LGPD e sicurezza informatica: obblighi, termine di notifica e checklist
La parte della LGPD (Legge 13.709/2018) che genera più dubbi nel lavoro quotidiano della sicurezza non sta nella legge: sta nel regolamento. Dalla Risoluzione CD/ANPD n. 15, del 24 aprile 2024, il «termine ragionevole» dell’art. 48 è diventato un numero preciso: tre giorni lavorativi. Se il materiale che usi come riferimento non cita questa risoluzione, sta descrivendo un regime che non è più in vigore.
Quello che segue è il regime vigente, verificato articolo per articolo sulla fonte ufficiale. Non è consulenza legale: è la mappa per parlare con i legali sapendo di che cosa si tratta.
Nota terminologica per il lettore europeo. La LGPD è la legge brasiliana sulla protezione dei dati personali e si applica autonomamente: non è una trasposizione del GDPR e non ne condivide né i termini né l’apparato sanzionatorio. In questo articolo usiamo alcuni termini italiani per leggibilità — «interessato» per il portoghese titular (la persona fisica a cui i dati si riferiscono), «titolare del trattamento» per controlador, «responsabile del trattamento» per operador, «Encarregado» per la figura che dialoga con l’autorità. La somiglianza del vocabolario non implica equivalenza giuridica: obblighi, termini e sanzioni descritti qui derivano esclusivamente dal diritto brasiliano. L’autorità competente è l’ANPD, l’autorità brasiliana per la protezione dei dati.
Che cosa impone la LGPD in materia di sicurezza delle informazioni (artt. da 46 a 49)
Il Capo VII della LGPD è breve e diretto:
- Art. 46. Adottare «misure di sicurezza, tecniche e amministrative, idonee a proteggere i dati personali da accessi non autorizzati e da situazioni accidentali o illecite di distruzione, perdita, alterazione, comunicazione o qualsiasi forma di trattamento inadeguato o illecito». Il § 2 esige che siano osservate «dalla fase di concezione del prodotto o del servizio fino alla sua esecuzione»: privacy by design con forza di legge.
- Art. 47. L’obbligo vale «anche dopo la conclusione» del trattamento. Un archivio disattivato non è un archivio non protetto.
- Art. 49. I sistemi «devono essere strutturati in modo da soddisfare i requisiti di sicurezza, gli standard di buone pratiche e di governance».
Due dettagli che di solito sfuggono:
Non esiste un elenco legale di controlli obbligatori. L’art. 46, § 1 stabilisce che l’ANPD potrà disporre standard tecnici minimi e, finora, non ha fissato un catalogo vincolante. Il criterio è quello dell’adeguatezza: misure proporzionate alla natura dei dati, al volume, al rischio e allo stato della tecnologia.
L’assenza di misure genera responsabilità civile diretta. L’art. 44, comma unico: «risponde dei danni derivanti dalla violazione della sicurezza dei dati il titolare o il responsabile del trattamento che, omettendo di adottare le misure di sicurezza previste dall’art. 46 di questa Legge, abbia dato causa al danno». Questo opera indipendentemente da qualsiasi sanzione amministrativa.
Sul piano dei principi (art. 6), tre commi sostengono l’intero impianto: sicurezza (VII), prevenzione (VIII) e responsabilizzazione e rendicontazione (X). Il X è il più esigente: devi essere in grado di dimostrare l’adozione delle misure e la loro efficacia. Senza evidenza registrata, il controllo dal punto di vista regolatorio non esiste.
Che cos’è un incidente di sicurezza — e quando diventa comunicabile
La Risoluzione 15/2024 definisce l’incidente di sicurezza come «qualsiasi evento avverso confermato, relativo alla violazione delle proprietà di riservatezza, integrità, disponibilità e autenticità della sicurezza dei dati personali» (art. 3, XII).
Tre conseguenze pratiche, secondo gli orientamenti pubblicati dalla stessa ANPD:
- Una vulnerabilità non è un incidente. La semplice esistenza di una falla non fa scattare nulla. Il suo sfruttamento, invece, sì.
