A Lei Geral de Proteção de Dados (LGPD) exige que organizações comuniquem à Autoridade Nacional de Proteção de Dados (ANPD) e, em determinados casos, aos titulares, a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante.
Dois conceitos centrais merecem atenção:
- Risco e dano: É preciso avaliar se os dados comprometidos são sensíveis, se houve possibilidade de acesso não autorizado e se existe probabilidade de prejuízo aos titulares (como fraude, discriminação ou exposição indevida).
- Prazo razoável: A ANPD indica que a comunicação deve ocorrer “em prazo razoável”. Isso tem sido interpretado, na prática, como algo próximo a poucos dias, a depender da gravidade e do volume de dados.
Boas práticas incluem:
- Análise pericial imediata para entender o alcance do incidente.
- Documentação transparente das medidas adotadas para mitigação.
- Comunicação clara aos titulares, evitando jargões técnicos e indicando formas de proteção.
- Interlocução com a ANPD de forma proativa, demonstrando boa-fé e diligência.
O alinhamento entre a resposta técnica (DFIR) e o jurídico é indispensável para que a organização atenda à lei, preserve sua reputação e reduza riscos de sanções administrativas.
Imagem: iStock.com/gorodenkoff