Plano de resposta a incidentes: o que a LGPD manda comunicar à ANPD

A obrigação, em português claro

A LGPD trata da comunicação de incidente no artigo 48. O gatilho não é qualquer falha técnica: é o incidente de segurança que possa acarretar risco ou dano relevante aos titulares dos dados. A comunicação vai para a ANPD e também para os titulares afetados, e a lei fala em prazo razoável.

Duas leituras erradas circulam por aí e vale desfazer as duas.

A primeira é achar que prazo razoável significa quando der. Não significa. A própria lei pede que a empresa justifique a demora quando a comunicação não for imediata, o que mostra que o esperado é agir logo e explicar qualquer atraso. Na prática, você deve trabalhar com a premissa de comunicar o quanto antes.

A segunda é achar que a decisão sobre comunicar é técnica. Não é. É uma decisão de risco ao titular, e quem participa dela é o encarregado pelo tratamento de dados, junto com a área jurídica e a diretoria. A TI entrega os fatos. A empresa decide o que fazer com eles.

O que a comunicação precisa conter

Este é o coração do artigo, porque cada item do conteúdo obrigatório corresponde a uma capacidade que a empresa precisa ter antes do incidente:

Olhe a coluna da direita. Nenhum daqueles itens pode ser criado depois do incidente. Ou existe antes, ou a comunicação sai vaga, e comunicação vaga é confissão de descontrole.

Por que a empresa que não se prepara sofre duas vezes

O incidente já é ruim por si só: sistema parado, gente sem trabalhar, cliente ligando. O segundo golpe vem depois, quando a empresa precisa explicar o que aconteceu e não consegue.

Sem registro de log, ninguém sabe por onde entraram. Sem inventário, ninguém sabe o que foi alcançado. Sem classificação de dados, ninguém sabe se havia dado pessoal na base atingida. Sem linha do tempo, não dá para justificar prazo nenhum. O resultado é uma comunicação que diz pouco e uma empresa que fica meses tentando reconstruir a história.

Vale lembrar que multa não é a única consequência prevista. O artigo 52 da LGPD prevê nove tipos de sanção, e a multa é apenas um deles. Advertência, bloqueio dos dados e eliminação dos dados também estão na lista, e para muita empresa o bloqueio de uma base é bem pior que um valor em dinheiro, porque atinge a operação diretamente.

O que os dados públicos da ANPD sugerem

O teto de sanção previsto é de 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração. Até o levantamento disponível, a ANPD havia aberto pelo menos nove processos administrativos sancionadores, e apenas uma empresa privada foi multada: uma microempresa de telemarketing, que recebeu duas multas somando R$ 14.400.

A leitura que fazemos desse contraste, e é interpretação nossa, não regra: a ANPD ainda está construindo precedente, e por isso o risco concreto hoje tem menos a ver com o valor da multa e mais com a soma de bloqueio de dados, dano de reputação e custo de remediação. Esse conjunto costuma pesar mais no caixa do que a sanção pecuniária. Uma análise mais completa dos números está em multa da LGPD: quanto custa de verdade.

Há ainda um ponto que interessa diretamente a quem decide investir em prevenção: o Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção. Ou seja, o esforço documentado antes do incidente é considerado depois dele. Plano de resposta escrito, testado e com evidência faz parte desse conjunto.

As fases do plano de resposta

1. Preparação

É a fase que ninguém vê e que decide o resultado. Aqui entram: inventário de sistemas e dados, classificação do que é dado pessoal, definição de quem faz parte do time de resposta, contatos de emergência de todos os envolvidos, incluindo fornecedores, canais de comunicação alternativos caso o e-mail corporativo caia, retenção de logs suficiente para reconstruir a história e backup testado. O ponto de partida costuma ser o levantamento descrito em inventário de TI: o primeiro passo que quase toda empresa pula.

2. Detecção e triagem

Alguém precisa perceber. Quanto mais tarde a empresa detecta, maior o estrago e mais difícil reconstruir o que houve. É aqui que monitoramento contínuo faz diferença prática, porque incidente costuma acontecer de madrugada, no feriado e no fim de semana. Na triagem, o time separa evento de incidente e classifica a gravidade segundo um critério escrito antes.

3. Contenção

Parar o sangramento sem destruir a prova. Esse equilíbrio é delicado. Formatar a máquina afetada resolve o problema imediato e apaga a evidência que você vai precisar para responder à ANPD e ao seu próprio conselho. O procedimento correto isola o ambiente afetado, preserva imagem e logs e só então limpa.

4. Erradicação e recuperação

Remover a causa, fechar a porta de entrada, restaurar a partir de backup confiável e validar que o ambiente voltou íntegro. Retorno apressado costuma resultar em reinfecção, tema tratado em como evitar um ataque de ransomware.

