Incidente com dados de clientes: o que organizar após a regra da ANPD

Análise · Fato de 26/04/2024 · Revisado em 31/10/2026.

Uma loja que identifica um incidente envolvendo dados de clientes precisa avaliar o impacto, registrar o ocorrido e verificar se deve comunicar as pessoas afetadas e a ANPD. A Resolução CD/ANPD nº 15/2024, publicada em 26 de abril de 2024, estabeleceu um regulamento específico para essa comunicação. A obrigação não deve ser confundida com o simples registro de qualquer falha de computador.

O que a regra trouxe para a rotina

A ANPD informa que a comunicação é exigida para incidentes capazes de ocasionar risco ou dano relevante. Já o artigo 10 do regulamento exige que o controlador mantenha registros dos incidentes com dados pessoais, inclusive dos não comunicados, por pelo menos cinco anos desde o registro. Outras obrigações podem exigir prazo maior. A orientação oficial diferencia ocorrência confirmada, dados pessoais e avaliação de risco. Uma vulnerabilidade, sozinha, não comprova exposição.

Para a comunicação devida, o prazo geral é de três dias úteis, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvada legislação específica. O regulamento para agentes de pequeno porte prevê prazo em dobro para quem pode usufruir do tratamento diferenciado. Esse enquadramento possui condições e exclusões, inclusive relacionadas ao alto risco. Não basta a empresa se apresentar comercialmente como pequena para presumir que toda flexibilização se aplica.

Prepare uma resposta que comece pelos fatos

Defina previamente quem recebe o alerta, quem pode acionar suporte técnico e quem avalia as obrigações de comunicação. Quando surgir uma ocorrência, registre a data em que a empresa tomou conhecimento, o sistema envolvido, os dados possivelmente atingidos e as medidas tomadas. Diferencie informação confirmada de hipótese ainda em investigação.

Exemplo didático: uma planilha de pedidos foi enviada ao destinatário errado. A análise precisa identificar quais campos estavam no arquivo, quem o recebeu e o que foi feito para reduzir a exposição. Dizer apenas que “foi um e-mail” não descreve o risco. Também não é correto afirmar que houve fraude financeira sem qualquer evidência desse resultado.

Proteja as evidências e restrinja a circulação

Guarde registros de acesso, mensagens e relatórios necessários à apuração em um local controlado. Evite transformar um grupo de mensagens de toda a equipe no arquivo do incidente. O objetivo é permitir análise por quem precisa atuar, sem ampliar a divulgação dos dados atingidos.

Peça ao prestador de tecnologia um relato compreensível: o que aconteceu, quando, qual alcance foi identificado e quais dúvidas persistem. Uma resposta genérica de que o problema foi corrigido não informa se dados foram acessados ou se ainda há contas comprometidas. Registre as perguntas que continuam sem resposta e quem irá investigá-las.

Comunique o que pode ser sustentado

Quando a comunicação for devida, explique a natureza do incidente, os riscos conhecidos e as orientações aplicáveis aos titulares. A avaliação do caso concreto deve considerar a regulamentação vigente e apoio especializado quando necessário. Não anuncie que “nenhum dado foi afetado” apenas porque o serviço voltou a funcionar.

Como preparação, reúna contatos de emergência, procedimentos dos fornecedores e um modelo de registro interno. Faça um exercício com uma situação simples e veja se a equipe consegue localizar essas informações. A utilidade do plano está em permitir decisões documentadas dentro do prazo aplicável, mesmo quando ainda existem pontos em apuração.

Fontes e referências

• ANPD aprova o Regulamento de Comunicação de Incidente de Segurança — ANPD, 2024-04-26. Consultado em 31/10/2026.
• Comunicação de Incidente de Segurança — ANPD. Consultado em 31/10/2026.
• Resolução CD/ANPD nº 2, de 27 de janeiro de 2022 — ANPD. Consultado em 31/10/2026.
• Resolução CD/ANPD nº 15, de 24 de abril de 2024 — ANPD / Biblioteca Digital do Ministério da Justiça e Segurança Pública. Consultado em 31/10/2026.