em opera\u00e7\u00f5es de grande porte<\/h2>\n      <p>Tr\u00eas falhas se repetem. A primeira \u00e9 o silo entre detec\u00e7\u00e3o e decis\u00e3o: o SOC opera com m\u00e9tricas de conten\u00e7\u00e3o, o DPO opera com m\u00e9tricas de conformidade, e n\u00e3o h\u00e1 um ponto formal de transfer\u00eancia entre os dois. A segunda \u00e9 a classifica\u00e7\u00e3o sem crit\u00e9rio pr\u00e9vio, em que cada incidente reabre o debate sobre o que significa &#8220;risco relevante&#8221;. A terceira \u00e9 a cadeia de fornecedores, tratada adiante.<\/p>\n      <p>Todavia, o problema central n\u00e3o \u00e9 tecnol\u00f3gico. Trata-se de governan\u00e7a: quem declara o conhecimento, quem classifica e quem decide s\u00e3o pap\u00e9is que precisam estar nomeados antes do incidente, sen\u00e3o ser\u00e3o preenchidos pela urg\u00eancia.<\/p>\n      <p>Fluxo de comunica\u00e7\u00e3o de incidente enterprise \u00e9 o procedimento pr\u00e9-aprovado que converte a detec\u00e7\u00e3o t\u00e9cnica em decis\u00e3o jur\u00eddica documentada dentro dos tr\u00eas dias \u00fateis exigidos pela ANPD.<\/p>\n\n      <div class=\"tb-comparativo-wrap\">\n        <div class=\"tb-comparativo-titulo\">Fluxo inadequado <span class=\"tb-comparativo-vs\">vs.<\/span> fluxo adequado<\/div>\n        <div class=\"tb-comparativo-colunas\">\n          <div class=\"tb-comparativo-coluna\">\n            <div class=\"tb-comparativo-coluna-titulo\">Inadequado<\/div>\n            <div class=\"tb-comparativo-coluna-subtitulo\">O plano gen\u00e9rico de resposta a incidentes, que descreve a conten\u00e7\u00e3o t\u00e9cnica e deixa a comunica\u00e7\u00e3o para o momento da crise.<\/div>\n          <\/div>\n          <div class=\"tb-comparativo-coluna tb-comparativo-coluna--destaque\">\n            <div class=\"tb-comparativo-coluna-titulo\">Adequado<\/div>\n            <div class=\"tb-comparativo-coluna-subtitulo\">O fluxo audit\u00e1vel, que define de antem\u00e3o quem declara o conhecimento, quais crit\u00e9rios classificam o risco como relevante, quem decide comunicar e onde cada decis\u00e3o fica registrada.<\/div>\n          <\/div>\n        <\/div>\n      <\/div>\n    <\/section>\n\n    <section id=\"secao3\">\n      <h2>Fornecedores e operadores: o prazo do controlador n\u00e3o espera o do contrato<\/h2>\n      <p>A obriga\u00e7\u00e3o de comunicar permanece com o controlador, ainda que o incidente tenha ocorrido na infraestrutura de um operador. Apesar disso, muitos contratos preveem que o fornecedor notificar\u00e1 o cliente &#8220;em tempo razo\u00e1vel&#8221;, express\u00e3o que n\u00e3o sustenta nenhum fluxo mensur\u00e1vel.<\/p>\n      <p>Pense em um grupo varejista que descobre, pela imprensa, que um prestador de servi\u00e7os de atendimento sofreu vazamento envolvendo sua base de clientes. O prestador sabia havia cinco dias. O prazo regulat\u00f3rio s\u00f3 corre a partir do conhecimento do controlador, mas a aus\u00eancia de cl\u00e1usula de notifica\u00e7\u00e3o r\u00e1pida abre espa\u00e7o para questionamentos sobre a dilig\u00eancia na gest\u00e3o do fornecedor. O contrato n\u00e3o transfere a obriga\u00e7\u00e3o, ainda assim pode encurtar ou alongar o caminho at\u00e9 a decis\u00e3o.<\/p>\n      <p>Por isso, n\u00f3s recomendamos que os contratos com operadores de maior criticidade prevejam quatro elementos: prazo de notifica\u00e7\u00e3o medido em horas, muito inferior ao do controlador; conte\u00fado m\u00ednimo da notifica\u00e7\u00e3o (natureza dos dados, titulares potencialmente afetados, medidas adotadas); ponto de contato dispon\u00edvel de forma cont\u00ednua; e direito de solicitar evid\u00eancias t\u00e9cnicas, como registros de acesso, para subsidiar a classifica\u00e7\u00e3o.