Incidente de segurança: o que a LGPD exige nas primeiras horas

Em resumo

• A Resolução CD/ANPD nº 15/2024 fixou em 3 dias úteis, contados do conhecimento, o prazo para comunicar à ANPD o incidente que possa acarretar risco ou dano relevante aos titulares.
• A Lei nº 15.352/2026 transformou a ANPD em agência reguladora, com autonomia técnica, decisória e financeira.
• A sanção de multa prevista no art. 52 da LGPD alcança até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

O art. 48 da Lei nº 13.709/2018 impõe ao controlador comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Por anos essa obrigação conviveu com um prazo indefinido. A Resolução CD/ANPD nº 15/2024 encerrou a indefinição: 3 dias úteis, contados do conhecimento do incidente.

O relógio começa antes do que a empresa imagina

O prazo corre do conhecimento, não da conclusão da investigação técnica. Isso inverte a ordem natural de muitas organizações, que primeiro apuram tudo e só depois comunicam. A comunicação inicial pode ser feita com as informações disponíveis e complementada depois — o que não se admite é o silêncio enquanto a apuração se estende.

Por que esse é o ponto mais sancionado

O exame das sanções já aplicadas mostra um padrão: o que pesou não foi o incidente em si, mas a falha em comunicá-lo à autoridade e aos titulares. É compreensível do ponto de vista regulatório. Vazamento pode ocorrer mesmo em ambiente diligente; a omissão em comunicar é uma decisão da empresa.

Ausência de encarregado, falta de resposta a requisições de titulares e uso irregular de bases para marketing completam o conjunto de gatilhos mais frequentes.

Uma autoridade diferente da de 2020

A Lei nº 15.352/2026, publicada em 25 de fevereiro de 2026, converteu a Medida Provisória nº 1.317/2025 e transformou a ANPD em agência reguladora, com autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio e quadro específico de especialistas. É uma mudança de capacidade de fiscalização, não apenas de forma jurídica.

O que precisa existir antes do incidente

• Plano de resposta escrito, com papéis definidos e um responsável por acionar o jurídico.
• Critério prévio para avaliar risco ou dano relevante, para não improvisar sob pressão.
• Encarregado indicado e canal de contato publicado, na forma do art. 41 da LGPD.
• Registro das operações de tratamento, que é o que permite dimensionar o incidente rapidamente.
• Cláusulas de comunicação e cooperação nos contratos com operadores e fornecedores de tecnologia.
• Trilha de auditoria e registro das decisões tomadas durante a resposta.

Perguntas frequentes

Qual o prazo para comunicar um incidente de segurança à ANPD?

A Resolução CD/ANPD nº 15/2024 fixou 3 dias úteis, contados do conhecimento do incidente que possa acarretar risco ou dano relevante aos titulares. O prazo corre do conhecimento, não do encerramento da investigação técnica, e a comunicação inicial pode ser complementada depois.

Todo incidente precisa ser comunicado?

Não. A obrigação do art. 48 da LGPD alcança o incidente que possa acarretar risco ou dano relevante aos titulares. A avaliação depende da natureza dos dados, da quantidade de titulares, da possibilidade de identificação e dos efeitos possíveis. Ter critério definido antes evita que essa análise seja improvisada.

Qual o valor máximo da multa da LGPD?

O art. 52 da LGPD prevê multa de até 2% do faturamento da empresa ou grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração. Há ainda multa diária, publicização da infração, bloqueio e eliminação dos dados, entre outras sanções.

O que mudou com a Lei nº 15.352/2026?

A lei transformou a ANPD em agência reguladora, mantida a vinculação ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, patrimônio próprio e criação de cargos de especialista providos por concurso. Na prática, amplia a capacidade de fiscalização da autoridade.

Normas e fontes citadas

• Lei nº 13.709/2018 — LGPD, arts. 41, 48 e 52
• Resolução CD/ANPD nº 15/2024 — comunicação de incidente
• Lei nº 15.352/2026 — transformação da ANPD em agência reguladora

Este texto tem finalidade informativa e não substitui a análise do caso concreto por advogado. Não constitui oferta de serviços nem promessa de resultado.