- L’indisponibilità conta. Non si tratta solo di esfiltrazione. Un ransomware che blocca l’accesso ai dati dei pazienti è un incidente, anche senza sottrazione di dati.
- Il dato anonimizzato non conta. Un incidente che coinvolga soltanto dati anonimizzati, o che non riguardi una persona fisica identificata o identificabile, non deve essere comunicato.
Una volta confermato l’incidente, la domanda successiva è: può comportare rischio o danno rilevante? L’art. 5 stabilisce un test cumulativo — l’incidente deve poter incidere in modo significativo su interessi e diritti fondamentali degli interessati e, allo stesso tempo, riguardare almeno uno di questi sei criteri:
- dati personali sensibili;
- dati di bambini, adolescenti o anziani;
- dati finanziari;
- dati di autenticazione ai sistemi;
- dati protetti da segreto legale, giudiziario o professionale;
- dati su larga scala.
Il § 1 fornisce esempi di che cosa significhi «incidere in modo significativo»: impedire l’esercizio di diritti o l’uso di un servizio, oppure causare danni patrimoniali o morali come discriminazione, lesione dell’integrità fisica, dell’immagine e della reputazione, frodi finanziarie o furto d’identità. Il § 2 chiarisce che la «larga scala» si valuta considerando numero di interessati, volume dei dati, durata, frequenza ed estensione geografica.
Attenzione al criterio 4: un archivio di login e password esposto soddisfa già la seconda metà del test. Resta da valutare la prima — e una credenziale trapelata apre di norma la strada proprio a frode e furto d’identità, gli esempi citati dal § 1.
Termini, canale e contenuto della comunicazione
All’ANPD — art. 6
Tre giorni lavorativi, decorrenti dal momento in cui il titolare del trattamento viene a conoscenza del fatto che l’incidente ha coinvolto dati personali (art. 6, § 1) — non dalla data dell’incidente, né dalla conclusione dell’indagine. Sabati, domeniche e festivi non si contano. Gli agenti di piccole dimensioni hanno il termine raddoppiato (§ 8), ma con un’avvertenza che spesso si dimentica: ai sensi dell’art. 14, II, della Risoluzione CD/ANPD n. 2/2022, il termine raddoppiato non si applica quando vi sia un potenziale pregiudizio all’integrità fisica o morale degli interessati o alla sicurezza nazionale — in questi casi valgono gli stessi tre giorni lavorativi previsti per gli altri agenti.
La comunicazione avviene tramite istanza elettronica nel sistema SEI!ANPD, tipo di procedimento «ANPD – Comunicados de Incidentes», e deve essere presentata dall’Encarregado (con documento che ne comprovi l’incarico) oppure da un rappresentante nominato. In assenza di questa prova entro lo stesso termine, l’ANPD può avviare d’ufficio un Procedimento di accertamento dell’incidente.
Il § 2 elenca dodici informazioni obbligatorie:
- natura e categoria dei dati coinvolti;
- numero di interessati coinvolti, con indicazione distinta di bambini, adolescenti e anziani;
- misure tecniche e di sicurezza adottate prima e dopo l’incidente;
- rischi e possibili impatti per gli interessati;
- motivi dell’eventuale ritardo;
- misure per annullare o mitigare gli effetti;
- data dell’accadimento (quando determinabile) e data della presa di conoscenza;
- dati dell’Encarregado o di chi rappresenta il titolare del trattamento;
- identificazione del titolare del trattamento e, se del caso, dichiarazione di piccole dimensioni;
- identificazione del responsabile del trattamento, ove applicabile;
- descrizione dell’incidente, inclusa la causa principale se identificabile;
- numero totale di interessati i cui dati sono trattati nelle attività coinvolte.
