ANPD · Resolução CD/ANPD nº 15/2024
São 3 dias úteis contados do conhecimento do incidente — não do fim da investigação. Responda quatro perguntas e um advogado retorna com a sua data-limite e o que precisa estar pronto até lá.
Sigilo profissional desde o primeiro contato.
Falar com o time
As respostas vão direto para um advogado do plantão. O contato é coberto por sigilo profissional e não cria, por si só, relação cliente-advogado.
O que a ANPD espera
Quando o incidente puder acarretar risco relevante aos direitos e liberdades dos titulares. A Resolução CD/ANPD nº 15/2024 traz critérios objetivos que ajudam a enquadrar — entre eles o envolvimento de dados sensíveis, de crianças e adolescentes ou de dados financeiros, e a possibilidade de fraude. Fora dessas hipóteses a avaliação continua obrigatória; o que muda é a conclusão.
Do conhecimento do incidente pelo controlador — o momento em que a empresa passa a ter elementos que permitam reconhecer que ele ocorreu. Não é a data do ataque, nem a data do laudo pericial, nem a data em que a diretoria foi informada. É por isso que registrar a hora exata do conhecimento é a primeira providência de todas.
Descrição do incidente e de como foi identificado, natureza e categorias dos dados afetados, número aproximado de titulares, medidas técnicas de segurança que estavam aplicadas, os riscos concretos identificados, as medidas de mitigação já adotadas e o contato do encarregado. Informação faltante pode ser complementada depois, mas a lacuna precisa ser declarada — silêncio sobre um campo é lido como omissão.
Sim, e costuma ser a conduta correta quando a apuração ainda está em curso. A comunicação inicial declara o que se sabe e o que ainda está sendo apurado, com previsão de complemento. O que não se sustenta é esperar a apuração terminar para só então comunicar — o prazo não se suspende por investigação em andamento.
A decisão de não comunicar é legítima quando fundamentada e registrada, com data, critérios e responsável. A ANPD pode requisitar depois o histórico da apuração e a fundamentação. Sem esse documento, a empresa não consegue demonstrar que decidiu — a leitura natural passa a ser a de que simplesmente não fez.
Muda o relógio e muda a natureza do que se produz. O ofício traz prazo próprio, quase sempre curto, e tudo que for respondido passa a compor um processo administrativo em que a empresa é a parte. A resposta precisa ser coerente com todos os documentos internos já produzidos — divergência entre o que foi dito e o que está registrado é o que mais agrava.
A avaliação de risco relevante governa as duas comunicações, mas o conteúdo é diferente. Ao titular a lei exige linguagem clara sobre quais dados foram atingidos, quais os riscos concretos e o que ele pode fazer para se proteger. O prazo também é o mesmo, e a comunicação aos titulares não pode ficar para depois da resposta ao regulador.
Contagem em dias úteis
Um incidente conhecido numa sexta à noite tem data-limite na quarta seguinte. Feriado local encurta ainda mais. Informe a hora do conhecimento e trabalhe com a data real.
Falar com o timeO que compromete a comunicação
01
A contagem parte do conhecimento do incidente. É a interpretação equivocada que mais faz empresa perder o prazo achando que está dentro dele.
02
Número que muda depois obriga a retificar e desloca a discussão para a credibilidade do que foi informado.
03
A fiscalização pede evidência. Declaração não sustentada por registro é o pior desfecho possível de uma comunicação.
04
A resposta é confrontada com o dossiê do incidente. Contradição entre os dois pesa mais do que a falha original.
Dúvidas frequentes
Dias úteis excluem sábados, domingos e feriados. Feriado municipal na sede do controlador entra nessa conta e desloca a data-limite, o que na prática torna arriscado trabalhar com uma estimativa mental. A calculadora desta página considera apenas fins de semana, exatamente para não induzir a uma data mais folgada do que a real — a conferência de feriados faz parte da análise do caso.
O dever de comunicar à ANPD e aos titulares é do controlador. O operador tem obrigação de informar o controlador, normalmente com prazo definido em contrato, e de apoiar a apuração. Quando o incidente nasce no fornecedor, a empresa continua sendo quem responde perante o regulador — o contrato define o regresso, não a titularidade do dever.
A comunicação é uma obrigação legal, não uma escolha estratégica, e a experiência do regulador tem sido a de considerar a cooperação e a tempestividade na dosimetria. O cenário que agrava é o oposto: incidente conhecido por outra via — reclamação de titular, imprensa, pesquisador — sem que a empresa tenha comunicado.
Sim. A comunicação complementar é esperada quando a apuração revela extensão maior, novas categorias de dados ou titulares adicionais. Atualizar espontaneamente sustenta a diligência da empresa; deixar a informação nova aparecer por outra via produz o efeito contrário.
O encarregado é o canal de comunicação com a ANPD e costuma conduzir o envio, mas o conteúdo compromete a empresa como um todo e será confrontado com contratos, laudos técnicos e comunicações a clientes. Na prática, a comunicação é preparada em conjunto — encarregado, jurídico e segurança da informação — mesmo quando quem protocola é o DPO.
A ANPD disponibiliza formulário eletrônico próprio, com campos definidos a partir da Resolução CD/ANPD nº 15/2024. O desafio raramente é o formato: é ter, dentro do prazo, informação apurada o suficiente para preencher cada campo sem afirmar o que não se sustenta e sem omitir o que ainda está em apuração.
Preparamos a comunicação à ANPD e aos titulares a partir do que a apuração sustenta — e coerente com tudo que a empresa já registrou.
Tenha em mãos antes de acionar o plantão:
