// Conformidade

LGPD e Segurança Cibernética: Obrigações, Prazo de Incidente e Checklist

A parte da LGPD (Lei 13.709/2018) que mais gera dúvida no dia a dia de segurança não está na lei — está no regulamento. Desde a Resolução CD/ANPD nº 15, de 24 de abril de 2024, o “prazo razoável” do art. 48 virou um número concreto: três dias úteis. Se o material que você usa como referência não cita essa resolução, ele descreve um regime que não vale mais.

O que segue é o regime em vigor, conferido artigo por artigo na fonte oficial. Não é aconselhamento jurídico — é o mapa para conversar com o jurídico sabendo do que se trata.

O que a LGPD exige de segurança da informação (arts. 46 a 49)

O Capítulo VII da LGPD é curto e direto:

• Art. 46. Adotar “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito”. O § 2º exige que sejam observadas “desde a fase de concepção do produto ou do serviço até a sua execução” — privacy by design com força de lei.
• Art. 47. A obrigação vale “mesmo após o término” do tratamento. Base desativada não é base desprotegida.
• Art. 49. Os sistemas “devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança”.

Dois detalhes que costumam passar batido:

Não existe uma lista legal de controles obrigatórios. O art. 46, § 1º diz que a ANPD poderá dispor sobre padrões técnicos mínimos — e, até aqui, ela não fixou um catálogo vinculante. O padrão é de adequação: medidas proporcionais à natureza dos dados, ao volume, ao risco e ao estado da tecnologia.

A ausência de medidas gera responsabilidade civil direta. O art. 44, parágrafo único: “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”. Isso corre independentemente de qualquer sanção administrativa.

No plano dos princípios (art. 6º), três incisos sustentam tudo isso: segurança (VII), prevenção (VIII) e responsabilização e prestação de contas (X). O X é o mais exigente: você precisa demonstrar a adoção das medidas e a eficácia delas. Sem evidência registrada, o controle não existe do ponto de vista regulatório.

O que é um incidente de segurança — e quando ele vira comunicável

A Resolução 15/2024 define incidente de segurança como “qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais” (art. 3º, XII).

Três consequências práticas, conforme as orientações publicadas pela própria ANPD:

• Vulnerabilidade não é incidente. A mera existência de uma falha não dispara nada. A exploração dela, sim, pode.
• Indisponibilidade conta. Não é só vazamento. Ransomware que trava o acesso aos dados de pacientes é incidente, mesmo sem exfiltração.
• Dado anonimizado não conta. Incidente que envolva apenas dados anonimizados, ou que não se relacione a pessoa natural identificada ou identificável, não precisa ser comunicado.

Confirmado o incidente, a pergunta seguinte é: ele pode acarretar risco ou dano relevante? O art. 5º estabelece um teste cumulativo — o incidente precisa poder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes seis critérios:

1. dados pessoais sensíveis;
2. dados de crianças, de adolescentes ou de idosos;
3. dados financeiros;
4. dados de autenticação em sistemas;
5. dados protegidos por sigilo legal, judicial ou profissional;
6. dados em larga escala.

O § 1º dá exemplos do que “afetar significativamente” quer dizer: impedir o exercício de direitos ou o uso de um serviço, ou causar danos materiais ou morais como discriminação, violação à integridade física, à imagem e à reputação, fraudes financeiras ou roubo de identidade. O § 2º esclarece que “larga escala” considera número de titulares, volume de dados, duração, frequência e extensão geográfica.

Repare no critério 4: uma base de login e senha exposta já satisfaz a segunda metade do teste. Resta avaliar a primeira — e credencial vazada costuma abrir caminho justamente para fraude e roubo de identidade, os exemplos citados no § 1º.

Prazos, canal e conteúdo da comunicação

À ANPD — art. 6º

Três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais (art. 6º, § 1º) — não da data do incidente, nem do fim da investigação. Sábados, domingos e feriados não contam. Agentes de pequeno porte têm o prazo em dobro (§ 8º), mas com uma ressalva que costuma ser esquecida: pelo art. 14, II, da Resolução CD/ANPD nº 2/2022, o prazo dobrado não se aplica quando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional — nesses casos valem os mesmos três dias úteis dos demais agentes.

A comunicação é feita por peticionamento eletrônico no SEI!ANPD, tipo de processo “ANPD – Comunicados de Incidentes”, e deve ser apresentada pelo Encarregado (com documento que comprove o vínculo) ou por representante constituído. Sem essa comprovação no mesmo prazo, a ANPD pode abrir de ofício um Procedimento de Apuração de Incidente.

