Resposta a Incidentes de Dados
Protocolo jurídico de resposta a vazamentos e incidentes de segurança — comunicação à ANPD, comunicação aos titulares e contenção dos riscos para a empresa.
Incidente de dados tem prazo. Resposta rápida reduz exposição.
A LGPD exige a comunicação de incidentes de segurança com dados pessoais à ANPD. A Resolução CD/ANPD nº 15/2024 consolidou esse prazo em até 3 dias úteis, quando houver obrigação de comunicação, ressalvada regra específica aplicável. A comunicação deve ser avaliada rapidamente e, quando obrigatória, observada no prazo regulatório aplicável — e a resposta jurídica imediata faz a diferença entre um incidente administrado e uma crise com repercussão pública.
- Resposta jurídica imediata com protocolo estruturado
- Comunicação à ANPD e aos titulares dentro do prazo regulatório aplicável
- Contenção dos riscos jurídicos, reputacionais e regulatórios para a empresa
Incidente de dados não é só problema de TI — é uma crise com dimensão jurídica, regulatória e reputacional simultânea. A Pala tem protocolo para conduzir a resposta jurídica da empresa desde a detecção até o encerramento do incidente junto à ANPD.
VISÃO GERAL
O que é: A Resposta a Incidentes de Dados é o serviço de suporte jurídico imediato quando a empresa identifica um vazamento, acesso não autorizado, perda ou qualquer outro incidente envolvendo dados pessoais. Inclui a avaliação da gravidade e do impacto do incidente, a definição da obrigação de comunicação à ANPD e aos titulares afetados, a redação e o envio das comunicações, o suporte à comunicação interna e externa, e a gestão dos riscos jurídicos e regulatórios ao longo do processo.
Também inclui o apoio na estruturação do protocolo de resposta a incidentes para empresas que querem estar preparadas antes que o incidente ocorra.
Por que é importante: A LGPD estabelece que o controlador deve comunicar à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A ausência de comunicação, ou a comunicação intempestiva, pode configurar infração autônoma — punível independente da responsabilidade pelo incidente em si. Além disso, a forma como a empresa responde ao incidente impacta diretamente a avaliação da ANPD na aplicação de sanções: empresa com protocolo estruturado e resposta transparente recebe tratamento diferente de empresa que tentou encobrir ou reagiu de forma desorganizada.
Preencha os dados abaixo. Nossa equipe faz a triagem e retorna pelo canal informado.
Sua mensagem foi enviada
A equipe da Pala fará a triagem das informações e retornará pelo canal informado.
O QUE ESSE SERVIÇO RESOLVE
Incidente detectado sem saber o que fazer
Quando o vazamento é identificado, a empresa precisa responder rapidamente. Sem protocolo definido e suporte jurídico imediato, a empresa pode perder o prazo de comunicação, tomar decisões de comunicação sem avaliação de risco e enfrentar a crise de forma reativa em vez de estruturada.
Obrigação de comunicação à ANPD
A comunicação à ANPD precisa conter informações específicas: natureza dos dados afetados, quantidade de titulares impactados, medidas de segurança adotadas, riscos e medidas de mitigação. Comunicação incompleta ou fora do prazo pode configurar infração autônoma. A Pala elabora e submete a comunicação com o conteúdo adequado ao que a ANPD exige.
Comunicação aos titulares afetados
Quando o incidente representa risco relevante para os titulares, a LGPD exige que eles sejam comunicados — com informações sobre o que ocorreu, quais dados foram afetados e o que a empresa está fazendo. A redação dessa comunicação tem impacto direto na percepção pública e na credibilidade da empresa.
Riscos jurídicos que surgem após o incidente
Depois do incidente, a empresa pode enfrentar questionamentos de titulares afetados, investigações da ANPD, ações coletivas e exigências de parceiros comerciais e seguradoras. O suporte jurídico pós-incidente mapeia esses riscos e estrutura a resposta para cada frente.
NOSSO PROCESSO
Etapa 1
Avaliação imediata do incidente
Análise do incidente relatado — natureza dos dados afetados, extensão do vazamento, sistemas envolvidos e impacto potencial sobre os titulares — com avaliação da obrigação de comunicação à ANPD e dos prazos aplicáveis.
Etapa 2
Comunicação à ANPD
Elaboração e submissão da comunicação à ANPD dentro do prazo regulatório aplicável, com as informações disponíveis no momento — seguida de complementação conforme o avanço das investigações internas.
Etapa 3
Comunicação aos titulares
Definição dos titulares que precisam ser comunicados, redação da comunicação com a linguagem e o conteúdo adequados ao que a LGPD e a ANPD exigem, e apoio na execução da comunicação.
Etapa 4
Suporte à gestão da crise
Orientação jurídica ao longo da resposta ao incidente — para decisões de comunicação pública, relacionamento com imprensa, fornecedores e seguradoras, e para eventuais questionamentos de clientes e parceiros comerciais afetados.
Etapa 5
Encerramento e aprendizado
Suporte ao encerramento formal do incidente junto à ANPD e elaboração de relatório de lições aprendidas — identificando as lacunas que permitiram o incidente e as medidas que precisam ser implementadas para prevenir ocorrências futuras.
A Resposta a Incidentes faz sentido quando:
- A empresa identificou um vazamento ou acesso não autorizado a dados pessoais
- Houve ataque de ransomware ou outra invasão que afetou sistemas com dados pessoais
- Um fornecedor ou parceiro comunicou que sofreu incidente que pode ter afetado dados compartilhados
- A empresa quer estruturar um protocolo de resposta a incidentes antes que o incidente ocorra
- A empresa quer fazer simulação (tabletop exercise) para testar a preparação da equipe para uma crise de dados
- A ANPD notificou a empresa sobre investigação de incidente já ocorrido
Dra. Suely Cristina Pala
Esta área é liderada pela Dra. Suely Cristina Pala — advogada tributarista, contadora e engenheira, unindo experiência empresarial, tecnologia e estratégia tributária na condução dos projetos da área.
