O que fazer quando ocorre um vazamento de dados?

Nenhum sistema é infalível

Mesmo o escritório mais bem preparado pode sofrer um incidente de segurança — um e-mail enviado para o destinatario errado, um funcionario que cai em phishing, um HD externo perdido, um sistema invadido por ransomware. O que diferencia o escritório preparado do despreparado não é nunca ter incidentes, e saber o que fazer quando um incidente acontece. E a LGPD e bem clara sobre o que é exigido.

Prazos de comunicação

O art. 48 da LGPD determina que o controlador deve comunicar a ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação deve ser feita em prazo razoavel — a ANPD regulamentou pela Resolução CD/ANPD 15/2024 que esse prazo e de:

• 3 dias úteis para a comunicação preliminar;
• 20 dias úteis para o relatório completo.

O GDPR europeu usa 72 horas corridas como referência, e e comum usar essa referência também no Brasil por prudência.

O que é um incidente de segurança

A LGPD define como o acesso não autorizado e o acidente ou ação ilicita que resulte na destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilicito de dados pessoais. Exemplos na prática do escritório:

• envio de arquivo de folha para o cliente errado;
• e-mail com dados de IRPF enviado para destinatario incorreto;
• computador invadido por ransomware e arquivos de clientes criptografados;
• HD externo com backups extraviado ou roubado;
• funcionario desligado que acessa sistemas após rescisao;
• ataque de phishing que captura credenciais de acesso ao sistema de gestão contábil;
• falha em sistema de nuvem que expoe arquivos de clientes a terceiros.

Nem todo incidente exige comunicar

Apenas aqueles que possam acarretar risco ou dano relevante aos titulares. A avaliação de relevancia considera:

• o número de titulares afetados;
• o tipo de dado envolvido (dados sensiveis como saúde e financeiro tem maior potencial de dano);
• a probabilidade de uso dos dados para fins maliciosos;
• se os dados estavam criptografados (o que reduz o risco de uso indevido).

Um e-mail enviado para o destinatario errado com uma planilha de folha de 50 funcionarios, com salarios e CPFs, e claramente um incidente com risco relevante — deve ser comunicado. Um arquivo enviado para o destinatario errado que ja foi deletado sem ser aberto, com confirmação do receptor, pode ser avaliado como de baixo risco — mas deve ser documentado de qualquer forma.

Protocolo de resposta a incidentes

Como comunicar o cliente afetado

A comunicação ao titular — que no caso do escritório são os funcionarios do cliente cujos dados foram expostos — deve ser feita de forma clara, em linguagem acessível, informando:

• o que aconteceu (sem juridiques, em linguagem simples);
• quais dados foram afetados;
• os possíveis riscos para os titulares;
• o que o escritório esta fazendo para remediar;
• o que os titulares podem fazer para se proteger (monitorar extratos, alertar bancos, etc.).

A comunicação não deve ser evasiva nem excessivamente técnica. A honestidade, nesse momento, e o melhor caminho — ocultação ou minimização do incidente pode agravar muito a situação jurídica do escritório.

Documentar é obrigatório — sempre

Mesmo quando você decide que não ha obrigação de comunicar a ANPD. O princípio da accountability exige que o controlador/operador seja capaz de demonstrar que cumpriu a lei. Manter um registro de todos os incidentes, incluindo:

• data e hora de detecção;
• descrição do incidente;
• dados afetados e número de titulares;
• avaliação de risco feita;
• decisão sobre comunicação (e justificativa se não comunicou);
• medidas tomadas e resultado final.

Esse registro deve ser mantido por pelo menos 5 anos.

Violação confirmada vs. suspeita

Quando o escritório descobre que um funcionario pode ter enviado dados para o lugar errado, mas ainda esta investigando, isso e uma suspeita. A ANPD espera que o escritório inicie a investigação imediatamente e comunique assim que confirmar a violação — não que espere ter certeza absoluta antes de agir. A regra prática: investigar com urgência, documentar desde o primeiro momento, e comunicar dentro do prazo legal mesmo que nem todas as informações estejam disponíveis — indicando que o relatório sera complementado.

A transparência protege

Um aviso final: o art. 52 da LGPD diz que a ANPD pode considerar como circunstancias atenuantes a adoção de mecanismos de mitigação, a comunicação tempestiva e a cooperação com a autoridade. Em outras palavras, o escritório que age rápido, comunica adequadamente e demonstra boa-fe tem tratamento mais favoravel do que aquele que tenta esconder o incidente. A transparência, mesmo dolorosa no momento, e sempre o melhor caminho.