Comunicação à ANPD: prazo curto exige fatos organizados antes da crise
A comunicação à ANPD é de responsabilidade do controlador quando o incidente puder acarretar risco ou dano relevante aos titulares. O regulamento define prazo, conteúdo, complementação e registro. A resposta precisa reunir natureza dos dados, titulares, medidas de segurança, riscos, mitigação e contato, sem transformar incerteza investigativa em afirmação definitiva.
O prazo regulamentar corre antes de a investigação terminar. Sem plano, responsáveis e informação mínima organizada, a empresa descobre o formulário quando a crise já exige decisão.
Por Giovanny Maciel, Sócio-fundador
Comunicar um incidente à ANPD não é preencher um formulário automaticamente sempre que a empresa detecta um problema de segurança. O Regulamento de Comunicação de Incidente de Segurança vincula a comunicação à avaliação do incidente e do potencial de risco ou dano relevante aos titulares. Por isso a decisão precisa nascer de investigação documentada.
Primeiro descubra o que aconteceu e quem pode ser afetado
Antes de concluir sobre comunicação, o controlador precisa reunir informações suficientes sobre natureza do evento, categorias de dados, titulares, medidas de proteção, possibilidade de uso indevido e consequências plausíveis. A falta de certeza absoluta não impede providências, mas não autoriza preencher lacunas com suposições.
A análise deve caminhar junto com o plano de incidente de segurança: contenção, preservação de evidências, delimitação de escopo e comunicação são partes do mesmo fluxo.
A comunicação precisa ser coerente com a evidência disponível
O relato enviado à Autoridade e, quando cabível, aos titulares deve evitar contradições entre versões. Se a investigação evolui, complementações precisam preservar a cronologia e explicar o que mudou. Por isso é útil manter um dossiê com fatos conhecidos, responsáveis, decisões e documentos que sustentaram cada conclusão.
A LGPD atribui ao controlador o dever de avaliar e comunicar nas hipóteses aplicáveis. O operador, quando identifica um evento, precisa ter canal contratual e operacional para informar rapidamente o controlador com os elementos necessários.
Não comunicar também é uma decisão que deve poder ser explicada
Quando a organização conclui que o critério regulatório não foi atingido, é prudente registrar a avaliação. Isso evita que, diante de novo dado ou questionamento posterior, a justificativa seja reconstruída apenas pela memória.
A página de vazamento de dados trata de um subconjunto desses eventos. A comunicação regulatória, porém, depende do risco e do impacto, e não da presença da palavra “vazamento” no relatório técnico.
Titulares podem exigir linguagem diferente da Autoridade
O conteúdo regulatório e a mensagem ao público possuem funções distintas. A comunicação ao titular deve priorizar compreensão e medidas de proteção, evitando jargão forense ou técnico. Se houver risco de fraude, por exemplo, a orientação prática pode ser mais útil que uma descrição minuciosa da arquitetura afetada.
A empresa também precisa controlar quem fala externamente. Atendimento, marketing e assessoria não deveriam divulgar versões paralelas enquanto investigação e comunicação formal seguem outro escopo. Uma cronologia única reduz retrabalho e risco de informação incompatível.
Antes do envio, vale separar fato confirmado de hipótese ainda em apuração. Uma comunicação útil pode ser complementada conforme a investigação avança; o que deve ser evitado é transformar estimativa em certeza ou omitir incerteza relevante apenas para fechar o texto rapidamente.
Perguntas frequentes
Operador comunica diretamente à ANPD?
Em regra, o operador informa o controlador e presta apoio; a comunicação regulatória é atribuída ao controlador, salvo configuração jurídica específica.
É possível complementar informações?
O regulamento admite comunicação com informações disponíveis e complementação conforme condições e justificativas aplicáveis.