Incidente de Segurança e LGPD: o playbook de TI para evitar sanções
São 8h17 de uma segunda-feira quando o SOC identifica autenticações fora do padrão e uma transferência incomum de arquivos. Poucos minutos depois, a equipe confirma que uma credencial privilegiada foi comprometida. Em poucos minutos, incidente de segurança e LGPD deixam de ser assuntos separados e passam a exigir decisões coordenadas.
Nesse momento, o problema deixa de ser apenas técnico, pois passa a envolver continuidade operacional, reputação, titulares de dados e obrigações regulatórias. Além disso, o prazo para uma possível comunicação começa quando o controlador toma ciência do incidente confirmado e de seus riscos.
Por isso, improvisar durante a crise pode ampliar os danos, comprometer evidências e aumentar a exposição da organização perante a ANPD. Uma resposta eficiente nasce antes do ataque, com processos testados, responsabilidades definidas e integração entre tecnologia, privacidade, jurídico e gestão.
Neste artigo, você entenderá como responder a um incidente de segurança e LGPD, comunicar a ANPD e reduzir o risco de sanções. Confira!
Incidente de segurança e LGPD exigem uma resposta coordenada
Durante anos, muitas organizações trataram a LGPD como um projeto documental, concentrado em políticas, avisos de privacidade e termos de consentimento. No entanto, a conformidade também depende da capacidade de prevenir, detectar, investigar e responder aos eventos que afetam dados pessoais. Segundo a ANPD, um incidente ocorre quando um evento confirmado compromete a confidencialidade, integridade, disponibilidade ou autenticidade desses dados.
Portanto, o conceito inclui vazamentos, alterações indevidas, acessos não autorizados e indisponibilidade prolongada, mesmo quando nenhuma informação foi publicada. Um ransomware, por exemplo, pode gerar impacto relevante apenas por impedir o acesso a prontuários, cadastros ou informações essenciais ao atendimento. Da mesma forma, uma mensagem enviada ao destinatário errado pode representar um incidente, embora não envolva malware ou invasão externa.
Essa amplitude aproxima definitivamente as equipes de TI, Segurança da Informação, privacidade, jurídico, continuidade e comunicação corporativa. Consequentemente, cada área precisa conhecer seu papel, seus limites decisórios e os canais usados durante uma possível crise.
Por que o risco regulatório aumentou
Os números oficiais mostram que incidentes e reclamações já fazem parte da rotina da autoridade brasileira. Entre julho de 2023 e junho de 2025, a ANPD recebeu 723 comunicações de incidentes e 9.629 denúncias ou petições. Além disso, os requerimentos cresceram 1.840,9% em comparação com o ciclo anterior, segundo o Relatório do Ciclo de Monitoramento.
No mesmo levantamento, ransomware, exploração de vulnerabilidades e roubo de credenciais aparecem entre os eventos mais comunicados pelos controladores. Em 2026, outro movimento elevou a importância da adequação, pois a Lei nº 15.352 transformou a ANPD em agência reguladora. Além disso, a nova estrutura criou uma carreira específica para regulação e fiscalização de proteção de dados.
Esse fortalecimento não significa que toda falha produzirá uma multa automática, porém aumenta a necessidade de demonstrar diligência e cooperação. Na prática, a organização deve provar como preveniu o incidente, como reagiu e por que tomou cada decisão.
Nem todo incidente precisa ser comunicado à ANPD
Um dos erros mais comuns consiste em comunicar qualquer alerta, sem avaliar previamente seu contexto e seu impacto. Por outro lado, esconder um incidente relevante ou atrasar sua análise também pode agravar a exposição da organização. Conforme a Resolução CD/ANPD nº 15/2024, três condições precisam aparecer juntas para que exista a obrigação de comunicar.
Primeiro, o evento deve estar confirmado, e não ser apenas uma vulnerabilidade ou suspeita ainda sem evidências. Depois, o incidente precisa envolver dados pessoais sujeitos à LGPD, sejam eles digitais ou armazenados em documentos físicos. Por fim, a ocorrência deve ter potencial para causar risco ou dano relevante aos titulares afetados.
Essa avaliação considera volume, categorias de dados, quantidade de pessoas, possíveis fraudes e impactos materiais, morais ou reputacionais. Além disso, dados sensíveis, informações financeiras e registros de crianças, idosos ou outros grupos vulneráveis aumentam a criticidade. A proteção existente também importa, pois dados criptografados podem apresentar um risco diferente daquele associado a arquivos expostos em texto claro.
Portanto, a decisão precisa ser documentada, inclusive quando a conclusão indicar que a comunicação não era necessária.
O prazo de três dias úteis não permite improvisação
Quando o incidente confirmado puder causar risco ou dano relevante, o controlador deverá comunicar a ANPD e os titulares em três dias úteis. Esse é um ponto importante, pois diversos conteúdos confundem a regra brasileira com o prazo europeu de 72 horas. Ainda assim, três dias úteis representam uma janela curta para investigar, avaliar riscos, reunir informações e preparar comunicações consistentes.
Caso todas as informações ainda não estejam disponíveis, o controlador poderá enviar uma comunicação preliminar devidamente justificada. Em seguida, deverá complementar os dados em até vinte dias úteis, conforme as orientações da ANPD. Por isso, o plano de resposta deve prever quem reconhece a ciência do incidente e quem autoriza a notificação.
Também precisa definir como o operador informa o controlador, pois a obrigação formal de comunicar pertence ao controlador. Ao mesmo tempo, contratos com fornecedores devem estabelecer prazos menores, canais de emergência e requisitos mínimos de cooperação técnica. Sem essas definições, a organização perde horas valiosas discutindo responsabilidades enquanto o ataque continua produzindo efeitos.
