Plano de resposta a incidentes com dados pessoais: como montar antes da crise

O pior momento para decidir quem decide é durante um incidente. Às onze da noite de uma sexta-feira, com um sistema fora do ar e uma mensagem suspeita circulando, ninguém deveria estar procurando o telefone do jurídico, discutindo se o caso precisa ir para a ANPD ou tentando descobrir quem tem acesso ao sistema de peticionamento da agência.

Um plano de resposta a incidentes existe para que essas perguntas já tenham resposta. Quando o incidente pode acarretar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 dá ao controlador três dias úteis para comunicar o incidente à ANPD e aos titulares, contados de quando ele soube que o incidente afetou dados pessoais. É pouco tempo para investigar, avaliar o risco e escrever comunicações claras, e menos ainda se a equipe precisar combinar, ali na hora, como vai trabalhar.

Este artigo trata da preparação: o conteúdo do plano, papéis, critérios de risco, prazos, modelos, registro e simulações. Para as etapas da resposta durante o incidente, veja nosso guia sobre como organizar a resposta a um incidente de segurança na prática.

A LGPD obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas para proteger os dados pessoais (art. 46) e obriga o controlador a comunicar à ANPD e ao titular os incidentes que possam acarretar risco ou dano relevante (art. 48). A Resolução CD/ANPD nº 15/2024 detalha essa comunicação: prazos, conteúdo mínimo, forma de envio e o dever de manter registro de todos os incidentes, comunicados ou não.

O plano de resposta aparece na lei como parte do programa de governança em privacidade. O art. 50, § 2º, diz que o controlador poderá implementar um programa que, no mínimo, conte com planos de resposta a incidentes e remediação. A palavra é "poderá", então o plano formal não é uma obrigação isolada. Na prática, porém, é difícil cumprir os prazos e o registro exigidos pela resolução sem algo equivalente. E a lei considera, na aplicação de sanções, a adoção reiterada e demonstrada de mecanismos internos capazes de minimizar o dano e a adoção de política de boas práticas e governança (art. 52, § 1º, VIII e IX).

Não existe modelo oficial. O plano pode ser um documento curto, de poucas páginas, desde que responda às perguntas que a equipe vai ter no meio da crise. Uma estrutura que costuma funcionar:

O plano não precisa repetir os procedimentos técnicos de cada sistema, que podem ficar em manuais da TI. Ele precisa deixar claro quem faz o quê, com que critério e em quanto tempo.

Muitos planos listam áreas. Os bons listam decisões. Saber que o jurídico "participa" ajuda pouco; saber quem pode aprovar o texto enviado aos titulares, quem pode autorizar o desligamento de um sistema crítico e quem assina a comunicação à ANPD resolve muito mais.

Defina por escrito, pelo menos, quem declara que um evento virou incidente e aciona o plano, quem autoriza medidas de contenção com impacto no negócio, quem decide sobre a comunicação à ANPD e aos titulares, quem aprova o texto das mensagens, quem fala com a imprensa e quem conversa com os fornecedores envolvidos. Cada papel precisa de um responsável e de um substituto, porque incidentes não escolhem dia, e férias e feriados acontecem.

A lista de contatos merece cuidado próprio. Em um ataque de ransomware, o e-mail corporativo e o diretório de contatos podem ficar indisponíveis. Mantenha uma cópia atualizada fora da infraestrutura principal, com os telefones das pessoas-chave, dos fornecedores críticos, de quem presta suporte jurídico e técnico externo e, se houver, da seguradora.

Há também uma preparação burocrática que costuma ser esquecida. Segundo a página da ANPD sobre comunicação de incidentes, a comunicação é feita pelo encarregado ou por representante legalmente constituído, por peticionamento eletrônico no sistema SEI!ANPD, que aceita login com a conta gov.br. Ela precisa vir acompanhada de documentos que comprovem a representação, como o ato de designação do encarregado, procuração ou atos constitutivos, e a resolução exige que esses documentos sejam apresentados junto com a comunicação, dentro do prazo (art. 6º, §§ 5º e 6º). Confirme antes de qualquer incidente que quem vai comunicar consegue acessar o sistema e tem esses documentos à mão.

A decisão de comunicar depende de uma avaliação: o incidente pode acarretar risco ou dano relevante aos titulares? A resolução dá o critério no art. 5º. O incidente se enquadra quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver pelo menos um destes elementos: dados pessoais sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala.

A própria resolução explica o que é afetar significativamente: situações em que o tratamento pode impedir o exercício de direitos ou o uso de um serviço, ou causar danos materiais ou morais, como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade (art. 5º, § 1º). Larga escala considera o número de titulares, o volume de dados, a duração, a frequência e a extensão geográfica (art. 5º, § 2º).

O plano pode traduzir esses critérios em uma matriz interna de severidade. A preparação mais útil, porém, é saber de antemão quais atividades de tratamento envolvem esses critérios. Se o mapeamento de dados já indica que o sistema de RH guarda dados de saúde, que a base de clientes tem dados financeiros e que o portal usa credenciais de acesso, a avaliação no dia do incidente fica muito mais rápida.

O fluxo cabe em uma página e deve ser seguido na ordem. Uma versão enxuta:

Dois detalhes precisam estar no fluxo. O primeiro é o papel do operador: segundo a ANPD, a obrigação de comunicar é do controlador, mas o operador deve informar o incidente ao controlador sem demora injustificada e fornecer as informações necessárias, e a agência recomenda que isso esteja previsto em contrato. O segundo é a legislação setorial: a resolução ressalva prazos de comunicação previstos em normas específicas, e empresas de setores regulados podem ter outras autoridades a notificar, com regras próprias.

Os prazos da Resolução CD/ANPD nº 15/2024 são curtos e contados em dias úteis. Os principais são estes:

Três dias úteis passam rápido. Um incidente de que a empresa toma conhecimento em uma quinta-feira pode ter o prazo vencendo já no início da semana seguinte, e feriados mudam a conta. Por isso o plano deve dizer quem registra formalmente a data e a hora do conhecimento, já que tudo parte dela, e quem acompanha o relógio até o fim.

Antes de contar com o prazo em dobro, confirme se a empresa realmente se enquadra como agente de pequeno porte e se não está em nenhuma das exceções do art. 3º da Resolução CD/ANPD nº 2/2022, como a que exclui, em regra, quem faz tratamento de alto risco. Essa verificação deve ser feita com calma, antes de qualquer incidente.

Escrever a comunicação do zero, sob pressão, é onde muitas empresas perdem tempo e clareza. O plano deve trazer modelos para os públicos mais prováveis, revisados pelo jurídico com antecedência e prontos para serem completados com os fatos do caso.

A resolução lista o que a comunicação à ANPD deve conter (art. 6º, § 2º): a natureza e a categoria dos dados afetados; o número de titulares, discriminando crianças, adolescentes e idosos; as medidas de segurança adotadas antes e depois do incidente; os riscos e possíveis impactos; os motivos da demora, se houver; as medidas de mitigação; as datas da ocorrência e do conhecimento; os dados do encarregado; a identificação do controlador e, se for o caso, do operador; a descrição do incidente com a causa principal, se identificada; e o total de titulares tratados nas atividades afetadas. Converter essa lista em um checklist interno ajuda a equipe a saber, desde a primeira hora, o que precisa levantar.

Prepare também a parte formal. Desde agosto de 2024, documentos classificados como públicos no SEI!ANPD podem ser consultados por qualquer pessoa, e a agência pede atenção ao nível de acesso de cada documento enviado. A resolução permite pedir, de forma fundamentada, sigilo sobre informações protegidas por lei, como segredos comerciais e industriais (art. 7º).

