Comunicação de incidente à ANPD: guia completo da Resolução 15/2024

Quando um incidente de segurança afeta dados pessoais e pode causar risco ou dano relevante aos titulares, o controlador tem três dias úteis para comunicar a ANPD e os titulares afetados. O prazo conta a partir do momento em que o controlador fica sabendo que o incidente atingiu dados pessoais, e não da data do ataque. É o que diz a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança e entrou em vigor na data da publicação.

A comunicação pode ser complementada em até 20 dias úteis, os agentes de pequeno porte têm os prazos em dobro e todo incidente, comunicado ou não, precisa ficar registrado por pelo menos cinco anos. Este guia reúne o que a norma pede em cada etapa, o passo a passo no sistema da ANPD, um modelo de registro interno e o que os primeiros processos sancionadores mostram.

• Quando o incidente precisa ser comunicado
• Todos os prazos em uma tabela
• Controlador, operador, encarregado e casos especiais
• Como comunicar a ANPD, passo a passo
• Comunicação aos titulares
• Modelo de registro de incidentes
• Erros que o próprio texto da norma ajuda a prever
• O que a ANPD já decidiu
• Por onde começaríamos

Quando o incidente precisa ser comunicado

Para a resolução, incidente de segurança é qualquer evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (art. 3º). Suspeita não basta. Mas confirmar não significa ter o diagnóstico completo: basta saber que houve o evento e que ele atingiu dados pessoais.

Nem todo incidente confirmado vai para a ANPD. O art. 5º exige duas condições ao mesmo tempo. A primeira é que o incidente possa afetar de forma significativa interesses e direitos fundamentais dos titulares, por exemplo impedindo o uso de um serviço ou causando dano material ou moral, como discriminação, roubo de identidade ou fraude financeira. A segunda é que envolva pelo menos um destes critérios:

• dados pessoais sensíveis;
• dados de crianças, adolescentes ou idosos;
• dados financeiros;
• dados de autenticação em sistemas, como logins, tokens e senhas;
• dados protegidos por sigilo legal, judicial ou profissional;
• dados em larga escala, medida pelo número de titulares, volume de dados, duração, frequência e extensão geográfica do tratamento.

Um vazamento da base de senhas de um portal de clientes entra pelo critério de autenticação quase sempre. E há um fator que pesa na avaliação: a criptografia. O art. 48, § 3º, da LGPD manda considerar, no juízo de gravidade, se foram adotadas medidas técnicas que tornem os dados ininteligíveis para quem não tem autorização. Um notebook perdido com disco cifrado não tem o mesmo peso de uma planilha aberta no e-mail. Na nossa leitura, o erro mais caro aqui é decidir «não comunicar» sem deixar escrito por quê. Essa decisão vai precisar ser defendida depois, e a única defesa é o registro.

Todos os prazos em uma tabela

A resolução tem vários relógios correndo ao mesmo tempo. Reunidos:

Como o relógio funciona na prática

Se um ataque acontece na sexta e só na terça a equipe confirma que havia dados de clientes no servidor comprometido, o prazo começa na terça. Os motivos da demora fazem parte do formulário, e a data de ciência é o que mostra se o prazo foi cumprido. O art. 6º também ressalva os casos em que outra lei fixa prazo diferente. Bancos e instituições autorizadas pelo Banco Central, por exemplo, têm ainda as regras de comunicação ao BCB da Resolução CMN 4.893, que correm em paralelo.

A página da ANPD sobre o tema é explícita em um ponto que muita gente lê errado: a comunicação preliminar sozinha é insuficiente para cumprir o art. 48 da LGPD. Ela é admitida quando ainda faltam informações ou não foi possível avisar todos os titulares a tempo, com a demora justificada, e precisa ser complementada em 20 dias úteis no mesmo processo.

Controlador, operador, encarregado e casos especiais

A obrigação de comunicar é do controlador (art. 4º da resolução e art. 48 da LGPD). A resolução não traz um artigo próprio para o operador: o formulário só pede que ele seja identificado quando houver. A orientação da ANPD, na página de comunicação de incidentes, é que o operador informe o controlador sem demora injustificada e passe os dados necessários, e que essa obrigação esteja no contrato entre os dois.