Se in tre giorni lavorativi non hai tutto, esiste la comunicazione preliminare, da integrare in modo motivato entro venti giorni lavorativi (§ 3), tramite istanza incidentale nello stesso procedimento. L’ANPD è chiara nelle sue FAQ: la comunicazione preliminare non è sufficiente ad adempiere all’obbligo dell’art. 48 e va integrata entro il termine.
All’interessato — art. 9
Comunicare all’ANPD non basta. La stessa ANPD precisa che l’art. 48 «non si adempie con la mera comunicazione dell’incidente di sicurezza all’ANPD»: in presenza di rischio o danno rilevante, il titolare del trattamento deve necessariamente informare anche gli interessati coinvolti. Sono due obblighi, non uno.
Stesso termine: tre giorni lavorativi dalla presa di conoscenza — anch’esso raddoppiato per gli agenti di piccole dimensioni (art. 9, § 6). Il contenuto è diverso: sette voci, fra cui natura e categoria dei dati coinvolti, misure di sicurezza utilizzate, rischi e possibili impatti, misure di mitigazione, data della presa di conoscenza e un contatto per ottenere informazioni (nonché i dati dell’Encarregado, ove applicabile).
La forma conta quanto il contenuto:
- linguaggio semplice e di facile comprensione;
- diretta e individuale ogniqualvolta gli interessati siano identificabili — telefono, e-mail, messaggistica o lettera;
- se ciò non è praticabile, diffusione tramite i canali disponibili (sito, app, social), con visualizzazione diretta e agevole, per un periodo minimo di tre mesi;
- e una dichiarazione da depositare nel procedimento attestante l’avvenuta comunicazione, con indicazione dei mezzi utilizzati, entro tre giorni lavorativi dalla scadenza del termine (§ 4).
Il § 5 aggiunge un incentivo concreto: includere raccomandazioni che aiutino l’interessato a mitigare gli effetti può essere valutato come buona pratica ai fini della dosimetria della sanzione (art. 52, § 1, IX, della LGPD).
E se sei il responsabile del trattamento?
L’obbligo legale di comunicare è del titolare del trattamento. Verificatosi un incidente, il responsabile deve informarlo senza ingiustificato ritardo e fornire tutte le informazioni necessarie alla comunicazione — e l’ANPD raccomanda espressamente che questi obblighi fra titolare e responsabile siano fissati per contratto. Tradotto in termini di tempo: l’orologio dei tre giorni lavorativi del titolare non aspetta il fornitore, quindi il termine contrattuale del responsabile deve essere ben più breve del tuo.
Il registro che quasi nessuno tiene (art. 10)
È l’obbligo più ignorato del regolamento: il titolare del trattamento deve conservare il registro di ogni incidente di sicurezza — compresi quelli che ha deciso di non comunicare — per un periodo minimo di cinque anni.
Il registro deve contenere almeno: data della presa di conoscenza; descrizione generale delle circostanze; natura e categoria dei dati coinvolti; numero di interessati coinvolti; valutazione del rischio e dei possibili danni; misure correttive e di mitigazione; forma e contenuto della comunicazione, se effettuata; e i motivi della mancata comunicazione, ove ricorra il caso.
Tradotto: la decisione di non comunicare va documentata e deve essere difendibile. È questo registro che l’ANPD chiederà se aprirà un procedimento di accertamento — e può richiedere in qualsiasi momento il registro delle operazioni di trattamento (art. 37), il Rapporto d’impatto (art. 38) e la relazione sulla gestione dell’incidente.
