Pular para o conteúdo
TocaiaCTF
Entrar
Todos os conceitos

Notificação de incidente na LGPD

Quem vazou dados pessoais precisa avisar a ANPD e as pessoas afetadas, em prazo definido.

No Brasil, a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) trata o que fazer depois de um vazamento. Três papéis importam:

  • Controlador: quem decide como e por que os dados são tratados (no nosso caso, a empresa dona da loja). É dele o dever de comunicar.
  • Operador: quem trata os dados em nome do controlador (por exemplo, uma empresa de hospedagem). Se percebe o incidente, avisa o controlador, mas não é quem comunica à autoridade.
  • Encarregado (às vezes chamado DPO): a pessoa indicada pelo controlador para ser o canal com os titulares e com a autoridade.

O art. 48 da LGPD diz: o controlador deve comunicar à autoridade nacional (a ANPD, Autoridade Nacional de Proteção de Dados) e aos titulares (as pessoas cujos dados vazaram) um incidente que possa trazer risco ou dano relevante. A lei fala em "prazo razoável, conforme definido pela autoridade nacional"; o número exato veio na Resolução CD/ANPD nº 15, de 24 de abril de 2024, o Regulamento de Comunicação de Incidente de Segurança: a comunicação à ANPD (art. 6º) e aos titulares (art. 9º) deve ser feita em três dias úteis, contados de quando o controlador toma conhecimento de que o incidente afetou dados pessoais.

Operador a hospedagem avisa Controlador a loja: o dever é dele encarregado: o canal comunica comunica se houver risco ou dano relevante ANPD a autoridade Titulares as pessoas afetadas conta de quando sabe que dados pessoais foram afetados 3 dias úteis em dobro: pequeno porte
O operador avisa o controlador; o controlador, pelo encarregado, comunica a ANPD e os titulares quando há risco ou dano relevante, em três dias úteis contados de quando sabe que dados pessoais foram afetados (o dobro para agente de pequeno porte).

Dois pontos dependem do caso. Primeiro, nem todo incidente precisa ser comunicado: só os que podem causar risco ou dano relevante, por exemplo quando envolvem dados sensíveis, dados de crianças ou idosos, dados financeiros ou dados em larga escala. Segundo, para agentes de pequeno porte (microempresas, startups e afins) o prazo conta em dobro, seis dias úteis.

Aparece nestes desafios