Para os titulares, a resolução exige linguagem simples e comunicação direta e individualizada quando for possível identificá-los, pelos meios que a empresa já usa para falar com eles, com o conteúdo mínimo listado no art. 9º. O que dá para adiantar é a estrutura: um texto-base com espaços para os fatos do caso, a definição de qual canal será usado para cada grupo de titulares e de quem dispara as mensagens, e blocos de recomendações por tipo de dado, como troca de senha para credenciais e atenção a golpes para dados cadastrais. Incluir recomendações que ajudem a reverter ou reduzir os efeitos do incidente pode ser considerado boa prática (art. 9º, § 5º).

O art. 9º da resolução lista o que a mensagem precisa conter: a natureza e a categoria dos dados afetados; as medidas técnicas e de segurança usadas para proteger os dados; os riscos e os possíveis impactos para os titulares; os motivos da demora, se a comunicação passar do prazo; as medidas adotadas ou que serão adotadas para reverter ou reduzir os efeitos do incidente; a data em que o incidente foi conhecido; e um contato para informações, com os dados do encarregado quando aplicável. Um exemplo fictício de texto-base, pensado para um vazamento de dados cadastrais, mostra como tudo isso cabe em uma mensagem curta:

Assunto: aviso sobre um incidente de segurança com seus dados cadastrais

Olá, [nome]. Em [data], identificamos um acesso não autorizado a um sistema de atendimento da [empresa]. A investigação mostrou que foram expostos seu nome, e-mail, telefone e endereço. Senhas e dados de pagamento não foram afetados.

O sistema contava com [medidas de proteção, descritas de forma geral, como controle de acesso e criptografia]. Assim que identificamos o problema, bloqueamos o acesso indevido, trocamos as credenciais envolvidas e reforçamos o monitoramento. [Outras medidas em andamento.]

O principal risco é o uso desses dados em tentativas de golpe, como mensagens ou ligações que se passam pela [empresa]. Não pedimos senhas, códigos ou pagamentos por telefone, e-mail ou mensagem. Desconfie de contatos desse tipo e, na dúvida, fale com a gente pelos canais oficiais.

[Se aplicável: esta comunicação está sendo enviada depois do prazo previsto porque (motivo).]

Para mais informações, fale com nosso encarregado pelo tratamento de dados pessoais, [nome], pelo [contato].

O texto precisa ser ajustado aos fatos de cada caso e revisado pelo jurídico, mas ter a estrutura pronta poupa horas dentro de um prazo de três dias úteis. Também ajuda preparar versões curtas para SMS ou aplicativo, que levem a uma página com a mensagem completa.

Prepare também um aviso interno curto, dizendo aos colaboradores o que aconteceu e para onde encaminhar perguntas, e um roteiro de atendimento com respostas às dúvidas mais prováveis dos clientes. Se houver área de imprensa, uma nota-base evita declarações improvisadas.

O controlador deve manter o registro de todos os incidentes, inclusive os não comunicados, pelo prazo mínimo de cinco anos a partir da data do registro, salvo obrigações que exijam mais tempo (art. 10). O conteúdo mínimo é este:

O plano deve dizer onde esse registro fica, quem preenche e quando ele é considerado completo. A ANPD pode pedir, a qualquer tempo, informações adicionais sobre o incidente, incluindo o registro das operações de tratamento afetadas, o RIPD e o relatório de tratamento do incidente (art. 8º).

Um plano que nunca foi testado costuma falhar nos detalhes: o substituto que não sabia que era substituto, o modelo que ninguém encontrou, o acesso ao peticionamento que ninguém tinha. A simulação de mesa, também chamada de tabletop, é a forma mais barata de descobrir essas falhas. Não há exigência legal de fazer simulações; é uma boa prática de segurança da informação, e referências internacionais como o guia NIST SP 800-61, revisão 3, do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST), publicado em abril de 2025, tratam a preparação para incidentes como parte da gestão de riscos de segurança.

O formato é simples. Reúna as pessoas que têm papel no plano por uma ou duas horas, apresente um cenário realista e revele informações novas aos poucos, como aconteceria em um caso real. A cada rodada, o grupo decide o que faria usando o plano, e um facilitador anota onde houve dúvida, atraso ou conflito.