<\/p>\n    <\/section>\n\n    <section id=\"secao4\">\n      <h2>Evid\u00eancia audit\u00e1vel: o que a ANPD e o auditor v\u00e3o pedir<\/h2>\n      <p>Um fluxo s\u00f3 \u00e9 audit\u00e1vel quando cada etapa tem dono e deixa rastro. A tabela abaixo organiza o caminho completo, da triagem t\u00e9cnica ao encerramento.<\/p>\n\n      <div class=\"tb-tabela-wrap\">\n        <table>\n          <thead>\n            <tr><th>Etapa<\/th><th>Respons\u00e1vel<\/th><th>Evid\u00eancia gerada<\/th><th>Momento em rela\u00e7\u00e3o ao prazo<\/th><\/tr>\n          <\/thead>\n          <tbody>\n            <tr><td>Detec\u00e7\u00e3o e triagem t\u00e9cnica<\/td><td>SOC \/ CISO<\/td><td>Chamado com data, hora e escopo preliminar<\/td><td>Antes do in\u00edcio da contagem<\/td><\/tr>\n            <tr><td>Verifica\u00e7\u00e3o de envolvimento de dados pessoais<\/td><td>Time de dados e DPO<\/td><td>Parecer com a data do conhecimento<\/td><td>Define o in\u00edcio da contagem<\/td><\/tr>\n            <tr><td>Classifica\u00e7\u00e3o de risco ou dano relevante<\/td><td>DPO e Jur\u00eddico<\/td><td>Matriz aplicada e decis\u00e3o fundamentada<\/td><td>Primeiro dia \u00fatil<\/td><\/tr>\n            <tr><td>Decis\u00e3o de comunicar<\/td><td>Comit\u00ea de incidentes (CISO, DPO, L\u00edder Jur\u00eddico)<\/td><td>Ata ou registro formal da decis\u00e3o<\/td><td>At\u00e9 o segundo dia \u00fatil<\/td><\/tr>\n            <tr><td>Comunica\u00e7\u00e3o \u00e0 ANPD e aos titulares<\/td><td>DPO e Comunica\u00e7\u00e3o institucional<\/td><td>Protocolo do comunicado e comprovantes de envio<\/td><td>At\u00e9 o terceiro dia \u00fatil<\/td><\/tr>\n            <tr><td>Complementa\u00e7\u00e3o de informa\u00e7\u00f5es<\/td><td>DPO e CISO<\/td><td>Comunicado complementar fundamentado<\/td><td>At\u00e9 20 dias \u00fateis ap\u00f3s a comunica\u00e7\u00e3o<\/td><\/tr>\n            <tr><td>Registro e li\u00e7\u00f5es aprendidas<\/td><td>Compliance e Auditoria Interna<\/td><td>Registro do incidente, inclusive se n\u00e3o comunicado, com plano de a\u00e7\u00e3o<\/td><td>Ap\u00f3s o encerramento; mantido por, no m\u00ednimo, cinco anos<\/td><\/tr>\n          <\/tbody>\n        <\/table>\n      <\/div>\n\n      <p>O comunicado deve conter a data do conhecimento, os riscos aos titulares, as medidas t\u00e9cnicas e de seguran\u00e7a utilizadas, as medidas de mitiga\u00e7\u00e3o e o contato do encarregado. Quando a comunica\u00e7\u00e3o ocorre fora do prazo, \u00e9 preciso informar os motivos da demora, e um fluxo sem registro de datas torna essa justificativa imposs\u00edvel de sustentar.<\/p>\n      <p>A resolu\u00e7\u00e3o admite que, se faltarem informa\u00e7\u00f5es na primeira comunica\u00e7\u00e3o, elas sejam complementadas de forma fundamentada em at\u00e9 20 dias \u00fateis. Contudo, essa margem n\u00e3o autoriza adiar o primeiro comunicado at\u00e9 que tudo esteja apurado: a l\u00f3gica \u00e9 comunicar com o que se tem e completar depois.<\/p>\n      <p>Quanto aos titulares, a comunica\u00e7\u00e3o deve ser direta e individualizada sempre que for poss\u00edvel identific\u00e1-los, em linguagem simples. Quando n\u00e3o for poss\u00edvel, utilizam-se meios de amplo conhecimento, como o site institucional e os canais de atendimento, por per\u00edodo m\u00ednimo de tr\u00eas meses.