LGPD et cybersécurité : obligations, délai de notification d'incident et checklist
La LGPD — Lei Geral de Proteção de Dados, la loi brésilienne n° 13.709/2018 sur la protection des données personnelles — s’applique à toute organisation qui traite des données de personnes situées au Brésil, y compris depuis l’étranger. Elle a sa propre autorité de contrôle, l’ANPD, sa propre terminologie et ses propres délais. Les termes portugais sont indiqués entre parenthèses à leur première occurrence ; les rapprochements avec un autre régime, quel qu’il soit, relèvent de la lecture du lecteur, pas de cet article.
La partie de la LGPD qui soulève le plus de questions au quotidien ne se trouve pas dans la loi — elle se trouve dans le règlement. Depuis la résolution CD/ANPD n° 15 du 24 avril 2024, le « délai raisonnable » de l’art. 48 est devenu un chiffre concret : trois jours ouvrés. Si le document que vous utilisez comme référence ne cite pas cette résolution, il décrit un régime qui n’est plus en vigueur.
Ce qui suit est le régime applicable, vérifié article par article à la source officielle. Ce n’est pas un conseil juridique — c’est la carte qui vous permet de parler à vos juristes en sachant de quoi il retourne.
Ce que la LGPD exige en sécurité de l’information (art. 46 à 49)
Le chapitre VII de la LGPD est court et direct :
- Art. 46. Adopter des « mesures de sécurité, techniques et administratives, propres à protéger les données personnelles des accès non autorisés et des situations accidentelles ou illicites de destruction, perte, altération, communication ou toute forme de traitement inapproprié ou illicite ». Le § 2 exige qu’elles soient observées « dès la phase de conception du produit ou du service jusqu’à son exécution » — le privacy by design avec force de loi.
- Art. 47. L’obligation vaut « même après la fin » du traitement. Une base désactivée n’est pas une base non protégée.
- Art. 49. Les systèmes « doivent être structurés de manière à répondre aux exigences de sécurité, aux standards de bonnes pratiques et de gouvernance ».
Deux détails passent souvent inaperçus :
Il n’existe pas de liste légale de contrôles obligatoires. L’art. 46, § 1er prévoit que l’ANPD pourra fixer des standards techniques minimaux — et, à ce jour, elle n’a pas arrêté de catalogue contraignant. Le critère est celui de l’adéquation : des mesures proportionnées à la nature des données, au volume, au risque et à l’état de la technique.
L’absence de mesures engage directement la responsabilité civile. L’art. 44, alinéa unique : « répond des dommages résultant de la violation de la sécurité des données le contrôleur ou l’opérateur qui, en omettant d’adopter les mesures de sécurité prévues à l’art. 46 de la présente loi, a causé le dommage ». Cela joue indépendamment de toute sanction administrative.
Sur le plan des principes (art. 6 de la LGPD), trois d’entre eux soutiennent l’ensemble : la sécurité (VII), la prévention (VIII) et la responsabilisation et reddition de comptes (X). Le X est le plus exigeant : vous devez démontrer l’adoption des mesures et leur efficacité. Sans preuve enregistrée, le contrôle n’existe pas du point de vue réglementaire.
Ce qu’est un incident de sécurité — et quand il devient notifiable
La résolution 15/2024 définit l’incident de sécurité comme « tout événement adverse confirmé, lié à la violation des propriétés de confidentialité, d’intégrité, de disponibilité et d’authenticité de la sécurité des données personnelles » (art. 3, XII).
Trois conséquences pratiques, selon les orientations publiées par l’ANPD elle-même :
- Une vulnérabilité n’est pas un incident. La simple existence d’une faille ne déclenche rien. Son exploitation, en revanche, peut le faire.
- L’indisponibilité compte. Il ne s’agit pas seulement de fuite. Un rançongiciel qui bloque l’accès aux données de patients est un incident, même sans exfiltration.
- La donnée anonymisée ne compte pas. Un incident portant uniquement sur des données anonymisées, ou qui ne se rapporte pas à une personne physique identifiée ou identifiable, n’a pas à être notifié.
Une fois l’incident confirmé, la question suivante est : peut-il entraîner un risque ou un dommage significatif ? L’art. 5 pose un test cumulatif — l’incident doit pouvoir affecter de manière significative les intérêts et les droits fondamentaux des personnes concernées et, en même temps, porter sur au moins l’un de ces six critères :
- des données personnelles sensibles ;
- des données d’enfants, d’adolescents ou de personnes âgées ;
- des données financières ;
- des données d’authentification à des systèmes ;
- des données protégées par le secret légal, judiciaire ou professionnel ;
- des données à grande échelle.
