Vazamento de dados: o que a empresa precisa fazer nos primeiros dias

Descobrir um vazamento é sempre um susto, e a pressa costuma levar a dois erros: agir sem registrar o que aconteceu ou demorar demais para decidir se o caso precisa ser comunicado.

O que diz a regra

Desde abril de 2024, a Resolução CD/ANPD nº 15 regula a comunicação de incidentes de segurança. Quando o incidente pode causar risco ou dano relevante aos titulares, o controlador tem três dias úteis para comunicar a ANPD e os próprios titulares. Agentes de tratamento de pequeno porte têm o prazo em dobro, e informações que ainda não estiverem disponíveis podem ser complementadas depois, em até 20 dias úteis.

Um roteiro para as primeiras horas

• Conter o incidente: interromper o acesso indevido e isolar o que foi afetado.
• Preservar as evidências antes de apagar qualquer coisa: registros de acesso, capturas de tela com data e hora e cópias do que foi exposto.
• Entender o alcance: quais dados, de quantas pessoas e desde quando.
• Avaliar o risco para os titulares e decidir sobre a comunicação dentro do prazo.
• Registrar tudo, inclusive as decisões tomadas, mesmo quando a conclusão for de que não era preciso comunicar.

Evidência apagada na pressa não volta. O primeiro passo técnico é preservar.

Onde a investigação entra

Descobrir como os dados saíram, se já circulam em fóruns ou sites e quem pode ter acesso a eles é trabalho de investigação digital e forense. Um levantamento bem documentado ajuda na comunicação à ANPD, na resposta aos titulares e em eventuais medidas jurídicas.

Este texto é informativo e não substitui a orientação jurídica para o seu caso.