Incidente de segurança com dados pessoais: como organizar a resposta na prática

Um incidente de segurança LGPD costuma começar como uma informação incompleta: um alerta no monitoramento, um arquivo enviado ao destinatário errado, uma conta acessada de forma suspeita, um dispositivo perdido ou um fornecedor comunicando uma falha. Nas primeiras horas, a organização ainda não sabe exatamente o que aconteceu, mas já precisa preservar evidências, conter o impacto e reunir as pessoas certas para investigar.

A resposta não deve ser tratada como uma tarefa exclusiva da segurança da informação. TI pode conter a ameaça, o DPO avalia o impacto sobre titulares e obrigações de privacidade, o jurídico orienta decisões e comunicações, a área de negócio conhece o processo afetado, o fornecedor pode fornecer evidências e a liderança precisa decidir prioridades. Quando cada grupo trabalha em uma planilha ou conversa separada, surgem versões conflitantes, tarefas esquecidas e atrasos difíceis de explicar.

Antes de definir a resposta, classifique o que foi identificado. Uma vulnerabilidade é uma fraqueza que pode ser explorada, mas sua existência não prova que ocorreu um incidente. Um evento de segurança pode afetar disponibilidade ou infraestrutura sem envolver dados pessoais. Já um incidente de segurança com dados pessoais é um evento confirmado que compromete, ou pode comprometer, confidencialidade, integridade, disponibilidade ou autenticidade de informações relacionadas a pessoas identificadas ou identificáveis.

Essa distinção evita dois erros. O primeiro é tratar qualquer alerta como uma comunicação regulatória, sem confirmar se há dados pessoais ou risco relevante. O segundo é considerar que não houve incidente porque não existe prova de cópia ou publicação: perda, alteração, indisponibilidade ou acesso não autorizado também podem afetar os titulares. A classificação deve ser atualizada conforme surgirem evidências.

Todo caso deve receber um identificador, data e hora de abertura, fonte do alerta e responsável pela coordenação. O objetivo não é burocratizar a resposta, mas criar uma linha de referência para as decisões. Defina quem pode alterar o registro, quem será informado, qual canal será usado e quando haverá nova atualização. Em incidentes graves, nomeie um líder de resposta com autoridade para priorizar tarefas e convocar as áreas necessárias.

A contenção reduz a chance de continuidade ou ampliação do incidente. Pode envolver bloquear uma conta, revogar tokens, isolar um servidor, suspender uma integração, retirar um arquivo de acesso público, interromper uma campanha ou limitar o acesso a um fornecedor. A medida precisa ser registrada com horário, responsável, justificativa e possível efeito colateral. Em alguns casos, desligar um sistema sem preservar dados voláteis dificulta a investigação; em outros, esperar uma coleta perfeita prolonga a exposição. A decisão deve equilibrar urgência e evidência.

A avaliação inicial deve separar fatos confirmados, hipóteses e perguntas em aberto. Construa uma linha do tempo com o primeiro sinal, o momento em que o evento foi confirmado, as ações de contenção, as descobertas posteriores e as decisões tomadas. Registre a fonte de cada informação. Um alerta de log, uma declaração do fornecedor, uma análise forense e um relato de usuário podem ter pesos diferentes, mas todos ajudam a formar o quadro.

Não transforme a busca por certeza absoluta em motivo para não agir. A avaliação pode começar com dados parciais e ser atualizada por etapas. Quando ainda não for possível identificar todo o escopo, registre a incerteza, adote uma hipótese conservadora para proteger os titulares e defina ações para confirmar ou reduzir essa hipótese.

O Mapeamento de Dados é especialmente útil nesse momento. A equipe precisa saber quais operações passavam pelo ativo afetado, quais categorias de dados estavam presentes e quais grupos de titulares podem ser alcançados. Não basta dizer que houve vazamento de cadastro. Diferencie contato, documento, credencial, dado financeiro, localização, saúde, biometria, informação trabalhista e dados inferidos. A natureza do dado altera a avaliação de impacto e as medidas de proteção.

A comunicação à ANPD e aos titulares não é consequência automática de qualquer alerta. A organização precisa avaliar se o incidente confirmado envolve dados pessoais sujeitos à LGPD e se pode acarretar risco ou dano relevante. A análise deve considerar contexto do tratamento, categorias e quantidade de titulares, natureza e volume dos dados, possibilidade de identificação, danos materiais, morais ou reputacionais e as medidas de mitigação adotadas.

Uma resposta coordenada distribui decisões sem fragmentar o caso. Segurança e TI investigam e contêm. O DPO avalia titulares, dados, direitos e comunicação. O jurídico verifica obrigações, contratos, sigilo e risco processual. A área de negócio define impacto operacional. Comunicação prepara mensagens claras. A liderança aprova prioridades e recursos. Se um operador estiver envolvido, o contrato deve indicar como ele notifica o controlador, fornece evidências e apoia a resposta.

Nos casos em que o incidente possa acarretar risco ou dano relevante, o controlador deve observar o Regulamento de Comunicação de Incidente de Segurança da ANPD. A página oficial informa prazo de três dias úteis para comunicação à ANPD e aos titulares, ressalvadas regras específicas aplicáveis ao caso. Quando todas as informações ainda não estiverem disponíveis, a comunicação pode ser feita em etapas, com informação preliminar e complementação posterior conforme o procedimento aplicável.

A comunicação aos titulares deve ser direta e individualizada quando possível, em linguagem simples. O conteúdo deve explicar a natureza e as categorias de dados afetados, os riscos e possíveis impactos, as medidas técnicas e de segurança relevantes, as ações adotadas ou planejadas para mitigar efeitos, a data do conhecimento e um canal para informações, incluindo o contato do encarregado quando aplicável. A mensagem deve ajudar a pessoa a se proteger, não apenas cumprir uma formalidade.

Encerrar a investigação técnica não encerra o incidente de privacidade. O caso continua enquanto houver ações de mitigação, comunicação, restauração, correção de vulnerabilidade, rotação de credenciais, revisão contratual, atendimento a titulares ou análise de causa raiz. Cada medida deve ter responsável, prazo, prioridade, status e evidência de conclusão. O registro também deve indicar o risco residual e se a liderança aceitou, transferiu ou eliminou esse risco.

Em uma crise, a informação costuma ficar distribuída entre ferramenta de chamados, mensagens instantâneas, e-mails, arquivos técnicos e reuniões. A funcionalidade de Gestão de Incidentes da LGPD Cloud pode centralizar o registro do caso, a classificação, a avaliação de risco, os titulares e dados envolvidos, as decisões, as tarefas, os responsáveis e as medidas adotadas. O objetivo é que todos atuem sobre o mesmo contexto, com histórico das alterações e das aprovações.

O vínculo com os tratamentos mapeados também reduz o tempo da avaliação. Ao localizar a atividade afetada, a equipe pode consultar finalidade, categorias de dados, sistemas, operadores, compartilhamentos e retenção que já foram registrados. Isso não substitui a investigação do caso, mas oferece uma base para formular perguntas melhores e identificar rapidamente quais áreas precisam participar. Depois, as conclusões do incidente podem alimentar o inventário, o RIPD, a gestão de riscos e o plano de melhorias.

Responder a um incidente de segurança LGPD exige mais do que corrigir a falha técnica. A organização precisa entender o evento, proteger os titulares, preservar evidências, avaliar risco, cumprir comunicações aplicáveis e acompanhar medidas até que o caso seja realmente encerrado. Esse trabalho depende de várias áreas e de informações que mudam ao longo da investigação.

Ao centralizar o registro, as avaliações, os responsáveis, as tarefas e as medidas adotadas, a LGPD Cloud ajuda a reduzir a dispersão e a manter o mesmo contexto entre segurança, DPO, jurídico, TI e gestão. O incidente deixa de ser apenas uma sequência de mensagens urgentes e passa a gerar histórico, evidências e melhorias para a governança. Fale com a LGPD Cloud para conhecer a Gestão de Incidentes.

Consulte a página da ANPD sobre Comunicação de Incidente de Segurança, a Resolução CD/ANPD nº 15/2024 e o texto compilado da LGPD. Prazos, formulários e requisitos podem depender do caso concreto, de legislação específica e de regras aplicáveis ao agente de tratamento.