<\/p>\n    <\/section>\n\n    <section id=\"secao5\">\n      <h2>O que o Board precisa ver<\/h2>\n      <p>Entretanto, evid\u00eancia de processo n\u00e3o basta para quem responde pelo risco agregado. O Board e o comit\u00ea de riscos precisam de indicadores que mostrem se o fluxo funciona sob press\u00e3o. Tr\u00eas m\u00e9tricas cumprem esse papel: o tempo entre a detec\u00e7\u00e3o t\u00e9cnica e a declara\u00e7\u00e3o do conhecimento; o tempo entre o conhecimento e a comunica\u00e7\u00e3o; e a propor\u00e7\u00e3o de incidentes classificados com base na matriz de crit\u00e9rios, e n\u00e3o em julgamento avulso. A primeira m\u00e9trica \u00e9 a que mais revela fragilidade, porque mede o intervalo que nenhum plano t\u00e9cnico costuma cobrir.<\/p>\n    <\/section>\n\n    <section id=\"secao6\">\n      <h2>Conclus\u00e3o<\/h2>\n      <p>O prazo de tr\u00eas dias \u00fateis \u00e9 curto apenas para quem come\u00e7a a decidir depois que o incidente ocorre. Para quem estruturou o fluxo antes, ele \u00e9 um cronograma de execu\u00e7\u00e3o: o conhecimento \u00e9 declarado por um respons\u00e1vel definido, a classifica\u00e7\u00e3o segue crit\u00e9rios pr\u00e9vios, a decis\u00e3o fica registrada e o comunicado sai com evid\u00eancia. O que a ANPD e o auditor avaliam, ao fim, \u00e9 essa capacidade de reconstituir o que foi decidido, por quem e quando.<\/p>\n      <p><strong>Leia tamb\u00e9m:<\/strong><\/p>\n      <ul>\n        <li>Cl\u00e1usulas de prote\u00e7\u00e3o de dados em integra\u00e7\u00f5es via API: o que exigir de fornecedores<\/li>\n        <li>A evolu\u00e7\u00e3o da fiscaliza\u00e7\u00e3o da ANPD: do car\u00e1ter orientativo ao sancionador<\/li>\n      <\/ul>\n    <\/section>\n\n    <section id=\"secao7\">\n      <h2>Para times de privacidade em opera\u00e7\u00e3o de grande porte<\/h2>\n      <p>Se a sua opera\u00e7\u00e3o precisa testar a maturidade do fluxo de incidentes, da detec\u00e7\u00e3o ao registro audit\u00e1vel, o Executive Briefing re\u00fane uma an\u00e1lise direcionada a CISOs, DPOs e \u00e1reas de compliance. Acesse: <a href=\"https:\/\/dponet.com.br\/enterprise-executive-briefing\/\" target=\"_blank\" rel=\"noopener noreferrer\">Executive Briefing<\/a>.<\/p>\n    <\/section>\n\n  <\/article>\n\n  <hr class=\"tb-divisor\" id=\"faq\"\/>\n  <h2 class=\"tb-faq-titulo\">Perguntas frequentes (FAQ)<\/h2>\n  <p class=\"tb-faq-subtitulo\">D\u00favidas comuns sobre o prazo de comunica\u00e7\u00e3o de incidentes \u00e0 ANPD<\/p>\n  <div class=\"tb-faq-section\">\n\n    <details class=\"tb-faq-item\" open>\n      <summary class=\"tb-faq-question\">1. O prazo para comunicar um incidente de seguran\u00e7a \u00e0 ANPD \u00e9 de 72 horas?<\/summary>\n      <div class=\"tb-faq-answer\"><p>N\u00e3o. O prazo de 72 horas \u00e9 o do regulamento europeu. No Brasil, a Resolu\u00e7\u00e3o CD\/ANPD n\u00ba 15\/2024 estabelece tr\u00eas dias \u00fateis para comunicar a ANPD e os titulares, ressalvada a exist\u00eancia de prazo previsto em legisla\u00e7\u00e3o espec\u00edfica.<\/p><\/div>\n    <\/details>\n\n    <details class=\"tb-faq-item\">\n      <summary class=\"tb-faq-question\">2. Quando come\u00e7a a contagem dos tr\u00eas dias \u00fateis?<\/summary>\n      <div class=\"tb-faq-answer\"><p>A contagem come\u00e7a quando o controlador toma conhecimento de que o incidente afetou dados pessoais, e n\u00e3o no momento da detec\u00e7\u00e3o t\u00e9cnica. Por isso, o procedimento interno deve definir quem declara esse conhecimento e como a data \u00e9 registrada.<\/p><\/div>\n    <\/details>\n\n    <details class=\"tb-faq-item\">\n      <summary class=\"tb-faq-question\">3. Todo incidente de seguran\u00e7a precisa ser comunicado \u00e0 ANPD?<\/summary>\n      <div class=\"tb-faq-answer\"><p>N\u00e3o. A obriga\u00e7\u00e3o recai sobre incidentes que possam acarretar risco ou dano relevante aos titulares, conforme os crit\u00e9rios da resolu\u00e7\u00e3o. Ainda assim, todos os incidentes devem ser registrados, inclusive os n\u00e3o comunicados, com a fundamenta\u00e7\u00e3o da decis\u00e3o.