É o prazo para comunicar à ANPD e aos titulares um incidente que possa trazer risco ou dano relevante. Conta-se do conhecimento do incidente — não da data em que ele aconteceu, e não da data em que a apuração terminar. Resolução CD/ANPD nº 15, de 24/04/2024, que regulamenta o art. 48 da LGPD. Para incidente que envolva a transferência internacional, o mesmo prazo aparece na cláusula 16.1 do Anexo II da Resolução CD/ANPD nº 19/2024.
Primeira hora
Nesta ordem. Não pule para a investigação.
O que NÃO fazer, nunca
- Não apague nada — nem registro, nem e-mail, nem arquivo, nem linha de banco. Mesmo o que parecer constrangedor. Apagar depois de saber é o que transforma erro em problema grave.
- Não espere "entender direito" para avisar. Comunicação preliminar incompleta é expressamente permitida. Comunicação atrasada, não.
- Não avise fornecedor, cliente ou a Petrobras antes de falar com o Encarregado. Não é para esconder — é para não sair versão errada antes de existir versão certa.
- Não prometa nada a quem foi afetado antes de a apuração dizer o tamanho.
Isto é um incidente que precisa ser comunicado?
Nem todo problema é. A lei manda comunicar o que pode trazer risco ou dano relevante ao titular. Quem decide é o Encarregado, e a decisão fica por escrito — inclusive quando for "não comunicar".
Passo 1 — houve incidente?
É incidente qualquer evento que tenha causado acesso não autorizado, perda, alteração, destruição ou vazamento de dado pessoal — acidental ou proposital. Inclui coisas banais: planilha com CPF mandada para o e-mail errado, notebook do RH roubado, link de holerite repassado a terceiro, conta de alguém que saiu da empresa e continuou ativa.
Passo 2 — pode trazer risco relevante à pessoa?
| Se envolver… | Tratar como |
|---|---|
| Dado de saúde — CID, atestado, ASO, acidente | comunicar |
| Dado da ouvidoria — denúncia, quem denunciou | comunicar |
| CPF, RG, PIS ou dado bancário em conjunto | comunicar |
| Salário de pessoa identificada | comunicar |
| Muitas pessoas de uma vez, mesmo com dado simples | comunicar |
| Dado que já era público, ou dado anonimizado | avaliar |
| Nome e função apenas, de uma pessoa só | avaliar |
Na dúvida, comunique. Comunicar sem precisar não gera penalidade. Deixar de comunicar quando devia, gera.
Passo 3 — registre a decisão, qualquer que seja
Se a decisão for não comunicar, escreva o porquê, com data e assinatura do Encarregado. Decisão fundamentada e registrada é defensável; silêncio não é.
Como comunicar à ANPD
O canal é eletrônico e exige conta gov.br. Descubra isso agora, não no terceiro dia.
| Onde | Sistema SEI!ANPD, peticionamento eletrônico para usuário externo sei.anpd.gov.br — login pela conta gov.br |
| Com o quê | Formulário oficial CIS (Comunicado de Incidente de Segurança), baixado do site da ANPD |
| Prazo | 3 dias úteis do conhecimento |
| Se faltar informação | Enviar comunicação preliminar no prazo e complementar em até 20 dias úteis, por peticionamento intercorrente no mesmo processo |
O que o formulário pergunta
- Natureza do incidente e categorias de dados afetadas
- Medidas técnicas de proteção que estavam em uso
- Riscos decorrentes
- Data do conhecimento do incidente
- Medidas adotadas para mitigar
- Motivo da demora, se houver
- Contato para mais informações
Como comunicar aos titulares
Mesmo prazo, e é a parte que a empresa costuma esquecer.
Comunicar diretamente a cada pessoa afetada: e-mail pessoal, WhatsApp, ou entrega em mãos com recibo, para quem não usa e-mail. O mural do SGI serve como reforço, nunca como substituto — comunicação a titular é individual.
A linguagem tem de ser clara, sem termo técnico e sem defesa jurídica. A pessoa precisa entender o que aconteceu com o dado dela e o que ela deve fazer.
Quem faz o quê
| Papel | Quem | Responsabilidade |
|---|---|---|
| Quem percebe | qualquer pessoa | Anotar a hora e avisar o Encarregado. Só isso. Não precisa saber se é grave. |
| Encarregado | Rodrigo Ferreira dos Santos | Decide se comunica, redige, peticiona no SEI!ANPD, fala com os titulares, mantém o registro |
| Direção | Alvir José Preisner Junior | Decide sobre parada de sistema, contratação de apoio externo e comunicação a cliente |
| Quem mexe no sistema | quem tiver acesso técnico | Executa a contenção e preserva os registros. Não apaga nada. |
Registro do incidente
Um por incidente, guardado em AUDITORIA-SGI\incidentes\. É o que
se apresenta se a ANPD perguntar — inclusive nos casos em que se decidiu não comunicar.
A lição que este procedimento existe para não repetir
O incidente nº 01/2026 ficou 46 dias aberto e só foi descoberto numa auditoria. Não houve demora em comunicar — houve demora em saber. E o prazo legal de três dias, por mais curto que pareça, nem tinha começado a correr, porque ninguém sabia de nada.
Por isso o procedimento começa em "anote a hora" e não em "investigue": o ponto fraco da APJ nunca foi a burocracia da comunicação. Foi a detecção. A trilha de acesso publicada em 08/09/2026 existe justamente para encurtar esses 46 dias — e este procedimento existe para que, encurtados, eles virem uma resposta e não um susto.
Base normativa conferida na fonte: Resolução CD/ANPD nº 15, de 24/04/2024 (regulamenta o art. 48 da LGPD — prazo de 3 dias úteis e complementação em 20 dias úteis); Resolução CD/ANPD nº 19/2024, Anexo II, cláusula 16.1 (incidente em transferência internacional); canal e formulário conferidos no site da ANPD.
Não é parecer jurídico. Revisar com o advogado da empresa antes de virar norma interna.