Por Incidente de segurança com dados pessoais é evento que compromete ou pode comprometer dados, como acesso não autorizado, perda, alteração, divulgação ou indisponibilidade. O controlador deve avaliar impacto e risco aos titulares. Pela Resolução CD/ANPD nº 15/2024, incidentes que possam acarretar risco ou dano relevante devem ser comunicados à ANPD e aos titulares nos prazos e condições do regulamento.
Onde esse conceito aparece?
O regulamento da ANPD considera, entre outros fatores, impacto significativo em direitos e interesses e envolvimento de dados sensíveis, de crianças, financeiros, de autenticação, protegidos por sigilo ou tratados em larga escala. A comunicação à ANPD deve ocorrer em três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, ressalvados prazos legais específicos; agentes de pequeno porte podem ter prazo em dobro nas condições regulamentares. Incidentes devem ser registrados pelo período estabelecido na norma.
Uma resposta coordenada
Mantenha responsáveis de segurança, privacidade, jurídico, comunicação e operação em contato, com papéis e aprovadores definidos. Preserve logs e cadeia de custódia, evite divulgar dados adicionais no aviso e centralize atualizações. Após contenção, corrija a causa, teste controles e registre lições aprendidas para reduzir recorrência.
Por que importa em uma decisão?
Acione o plano interno, contenha o evento e preserve evidências; identifique dados, titulares, sistemas, período, causa provável e medidas de mitigação. O controlador avalia risco e necessidade de comunicação, articula operadores e encarregado e registra justificativa. Use os canais oficiais da ANPD e comunicações claras aos titulares quando exigidas, atualizando informações complementares conforme permitido pelo regulamento.
Limites e cuidados de interpretação
Nem toda falha técnica exige comunicação pública, mas toda ocorrência deve ser triada e documentada. Não espere investigação perfeita para cumprir prazo regulatório quando a comunicação for obrigatória; a norma permite complementação em condições próprias. O operador deve avisar o controlador sem demora operacional, conforme contrato e plano, para que o responsável legal avalie a comunicação.
Indicadores e testes do programa
Acompanhe tempo entre detecção e contenção, incidentes repetidos, vulnerabilidades abertas, fornecedores sem contato atualizado e ações corretivas vencidas. Métrica deve ser comparável e não incentivar subnotificação. Faça exercício de mesa com cenário de exposição de dados, teste de backup e avaliação de acesso privilegiado. Registre falhas do próprio exercício e corrija. A liderança precisa receber visão de risco residual, não somente número de chamados.
Critério de notificação e registro da decisão
Avalie se incidente pode acarretar risco ou dano relevante a titulares e aplique regulamento da ANPD vigente, considerando dados, escala, titulares vulneráveis e mitigação. Consulte encarregado e jurídico, controle prazo e registre fundamentos, inclusive quando se decide não comunicar. Se novos fatos elevarem risco, reabra avaliação. Não espere investigação técnica terminar para cumprir prazo regulatório quando norma exigir comunicação tempestiva.
Comunicação interna e preservação de evidência
Use canal de reporte simples, disponível fora do sistema comprometido e com orientação para não apagar mensagens ou reiniciar equipamento. Registre quem detectou, como, quando, quais dados podem estar envolvidos e quais medidas já foram tomadas. Restrinja compartilhamento a equipe de resposta e mantenha cópia protegida de logs. Evite nomes de titulares em chat amplo. Um registro inicial incompleto pode ser atualizado; atraso por esperar certeza total reduz capacidade de conter dano.
Ações corretivas verificáveis
Cada causa raiz deve gerar ação com dono, prazo, evidência de conclusão e teste de eficácia. Exemplos incluem MFA, correção de configuração, revisão de permissão, criptografia, atualização de fornecedor e treinamento. Fechar chamado não prova que risco foi mitigado; repita teste ou monitore. Se causa depender de terceiro, solicite comprovação e valide em amostra. Relate risco residual à liderança e aceite formalmente apenas por autoridade competente.