<\/p><\/div>\n    <\/details>\n\n    <details class=\"tb-faq-item\">\n      <summary class=\"tb-faq-question\">4. Quem responde pela comunica\u00e7\u00e3o quando o incidente ocorre em um fornecedor?<\/summary>\n      <div class=\"tb-faq-answer\"><p>A obriga\u00e7\u00e3o de comunicar \u00e9 do controlador, mesmo que o incidente tenha ocorrido na infraestrutura de um operador. Por isso, os contratos devem exigir do fornecedor notifica\u00e7\u00e3o r\u00e1pida e com conte\u00fado m\u00ednimo, para que o controlador consiga decidir dentro do prazo.<\/p><\/div>\n    <\/details>\n\n  <\/div>\n\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Em grandes opera\u00e7\u00f5es, o prazo de comunica\u00e7\u00e3o \u00e0 ANPD raramente se perde na hora de redigir o comunicado. Perde-se antes, quando o time t\u00e9cnico j\u00e1 sabe do incidente e ningu\u00e9m com poder de decis\u00e3o sabe que dados pessoais foram afetados. Estruturar esse caminho antes da crise separa uma resposta audit\u00e1vel de uma reconstru\u00e7\u00e3o apressada.<\/p>\n","protected":false},"author":3,"featured_media":7475,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7,9,175,194,190],"tags":[],"class_list":["post-7474","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artigos","category-autoridade-nacional-de-protecao-de-dados-anpd","category-ciberseguranca-e-incidentes","category-orientacoes-para-empresas","category-resposta-a-incidentes"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.4 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr? - Blog DPOnet<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/\" \/>\n<meta property=\"og:locale\" content=\"pt_BR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr? - Blog DPOnet\" \/>\n<meta property=\"og:description\" content=\"Em grandes opera\u00e7\u00f5es, o prazo de comunica\u00e7\u00e3o \u00e0 ANPD raramente se perde na hora de redigir o comunicado. Perde-se antes, quando o time t\u00e9cnico j\u00e1 sabe do incidente e ningu\u00e9m com poder de decis\u00e3o sabe que dados pessoais foram afetados. Estruturar esse caminho antes da crise separa uma resposta audit\u00e1vel de uma reconstru\u00e7\u00e3o apressada.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/\" \/>\n<meta property=\"og:site_name\" content=\"Blog DPOnet\" \/>\n<meta property=\"article:published_time\" content=\"2026-09-30T12:00:00+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/ANPD-72-LGPD.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"900\" \/>\n\t<meta property=\"og:image:height\" content=\"600\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"Reda\u00e7\u00e3o DPOnet\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Escrito por\" \/>\n\t<meta name=\"twitter:data1\" content=\"Reda\u00e7\u00e3o DPOnet\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. tempo de leitura\" \/>\n\t<meta name=\"twitter:data2\" content=\"10 minutos\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/\"},\"author\":{\"name\":\"Reda\u00e7\u00e3o DPOnet\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#\\\/schema\\\/person\\\/65249a7cff5282c6d1742c47f5a102b8\"},\"headline\":\"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr?\",\"datePublished\":\"2026-09-30T12:00:00+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/\"},\"wordCount\":1883,\"image\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ANPD-72-LGPD.webp\",\"articleSection\":[\"Artigos\",\"Autoridade Nacional de Prote\u00e7\u00e3o de Dados- ANPD\",\"Ciberseguran\u00e7a e Incidentes\",\"Orienta\u00e7\u00f5es para Empresas\",\"Resposta a Incidentes\"],\"inLanguage\":\"pt-BR\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/\",\"name\":\"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr? - Blog DPOnet\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ANPD-72-LGPD.webp\",\"datePublished\":\"2026-09-30T12:00:00+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#\\\/schema\\\/person\\\/65249a7cff5282c6d1742c47f5a102b8\"},\"breadcrumb\":{\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#breadcrumb\"},\"inLanguage\":\"pt-BR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-BR\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#primaryimage\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ANPD-72-LGPD.webp\",\"contentUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/ANPD-72-LGPD.webp\",\"width\":900,\"height\":600,\"caption\":\"ANPD-72-LGPD\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"In\u00edcio\",\"item\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr?\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#website\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/\",\"name\":\"Blog DPOnet\",\"description\":\"Tudo o que voc\u00ea precisa saber sobre LGPD\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"pt-BR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/#\\\/schema\\\/person\\\/65249a7cff5282c6d1742c47f5a102b8\",\"name\":\"Reda\u00e7\u00e3o DPOnet\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-BR\",\"@id\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2025\\\/03\\\/cropped-autor-avatar-dponet-96x96.webp\",\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2025\\\/03\\\/cropped-autor-avatar-dponet-96x96.webp\",\"contentUrl\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/wp-content\\\/uploads\\\/2025\\\/03\\\/cropped-autor-avatar-dponet-96x96.webp\",\"caption\":\"Reda\u00e7\u00e3o DPOnet\"},\"url\":\"https:\\\/\\\/dponet.com.br\\\/blog\\\/author\\\/dponet\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr? - Blog DPOnet","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/","og_locale":"pt_BR","og_type":"article","og_title":"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr? - Blog DPOnet","og_description":"Em grandes opera\u00e7\u00f5es, o prazo de comunica\u00e7\u00e3o \u00e0 ANPD raramente se perde na hora de redigir o comunicado. Perde-se antes, quando o time t\u00e9cnico j\u00e1 sabe do incidente e ningu\u00e9m com poder de decis\u00e3o sabe que dados pessoais foram afetados. Estruturar esse caminho antes da crise separa uma resposta audit\u00e1vel de uma reconstru\u00e7\u00e3o apressada.","og_url":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/","og_site_name":"Blog DPOnet","article_published_time":"2026-09-30T12:00:00+00:00","og_image":[{"width":900,"height":600,"url":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/ANPD-72-LGPD.webp","type":"image\/webp"}],"author":"Reda\u00e7\u00e3o DPOnet","twitter_card":"summary_large_image","twitter_misc":{"Escrito por":"Reda\u00e7\u00e3o DPOnet","Est. tempo de leitura":"10 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#article","isPartOf":{"@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/"},"author":{"name":"Reda\u00e7\u00e3o DPOnet","@id":"https:\/\/dponet.com.br\/blog\/#\/schema\/person\/65249a7cff5282c6d1742c47f5a102b8"},"headline":"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr?","datePublished":"2026-09-30T12:00:00+00:00","mainEntityOfPage":{"@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/"},"wordCount":1883,"image":{"@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#primaryimage"},"thumbnailUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/ANPD-72-LGPD.webp","articleSection":["Artigos","Autoridade