O prazo de comunicação de incidente é o tempo que o controlador tem para avisar a autoridade e os titulares quando um incidente de segurança com dados pessoais pode causar risco ou dano relevante. Pela Resolução CD/ANPD nº 15/2024, a comunicação à ANPD ocorre em 3 dias úteis; pelo GDPR, a autoridade europeia deve ser notificada em até 72 horas. A calculadora mostra as datas e o que a comunicação precisa conter.
Como usar
- Informe a data e a hora em que a organização tomou ciência do incidente.
- Marque as comunicações que se aplicam: ANPD, autoridade europeia, titulares, controlador ou um prazo de contrato.
- Diga se o incidente pode causar risco alto ou dano relevante e liste os feriados do período.
- Leia os prazos, a situação de cada um e a lista do que a comunicação deve conter; exporte em PDF, DOCX ou CSV.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Quando a organização tomou ciência do incidente | Data e hora local em que houve certeza razoável de que dados pessoais foram afetados. |
| Comunicações que se aplicam | Marque as leis e os destinatários do seu caso. A LGPD conta em dias úteis; o GDPR, em horas corridas. |
| O incidente pode causar risco alto ou dano relevante aos titulares? | Define se os titulares precisam ser avisados e se a comunicação à autoridade é exigida. |
| Outro prazo, em horas corridas (opcional) | Para um contrato, uma regra setorial ou a lei de outro país. |
| Nome desse outro prazo (opcional) | Ex.: contrato com o cliente |
| Feriados a pular na contagem em dias úteis (opcional) | Formato AAAA-MM-DD, um por linha. Sábados e domingos já ficam de fora. |
Exemplo
Uma varejista fictícia descobre numa sexta-feira, 9 de outubro de 2026, às 17:30, que uma planilha de clientes ficou exposta, com risco alto para os titulares. Com o feriado de segunda, 12 de outubro, a calculadora mostra o prazo do GDPR em 12 de outubro às 17:30 (72 horas corridas) e o da LGPD, para a ANPD e para os titulares, em 15 de outubro às 23:59, o terceiro dia útil. Os titulares europeus devem ser avisados sem demora indevida.
Quando usar
- Logo após a confirmação de um incidente, para organizar a resposta em torno das datas certas.
- Num simulado de resposta a incidentes, para treinar o time com prazos reais.
- Quando a empresa atua no Brasil e na Europa e precisa cumprir LGPD e GDPR ao mesmo tempo.
- Para operadores que precisam avisar o cliente controlador dentro do prazo do contrato.
Perguntas frequentes
Qual é o prazo para comunicar um incidente à ANPD?
A Resolução CD/ANPD nº 15/2024 fixa 3 dias úteis, contados da ciência do incidente, para comunicar a ANPD e os titulares quando houver risco ou dano relevante. A calculadora começa a contar no dia seguinte à ciência e pula fins de semana e os feriados informados. Confira sempre a regra vigente.
E o prazo de 72 horas do GDPR?
O artigo 33 do GDPR pede a notificação à autoridade de controle sem demora indevida e, quando possível, em até 72 horas da ciência. As horas são corridas: fim de semana e feriado contam. Depois desse prazo, a notificação precisa explicar os motivos do atraso.
Quando os titulares precisam ser avisados?
No GDPR, quando o incidente pode gerar risco alto para os direitos e liberdades das pessoas, sem demora indevida. Na LGPD, a regulamentação da ANPD prevê a comunicação aos titulares no mesmo prazo de 3 dias úteis quando há risco ou dano relevante.
O que conta como ciência do incidente?
É o momento em que a organização tem certeza razoável de que houve um incidente que afetou dados pessoais, e não o primeiro alerta técnico. Registre como e quando essa certeza veio, porque o prazo corre dali.
Posso comunicar sem ter todas as informações?
Sim. Comunique dentro do prazo com o que já se sabe e complete depois. O GDPR admite a notificação por etapas, e a ANPD também aceita informações complementares.
Que certificação da DPCert cobre este tema?
A DPAI (Data Protection & AI Professional) avalia segurança e incidentes no domínio de segurança, junto com fundamentos, direitos dos titulares e ferramentas de accountability.
Esta ferramenta substitui um parecer jurídico?
Não. É uma ferramenta educativa e os prazos são indicativos. Confira as regras vigentes e valide a decisão com o encarregado e a assessoria jurídica da organização.