Comunicação de incidente de segurança (prazo da ANPD)

No Brasil, o art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024 exigem que o controlador comunique à ANPD, e também aos titulares, o incidente de segurança que possa acarretar risco ou dano relevante, no prazo de três dias úteis contados do conhecimento. A comunicação descreve a natureza dos dados, os titulares afetados, as medidas adotadas e os riscos remanescentes, e pode ser complementada depois. O operador deve avisar o controlador sem demora.

No GDPR, o art. 33 manda notificar a autoridade de controle sem demora injustificada e, sempre que possível, em até 72 horas após o conhecimento da violação, salvo quando improvável o risco às pessoas. Atrasos precisam ser justificados, e as informações podem ser enviadas por etapas. O art. 34 exige comunicar os titulares quando o risco for elevado.

Como o prazo corre a partir do conhecimento, a organização precisa de um fluxo interno de escalonamento, um modelo de avaliação de risco e um registro de todos os incidentes. Exemplo: uma empresa que confirma a exposição de um backup e atende clientes no Brasil e na Europa precisa cumprir os dois prazos.