Vazamento de dados: o que a LGPD exige da empresa depois do incidente

1. O dever de comunicação previsto no artigo 48

O artigo 48 da LGPD determina que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável, conforme definido pela ANPD. A lei não fixa um número de horas, mas exige agilidade compatível com a gravidade do caso.

2. O que a comunicação precisa conter

• —Descrição da natureza dos dados pessoais afetados.
• —Informação sobre os titulares envolvidos, quando possível identificá-los.
• —Indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados.
• —Riscos relacionados ao incidente e as medidas adotadas ou a serem adotadas para reverter ou mitigar os efeitos do prejuízo.

3. Primeiros passos técnicos após identificar o incidente

Antes da comunicação formal, a empresa costuma precisar conter o incidente (isolar sistemas afetados, revogar credenciais comprometidas), preservar evidências para apuração da causa, e mapear a extensão real do vazamento, incluindo quantos titulares e quais categorias de dados foram afetadas.

4. O papel do encarregado de dados (DPO)

O encarregado de dados, previsto no artigo 41 da LGPD, é o canal de comunicação entre a empresa, os titulares e a ANPD. Em um incidente, é ele quem costuma coordenar a resposta técnica e jurídica, avaliar a gravidade do caso e conduzir a comunicação formal exigida por lei.

5. Consequências de não comunicar

A ausência de comunicação, ou uma comunicação insuficiente, pode ser tratada pela ANPD como infração autônoma à LGPD, sujeita às sanções previstas no artigo 52, que vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração.