Quando um incidente de segurança com dados pessoais puder acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à Agência Nacional de Proteção de Dados (ANPD) e aos próprios titulares em três dias úteis, contados do momento em que soube que dados pessoais foram atingidos. O dever está no art. 48 da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), e foi detalhado pela Resolução nº 15 do Conselho Diretor da ANPD (CD/ANPD), de 24 de abril de 2024. Mesmo o incidente que não exige comunicação precisa ser registrado, e o registro deve ser guardado por no mínimo cinco anos.
O que a lei e o regulamento exigem
O art. 48 da LGPD manda comunicar o incidente em "prazo razoável" e deixa a definição desse prazo à autoridade nacional. A definição veio com o Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD nº 15/2024, publicada no Diário Oficial da União em 26 de abril de 2024 e em vigor desde então. Até 9 de outubro de 2026, a página de regulamentações da ANPD apresenta a resolução como vigente, sem registro de alterações.
O regulamento define incidente como evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (art. 3º, XII). A ANPD esclarece que a mera vulnerabilidade não é incidente, embora sua exploração possa gerar um, e que eventos só com dados anonimizados não precisam ser comunicados.
A própria ANPD foi transformada em agência reguladora depois da edição do regulamento. A mudança veio com a Medida Provisória nº 1.317, editada em 17 de setembro de 2025 e convertida na Lei nº 15.352, de 25 de fevereiro de 2026, que deu nova redação ao art. 55-A da LGPD: a sigla passou a designar a Agência Nacional de Proteção de Dados, autarquia de natureza especial com autonomia funcional, técnica, decisória, administrativa e financeira, incluída no rol de agências reguladoras da Lei nº 13.848/2019. A Agência sucedeu a antiga Autoridade Nacional de Proteção de Dados em direitos, obrigações e ações judiciais em curso (art. 15 da Lei nº 15.352/2026).
Quando o incidente precisa ser comunicado
O art. 5º do regulamento combina dois requisitos. O incidente deve poder afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo ao impedir o exercício de direitos ou o uso de um serviço, ou ao causar danos materiais ou morais, como discriminação, fraude financeira ou roubo de identidade (art. 5º, § 1º). E deve envolver ao menos um destes critérios:
- dados pessoais sensíveis;
- dados de crianças, adolescentes ou idosos;
- dados financeiros;
- dados de autenticação em sistemas, como logins, tokens e senhas;
- dados protegidos por sigilo legal, judicial ou profissional;
- dados em larga escala, medidos pelo número de titulares, pelo volume de dados e pela duração, pela frequência e pela extensão geográfica da localização dos titulares.
No juízo de gravidade, a LGPD manda considerar se havia medidas que tornassem os dados ininteligíveis para terceiros (art. 48, § 3º), e a ANPD cita a criptografia como fator capaz de mudar a conclusão sobre o risco. Se o incidente ocorrer no operador, o dever de comunicar continua sendo do controlador; o operador deve avisá-lo sem demora injustificada, e a ANPD recomenda prever essas obrigações em contrato. O tema também aparece nas cláusulas essenciais dos contratos de software como serviço.
Prazo e conteúdo da comunicação à ANPD
O controlador tem três dias úteis a partir do momento em que soube que o incidente atingiu dados pessoais, ressalvado prazo diverso em legislação específica; para agentes de tratamento de pequeno porte, o prazo conta em dobro (art. 6º, caput e §§ 1º e 8º). A comunicação deve trazer, no mínimo (art. 6º, § 2º):
- natureza e categoria dos dados afetados, número de titulares atingidos (com destaque para crianças, adolescentes e idosos) e total de titulares tratados nas atividades afetadas;
- descrição do incidente, causa principal se identificada, data da ocorrência, quando possível, e data do conhecimento;
- medidas de segurança adotadas antes e depois do evento, preservados os segredos comercial e industrial;
- riscos e possíveis impactos para os titulares e medidas para reverter ou mitigar os efeitos;
- motivos de eventual atraso;
- identificação do controlador (e, se for o caso, declaração de que é agente de pequeno porte), do operador, quando houver, e do encarregado ou representante.