Le § 1er donne des exemples de ce que « affecter de manière significative » veut dire : empêcher l’exercice de droits ou l’usage d’un service, ou causer des dommages matériels ou moraux tels que discrimination, atteinte à l’intégrité physique, à l’image et à la réputation, fraudes financières ou usurpation d’identité. Le § 2 précise que la « grande échelle » s’apprécie au regard du nombre de personnes concernées, du volume de données, de la durée, de la fréquence et de l’étendue géographique.
Regardez le critère 4 : une base d’identifiants et de mots de passe exposée satisfait déjà la seconde moitié du test. Reste à évaluer la première — et un identifiant fuité ouvre justement la voie à la fraude et à l’usurpation d’identité, les exemples cités au § 1er.
Délais, canal et contenu de la notification
À l’ANPD — art. 6 de la résolution
Trois jours ouvrés, comptés à partir du moment où le contrôleur (controlador, le responsable du traitement) prend connaissance du fait que l’incident a affecté des données personnelles (art. 6, § 1er) — et non à partir de la date de l’incident, ni de la fin de l’enquête. Les samedis, dimanches et jours fériés ne comptent pas. Les petits agents de traitement (agentes de tratamento de pequeno porte) bénéficient d’un délai doublé (§ 8), avec une réserve souvent oubliée : en vertu de l’art. 14, II, de la résolution CD/ANPD n° 2/2022, le délai doublé ne s’applique pas lorsqu’il existe un risque d’atteinte à l’intégrité physique ou morale des personnes concernées ou à la sécurité nationale — dans ces cas, ce sont les mêmes trois jours ouvrés que pour les autres agents.
La notification se fait par dépôt électronique dans le système SEI!ANPD, sous le type de procédure « ANPD – Comunicados de Incidentes », et doit être présentée par l’Encarregado (avec un document prouvant son rattachement) ou par un représentant dûment constitué. Sans cette preuve dans le même délai, l’ANPD peut ouvrir d’office une procédure d’instruction d’incident (Procedimento de Apuração de Incidente).
Le § 2 énumère douze informations obligatoires :
- nature et catégorie des données affectées ;
- nombre de personnes concernées, en distinguant enfants, adolescents et personnes âgées ;
- mesures techniques et de sécurité adoptées avant et après l’incident ;
- risques et impacts possibles pour les personnes concernées ;
- motifs du retard, le cas échéant ;
- mesures prises pour renverser ou atténuer les effets ;
- date de survenance (lorsqu’elle est déterminable) et date de la prise de connaissance ;
- coordonnées de l’Encarregado ou de la personne représentant le contrôleur ;
- identification du contrôleur et, le cas échéant, déclaration de petite taille ;
- identification de l’opérateur, lorsqu’il y a lieu ;
- description de l’incident, y compris sa cause principale si elle est identifiable ;
- nombre total de personnes dont les données sont traitées dans les activités affectées.
Si vous n’avez pas tout réuni en trois jours ouvrés, il existe la notification préliminaire, à compléter de manière motivée sous vingt jours ouvrés (§ 3), par une pétition intercurrente dans le même dossier. L’ANPD est claire dans sa foire aux questions : la notification préliminaire est insuffisante pour satisfaire à l’obligation de l’art. 48 et doit être complétée dans le délai.
À la personne concernée — art. 9 de la résolution
Notifier l’ANPD ne suffit pas. L’ANPD elle-même indique que l’art. 48 « ne s’accomplit pas par la seule communication de l’incident de sécurité à l’ANPD » : en présence d’un risque ou d’un dommage significatif, le contrôleur doit nécessairement informer aussi les personnes concernées. Ce sont deux obligations, pas une.
Même délai : trois jours ouvrés à compter de la prise de connaissance — également doublé pour les petits agents de traitement (art. 9, § 6). Le contenu, lui, diffère — sept éléments, parmi lesquels la nature et la catégorie des données affectées, les mesures de sécurité utilisées, les risques et impacts possibles, les mesures d’atténuation, la date de la prise de connaissance et un contact pour obtenir des informations (ainsi que les coordonnées de l’Encarregado, lorsqu’il y a lieu).
La forme compte autant que le contenu :
- un langage simple et facile à comprendre ;
- une communication directe et individualisée dès lors que les personnes concernées sont identifiables — téléphone, courriel, message électronique ou courrier ;
- si cela est impossible, une diffusion par les canaux disponibles (site web, application, réseaux sociaux), en affichage direct et facile à trouver, pendant une durée minimale de trois mois ;
- et une déclaration versée au dossier attestant que la communication a été faite, en indiquant les moyens employés, sous trois jours ouvrés après l’expiration du délai (§ 4).