O encarregado é quem faz a comunicação, ou um representante com poderes comprovados (art. 6º, §§ 5º e 6º). Os documentos que provam a representação vão junto com a comunicação; se não forem, a ANPD pode apurar o incidente pelo procedimento de fiscalização próprio (art. 6º, § 7º). A decisão de comunicar continua sendo do controlador. O papel do encarregado está detalhado no nosso artigo sobre a Resolução CD/ANPD nº 18/2024.

Duas situações mudam o desenho:

• Agentes de pequeno porte. A própria Resolução 15 alterou o art. 14 da Resolução CD/ANPD nº 2/2022 para alinhar o prazo em dobro.
• Setor público. Pelo art. 52, § 3º, da LGPD, órgãos e entidades públicas podem receber advertência, publicização da infração, bloqueio, eliminação e suspensões, mas não as multas. O art. 10, § 2º, da resolução afasta para eles os prazos de guarda do registro, desde que sigam as regras de documentos de guarda permanente.

Como comunicar a ANPD, passo a passo

A comunicação é feita por formulário eletrônico (art. 6º, § 4º), pelo peticionamento do SEI!ANPD. Segundo a página da Agência, o caminho é este:

1. Entrar no SEI!ANPD como usuário externo. O login aceita as credenciais do gov.br.
2. Em «Peticionamento», escolher «Processo Novo» e o tipo «ANPD: Comunicados de Incidentes à Agência Nacional de Proteção de Dados».
3. Preencher o formulário, preliminar ou completo, como documento principal.
4. Anexar em documentos complementares a prova de representação: ato de nomeação do encarregado, procuração ou atos constitutivos.
5. Para completar depois, usar o peticionamento «Intercorrente», informando o número do processo original.

Documentos marcados como públicos no SEI podem ser vistos sem login: confira o nível de acesso antes de enviar. Não é preciso mandar a lista de titulares. O art. 7º permite pedir sigilo, com justificativa, para informações protegidas por segredo comercial ou industrial.

O art. 6º, § 2º, lista doze informações. Agrupadas por tipo de pergunta:

A terceira coluna é a nossa leitura do que costuma faltar em três dias.

Comunicação aos titulares: linguagem simples e canal direto

Os titulares afetados também têm de ser avisados em três dias úteis (art. 9º). A mensagem é escrita em linguagem simples e enviada de forma direta e individual sempre que os titulares puderem ser identificados, pelos meios que o controlador normalmente usa para falar com eles: telefone, e-mail, mensagem eletrônica ou carta (art. 9º, § 2º). Quando isso não for possível, o aviso é publicado nos canais do controlador (site, aplicativo, redes sociais, atendimento) com destaque, por no mínimo três meses (art. 9º, § 3º).

Estrutura da mensagem

Com as sete informações do art. 9º, a mensagem pode seguir estes blocos:

1. O que aconteceu e quando a empresa soube.
2. Quais dados seus foram afetados (natureza e categoria, sem jargão).
3. Que riscos isso traz para você.
4. O que a empresa já fez e o que ainda vai fazer, incluindo as medidas de segurança.
5. Por que o aviso demorou, se demorou.
6. O que recomendamos que você faça agora, como trocar a senha ou acompanhar o extrato.
7. Com quem falar, incluindo o contato do encarregado.

O bloco 6 não é obrigatório, mas o art. 9º, § 5º, permite que seja considerado boa prática, o que conta na dosimetria de uma eventual sanção. Depois de comunicar, o controlador tem mais três dias úteis, contados do fim do prazo, para declarar à ANPD que avisou os titulares e por quais meios (art. 9º, § 4º). A ANPD pode pedir a qualquer momento uma cópia do aviso.

Modelo de registro de incidentes

O art. 10 obriga o controlador a registrar todos os incidentes, inclusive os que não foram comunicados, e a guardar esse registro por pelo menos cinco anos. Transformando o conteúdo mínimo em campos de formulário, com um exemplo fictício de preenchimento:

Na nossa leitura, vale acrescentar dois campos que a norma não pede mas que respondem às perguntas que a ANPD pode fazer depois: quem aprovou a decisão de comunicar ou não, e onde estão as evidências técnicas. O registro pesa sobretudo quando a ANPD chega ao incidente por outra porta, como uma reclamação de titular ou uma notícia na imprensa. E o art. 8º permite à Agência pedir, a qualquer momento, o registro das operações de tratamento, o relatório de impacto (RIPD) e o relatório de tratamento do incidente.