Incidente de segurança e LGPD: o que fazer nos primeiros três dias úteis
Nas primeiras horas, a prioridade consiste em confirmar o evento, limitar sua propagação e preservar evidências para a investigação. Contudo, a contenção não pode apagar registros essenciais, destruir artefatos ou impedir a reconstrução da linha do tempo. Por isso, a equipe deve registrar horários, sistemas afetados, usuários envolvidos, indicadores de comprometimento e medidas executadas.
Em seguida, o SOC ou CSIRT precisa determinar quais ambientes foram acessados e quais dados pessoais estavam presentes. Essa etapa depende de inventários atualizados, classificação da informação, mapeamento de dados e conhecimento sobre integrações com terceiros. Sem visibilidade, ninguém consegue estimar corretamente o alcance do incidente ou identificar todos os titulares potencialmente afetados.
Paralelamente, o encarregado deve acompanhar a investigação e traduzir as descobertas técnicas para a avaliação regulatória. Além disso, o jurídico precisa analisar contratos, responsabilidades compartilhadas, seguros, obrigações setoriais e possíveis conflitos entre prazos. Antes da comunicação, a organização deve responder algumas perguntas: quais dados foram comprometidos, quantas pessoas sofreram impacto e quais danos são possíveis?
Também deve informar quais controles existiam, quais medidas de contenção foram aplicadas e como os titulares poderão reduzir seus riscos. Finalmente, a liderança deve aprovar uma mensagem clara, transparente e coerente com as evidências disponíveis naquele momento.
A tecnologia deve produzir evidências de conformidade
Comprar uma ferramenta de segurança não comprova, isoladamente, que a organização adotou medidas adequadas à natureza dos dados tratados. Entretanto, controles bem implementados geram evidências que ajudam a explicar a postura preventiva e a resposta realizada. Logs centralizados, por exemplo, permitem reconstruir acessos, movimentações laterais, alterações de privilégios e possíveis transferências de dados.
Da mesma forma, MFA, gestão de identidades e revisão periódica de acessos reduzem o impacto provocado por credenciais comprometidas. Além disso, soluções EDR ou XDR aumentam a capacidade de detectar comportamentos anormais e isolar equipamentos durante a contenção. Backups imutáveis também protegem a disponibilidade, porém precisam passar por testes frequentes de restauração.
Enquanto isso, criptografia, segmentação de redes e minimização de dados reduzem o alcance de uma invasão bem-sucedida. Já a gestão de vulnerabilidades demonstra que a organização identifica, prioriza e corrige falhas conforme risco e criticidade. Porém, nenhum controle técnico substitui processos claros, treinamento recorrente e exercícios que simulem decisões sob pressão.
Por isso, organizações maduras realizam simulações envolvendo SOC, TI, DPO, jurídico, comunicação, diretoria e fornecedores estratégicos.
O plano de resposta também protege contra sanções
A LGPD prevê multa simples de até 2% do faturamento brasileiro, limitada a R$ 50 milhões por infração. No entanto, a multa não representa a única consequência possível para uma organização que descumpre a legislação. A autoridade também pode aplicar advertência, publicizar a infração, bloquear dados, determinar sua eliminação ou suspender atividades de tratamento.
Além disso, um incidente pode provocar interrupção operacional, perda de clientes, disputas contratuais e ações judiciais. Por outro lado, cooperação, boa-fé, adoção de medidas corretivas e mecanismos internos de prevenção podem ser considerados na fiscalização. Consequentemente, o plano de resposta deve funcionar como instrumento operacional e também como registro da diligência organizacional.
Ele precisa guardar decisões, responsáveis, evidências, justificativas, comunicações, medidas corretivas e lições aprendidas após cada ocorrência. Assim, a empresa consegue demonstrar não apenas o que aconteceu, mas tudo o que fez para prevenir e reduzir o dano.
Conclusão: adequação à LGPD começa antes do próximo alerta
Nenhuma organização consegue eliminar completamente o risco de um incidente, mesmo com investimentos relevantes e equipes experientes. Ainda assim, existe uma grande diferença entre sofrer um ataque e estar despreparado para responder a ele. A adequação real aparece quando a empresa conhece seus dados, controla acessos, monitora ambientes e integra privacidade ao processo de resposta.
Além disso, ela surge quando fornecedores comunicam rapidamente, lideranças conhecem suas responsabilidades e decisões deixam rastros verificáveis. Portanto, incidente de segurança e LGPD não devem ser tratados em projetos separados ou conduzidos apenas após uma crise. Essa integração reduz o tempo de resposta, melhora a comunicação com os titulares e fortalece a posição da organização perante a ANPD.
No fim, conformidade não significa acumular políticas em uma pasta, mas transformar compromissos de proteção em práticas técnicas demonstráveis. Por isso, a pergunta mais importante não é se um incidente acontecerá, mas se sua organização conseguirá responder dentro do prazo.
Se você gostou deste conteúdo ou tem alguma dúvida ou sugestão sobre o tema, deixe seu comentário abaixo. E se você quer saber mais sobre cibersegurança corporativa, entre em contato conosco. Somos especialistas em segurança cibernética e podemos te ajudar a implementar estruturas robustas para a segurança da informação e segurança dos dados de seus negócios.
Bernard Colen, Analista de Comunicação.
“Microhard 34 anos – Cada vez mais próxima para proteger a sua Informação!”