As informações podem ser complementadas, de forma fundamentada, em até 20 dias úteis (art. 6º, § 3º). A ANPD admite, excepcionalmente, comunicação preliminar seguida de complementar, mas adverte que a preliminar, sozinha, não cumpre o art. 48. O regulamento exige formulário eletrônico, e a Agência recebe os comunicados por peticionamento no sistema SEI!ANPD. Quem envia é o encarregado ou um representante constituído, que deve juntar no mesmo prazo o documento de vínculo ou de representação (art. 6º, §§ 5º e 6º); o controlador pode pedir, fundamentadamente, sigilo sobre informações protegidas por lei, como segredos comercial e industrial (art. 7º).
Como avisar os titulares
O aviso aos titulares segue o mesmo prazo de três dias úteis, também em dobro para agentes de pequeno porte, e deve informar a natureza e a categoria dos dados, as medidas de segurança, os riscos, os motivos de eventual demora, as medidas de mitigação cabíveis, a data em que o incidente se tornou conhecido e um contato, incluindo o do encarregado quando aplicável (art. 9º). A linguagem deve ser simples, e a comunicação, direta e individualizada sempre que os afetados forem identificáveis, pelos meios que o controlador já usa, como telefone, e-mail, mensagem eletrônica ou carta (art. 9º, §§ 1º e 2º).
Se o contato individual for inviável, o aviso deve ser publicado em site, aplicativo, redes sociais ou canais de atendimento, com visualização direta e fácil por no mínimo três meses (art. 9º, § 3º). O controlador junta ao processo, em até três dias úteis após o fim do prazo, declaração de que avisou os titulares e por quais meios (art. 9º, § 4º). A ANPD ressalta que comunicar apenas a Agência não basta. Incluir no aviso recomendações para reduzir os efeitos do incidente pode contar como boa prática na dosimetria de eventual sanção (art. 9º, § 5º, do regulamento e art. 52, § 1º, IX, da LGPD).
Registro do incidente e prazo de guarda
O art. 10 do regulamento obriga o controlador a registrar todo incidente, inclusive o não comunicado, e a manter o registro por no mínimo cinco anos a partir de sua data, salvo obrigação que exija prazo maior. O registro deve conter, no mínimo, a data de conhecimento e as circunstâncias do incidente, a natureza e a categoria dos dados, o número de titulares, a avaliação de risco, as medidas de correção e a forma e o conteúdo da comunicação, ou os motivos de não ter havido comunicação (art. 10, § 1º).
Por exigir a justificativa da não comunicação, o registro é o documento que demonstra, numa fiscalização, a avaliação de risco feita à época, em linha com o princípio da responsabilização e prestação de contas (art. 6º, X, da LGPD). Para órgãos e entidades públicos do art. 23 da LGPD, o prazo de cinco anos cede às regras de guarda permanente da tabela de temporalidade própria ou do Conselho Nacional de Arquivos (art. 10, § 2º).
O que a ANPD pode determinar e quais são as sanções
A ANPD avalia a gravidade pelos critérios do art. 5º e pode determinar ampla divulgação do incidente, às custas do controlador, e medidas de mitigação (art. 19). Essas providências não são sanções (art. 22) e não se confundem com a publicização da infração do art. 52, IV, da LGPD. A Agência pode impor medidas preventivas com multa diária (art. 15) e apurar de ofício incidentes não comunicados (art. 16).
O descumprimento dos arts. 6º e 9º pode levar a processo administrativo sancionador (art. 17, § 1º), com as sanções do art. 52 da LGPD, da advertência à multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, com teto de R$ 50 milhões por infração, além de bloqueio e eliminação dos dados, entre outras. A ANPD informa que a comunicação voluntária conta como sinal de boa-fé e que a demora injustificada pode gerar sanções. Se o incidente decorrer de invasão, pode haver repercussão penal, tema de invasão de dispositivo e fraude eletrônica; a escolha das bases de tratamento é examinada em consentimento e legítimo interesse.
Em resumo
- Comunica-se o incidente confirmado que possa afetar significativamente direitos dos titulares e envolva ao menos um dos seis critérios do art. 5º da Resolução CD/ANPD nº 15/2024.
- O prazo é de três dias úteis a partir do conhecimento, em dobro para agentes de pequeno porte, com complementação em até 20 dias úteis.
- Os titulares recebem aviso direto; se isso for inviável, a publicação fica visível por no mínimo três meses.
- Todo incidente entra no registro, guardado por no mínimo cinco anos.
- Desde a Medida Provisória nº 1.317/2025, convertida na Lei nº 15.352/2026, a ANPD é a Agência Nacional de Proteção de Dados, e o regulamento de 2024 segue vigente.