O § 2º lista doze informações obrigatórias:

1. natureza e categoria dos dados afetados;
2. número de titulares afetados, discriminando crianças, adolescentes e idosos;
3. medidas técnicas e de segurança adotadas antes e depois do incidente;
4. riscos e possíveis impactos aos titulares;
5. motivos da demora, se houver;
6. medidas para reverter ou mitigar os efeitos;
7. data da ocorrência (quando determinável) e data do conhecimento;
8. dados do Encarregado ou de quem represente o controlador;
9. identificação do controlador e, se for o caso, declaração de pequeno porte;
10. identificação do operador, quando aplicável;
11. descrição do incidente, incluindo a causa principal, se identificável;
12. total de titulares cujos dados são tratados nas atividades afetadas.

Se você não tiver tudo em três dias úteis, existe a comunicação preliminar, complementada de forma fundamentada em até vinte dias úteis (§ 3º), por petição intercorrente no mesmo processo. A ANPD é clara nas suas dúvidas frequentes: a comunicação preliminar é insuficiente para cumprir a obrigação do art. 48 e precisa ser complementada no prazo.

Ao titular — art. 9º

Comunicar à ANPD não basta. A própria ANPD registra que o art. 48 “não se cumpre com a mera comunicação do incidente de segurança à ANPD”: havendo risco ou dano relevante, o controlador deve necessariamente comunicar também os titulares afetados. São duas obrigações, não uma.

Mesmo prazo: três dias úteis do conhecimento — também dobrado para agentes de pequeno porte (art. 9º, § 6º). O conteúdo é diferente — sete itens, entre eles natureza e categoria dos dados afetados, medidas de segurança utilizadas, riscos e possíveis impactos, medidas de mitigação, data do conhecimento e um contato para obter informações (e os dados do Encarregado, quando aplicável).

A forma importa tanto quanto o conteúdo:

• linguagem simples e de fácil entendimento;
• direta e individualizada sempre que os titulares forem identificáveis — telefone, e-mail, mensagem eletrônica ou carta;
• se isso for inviável, divulgação pelos canais disponíveis (site, app, redes sociais), com visualização direta e fácil, pelo período mínimo de três meses;
• e uma declaração ao processo de que a comunicação foi feita, indicando os meios usados, em até três dias úteis após o término do prazo (§ 4º).

O § 5º acrescenta um incentivo concreto: incluir recomendações que ajudem o titular a mitigar os efeitos pode ser considerada boa prática para fins de dosimetria (art. 52, § 1º, IX, da LGPD).

E se você for o operador?

A obrigação legal de comunicar é do controlador. Ocorrido um incidente, o operador deve informá-lo sem demora injustificada e fornecer todas as informações necessárias à comunicação — e a ANPD recomenda expressamente que essas obrigações entre controlador e operador sejam estabelecidas em contrato. Traduzindo em prazo: o relógio de três dias úteis do controlador não espera o fornecedor, então o prazo do operador precisa ser bem menor que o seu.

O registro que quase ninguém mantém (art. 10)

Esta é a obrigação mais ignorada do regulamento: o controlador deve manter registro de todo incidente de segurança — inclusive dos que decidiu não comunicar — pelo prazo mínimo de cinco anos.

O registro precisa conter, no mínimo: data do conhecimento; descrição geral das circunstâncias; natureza e categoria dos dados afetados; número de titulares afetados; avaliação do risco e possíveis danos; medidas de correção e mitigação; forma e conteúdo da comunicação, se houve; e os motivos da ausência de comunicação, quando for o caso.

Traduzindo: a decisão de não comunicar precisa ser documentada e defensável. É esse registro que a ANPD vai pedir se abrir um procedimento de apuração — e ela pode solicitar, a qualquer tempo, o registro das operações de tratamento (art. 37), o Relatório de Impacto (art. 38) e o relatório de tratamento do incidente.

O papel do Encarregado

O art. 41 da LGPD obriga o controlador a indicar um Encarregado e a divulgar publicamente sua identidade e contato, “preferencialmente no sítio eletrônico”. A Resolução CD/ANPD nº 18, de 16 de julho de 2024, detalhou a função:

• pode ser pessoa natural (do quadro ou externa) ou pessoa jurídica, e a indicação exige ato formal escrito, datado e assinado, descrevendo formas de atuação e atividades — documento que a ANPD pode exigir a qualquer momento;
• o agente de tratamento deve prover recursos (humanos, técnicos e administrativos), garantir autonomia técnica e acesso direto ao nível hierárquico mais alto;
• ele deve estar envolvido no registro e na comunicação de incidentes, no registro das operações de tratamento, no RIPD, nos mecanismos internos de supervisão e nos instrumentos contratuais;
• há conflito de interesse quando acumula funções que decidem meios e finalidades do tratamento — chefias de TI, RH, finanças ou saúde são os casos clássicos citados pela ANPD, e o conflito comprovado pode ensejar sanção;
• e um ponto de alívio: o Encarregado não é o responsável perante a ANPD pela conformidade do tratamento. Quem responde é o controlador.

Agentes de pequeno porte podem ser dispensados da indicação (Resolução CD/ANPD nº 2/2022), exceto se realizarem tratamento de alto risco, tiverem receita bruta acima dos limites do regulamento ou pertencerem a grupo econômico que os ultrapasse. Mesmo dispensado, é preciso manter um canal de comunicação com o titular.

Na prática: o Encarregado é quem peticiona à ANPD. Se ele não estiver no seu plano de resposta a incidentes, seu plano não funciona no dia 1.

Sanções: o que a ANPD pode aplicar (art. 52)

Os valores corretos, direto do texto legal:

As três últimas (suspensão parcial, suspensão da atividade e proibição) só podem ser aplicadas depois de já imposta ao menos uma das sanções de multa, publicização, bloqueio ou eliminação no mesmo caso concreto (art. 52, § 6º).

A dosimetria importa tanto quanto o teto. O § 1º do art. 52 manda considerar, entre outros critérios: gravidade e natureza da infração, boa-fé, cooperação, adoção reiterada de mecanismos internos capazes de minimizar o dano, política de boas práticas e governança e pronta adoção de medidas corretivas. A Resolução CD/ANPD nº 4/2023 classifica as infrações em leves, médias e graves e traz a metodologia de cálculo da multa simples. No curso do processo, a ANPD ainda pode determinar medidas preventivas imediatas e fixar multa diária para garantir seu cumprimento (art. 15 da Resolução 15/2024).

O detalhe mais relevante para quem trabalha com segurança está no art. 48, § 3º: no juízo de gravidade, a ANPD avalia “eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis para terceiros não autorizados”. Criptografia bem implementada não é só higiene técnica — é atenuante prevista em lei.

Vale registrar ainda a mudança institucional recente: a Lei nº 15.352, de 25 de fevereiro de 2026 (conversão da MP 1.317/2025), incluiu o art. 55-A na LGPD e criou a Agência Nacional de Proteção de Dados (ANPD) como autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio e sede no Distrito Federal. A mesma lei criou a Carreira de Regulação e Fiscalização de Proteção de Dados. Na prática: a mesma sigla, com mais músculo de fiscalização.

Medidas técnicas concretas

O Guia Orientativo de Segurança da Informação da ANPD (escrito para agentes de pequeno porte, mas útil em qualquer porte) organiza as medidas em administrativas e técnicas. Cruzando o guia com o que o art. 48 exige que você consiga responder em três dias úteis:

Criptografia. Em trânsito, TLS/HTTPS em tudo — inclusive integrações internas e e-mail com dados de RH ou saúde. Em repouso, cifragem de campos sensíveis e de backups. Lembre do art. 48, § 3º: se os dados vazados forem ininteligíveis, a gravidade cai.

Controle de acesso. A ANPD decompõe o controle em três funções: autenticação (quem acessa), autorização (o que pode fazer) e auditoria (o que foi feito). Na prática: menor privilégio (need to know), MFA em sistemas com dados pessoais, política de complexidade de senha, troca das senhas padrão de fornecedores e proibição de contas ou senhas compartilhadas — a ANPD chama isso de “vetor crítico de vulnerabilidade”.

Audit trail. Registre autenticações e falhas de autenticação, acessos a dados pessoais, alterações de permissão, exportações e operações administrativas. O teste é simples: você consegue dizer, em três dias úteis, quantos titulares foram afetados, quais categorias de dados e qual foi a causa principal? Se a resposta depende de arqueologia em logs de aplicação, o incidente já custou seu prazo.

Retenção e eliminação. Coletar apenas o necessário (art. 6º, III) e eliminar o que não tem finalidade ativa reduz a superfície do próximo incidente e o número de titulares afetados. Some a isso descarte seguro de mídias.

Backup resiliente a ransomware. A recomendação da ANPD é explícita: backups regulares, completos, em local distinto do armazenamento principal e não sincronizados em tempo real — para não replicar a criptografia do atacante.