Nacional de Prote\u00e7\u00e3o de Dados- ANPD","Ciberseguran\u00e7a e Incidentes","Orienta\u00e7\u00f5es para Empresas","Resposta a Incidentes"],"inLanguage":"pt-BR"},{"@type":"WebPage","@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/","url":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/","name":"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr? - Blog DPOnet","isPartOf":{"@id":"https:\/\/dponet.com.br\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#primaryimage"},"image":{"@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#primaryimage"},"thumbnailUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/ANPD-72-LGPD.webp","datePublished":"2026-09-30T12:00:00+00:00","author":{"@id":"https:\/\/dponet.com.br\/blog\/#\/schema\/person\/65249a7cff5282c6d1742c47f5a102b8"},"breadcrumb":{"@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#breadcrumb"},"inLanguage":"pt-BR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/"]}]},{"@type":"ImageObject","inLanguage":"pt-BR","@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#primaryimage","url":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/ANPD-72-LGPD.webp","contentUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2026\/09\/ANPD-72-LGPD.webp","width":900,"height":600,"caption":"ANPD-72-LGPD"},{"@type":"BreadcrumbList","@id":"https:\/\/dponet.com.br\/blog\/os-tres-dias-uteis-da-anpd-nao-sao-72-horas-como-estruturar-o-fluxo-de-comunicacao-de-incidentes-antes-que-o-prazo-comece-a-correr\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"In\u00edcio","item":"https:\/\/dponet.com.br\/blog\/"},{"@type":"ListItem","position":2,"name":"Os tr\u00eas dias \u00fateis da ANPD n\u00e3o s\u00e3o 72 horas: como estruturar o fluxo de comunica\u00e7\u00e3o de incidentes antes que o prazo comece a correr?"}]},{"@type":"WebSite","@id":"https:\/\/dponet.com.br\/blog\/#website","url":"https:\/\/dponet.com.br\/blog\/","name":"Blog DPOnet","description":"Tudo o que voc\u00ea precisa saber sobre LGPD","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/dponet.com.br\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"pt-BR"},{"@type":"Person","@id":"https:\/\/dponet.com.br\/blog\/#\/schema\/person\/65249a7cff5282c6d1742c47f5a102b8","name":"Reda\u00e7\u00e3o DPOnet","image":{"@type":"ImageObject","inLanguage":"pt-BR","@id":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2025\/03\/cropped-autor-avatar-dponet-96x96.webp","url":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2025\/03\/cropped-autor-avatar-dponet-96x96.webp","contentUrl":"https:\/\/dponet.com.br\/blog\/wp-content\/uploads\/2025\/03\/cropped-autor-avatar-dponet-96x96.webp","caption":"Reda\u00e7\u00e3o DPOnet"},"url":"https:\/\/dponet.com.br\/blog\/author\/dponet\/"}]}},"_links":{"self":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts\/7474","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/comments?post=7474"}],"version-history":[{"count":1,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts\/7474\/revisions"}],"predecessor-version":[{"id":7476,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/posts\/7474\/revisions\/7476"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/media\/7475"}],"wp:attachment":[{"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/media?parent=7474"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/categories?post=7474"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dponet.com.br\/blog\/wp-json\/wp\/v2\/tags?post=7474"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}