Le § 5 ajoute une incitation concrète : inclure des recommandations aidant la personne concernée à atténuer les effets peut être retenu comme bonne pratique dans la modulation de la sanction (art. 52, § 1er, IX, de la LGPD).
Et si vous êtes l’opérateur ?
L’obligation légale de notifier incombe au contrôleur. Survenu un incident, l’opérateur (operador, le sous-traitant) doit l’en informer sans retard injustifié et lui fournir toutes les informations nécessaires à la notification — et l’ANPD recommande expressément que ces obligations entre contrôleur et opérateur soient inscrites au contrat. Traduit en délai : l’horloge de trois jours ouvrés du contrôleur n’attend pas le fournisseur, donc le délai de l’opérateur doit être nettement plus court que le vôtre.
Le registre que presque personne ne tient (art. 10)
C’est l’obligation la plus négligée du règlement : le contrôleur doit tenir un registre de tout incident de sécurité — y compris de ceux qu’il a décidé de ne pas notifier — pendant une durée minimale de cinq ans.
Ce registre doit contenir au minimum : la date de la prise de connaissance ; une description générale des circonstances ; la nature et la catégorie des données affectées ; le nombre de personnes concernées ; l’évaluation du risque et des dommages possibles ; les mesures de correction et d’atténuation ; la forme et le contenu de la communication, s’il y en a eu une ; et les motifs de l’absence de communication, le cas échéant.
Autrement dit : la décision de ne pas notifier doit être documentée et défendable. C’est ce registre que l’ANPD réclamera si elle ouvre une procédure d’instruction — et elle peut demander à tout moment le registre des opérations de traitement (art. 37), le rapport d’impact (art. 38) et le rapport de traitement de l’incident.
Le rôle de l’Encarregado
L’art. 41 de la LGPD oblige le contrôleur à désigner un Encarregado — la personne chargée de la protection des données au sens de la LGPD — et à rendre publics son identité et son contact, « de préférence sur le site web ». La résolution CD/ANPD n° 18 du 16 juillet 2024 a précisé la fonction :
- il peut s’agir d’une personne physique (interne ou externe) ou d’une personne morale, et la désignation exige un acte formel écrit, daté et signé, décrivant les modalités d’intervention et les activités — document que l’ANPD peut exiger à tout moment ;
- l’agent de traitement doit fournir les moyens (humains, techniques et administratifs), garantir l’autonomie technique et un accès direct au plus haut niveau hiérarchique ;
- il doit être associé à l’enregistrement et à la notification des incidents, au registre des opérations de traitement, au RIPD (le rapport d’impact relatif à la protection des données personnelles), aux mécanismes internes de supervision et aux instruments contractuels ;
- il y a conflit d’intérêts lorsqu’il cumule des fonctions qui décident des moyens et des finalités du traitement — les directions informatique, RH, financière ou santé sont les cas classiques cités par l’ANPD, et un conflit avéré peut donner lieu à sanction ;
- et un point rassurant : l’Encarregado n’est pas responsable devant l’ANPD de la conformité du traitement. Celui qui répond, c’est le contrôleur.
Les petits agents de traitement peuvent être dispensés de cette désignation (résolution CD/ANPD n° 2/2022), sauf s’ils réalisent des traitements à haut risque, si leur chiffre d’affaires dépasse les seuils du règlement ou s’ils appartiennent à un groupe économique qui les dépasse. Même dispensés, ils doivent maintenir un canal de communication avec la personne concernée.
En pratique : c’est l’Encarregado qui dépose la notification auprès de l’ANPD. S’il ne figure pas dans votre plan de réponse à incident, votre plan ne fonctionne pas dès le jour 1.
Sanctions : ce que l’ANPD peut appliquer (art. 52)
Les valeurs exactes, directement issues du texte légal :
| Sanction | Détail |
|---|---|
| Avertissement | avec délai pour prendre des mesures correctives |
| Amende simple | jusqu’à 2 % du chiffre d’affaires de la personne morale de droit privé, du groupe ou du conglomérat au Brésil, sur son dernier exercice, hors impôts et taxes, plafonnée au total à 50 000 000,00 R$ par infraction |
| Amende journalière | dans la limite du même plafond total |
| Publicisation de l’infraction | une fois celle-ci constatée et confirmée |
| Blocage des données | jusqu’à régularisation |
| Suppression des données | portant sur l’infraction |
| Suspension partielle de la base de données | jusqu’à 6 mois, prorogeable d’autant |
| Suspension de l’activité de traitement | jusqu’à 6 mois, prorogeable |
| Interdiction partielle ou totale | des activités de traitement |
Les trois dernières (suspension partielle, suspension de l’activité et interdiction) ne peuvent être appliquées qu’après qu’au moins une des sanctions d’amende, de publicisation, de blocage ou de suppression a déjà été imposée dans la même affaire (art. 52, § 6).
