Plano de resposta a incidentes: o que precisa estar definido para cumprir o prazo de comunicação à ANPD

Em setembro de 2026, a Agência Nacional de Proteção de Dados já havia recebido 468 comunicações de incidentes de segurança envolvendo dados pessoais, 73 a mais do que o total registrado em todo o ano de 2025.  

Em julho deste ano, o Brasil registrou uma média de 4.151 ataques cibernéticos por semana em cada organização, um aumento de 45% em relação ao ano anterior, segundo a Check Point Research. O país consolida-se como o sétimo alvo global de ciberataques, com 315 bilhões de tentativas de invasão registradas apenas no primeiro semestre de 2025.  

O custo médio de um vazamento de dados no Brasil já alcança R$ 7,19 milhões, segundo levantamentos recentes. Diante dessa realidade, ter um plano de resposta a incidentes estruturado deixou de ser uma recomendação técnica para se tornar uma condição de sobrevivência operacional e jurídica. 

O que é preciso definir antes que o incidente aconteça 

Para cumprir o prazo de comunicação à ANPD, a empresa precisa ter definidos, antes mesmo de qualquer incidente ocorrer, cinco elementos fundamentais: um fluxo claro de detecção e escalação que determine quem tomará conhecimento primeiro e para quem a informação será direcionada; critérios objetivos de avaliação de risco; o encarregado de dados devidamente designado; canais e modelos de comunicação preestabelecidos tanto para a ANPD quanto para os titulares; e um processo de registro interno que preserve evidências e justifique eventuais decisões de não notificação. 

A Resolução 15/2024 deu às organizações um regulamento completo, com critérios objetivos, formulários eletrônicos e cronogramas rígidos, eliminando as zonas cinzentas que até então permitiam interpretações divergentes. A norma estabelece que a comunicação de incidente à ANPD deve ocorrer no prazo de três dias úteis, contados a partir do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais.  

Esse detalhe é importante: o prazo não começa quando o ataque acontece, nem quando a equipe de tecnologia detecta uma anomalia genérica no sistema, mas quando alguém na organização confirma que houve comprometimento de informações pessoais.  

Um incidente descoberto na sexta-feira à tarde exige comunicação até a quarta-feira da semana seguinte, pois sábados, domingos e feriados não entram na conta. Para empresas enquadradas como agentes de pequeno porte, conforme a Resolução CD/ANPD nº 2/2022, o prazo dobra para seis dias úteis. O fato de a norma prever prazos diferenciados reconhece a realidade de que organizações menores nem sempre dispõem da mesma estrutura de resposta disponível em grandes corporações, mas isso não elimina a obrigação de estar preparado. 

Quando a comunicação de incidente à ANPD se torna obrigatória? 

Nem todo incidente precisa ser comunicado. A Resolução 15/2024 trouxe um gatilho duplo que a empresa precisa entender com precisão. Primeiro, o incidente deve representar possibilidade real de afetar significativamente os interesses e direitos fundamentais do titular, podendo causar danos materiais ou morais como discriminação, violação de integridade física, fraude financeira ou roubo de identidade.  

Segundo, deve envolver pelo menos uma das seguintes categorias de dados: pessoais sensíveis, dados de crianças, adolescentes ou idosos, informações financeiras, credenciais de acesso a sistemas, dados protegidos por sigilo legal ou judicial, ou dados em larga escala. Somente quando ambas as condições estiverem presentes a comunicação se torna obrigatória. Essa distinção é relevante porque evita que a ANPD seja inundada de notificações sobre incidentes técnicos sem impacto real aos titulares, mas exige da empresa uma capacidade de avaliação clínica que só existe quando há preparação prévia. 

Três dias úteis é um prazo que soa razoável no papel, mas se torna extremamente curto na prática operacional de uma empresa que não se preparou. No primeiro dia, a equipe de segurança precisa conter o incidente, preservar evidências e fazer uma avaliação preliminar. No segundo dia, o jurídico e o encarregado de dados devem analisar se o caso atinge os critérios de notificação.  

No terceiro dia, a comunicação precisa estar no ar, via formulário eletrônico da ANPD, com pelo menos doze informações obrigatórias, incluindo descrição da natureza dos dados afetados, número de titulares, medidas de segurança adotadas antes e depois do evento, riscos identificados, data da ocorrência e dados do encarregado. A norma permite que informações complementares sejam enviadas em até vinte dias úteis, o que reconhece a impossibilidade de ter todas as respostas em tão pouco tempo, mas isso não afasta a obrigação da comunicação preliminar dentro do prazo inicial. Esperar a investigação completa para notificar é um erro comum que transforma uma situação gerenciável em infração administrativa. 

