A ligação sempre chega no pior horário. Um cliente reclamando de e-mail estranho, um fornecedor de TI dizendo que "algo aconteceu no servidor", ou pior: alguém publicando dados da sua base num grupo de Telegram. A partir desse segundo, o relógio começa a correr, e a decisão mais cara que sua empresa vai tomar não é jurídica. É o que ela faz (ou deixa de fazer) nas primeiras 48 horas.
Falando sério: a maioria das empresas em Blumenau e no Vale do Itajaí que a gente atende não tem esse protocolo escrito. Descobrem o incidente e improvisam. Trocam senha, desligam servidor, apagam log "pra limpar a bagunça" e só aí, dias depois, chamam o advogado. Nessa hora, boa parte da evidência que provaria que a empresa agiu com diligência já sumiu.
A primeira regra: conter, não investigar
Nas primeiras horas, o instinto é entender o que aconteceu. Errado. A prioridade é estancar o sangramento: isolar o servidor ou sistema comprometido, revogar credenciais expostas, desconectar o ponto de acesso vulnerável. Investigação profunda vem depois, com o problema contido.
- Isole o sistema afetado da rede, sem desligá-lo (desligar pode apagar memória volátil que interessa à perícia)
- Troque senhas e revogue tokens/API keys expostos imediatamente
- Bloqueie o vetor de entrada (porta aberta, e-mail de phishing, credencial vazada)
- Não comunique publicamente ainda. Contenção primeiro, discurso depois
Documentar antes de mexer em qualquer coisa
Todo servidor que é "limpo" antes de documentado é uma prova que desaparece. Antes de restaurar backup, reinstalar sistema ou apagar log, tire print, exporte log, salve hash de arquivo. Essa documentação é o que separa uma empresa que agiu com diligência de uma que só tampou o problema.
Na prática, monte uma linha do tempo simples: quando foi detectado, quem detectou, o que foi feito e em que horário. Esse registro vira a espinha dorsal de qualquer defesa perante a ANPD depois. Sem ele, a palavra da empresa vale pouco.
Nem todo incidente é "incidente relevante"
A LGPD não obriga a empresa a notificar todo susto de TI. O art. 46 fala em adotar medidas de segurança, e o art. 48 fala em comunicar incidente que possa acarretar risco ou dano relevante ao titular. A diferença entre os dois é onde mora a dor de cabeça de todo mundo.
Nossa leitura: o que muda o jogo é o tipo de dado e o volume. Vazou e-mail de newsletter de 200 pessoas? Baixo risco. Vazou CPF, dado de saúde ou senha de acesso de 3 mil clientes? Isso é dado sensível ou dado que viabiliza fraude, risco relevante, provavelmente notificável.
- Dado sensível envolvido (saúde, biometria, dado financeiro completo): presuma risco relevante
- Volume alto de titulares afetados: peso a favor de notificar
- Dado já criptografado e chave não comprometida: risco reduzido, mas documente a análise mesmo assim
- Incidente interno sem exposição externa (funcionário viu planilha que não devia): avalie, mas normalmente não notifica
Decidir a ANPD: melhor errar por excesso do que por omissão
Não existe prazo fixo em lei dizendo "48 horas para notificar a ANPD". O que existe é a exigência de comunicação em prazo razoável, e a prática do mercado (inspirada no GDPR europeu, que fala em 72h) consolidou essa janela como referência de boa governança. Empresa que demora semanas pra decidir já perdeu a narrativa de que agiu rápido.
Se a sua empresa é ME, EPP ou startup, a Resolução CD/ANPD 02/2022 dá regime simplificado de notificação e prazos mais elásticos. Isso não te dispensa de notificar quando o risco é relevante: só simplifica o formulário e reduz a exigência documental. Vale checar o enquadramento antes de assumir que "empresa pequena não precisa avisar".
E o titular, precisa avisar também?
Sim, quando o risco é relevante, o art. 48 exige comunicação ao titular também, não só à ANPD. E aqui mora um erro comum: empresa avisa a autoridade e esquece do cliente, ou vice-versa. As duas comunicações andam juntas.
A comunicação ao titular não precisa (nem deve) ser um comunicado alarmista. Precisa ser objetiva: o que vazou, quando foi descoberto, o que a empresa já fez e o que o titular deve fazer (trocar senha, monitorar fatura, acionar o banco). Texto genérico de "lamentamos o ocorrido" sem instrução prática não protege ninguém, nem o titular, nem a empresa.
Quem fala dentro da empresa (e quem não fala)
Incidente de segurança vira boato rápido. Alguém do financeiro comenta no grupo de WhatsApp, o atendimento recebe pergunta e improvisa resposta, e de repente a empresa tem três versões diferentes do mesmo fato circulando. Defina uma única porta-voz, geralmente o encarregado (DPO) previsto no art. 41, e instrua todo mundo a direcionar pergunta pra essa pessoa.
Se sua empresa ainda não nomeou encarregado formalmente, esse é o primeiro furo que um incidente escancara. Toda controladora precisa ter essa figura, mesmo que seja o próprio sócio acumulando a função numa empresa pequena.
O que fazer nas próximas duas semanas
Incidente resolvido não é incidente encerrado. As duas semanas seguintes definem se a empresa aprendeu algo ou só tapou buraco.
- Formalize o protocolo de resposta a incidente por escrito, com nomes e responsabilidades definidas, não deixe pra descobrir quem decide no meio da crise
- Revise contratos com fornecedores de TI e operadores de dados: quem avisa quem, e em quanto tempo, quando o incidente ocorre no ambiente deles
- Documente formalmente a análise de risco do incidente que já ocorreu, mesmo que a conclusão tenha sido "não notificável"
- Confirme (ou nomeie) o encarregado de dados e deixe o contato dele visível no site
- Rode um teste simulado de vazamento com a equipe, ninguém decide bem sob pressão na primeira vez
A multa da ANPD pode chegar a 2% do faturamento no Brasil, até R$ 50 milhões por infração. Mas na nossa experiência, o dano maior quase nunca é a multa: é o cliente que descobre pela imprensa antes de descobrir pela empresa. Protocolo escrito não evita o incidente. Evita que ele vire dois problemas ao mesmo tempo.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
