Incidente com dados pessoais: o que fazer nos primeiros dias

This article is available in Portuguese only.

Quando um incidente envolve dados pessoais, o relógio começa a contar. Desde a Resolução CD/ANPD nº 15/2024, incidentes que possam gerar risco ou dano relevante aos titulares precisam ser comunicados à ANPD e aos afetados em até 3 dias úteis. Quem não se preparou antes acaba decidindo tudo sob pressão.

Primeiras horas: conter sem apagar rastros

• Isole os sistemas e contas afetados para interromper o acesso indevido.
• Troque senhas e revogue acessos e chaves que possam ter sido expostos.
• Preserve evidências: registros, prints e cópias. Evite formatar ou reinstalar antes de guardar o que for necessário para a investigação.
• Anote tudo com data e hora: o que foi visto, quem decidiu o quê e quando.

Entenda o que foi afetado

Para decidir sobre a comunicação, é preciso responder rapidamente:

• Quais dados foram expostos e de quantas pessoas?
• Há dados sensíveis, financeiros, de autenticação ou de crianças e adolescentes?
• Os dados estavam criptografados ou protegidos de outra forma?
• O incidente ainda está em andamento?

Avalie o risco aos titulares

A comunicação é obrigatória quando o incidente pode afetar de forma significativa os direitos dos titulares, principalmente quando envolve dados sensíveis, de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, dados protegidos por sigilo ou dados em larga escala. Registre a análise feita, inclusive quando a conclusão for de que não há risco relevante.

Comunique no prazo

• À ANPD: pelo canal oficial, em até 3 dias úteis contados do conhecimento de que o incidente afetou dados pessoais. Informações ainda em apuração podem ser complementadas depois, dentro do prazo previsto no regulamento.
• Aos titulares: no mesmo prazo, em linguagem simples, explicando o que aconteceu, quais dados foram afetados, os riscos, as medidas tomadas e o contato do encarregado.

Registre e aprenda

O regulamento exige que a empresa mantenha registro dos incidentes de segurança, inclusive dos que não foram comunicados, por no mínimo 5 anos. Depois da crise, faça uma reunião de lições aprendidas: qual foi a causa, o que funcionou, o que faltou e quais melhorias entram no plano.

Como se preparar antes

• Plano de resposta a incidentes com papéis e contatos definidos.
• Modelos de comunicação à ANPD e aos titulares.
• Inventário de dados pessoais para saber rapidamente o que foi afetado.
• Exercício simulado (tabletop) pelo menos uma vez por ano.
• Registro de incidentes organizado.