Erros que o próprio texto da norma ajuda a prever

• Tratar a comunicação preliminar como final. A ANPD diz que ela não cumpre o art. 48 sozinha. Sem a complementação em 20 dias úteis, o processo fica incompleto.
• Enviar sem a prova de representação. O art. 6º, § 7º, abre caminho para a ANPD apurar o incidente pelo procedimento de fiscalização.
• Publicar no site quando dava para avisar um a um. O aviso público é a exceção do art. 9º, § 3º. Se a empresa tem o e-mail do cliente, o caminho é o e-mail.
• Esquecer a declaração do art. 9º, § 4º. Avisar os titulares e não informar a ANPD deixa sem prova o cumprimento.
• Registrar só o que foi comunicado. O art. 10 pede todos os incidentes, e o campo «motivos da não comunicação» existe exatamente para os outros.
• Contrato com operador sem prazo de aviso. A norma não fixa esse prazo, então só o contrato pode fixar.

O que a ANPD já decidiu

Recebida a comunicação, a ANPD abre um processo de fiscalização e pode determinar medidas preventivas, com multa diária se não forem cumpridas (art. 15), e a ampla divulgação do incidente por conta do controlador (arts. 18 e 19). Essas medidas não são sanções (art. 22); a sanção vem se o controlador não as adota a tempo (art. 21).

Os processos sancionadores já publicados mostram onde a Agência foi mais dura, e todos envolvem a comunicação aos titulares:

• Secretaria de Estado da Saúde de Santa Catarina. Em outubro de 2023, a ANPD aplicou quatro advertências, entre elas por infração aos arts. 48 e 49 da LGPD. O comunicado do incidente não indicava de forma clara, adequada e tempestiva quais dados podiam ter sido afetados, e cerca de 300 mil titulares não foram avisados. Entre as medidas determinadas, manter um aviso geral no site por 90 dias e informar diretamente os titulares identificados.
• INSS. No processo 00261.001888/2023-21, sobre um incidente de 2022 no sistema de benefícios, o instituto alegou inviabilidade técnica de identificar os afetados e não fez a comunicação. A ANPD não aceitou o argumento, porque o aviso poderia ter sido feito por ampla divulgação, e aplicou a publicização da infração no site e no aplicativo Meu INSS por 60 dias. O recurso foi decidido pelo Conselho Diretor no Circuito Deliberativo nº 15/2024, segundo a lista de decisões da ANPD.

São dois órgãos públicos, por isso não houve multa; uma empresa privada estaria sujeita às multas do art. 52 da LGPD. A lição dos dois casos é a mesma: «não dá para identificar quem foi afetado» não dispensa ninguém de comunicar, só muda o canal.

Por onde começaríamos

Três dias úteis não dão tempo de montar um processo durante a crise. Esta é a ordem que seguiríamos para deixar tudo pronto antes:

1. Cadastro no SEI!ANPD e comprovante de representação. Quem vai assinar a comunicação precisa ter acesso de usuário externo e o documento que comprova os poderes já separado.
2. Critério escrito de risco relevante. Uma página que traduza o art. 5º para os sistemas e as bases da empresa: quais têm dados sensíveis, financeiros ou de autenticação, quais estão em larga escala, quais estão cifrados.
3. Papéis definidos. Quem declara o incidente, quem avalia o risco, quem aprova a comunicação e quem fala com os titulares.
4. Cláusula de aviso nos contratos com operadores. Com prazo em horas e lista do que o operador deve informar.
5. Modelos prontos. Formulário preliminar, mensagem aos titulares na estrutura acima e a declaração do art. 9º, § 4º.
6. Registro único de incidentes. Com os campos do art. 10 e a decisão de comunicar ou não, assinada e datada.

No GlobalSuite®, o módulo de Gestão de incidentes registra, classifica e acompanha cada incidente até o fechamento, e é aí que ficam a avaliação de risco e a decisão de comunicar com data e responsável.

Fontes oficiais: Resolução CD/ANPD nº 15, de 24 de abril de 2024 (DOU), página da ANPD sobre comunicação de incidente de segurança, decisões em processos sancionadores da ANPD e Lei nº 13.709/2018 (LGPD), arts. 48 e 52. Conteúdo revisado em outubro de 2026.