Alguns cenários funcionam bem para começar: uma planilha de colaboradores enviada por e-mail ao destinatário errado; um ataque de ransomware que deixa o sistema de gestão fora do ar em uma sexta-feira à noite; um fornecedor que avisa, dias depois, que sofreu um vazamento com dados dos seus clientes; o notebook de um gerente furtado com arquivos sem criptografia. Um cenário de phishing também é útil e pode ser combinado com o treinamento da equipe, assunto do nosso artigo sobre como treinar colaboradores para reconhecer phishing e engenharia social.

Depois do exercício, registre as lições aprendidas e converta cada uma em uma ação com responsável e prazo. Uma frequência razoável é fazer pelo menos uma simulação por ano e repetir sempre que houver mudança relevante, como troca de sistema crítico, de fornecedor principal ou do próprio encarregado. Quem já tem um sistema de gestão de segurança da informação pode encaixar esses testes na rotina existente, como explicamos no artigo sobre integração entre LGPD, ISO 27001 e ISO 27701.

Os problemas mais frequentes são conhecidos: plano copiado de um modelo genérico, sem os sistemas e as pessoas da empresa; contatos guardados só no e-mail corporativo; critérios de risco vagos; ninguém com acesso confirmado ao SEI!ANPD; fornecedores sem cláusula de aviso de incidentes; decisões de não comunicar sem registro dos motivos; e um documento nunca revisado desde a aprovação.

Boa parte da preparação é documental e pode ser feita com editor de textos e planilhas. O desafio aparece na hora de manter tudo ligado: o plano atualizado, o mapeamento que mostra onde estão os dados sensíveis, o registro de cada incidente com os campos que a resolução pede e as ações que saíram das simulações.

Na LGPD Cloud, o módulo de Gestão de Incidentes registra cada caso com responsável, área, tipo, categoria, descrição, data e hora, sistema afetado, forma de identificação, tipos de dados, quantidade de titulares afetados, se os dados estavam protegidos, impacto aos titulares e risco à organização, avaliação de risco relevante, medidas imediatas, contenção e ações preventivas, com status que vai de aberto a encerrado. Esses campos cobrem boa parte do conteúdo mínimo que a Resolução CD/ANPD nº 15/2024 pede no registro, inclusive para incidentes que não foram comunicados.

O plano em si pode ficar no módulo de Políticas e Normas, cadastrado como procedimento, com responsável, versões, aprovação e data da próxima revisão. As melhorias apontadas nas simulações podem virar Tarefas com responsável e prazo, e o Mapeamento de Dados ajuda a saber, antes de qualquer incidente, quais atividades envolvem dados sensíveis, financeiros ou de grande volume. Riscos que surgirem a partir de um incidente podem ser levados à Gestão de Riscos, que registra o incidente como origem do risco.

Um plano de resposta a incidentes não evita incidentes. Ele encurta o tempo entre descobrir o problema e agir com critério. Com papéis definidos, critérios de risco conhecidos, prazos claros, modelos prontos e acesso aos canais da ANPD confirmado, a equipe usa os três dias úteis para investigar e proteger os titulares, e não para discutir quem faz o quê.

Comece pequeno. Uma página com o fluxo de decisão, a lista de contatos fora da infraestrutura principal e um modelo de comunicação já ajudam muito. Depois, faça a primeira simulação. Ela vai mostrar, melhor do que qualquer revisão de documento, o que ainda falta.

Consulte a Resolução CD/ANPD nº 15/2024, que aprova o Regulamento de Comunicação de Incidente de Segurança, a página da ANPD sobre comunicação de incidentes de segurança, com o passo a passo do peticionamento e respostas a dúvidas frequentes, e o texto compilado da LGPD, especialmente os artigos 46, 48, 50 e 52. Como referência internacional, veja o NIST SP 800-61 Rev. 3.