Il ruolo dell’Encarregado
L’art. 41 della LGPD obbliga il titolare del trattamento a nominare un Encarregado e a rendere pubblici la sua identità e i suoi contatti, «preferibilmente sul sito web». La Risoluzione CD/ANPD n. 18, del 16 luglio 2024, ne ha dettagliato la funzione:
- può essere una persona fisica (interna o esterna) o una persona giuridica, e la nomina richiede un atto formale scritto, datato e firmato, che descriva modalità di intervento e attività — documento che l’ANPD può richiedere in qualsiasi momento;
- l’agente di trattamento deve fornire risorse (umane, tecniche e amministrative), garantire autonomia tecnica e accesso diretto al livello gerarchico più elevato;
- l’Encarregado deve essere coinvolto nella registrazione e nella comunicazione degli incidenti, nel registro delle operazioni di trattamento, nel Rapporto d’impatto (RIPD), nei meccanismi interni di supervisione e negli strumenti contrattuali;
- sussiste conflitto di interessi quando cumula funzioni che decidono mezzi e finalità del trattamento — le direzioni IT, HR, finanza o sanità sono i casi classici citati dall’ANPD, e il conflitto accertato può dar luogo a sanzione;
- e un punto rassicurante: l’Encarregado non risponde davanti all’ANPD della conformità del trattamento. A rispondere è il titolare del trattamento.
Gli agenti di piccole dimensioni possono essere esonerati dalla nomina (Risoluzione CD/ANPD n. 2/2022), salvo che effettuino trattamenti ad alto rischio, abbiano ricavi lordi superiori ai limiti del regolamento o appartengano a un gruppo economico che li superi. Anche se esonerati, devono mantenere un canale di comunicazione con l’interessato.
In pratica: è l’Encarregado a presentare l’istanza all’ANPD. Se non è nel tuo piano di risposta agli incidenti, il tuo piano non funziona già dal primo giorno.
Sanzioni: che cosa può applicare l’ANPD (art. 52)
I valori corretti, direttamente dal testo di legge:
| Sanzione | Dettaglio |
|---|---|
| Avvertimento | con termine per l’adozione di misure correttive |
| Sanzione pecuniaria semplice | fino al 2% del fatturato della persona giuridica di diritto privato, del gruppo o del conglomerato in Brasile, relativo all’ultimo esercizio, al netto delle imposte, con un limite complessivo di 50.000.000,00 di real per infrazione |
| Sanzione pecuniaria giornaliera | fermo restando lo stesso limite complessivo |
| Pubblicazione dell’infrazione | dopo l’accertamento e la conferma |
| Blocco dei dati | fino alla regolarizzazione |
| Cancellazione dei dati | relativi all’infrazione |
| Sospensione parziale della banca dati | fino a 6 mesi, prorogabili per un periodo equivalente |
| Sospensione dell’attività di trattamento | fino a 6 mesi, prorogabili |
| Divieto parziale o totale | delle attività di trattamento |
Le ultime tre (sospensione parziale, sospensione dell’attività e divieto) possono essere applicate soltanto dopo che nello stesso caso concreto sia già stata irrogata almeno una fra sanzione pecuniaria, pubblicazione, blocco o cancellazione (art. 52, § 6).
La dosimetria conta quanto il tetto massimo. Il § 1 dell’art. 52 impone di considerare, fra gli altri criteri: gravità e natura dell’infrazione, buona fede, cooperazione, adozione reiterata di meccanismi interni idonei a ridurre il danno, politica di buone pratiche e governance e pronta adozione di misure correttive. La Risoluzione CD/ANPD n. 4/2023 classifica le infrazioni in lievi, medie e gravi e definisce la metodologia di calcolo della sanzione pecuniaria semplice. Nel corso del procedimento, l’ANPD può inoltre disporre misure preventive immediate e fissare una sanzione pecuniaria giornaliera per assicurarne il rispetto (art. 15 della Risoluzione 15/2024).
Il dettaglio più rilevante per chi lavora nella sicurezza sta nell’art. 48, § 3: nel giudizio sulla gravità, l’ANPD valuta «l’eventuale prova che siano state adottate misure tecniche adeguate a rendere i dati personali coinvolti inintelligibili per terzi non autorizzati». Una crittografia ben implementata non è solo igiene tecnica: è un’attenuante prevista dalla legge.