La modulation de la sanction compte autant que le plafond. Le § 1er de l’art. 52 impose de prendre en compte, entre autres critères : la gravité et la nature de l’infraction, la bonne foi, la coopération, l’adoption répétée de mécanismes internes propres à minimiser le dommage, une politique de bonnes pratiques et de gouvernance et la prompte adoption de mesures correctives. La résolution CD/ANPD n° 4/2023 classe les infractions en légères, moyennes et graves et fournit la méthode de calcul de l’amende simple. En cours de procédure, l’ANPD peut en outre ordonner des mesures préventives immédiates et fixer une amende journalière pour en garantir l’exécution (art. 15 de la résolution 15/2024).
Le détail le plus important pour qui travaille en sécurité se trouve à l’art. 48, § 3 : dans l’appréciation de la gravité, l’ANPD évalue « la preuve éventuelle que des mesures techniques adéquates ont été adoptées, rendant les données personnelles affectées inintelligibles pour les tiers non autorisés ». Un chiffrement bien mis en œuvre n’est pas seulement une hygiène technique — c’est une circonstance atténuante prévue par la loi.
Il faut enfin noter un changement institutionnel récent : la loi n° 15.352 du 25 février 2026 (issue de la conversion de la mesure provisoire 1.317/2025) a introduit l’art. 55-A dans la LGPD et créé l’Agência Nacional de Proteção de Dados (ANPD) comme agence de nature spéciale rattachée au ministère de la Justice et de la Sécurité publique, dotée d’une autonomie fonctionnelle, technique, décisionnelle, administrative et financière, d’un patrimoine propre et d’un siège dans le District fédéral. La même loi a créé la carrière de régulation et de contrôle de la protection des données. En pratique : le même sigle, avec plus de muscle en matière de contrôle.
Mesures techniques concrètes
Le Guia Orientativo de Segurança da Informação de l’ANPD (rédigé pour les petits agents de traitement, mais utile à toute taille d’organisation) classe les mesures en administratives et techniques. En croisant ce guide avec ce que l’art. 48 exige que vous puissiez répondre en trois jours ouvrés :
Chiffrement. En transit, TLS/HTTPS partout — y compris pour les intégrations internes et les courriels contenant des données RH ou de santé. Au repos, chiffrement des champs sensibles et des sauvegardes. Souvenez-vous de l’art. 48, § 3 : si les données fuitées sont inintelligibles, la gravité baisse.
Contrôle d’accès. L’ANPD décompose le contrôle en trois fonctions : l’authentification (qui accède), l’autorisation (ce qu’il peut faire) et l’audit (ce qui a été fait). En pratique : moindre privilège (need to know), MFA sur les systèmes contenant des données personnelles, politique de complexité des mots de passe, changement des mots de passe par défaut des fournisseurs et interdiction des comptes ou mots de passe partagés — l’ANPD parle à ce sujet de « vecteur critique de vulnérabilité ».
Piste d’audit. Enregistrez les authentifications et les échecs d’authentification, les accès aux données personnelles, les changements de permission, les exports et les opérations administratives. Le test est simple : êtes-vous capable de dire, en trois jours ouvrés, combien de personnes ont été affectées, quelles catégories de données et quelle a été la cause principale ? Si la réponse dépend d’une fouille archéologique dans les journaux applicatifs, l’incident vous a déjà coûté votre délai.
Conservation et suppression. Ne collecter que le nécessaire (art. 6, III, de la LGPD) et supprimer ce qui n’a plus de finalité active réduit la surface du prochain incident et le nombre de personnes affectées. Ajoutez-y la destruction sécurisée des supports.
Sauvegardes résistantes au rançongiciel. La recommandation de l’ANPD est explicite : des sauvegardes régulières, complètes, sur un emplacement distinct du stockage principal et non synchronisées en temps réel — pour ne pas répliquer le chiffrement de l’attaquant.
Gestion des vulnérabilités. Systèmes et applications à jour, correctifs appliqués, hardening (désactiver les services inutiles, changer tous les mots de passe par défaut, revoir en continu ce qui est exposé sur Internet) et antimalware installé et à jour — avec une consigne explicite aux utilisateurs de ne pas désactiver les paramètres de sécurité. Le guide de l’ANPD cite une étude du CERT.br menée avec le Cetic.br : tout maintenir à jour, faire du hardening et améliorer l’identification et l’authentification (y compris la non-réutilisation des mots de passe) figurent parmi les trois mesures à plus fort impact.
