Incidente de segurança com dados pessoais

A LGPD fala em incidente de segurança (arts. 46 e 48), e o regulamento da ANPD sobre comunicação de incidentes (Resolução CD/ANPD nº 15/2024) trata do evento adverso confirmado que afeta a confidencialidade, a integridade ou a disponibilidade de dados pessoais. O GDPR usa a expressão violação de dados pessoais (art. 4(12)) com o mesmo alcance: vazamento ou acesso indevido, alteração não autorizada e perda ou destruição, inclusive por ransomware.

Nem todo incidente precisa ser comunicado. Pela LGPD, o controlador comunica a ANPD e os titulares quando o incidente puder acarretar risco ou dano relevante; pelo GDPR, notifica a autoridade salvo quando improvável o risco e informa as pessoas quando o risco for elevado. Nos dois regimes o controlador deve registrar todos os incidentes, comunicados ou não, e o operador deve avisar o controlador sem demora.

Exemplo: um funcionário envia a fornecedor errado uma planilha com dados de saúde de clientes. A equipe contém o incidente, avalia o risco, registra os fatos e decide sobre a comunicação. Falhas de IA podem se sobrepor a incidentes, como um chatbot que exibe dados de outro usuário.