Va segnalato infine un cambiamento istituzionale recente: la Legge n. 15.352, del 25 febbraio 2026 (conversione della Misura Provvisoria 1.317/2025), ha introdotto l’art. 55-A nella LGPD e ha istituito l’Agência Nacional de Proteção de Dados (ANPD) come ente pubblico di natura speciale collegato al Ministero della Giustizia e della Pubblica Sicurezza, dotato di autonomia funzionale, tecnica, decisionale, amministrativa e finanziaria, di patrimonio proprio e con sede nel Distretto Federale. La stessa legge ha creato la carriera di regolazione e vigilanza sulla protezione dei dati. In pratica: stessa sigla, con più muscoli sul fronte dei controlli.
Misure tecniche concrete
La Guida orientativa sulla sicurezza delle informazioni dell’ANPD (scritta per gli agenti di piccole dimensioni, ma utile a qualsiasi organizzazione) organizza le misure in amministrative e tecniche. Incrociando la guida con ciò che l’art. 48 pretende che tu sappia rispondere in tre giorni lavorativi:
Crittografia. In transito, TLS/HTTPS ovunque — comprese le integrazioni interne e la posta elettronica con dati HR o sanitari. A riposo, cifratura dei campi sensibili e dei backup. Ricorda l’art. 48, § 3: se i dati trapelati sono inintelligibili, la gravità si riduce.
Controllo degli accessi. L’ANPD scompone il controllo in tre funzioni: autenticazione (chi accede), autorizzazione (che cosa può fare) e audit (che cosa è stato fatto). In pratica: privilegio minimo (need to know), MFA sui sistemi che trattano dati personali, politica di complessità delle password, sostituzione delle password predefinite dei fornitori e divieto di account o password condivise — l’ANPD la definisce un «vettore critico di vulnerabilità».
Audit trail. Registra autenticazioni e tentativi falliti, accessi ai dati personali, modifiche dei permessi, esportazioni e operazioni amministrative. Il test è semplice: riesci a dire, entro tre giorni lavorativi, quanti interessati sono stati coinvolti, quali categorie di dati e quale è stata la causa principale? Se la risposta dipende da un lavoro di archeologia sui log applicativi, l’incidente ti è già costato il termine.
Conservazione e cancellazione. Raccogliere solo il necessario (art. 6, III) e cancellare ciò che non ha una finalità attiva riduce la superficie del prossimo incidente e il numero di interessati coinvolti. Aggiungici lo smaltimento sicuro dei supporti.
Backup resiliente al ransomware. La raccomandazione dell’ANPD è esplicita: backup regolari, completi, in un luogo diverso dallo storage principale e non sincronizzati in tempo reale — per non replicare la cifratura dell’attaccante.
Gestione delle vulnerabilità. Sistemi e applicazioni aggiornati, patch applicate, hardening (disattivare i servizi non necessari, cambiare tutte le password predefinite, rivedere di continuo ciò che è esposto su internet) e antimalware installato e aggiornato — con l’indicazione esplicita agli utenti di non disattivare le impostazioni di sicurezza. La guida dell’ANPD cita una ricerca del CERT.br condotta con Cetic.br: tenere tutto aggiornato, fare hardening e migliorare identificazione e autenticazione (inclusa la non riutilizzazione delle password) rientrano fra le tre misure a maggiore impatto.
Fornitori. Il contratto con il responsabile del trattamento deve contenere una clausola sulla sicurezza delle informazioni, i ruoli titolare/responsabile definiti e un termine interno di notifica compatibile con i tuoi tre giorni lavorativi.
