Depois de um vazamento, a pressa costuma ser toda técnica: conter, erradicar, restaurar. Mas existe um relógio jurídico correndo em paralelo, e ele não espera o forense terminar.

O que a lei exige

O artigo 48 da LGPD determina que o controlador comunique à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixou o prazo: três dias úteis contados do conhecimento do incidente. Para agentes de tratamento de pequeno porte, o prazo é contado em dobro — seis dias úteis.

Quando não é possível reunir todas as informações a tempo, a comunicação pode ser feita em etapas. A parte preliminar entra dentro do prazo, com justificativa, e o complemento pode ser enviado em até vinte dias úteis a contar da comunicação inicial.

Comunicar ao titular é outra coisa

A notificação à autoridade e a comunicação ao titular têm públicos diferentes e não devem ter o mesmo texto. O titular precisa entender, em linguagem clara e acessível, quais dados dele foram atingidos, que risco isso representa e o que ele pode fazer a respeito. Jargão técnico e eufemismo aqui não protegem ninguém — apenas transferem o custo do incidente para quem já foi lesado.

O que preparar antes de precisar

• Um responsável nomeado por acionar o processo, com suplente.

• Modelos de comunicação prontos — para a ANPD, para os titulares e para a imprensa.

• Critério documentado do que a organização considera