Gestão de vulnerabilidades. Sistemas e aplicativos atualizados, patches aplicados, hardening (desabilitar serviços desnecessários, trocar todas as senhas padrão, revisar continuamente o que está exposto à internet) e antimalware instalado e atualizado — com orientação explícita aos usuários para não desativar as configurações de segurança. O guia da ANPD cita pesquisa do CERT.br em conjunto com o Cetic.br: manter tudo atualizado, fazer hardening e melhorar identificação e autenticação (incluindo a não reutilização de senhas) estão entre as três medidas de maior impacto.

Fornecedores. Contrato com operador precisa ter cláusula de segurança da informação, papéis controlador/operador definidos e prazo interno de notificação compatível com os seus três dias úteis.

Checklist prático

Antes (postura permanente)

• Encarregado indicado, contato publicado no site, sem conflito de interesse e com acesso direto à alta gestão
• Registro das operações de tratamento (art. 37) atualizado — é dele que sai o “total de titulares” do item 12
• Mapa de onde moram dados sensíveis, financeiros, de autenticação e de crianças/adolescentes/idosos
• Política de segurança da informação escrita, com revisão periódica
• MFA, menor privilégio e revisão periódica de acessos
• Criptografia em trânsito e em repouso, com gestão de chaves
• Audit trail de autenticação, acesso, alteração e exportação — com retenção compatível com os 5 anos do art. 10
• Backup testado, offline ou com cópia não sincronizada
• Cláusulas de segurança e prazo de notificação nos contratos com operadores
• Treinamento e canal interno para reportar incidentes e vulnerabilidades

Durante (os três primeiros dias úteis)

• Confirmar que houve evento adverso e que dados pessoais foram afetados — o relógio começa aqui
• Conter e preservar evidências (não apague logs para “limpar” o ambiente)
• Aplicar o teste do art. 5º: afeta significativamente direitos e envolve um dos seis critérios?
• Acionar o Encarregado e reunir os 12 campos do art. 6º, § 2º
• Peticionar no SEI!ANPD com a comprovação de representação — preliminar, se necessário
• Comunicar os titulares em linguagem simples, individualizada, com recomendações de mitigação
• Se não der para identificar todos, publicar em canal de amplo alcance e manter por 3 meses

Depois

• Complementar a comunicação em até 20 dias úteis, de forma fundamentada
• Juntar ao processo a declaração de comunicação aos titulares
• Registrar o incidente com os 8 itens do art. 10 — inclusive se você decidiu não comunicar
• Pós-mortem com causa raiz e medidas corretivas documentadas (peso direto na dosimetria)
• Reavaliar RIPD e controles afetados

Onde uma plataforma ajuda — e onde não

Ferramenta não substitui programa de governança, não indica seu Encarregado e não peticiona à ANPD por você. O que ela pode fazer é encurtar a distância entre “descobrimos algo” e “temos os doze campos preenchidos”. Na OODA Intelligence, os componentes que tocam esse fluxo são:

• Audit & Compliance — mais de 50 tipos de eventos (autenticação, acesso a dados, mudanças de configuração, incidentes), retenção configurável, hash chain de integridade e export imutável (WORM).
• Users & Access — RBAC por módulo e ação, MFA (TOTP, WebAuthn, SMS), SSO SAML 2.0/OIDC e access reviews.
• Incident Management — lifecycle de resposta com timeline imutável e anexos cifrados, útil para produzir o registro do art. 10.
• Isolamento por organização e criptografia de campos sensíveis, conforme a nossa página de LGPD.

O resto — mapeamento de tratamentos, bases legais, contratos com operadores, decisão sobre comunicar ou não — continua sendo trabalho humano.

Fontes oficiais

Todo artigo, prazo e valor citado aqui foi conferido no texto oficial:

• Lei nº 13.709/2018 (LGPD) — Planalto
• Lei nº 15.352/2026 — cria a Agência Nacional de Proteção de Dados (art. 55-A da LGPD)
• Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança (DOU)
• Resolução CD/ANPD nº 18/2024 — Regulamento sobre a atuação do encarregado (DOU)
• Resolução CD/ANPD nº 2/2022 — Regulamento para agentes de tratamento de pequeno porte (DOU)
• Resolução CD/ANPD nº 4/2023 — Regulamento de Dosimetria e Aplicação de Sanções Administrativas
• ANPD — Comunicação de Incidente de Segurança (procedimento e dúvidas frequentes)
• ANPD — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte
• ANPD — Guia Orientativo sobre a Atuação do Encarregado
• ANPD — Regulamentações publicadas (lista oficial)

Posts Relacionados

// Artigos

Artigos

Guia de Threat Intelligence para empresas: tipos, ciclo e métricas

10.03.2026→

// Novidades

Novidades

Bem-vindo ao Blog da OODA Intelligence

01.03.2026→