Plano de resposta a incidentes: o que ele precisa prever para cumprir o prazo

O que torna tudo isso viável é exatamente o que a empresa definiu antes do problema acontecer. O fluxo de detecção e escalação precisa estar claro para que, na hora do incidente, não haja dúvida sobre quem aciona quem.  

Muitas empresas perdem preciosas horas apenas tentando descobrir para quem reportar uma suspeita de vazamento. Os critérios de avaliação de risco devem estar documentados internamente, de preferência com exemplos concretos, para que a decisão de notificar ou não seja tomada com agilidade e consistência.  

O encarregado de dados, figura central nesse processo, precisa ter sua documentação de vínculo funcional ou contratual pronta, pois a ANPD exige que ela acompanhe a comunicação. Sem esse documento, a notificação pode ser considerada incompleta e a autarquia pode instaurar procedimento de apuração por conta própria. A experiência mostra que empresas que já passaram por esse processo relatam que a burocracia de juntar a documentação do encarregado em cima da hora consome horas valiosas que deveriam ser dedicadas à análise do incidente. 

A comunicação aos titulares afetados corre em paralelo e merece atenção equivalente. A Resolução 15/2024 estabelece que a notificação aos titulares deve ocorrer também em três dias úteis, com linguagem simples e de fácil entendimento, de forma direta e individualizada quando possível.  

Se a comunicação individual for inviável por conta do volume de pessoas afetadas ou da impossibilidade de identificação, a empresa pode recorrer a meios de divulgação ampla, como seu próprio site, aplicativos ou redes sociais, mantendo a informação disponível por no mínimo três meses.  

Aqui, o plano de resposta precisa prever não apenas o texto que será enviado, mas também os canais pelos quais os titulares serão alcançados, especialmente considerando que muitas bases de dados de contato estão desatualizadas. Uma comunicação genérica ou vaga, que não permita ao titular avaliar o risco e tomar medidas protetivas, não cumpre o objetivo da lei e pode ser considerada falha pela ANPD. 

A importância do registro para demonstrar diligência 

Um aspecto que as empresas frequentemente negligenciam é a obrigação de manter registro de todos os incidentes de segurança, comunicados ou não, por um período mínimo de cinco anos. Esse registro é o que permite à ANPD, durante uma fiscalização, verificar se a organização tem agido com diligência.  

Quando um incidente é avaliado e concluído que não atinge o limiar de notificação, essa conclusão precisa estar documentada, com a descrição do que ocorreu, quais dados foram afetados, a avaliação dos critérios de risco e a justificativa final. Caso contrário, a empresa fica desprotegida se a autarquia questionar a decisão posteriormente. A norma também exige que a empresa junte ao processo de comunicação uma declaração de que foi realizada a cientificação aos titulares, detalhando os meios utilizados, em até três dias úteis após o término do prazo de notificação. 

A Resolução 15/2024 também dá à ANPD poderes investigativos amplos. A autarquia pode iniciar procedimento de apuração de incidente por iniciativa própria, quando tiver conhecimento de eventos não reportados pelo controlador. A falta de cooperação ou a confirmação de um incidente omitido pode levar à abertura de um procedimento administrativo sancionador, com multas que chegam a 2% do faturamento da empresa, limitadas a 50 milhões de reais por infração.  

Além disso, a ANPD pode solicitar a qualquer momento informações adicionais, incluindo relatório de impacto à proteção de dados pessoais e relatório de tratamento do incidente. No caso da Secretaria de Assistência Social de Pernambuco, por exemplo, a ANPD aplicou advertências e medidas corretivas após constatar a falta de processos internos e de relatório de impacto, demonstrando que a autarquia já está usando esses instrumentos de forma efetiva. 

A resiliência começa na preparação 

Diante de tudo isso, o plano de resposta a incidentes deixa de ser um documento guardado em alguma pasta de compliance para se tornar um instrumento operacional vivo. Ele precisa ser testado periodicamente, atualizado sempre que houver mudança na estrutura de dados da empresa ou na legislação, e conhecido por todas as áreas envolvidas, da tecnologia ao jurídico, passando pela comunicação.  

A empresa que investir nessa preparação não estará apenas cumprindo a lei: estará construindo resiliência para um cenário em que incidentes de segurança, infelizmente, deixaram de ser exceção para se tornar questão de tempo. A diferença entre uma organização que sobrevive a um vazamento e outra que sai arrasada está inteiramente no que foi feito antes, e na velocidade com que consegue agir quando o inevitável acontece.