Notificação à ANPD: Quando a Empresa é Obrigada a Comunicar um Vazamento
Nem todo incidente de segurança precisa ser comunicado à ANPD. Entenda o critério de risco relevante e os passos recomendados após um vazamento de dados.
Uma das dúvidas mais frequentes de empresas depois de um incidente de segurança é se existe obrigação de comunicar o ocorrido à Autoridade Nacional de Proteção de Dados. A resposta não é automática: depende da avaliação do risco que o incidente representa aos titulares dos dados afetados.
O critério legal: risco relevante ao titular
A LGPD determina que o controlador comunique à ANPD e ao titular dos dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável. Isso significa que nem todo incidente gera obrigação de comunicação automática, mas exige da empresa uma análise cuidadosa e documentada sobre a gravidade do que ocorreu.
O que considerar para avaliar o risco
Entram nessa avaliação o tipo de dado exposto, se envolve dados sensíveis como saúde ou dados de crianças, o número de titulares afetados, e a probabilidade concreta de uso indevido dessas informações. Um vazamento de dados cadastrais básicos tende a ter avaliação de risco diferente de um vazamento envolvendo dados financeiros ou de saúde.
Passos recomendados diante de um incidente
- Documentar imediatamente a descoberta do incidente, com data, extensão e dados potencialmente afetados.
- Avaliar tecnicamente a real extensão do vazamento antes de decidir sobre a comunicação.
- Consultar orientação jurídica especializada para classificar o nível de risco e o prazo aplicável.
- Preparar comunicação clara aos titulares afetados, caso a avaliação indique essa necessidade.
O risco de não comunicar quando deveria
Deixar de comunicar um incidente que efetivamente representava risco relevante aos titulares pode ser tratado pela ANPD como agravante em eventual fiscalização, além de comprometer a relação de confiança entre a empresa e seus clientes quando o fato se torna conhecido por outras vias.
A decisão de comunicar ou não um incidente não deveria ser tomada no impulso do momento. Ela exige avaliação técnica documentada, feita com cuidado e dentro do prazo.
Rodrigo Kfouri Laurindo é advogado e sócio fundador da Farah & Laurindo Sociedade de Advogados, mediador e árbitro. Atua nacionalmente em compliance e proteção de dados empresariais.
Perguntas frequentes
Toda falha de segurança precisa ser comunicada à ANPD?
Não, apenas incidentes que possam acarretar risco ou dano relevante aos titulares dos dados, o que exige avaliação caso a caso.
Quais fatores definem se um incidente é de risco relevante?
O tipo de dado exposto, se envolve dados sensíveis, o número de titulares afetados e a probabilidade de uso indevido das informações.
O que acontece se a empresa não comunicar um incidente que deveria ter comunicado?
Pode ser tratado como agravante em eventual fiscalização da ANPD, além do risco reputacional quando o fato se torna conhecido por outra via.
É preciso orientação jurídica para decidir sobre a comunicação de um incidente?
É altamente recomendável, já que a classificação do risco e o prazo aplicável exigem análise técnica e jurídica específica do caso.
Rodrigo Kfouri Laurindo
Advogado, sócio da Farah & Laurindo Sociedade de Advogados, com atuação em direito tributário, empresarial e patrimonial. Mediador e árbitro certificado.
Farah & Laurindo Sociedade de Advogados