Checklist operativa
Prima (postura permanente)
- Encarregado nominato, contatto pubblicato sul sito, senza conflitto di interessi e con accesso diretto al vertice aziendale
- Registro delle operazioni di trattamento (art. 37) aggiornato — è da lì che esce il «numero totale di interessati» della voce 12
- Mappa di dove risiedono i dati sensibili, finanziari, di autenticazione e quelli di bambini, adolescenti e anziani
- Politica di sicurezza delle informazioni scritta, con revisione periodica
- MFA, privilegio minimo e revisione periodica degli accessi
- Crittografia in transito e a riposo, con gestione delle chiavi
- Audit trail di autenticazione, accesso, modifica ed esportazione — con ritenzione compatibile con i 5 anni dell’art. 10
- Backup testato, offline o con copia non sincronizzata
- Clausole di sicurezza e termini di notifica nei contratti con i responsabili del trattamento
- Formazione e canale interno per segnalare incidenti e vulnerabilità
Durante (i primi tre giorni lavorativi)
- Confermare che si è verificato un evento avverso e che sono stati coinvolti dati personali — l’orologio parte qui
- Contenere e preservare le evidenze (non cancellare i log per «ripulire» l’ambiente)
- Applicare il test dell’art. 5: incide in modo significativo sui diritti e riguarda uno dei sei criteri?
- Attivare l’Encarregado e raccogliere i 12 campi dell’art. 6, § 2
- Presentare l’istanza nel SEI!ANPD con la prova della rappresentanza — anche in forma preliminare, se necessario
- Informare gli interessati con linguaggio semplice, in forma individuale, con raccomandazioni di mitigazione
- Se non è possibile identificarli tutti, pubblicare su un canale ad ampia diffusione e mantenerlo per 3 mesi
Dopo
- Integrare la comunicazione entro 20 giorni lavorativi, in modo motivato
- Depositare nel procedimento la dichiarazione di avvenuta comunicazione agli interessati
- Registrare l’incidente con le 8 voci dell’art. 10 — anche se hai deciso di non comunicarlo
- Post-mortem con causa radice e misure correttive documentate (peso diretto nella dosimetria)
- Rivalutare il RIPD e i controlli coinvolti
Dove una piattaforma aiuta — e dove no
Uno strumento non sostituisce un programma di governance, non nomina il tuo Encarregado e non presenta istanze all’ANPD al posto tuo. Quello che può fare è accorciare la distanza fra «abbiamo scoperto qualcosa» e «abbiamo i dodici campi compilati». In OODA Intelligence, i componenti che toccano questo flusso sono:
- Audit & Compliance — oltre 50 tipi di evento (autenticazione, accesso ai dati, modifiche di configurazione, incidenti), ritenzione configurabile, hash chain di integrità ed export immutabile (WORM).
- Users & Access — RBAC per modulo e azione, MFA (TOTP, WebAuthn, SMS), SSO SAML 2.0/OIDC e access review.
- Incident Management — ciclo di vita della risposta con timeline immutabile e allegati cifrati, utile per produrre il registro dell’art. 10.
- Isolamento per organizzazione e cifratura dei campi sensibili, come descritto nella nostra pagina sulla LGPD.
Il resto — mappatura dei trattamenti, basi giuridiche, contratti con i responsabili, decisione se comunicare o meno — resta lavoro umano.
Fonti ufficiali
Ogni articolo, termine e valore citato qui è stato verificato sul testo ufficiale:
- Legge n. 13.709/2018 (LGPD) — Planalto
- Legge n. 15.352/2026 — istituisce l’Agência Nacional de Proteção de Dados (art. 55-A della LGPD)
- Risoluzione CD/ANPD n. 15/2024 — Regolamento sulla comunicazione degli incidenti di sicurezza (DOU)
- Risoluzione CD/ANPD n. 18/2024 — Regolamento sull’attività dell’Encarregado (DOU)
- Risoluzione CD/ANPD n. 2/2022 — Regolamento per gli agenti di trattamento di piccole dimensioni (DOU)
- Risoluzione CD/ANPD n. 4/2023 — Regolamento sulla dosimetria e sull’applicazione delle sanzioni amministrative
- ANPD — Comunicazione degli incidenti di sicurezza (procedura e domande frequenti)
- ANPD — Guida orientativa sulla sicurezza delle informazioni per gli agenti di trattamento di piccole dimensioni
- ANPD — Guida orientativa sull’attività dell’Encarregado
- ANPD — Regolamentazioni pubblicate (elenco ufficiale)