Fournisseurs. Un contrat avec un opérateur doit comporter une clause de sécurité de l’information, une répartition claire des rôles contrôleur/opérateur et un délai interne de notification compatible avec vos trois jours ouvrés.
Checklist pratique
Avant (posture permanente)
- Encarregado désigné, contact publié sur le site, sans conflit d’intérêts et avec accès direct à la direction générale
- Registre des opérations de traitement (art. 37) à jour — c’est de lui que sort le « nombre total de personnes » du point 12
- Cartographie de l’endroit où résident les données sensibles, financières, d’authentification et celles d’enfants, d’adolescents ou de personnes âgées
- Politique de sécurité de l’information écrite, avec révision périodique
- MFA, moindre privilège et revue périodique des accès
- Chiffrement en transit et au repos, avec gestion des clés
- Piste d’audit sur l’authentification, l’accès, la modification et l’export — avec une rétention compatible avec les 5 ans de l’art. 10
- Sauvegarde testée, hors ligne ou avec une copie non synchronisée
- Clauses de sécurité et délai de notification dans les contrats avec les opérateurs
- Formation et canal interne pour signaler incidents et vulnérabilités
Pendant (les trois premiers jours ouvrés)
- Confirmer qu’il y a bien eu un événement adverse et que des données personnelles ont été affectées — l’horloge démarre ici
- Contenir et préserver les preuves (n’effacez pas les journaux pour « nettoyer » l’environnement)
- Appliquer le test de l’art. 5 : cela affecte-t-il significativement des droits et porte-t-il sur l’un des six critères ?
- Mobiliser l’Encarregado et réunir les 12 champs de l’art. 6, § 2
- Déposer la notification dans le SEI!ANPD avec la preuve de représentation — préliminaire, si nécessaire
- Informer les personnes concernées en langage simple, de façon individualisée, avec des recommandations d’atténuation
- Si l’identification de toutes est impossible, publier sur un canal de large audience et maintenir 3 mois
Après
- Compléter la notification sous 20 jours ouvrés, de manière motivée
- Verser au dossier la déclaration de communication aux personnes concernées
- Consigner l’incident avec les 8 éléments de l’art. 10 — y compris si vous avez décidé de ne pas notifier
- Post-mortem avec cause racine et mesures correctives documentées (poids direct dans la modulation de la sanction)
- Réévaluer le RIPD et les contrôles affectés
Là où une plateforme aide — et là où elle n’aide pas
Un outil ne remplace pas un programme de gouvernance, ne désigne pas votre Encarregado et ne dépose pas de notification auprès de l’ANPD à votre place. Ce qu’il peut faire, c’est raccourcir la distance entre « nous avons découvert quelque chose » et « nous avons les douze champs remplis ». Chez OODA Intelligence, les composants qui touchent à ce flux sont :
- Audit & Compliance — plus de 50 types d’événements (authentification, accès aux données, changements de configuration, incidents), rétention configurable, chaîne de hachage d’intégrité et export immuable (WORM).
- Users & Access — RBAC par module et par action, MFA (TOTP, WebAuthn, SMS), SSO SAML 2.0/OIDC et access reviews.
- Incident Management — cycle de vie de la réponse avec chronologie immuable et pièces jointes chiffrées, utile pour produire le registre de l’art. 10.
- Cloisonnement par organisation et chiffrement des champs sensibles, comme détaillé sur notre page LGPD.
Le reste — cartographie des traitements, bases légales, contrats avec les opérateurs, décision de notifier ou non — reste du travail humain.
Sources officielles
Chaque article, délai et montant cité ici a été vérifié dans le texte officiel :
- Loi n° 13.709/2018 (LGPD) — Planalto
- Loi n° 15.352/2026 — création de l’Agência Nacional de Proteção de Dados (art. 55-A de la LGPD)
- Résolution CD/ANPD n° 15/2024 — règlement de communication des incidents de sécurité (DOU)
- Résolution CD/ANPD n° 18/2024 — règlement sur l’action de l’Encarregado (DOU)
- Résolution CD/ANPD n° 2/2022 — règlement applicable aux petits agents de traitement (DOU)
- Résolution CD/ANPD n° 4/2023 — règlement de modulation et d’application des sanctions administratives
- ANPD — Communication d’incident de sécurité (procédure et foire aux questions)
- ANPD — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte
- ANPD — Guia Orientativo sobre a Atuação do Encarregado
- ANPD — Réglementations publiées (liste officielle)