5. Comunicação

Roda em paralelo, não no fim. Comunicação interna para a diretoria, comunicação para os titulares quando houver risco relevante, comunicação para a ANPD e, quando for o caso, comunicação para clientes corporativos que tenham cláusula contratual sobre incidentes. Cada público tem linguagem própria e a mensagem precisa ser coerente entre eles.

6. Lição aprendida

Reunião com o time depois que a poeira baixa, com o que funcionou, o que falhou e o que muda daqui em diante. Isso vira ata, entra no programa de governança e é exatamente o tipo de evidência que mostra maturidade.

A linha do tempo: o documento mais subestimado

Durante o incidente, alguém precisa anotar tudo com hora. Não é burocracia, é o material que sustenta a comunicação depois. Registre:

• Hora da detecção e como o problema foi percebido.
• Hora de cada ação tomada e quem tomou.
• Sistemas confirmados como afetados e sistemas descartados.
• Decisões tomadas, com o motivo de cada uma.
• Momento em que o encarregado e a diretoria foram acionados.
• Comunicações enviadas, para quem e quando.

Uma dica prática de quem já acompanhou incidente: nomeie alguém só para registrar. Quem está resolvendo não consegue documentar ao mesmo tempo, e a memória do dia seguinte é sempre pior do que se imagina.

Quem faz o quê

Numa média empresa, a mesma pessoa pode acumular papéis, e isso não é problema. O problema é ninguém saber, na hora, quem faz o quê.

Teste o plano antes de precisar dele

Plano guardado em pasta não é plano, é intenção. O teste mais barato é o simulado de mesa: reúna o time por uma hora, apresente um cenário realista, como uma base de clientes encontrada disponível fora da empresa, e conduza a conversa perguntando quem faz o quê, com que informação e em quanto tempo. Em uma hora aparecem as lacunas: log que não existe, contato desatualizado, backup que ninguém sabe se restaura, dúvida sobre quem autoriza parar o sistema. Corrigir essas lacunas em tempo de paz custa pouco. Descobri-las durante o incidente custa caro.

Duas vezes por ano já é um bom ritmo, e o registro do simulado também serve como evidência do programa de governança. A adequação mais ampla, incluindo bases legais e direitos dos titulares, está em LGPD: adequação de empresas em SP, e as prioridades declaradas de fiscalização aparecem em ANPD 2026-2027: o Mapa de Temas Prioritários.

Perguntas frequentes

Todo incidente de segurança precisa ser comunicado à ANPD?

Não. A LGPD trata da comunicação de incidente que possa acarretar risco ou dano relevante aos titulares. Um phishing bloqueado antes de qualquer acesso não é a mesma coisa que uma base de clientes exposta. O que a empresa precisa é de um critério escrito antes, aplicado por quem tem competência para isso, e do registro da análise que levou à conclusão. Registrar por que se decidiu não comunicar é tão importante quanto comunicar.

Qual é o prazo para comunicar a ANPD depois de um incidente?

A LGPD fala em prazo razoável e pede que a empresa justifique a demora caso a comunicação não seja imediata. Isso significa que a expectativa é agir rápido e conseguir explicar o tempo que levou. Por isso o plano de resposta importa tanto: ele é o que permite reunir em poucos dias as informações que a comunicação exige. Antes de definir qualquer procedimento interno de prazo, confirme as orientações vigentes da própria ANPD com o seu jurídico.

Ter plano de resposta ajuda se a empresa for fiscalizada?

Ajuda. O Regulamento de Dosimetria, de 2023, trata a existência de um programa de governança em privacidade como atenuante formal no cálculo da sanção, e o plano de resposta a incidentes, com registros e testes, faz parte desse programa. Vale a ressalva: atenuante não é escudo. Ele pesa na dosagem da sanção, não elimina a obrigação nem a responsabilidade pelo que aconteceu.

Onde a BS IT Solutions entra

A BS IT Solutions atua na camada técnica que sustenta o plano de resposta: monitoramento com NOC 24x7 para reduzir o tempo de detecção, retenção e organização de logs, backup testado e isolado, controles de acesso, segmentação de rede e documentação dos controles que a comunicação de incidente exige descrever. Atendemos médias empresas e PMEs em São Paulo e região de forma presencial, e remotamente no Brasil inteiro.

Se hoje a sua empresa não sabe dizer quem seria acionado às três da manhã, onde estão os logs dos últimos meses e quando foi a última restauração testada de backup, o plano ainda não existe. Conheça o serviço de cyber security e fale com um especialista da BS IT Solutions para montar e testar o seu plano de resposta a incidentes.