Papéis, escalonamento e disponibilidade
Plano deve nomear líder de incidente, segurança, privacidade, jurídico, comunicação e fornecedor, com contatos alternativos e poder de decisão. Defina critérios de severidade, plantão, canal seguro e autoridade para suspender integração. Inclua cenários de ransomware, credencial exposta, envio errado, perda de dispositivo e indisponibilidade. Faça simulação com liderança e equipes operacionais, medindo tempo de detecção, contenção e decisão. Atualize após mudanças de sistemas e contratos.
Fornecedores e cadeia de notificação
Contrato precisa indicar como operador comunica evento, quais dados fornece, prazo interno, cooperação forense, evidência, subcontratados e suporte. O controlador não deve descobrir incidente apenas por notícia pública. Teste fluxo de contato e confirme que fornecedores sabem preservar logs. Em cadeia longa, identifique quem decide comunicar titular e ANPD; não deixe responsabilidade ambígua. Registre exercício e falha de comunicação para remediação.
Risco ao titular e medidas de mitigação
Avalie se houve exposição de dado identificável, sensível ou financeiro, chance de uso fraudulento, volume, duração e facilidade de conter. Medida de mitigação pode incluir redefinir senha, bloquear cartão, corrigir cadastro, monitorar conta ou orientar titular, conforme caso. Evite mensagens alarmistas sem informação confirmada, mas não omita ação útil. A comunicação deve informar fato conhecido, risco, canal e providência, respeitando norma vigente e investigação.
Lições aprendidas e prova de conformidade
Ao encerrar, produza relatório com cronologia, causa raiz, decisões, evidências, impacto, notificação e plano de correção. Atribua dono e prazo a cada ação, valide implantação e atualize matriz de risco. Preserve documentos e confidencialidade dentro do necessário. Métrica de incidente deve apoiar prevenção, não punição automática de quem reportou. A cultura de comunicação rápida melhora chance de conter dano.
Reconhecer e classificar um incidente
Incidente de segurança pode envolver acesso não autorizado, perda, alteração, indisponibilidade ou divulgação de dados pessoais. Nem todo alerta é violação confirmada, mas cada suspeita precisa de triagem e registro. Identifique sistema, dados, titulares, volume, duração, vulnerabilidade, destinatários e possibilidade de contenção. Preserve logs e evidências sem ampliar exposição. Separe causa técnica de impacto sobre pessoas. Acione segurança, encarregado, jurídico e gestão conforme plano, com papéis e contatos claros.
Contenção e investigação
Revogue credenciais comprometidas, bloqueie compartilhamento, isole dispositivo ou restaure serviço segundo plano seguro. Não apague logs nem reinicie sistema sem preservar evidência forense necessária. Registre cronologia, decisões, responsáveis e medidas. Investigue se cópia foi acessada, baixada ou apenas exposta e mantenha hipótese até confirmar. Teste correção antes de reabrir acesso. Fornecedor deve comunicar controlador sem demora contratualmente definida e apoiar investigação.
Avaliação de risco e comunicação
Avalie natureza dos dados, número e perfil dos titulares, chance de fraude, dano material ou moral e medidas de proteção já aplicadas. Regras da ANPD determinam comunicação em situações e prazos próprios; consulte regulamento vigente e orientação oficial antes de concluir se notificação é exigida. Se comunicar, informe descrição, riscos, medidas e canal para titulares conforme aplicável. Documente também decisão fundamentada de não comunicar e reavalie diante de novos fatos.
Recuperação e prevenção de recorrência
Após conter, recupere integridade, teste backups, corrija vulnerabilidade e monitore atividade. Notifique afetados ou autoridades quando exigido e ofereça orientação prática proporcional. Revise controles, contrato, treinamento, configuração e permissões; atribua prazo e responsável. Faça exercício simulado e teste se a equipe consegue acionar plano. Aprendizado precisa virar mudança verificável, não só relatório. Preserve documentação pelo período necessário à prestação de contas.
Proteção de dados e evidência
Relatório de incidente deve limitar identificadores e circular por canal protegido. Compartilhe detalhes técnicos com equipes que precisam remediar; evite expor vulnerabilidade em comunicação ampla. Registre fontes e versões, preserve hashes quando pertinente e documente cadeia de custódia. Dados de saúde, crianças, finanças ou processos exigem atenção especial. Consulte LGPD, operador de dados e orientação da ANPD listada nas fontes do artigo.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.