Todo vazamento precisa ser comunicado à ANPD?

Não. A LGPD exige comunicação quando o incidente pode acarretar risco ou dano relevante aos titulares. A avaliação desse risco — que dados, de quem, em que volume, com que possibilidade de uso indevido — é justamente o que a apuração técnica fornece. Sem apurar, a empresa decide no escuro.

Qual é o prazo para comunicar?

A LGPD fala em prazo razoável, definido pela ANPD. O regulamento de comunicação de incidentes da ANPD fixa três dias úteis a partir do conhecimento do incidente, com possibilidade de complementar a comunicação depois.

Se a gente formatar o servidor invadido, resolve?

Resolve o sintoma e destrói a prova. Sem os registros, a empresa não consegue dizer o que saiu, por onde entrou nem se ainda há acesso — e é isso que a ANPD, os clientes e um eventual processo vão perguntar. Isole primeiro, copie forensicamente, depois reconstrua.

O que a perícia entrega no fim?

Um relatório com linha do tempo do incidente, vetor de entrada, dados afetados, evidências preservadas com integridade e recomendações — o documento que fundamenta a comunicação à ANPD, a defesa administrativa e a resposta aos titulares.

Vazamento de dados: as primeiras 72 horas

O erro mais comum acontece na primeira hora

Quando um vazamento é descoberto, o impulso é «resolver»: trocar senhas, desligar o servidor, restaurar o backup, formatar a máquina. Cada uma dessas ações pode ser necessária — mas feitas antes da preservação, elas apagam a única coisa que permite responder às perguntas que virão: o que saiu, de quem, por onde, desde quando e se ainda está saindo.

É como limpar a cena antes de a perícia chegar. A empresa fica sem saber o tamanho do problema e sem meios de provar que agiu corretamente.

Hora 0 a 4 — conter sem destruir

Isole o sistema afetado da rede (desconecte o cabo, bloqueie no firewall) em vez de desligá-lo: a memória do computador ligado guarda vestígios que se perdem no desligamento.
Revogue credenciais comprometidas — mas registre antes quais eram e quando foram usadas.
Não formate, não restaure, não «limpe» nada.
Congele os registros: logs de servidores, firewall, VPN, e-mail, sistemas em nuvem. Muitos serviços apagam registros automaticamente em poucos dias.
Nomeie um responsável e comece uma linha do tempo por escrito: quem descobriu o quê, quando, e o que foi feito.

Fundamento: ABNT NBR ISO/IEC 27037:2012, item 6 · ISO/IEC 27043:2015

Hora 4 a 24 — preservar e apurar

Aqui entra a perícia. Os sistemas envolvidos são copiados forensicamente — cópias íntegras, com registro de integridade — e o exame passa a ocorrer sobre as cópias, liberando a empresa para reconstruir o ambiente. A apuração responde, em ordem:

Vetor de entrada — credencial vazada, sistema desatualizado, e-mail malicioso, acesso interno indevido?
Extensão — que sistemas o invasor alcançou, por quanto tempo, com que privilégios?
Dados afetados — quais bases, quais campos, quantos titulares, que categorias (dados sensíveis pesam mais).
Exfiltração — os dados de fato saíram, ou houve só acesso? Há evidência de cópia, transferência, publicação?
Persistência — o acesso ainda existe? Há contas ou mecanismos deixados para trás?

Hora 24 a 72 — decidir e comunicar

A LGPD exige que o controlador comunique à ANPD e aos titulares a ocorrência de incidente que possa acarretar risco ou dano relevante. O regulamento da ANPD fixa o prazo de três dias úteis contados do conhecimento do incidente, admitindo comunicação preliminar complementada depois.

Comunicar bem exige saber o que aconteceu. A comunicação deve descrever a natureza dos dados, os titulares envolvidos, as medidas de segurança que existiam, os riscos e as providências adotadas — cada item desses sai da apuração técnica. Uma comunicação vaga («possível acesso indevido a dados de clientes») expõe a empresa mais do que uma comunicação precisa.

Fundamento: LGPD, art. 48 e §§ · Resolução CD/ANPD nº 15/2024

Que risco a empresa corre — a matriz que orienta a decisão

A apuração técnica alimenta uma pergunta prática: qual é o tamanho da exposição? A matriz abaixo cruza o que foi afetado com o que a LGPD prevê. Ela não substitui a análise jurídica do caso — serve para situar a empresa nas primeiras horas e para priorizar a resposta.

Nível	Cenário típico	Comunicação à ANPD e aos titulares	Sanções administrativas prováveis (LGPD, art. 52)
Baixo	Acesso indevido sem exfiltração confirmada; dados cadastrais comuns; volume pequeno; medidas de segurança documentadas	Avaliar; em regra dispensável quando não há risco relevante	Advertência com prazo para correção; em geral sem multa
Médio	Exfiltração provável de dados comuns em volume relevante, ou de poucos titulares com dados que permitem fraude (documentos, dados bancários)	Obrigatória — 3 dias úteis	Advertência ou multa simples; publicização da infração; bloqueio ou eliminação dos dados envolvidos
Alto	Exfiltração confirmada de dados sensíveis (saúde, biometria, origem, orientação) ou de crianças e adolescentes; volume expressivo; ausência de medidas básicas	Obrigatória — 3 dias úteis, com comunicação individual aos titulares	Multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração; multa diária; suspensão parcial do banco de dados por até 6 meses
Crítico	Dados sensíveis em massa, uso indevido já verificado (fraudes, extorsão), reincidência ou omissão deliberada na comunicação	Obrigatória e urgente; comunicação preliminar no prazo, complementada depois	Além das anteriores: suspensão da atividade de tratamento por até 6 meses e proibição parcial ou total do tratamento

Dois esclarecimentos sobre o teto. A multa simples é de até 2% do faturamento da pessoa jurídica ou do grupo no Brasil, no último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 por infração — e cada infração conta separadamente. A dosimetria (a gravidade da infração e os fatores que aumentam ou reduzem a pena) é regulamentada pela ANPD, que considera, entre outros, a boa-fé, a cooperação, a adoção de medidas corretivas e a existência de política de proteção de dados. Nada disso é aferido sem documentação — e é aí que a apuração forense entra de novo.

A sanção administrativa não esgota o risco: os titulares podem buscar reparação civil pelos danos, e a empresa responde solidariamente com os operadores que participaram do tratamento.

Fundamento: LGPD, art. 52, incisos I a XII e §§ 1º a 4º · LGPD, arts. 42 a 45 (reparação civil) · Resolução CD/ANPD nº 4/2023 (dosimetria)

Depois das 72 horas — provar que agiu bem

O que sustenta a empresa em uma eventual fiscalização ou ação é a documentação: as medidas de segurança que existiam antes (art. 46), a linha do tempo da resposta, o relatório forense com evidências preservadas, a comunicação feita no prazo e as correções aplicadas. A sanção da ANPD considera a boa-fé, a cooperação e a adoção de medidas — tudo isso precisa estar demonstrável, não apenas alegado.

Fundamento: LGPD, arts. 46, 47 e 52, § 1º

Antes do próximo incidente

Defina onde ficam os registros e por quanto tempo — e aumente a retenção dos críticos.
Tenha um plano de resposta de uma página: quem isola, quem preserva, quem comunica, quem decide.
Faça um inventário de dados (o que a empresa trata, de quem, onde): é a base para estimar impacto em horas, não em semanas.
Contrate a perícia antes de precisar, com canal de acionamento definido — na hora do incidente, cada hora conta.

Vazamento de dados na empresa: o que fazer nas primeiras 72 horas?