Vazamento de dados: roteiro prático para o DPO na resposta imediata

A resposta a um incidente de segurança que envolve dados pessoais exige decisões rápidas e coordenadas, e o encarregado (DPO) costuma ser o articulador entre áreas técnicas, jurídicas, comunicação e direção executiva. É esse papel integrador — não de responsabilidade final — que determina se a organização cumpre os prazos e preserva defesa e evidências essenciais.

Contexto

A Lei Geral de Proteção de Dados (Lei 13.709/2018) consolidou deveres de segurança, comunicação e transparência no tratamento de dados pessoais, atribuindo ao encarregado papel de interface com titulares e autoridades (art. 41, LGPD) mas sem transferir a ele as responsabilidades do controlador ou do operador. A experiência prática mostra que planos formais de privacidade funcionam apenas quando testados por exercícios e incidentes reais: sem um plano de resposta aprovado, a primeira hora pós-vazamento é frequentemente consumida em decidir quem participa da gestão e quais canais serão usados. A Resolução CD/ANPD nº 15/2024 detalhou o conceito de risco ou dano relevante para fins de comunicação obrigatória, introduzindo um teste duplo que combina potencial de lesão a direitos fundamentais com fator(es) agravantes (dados sensíveis, crianças, escala, etc.). Em ambientes com cadeias de fornecedores complexas, a atribuição de responsabilidade e a fluidez da informação são pontos críticos e historicamente geradores de conflitos entre agentes.

O que foi decidido

Embora não se trate de decisão jurisdicional, a prática regulatória e interpretativa sobre incidentes tem consolidado critérios operacionais: a obrigação de comunicar decorre do momento em que o controlador tem conhecimento de que dados pessoais foram afetados, não do encerramento da investigação; o prazo legal para comunicação é contado a partir desse conhecimento; e a decisão de comunicar à Autoridade ou aos titulares deve ser documentada e reavaliada conforme novos elementos surjam. Na prática operacional, o encarregado não tem autoridade para executar medidas técnicas (como conter ofensivas ou isolar sistemas), mas deve estar integrado desde o início da resposta para subsidiar avaliação de risco, orientar o conteúdo da comunicação e assegurar que evidências (logs, imagens forenses) sejam preservadas. A abordagem recomendada enfatiza três linhas de atuação preparatória do DPO: manter um inventário atualizado de bases e categorias de dados, assegurar cláusulas contratuais que obriguem operadores e fornecedores a comunicar incidentes com fluidez, e implementar treinamento e simulações regulares para equipes internas.

Base normativa e precedentes

• Art. 41, LGPD (Lei 13.709/2018) — trata do encarregado (DPO) como canal de comunicação entre controlador, titulares e autoridade nacional.
• Art. 48, LGPD (Lei 13.709/2018) — impõe a comunicação à ANPD e aos titulares quando houver risco ou dano relevante aos titulares.
• Resolução CD/ANPD nº 15/2024 — estabelece o teste duplo para aferir risco ou dano relevante, listando fatores agravantes (dados sensíveis, crianças, grande escala, entre outros).
• Boas práticas de segurança da informação (ISO/IEC 27001 e similares) — referência técnica para medidas de contenção, preservação de evidências e continuidade de operações.
• Jurisprudência e entendimento regulatório — a jurisprudência consolidada e decisões da ANPD têm enfatizado a importância de documentação das decisões e da cooperação entre controlador e operador; em cadeias longas, contratos e fluxos pré-definidos evitam litígios posteriores.

Impacto prático

• Para DPOs e advogados de privacidade: aumenta a necessidade de integrar governança, técnica e compliance; exigem-se roteiros escritos, checklists de perguntas críticas (bases afetadas, categorias de dados, volume e tipos de impacto — exfiltração, alteração, indisponibilidade) e registro imediato do momento em que se teve ciência do incidente.
• Para controladores e executivos: impõe-se formalizar comitês decisórios com autoridade executiva e canais alternativos de comunicação seguros caso sistemas estejam comprometidos; decisões sobre conter impacto e preservar evidências devem priorizar proporcionalidade técnica e legal.
• Para fornecedores e operadores: contratos devem prever obrigações objetivas de notificação, cooperação e acesso a logs; prazos isolados em horas só funcionam se o marco inicial e o conteúdo mínimo do aviso estiverem claros.
• Para titulares e setores regulados: comunicação deve ser proporcional e fundamentada, evitando tanto notificações desnecessárias quanto omissões que agravem risco reputacional e sancionatório.
• Para investigações e defesas perante ANPD e Judiciário: preservação de logs e cadeia de custódia de evidências é fator decisivo na apuração de responsabilidade e na mitigação de sanções.

O que observar

• Documentar por escrito as decisões sobre necessidade e alcance da comunicação, atualizando-as com fatos novos; registros precisos do instante em que o controlador “teve ciência” do impacto são críticos para contagem dos prazos.
• Monitorar requisitos da Resolução CD/ANPD nº 15/2024 e eventuais diretrizes complementares da ANPD sobre formatação da comunicação, conteúdo mínimo e critérios de obrigatoriedade.
• Evitar a presunção de segurança de arquivos não analisados; estimativas devem ser distinguíveis de fatos comprovados e catalogadas como tal no relatório inicial.
• Planejar e testar canais alternativos e um comitê enxuto com poderes decisórios; simulações periódicas da resposta reduzem o tempo crítico de reação e melhoram a coordenação entre controlador e operadores.
• Assegurar cláusulas contratuais claras com operadores e fornecedores, com definição de fluxo de informações, responsabilidades e prazos de atualização, sem transferir indevidamente responsabilidades legais do controlador ao DPO.

O que observar