A Autoridade Nacional de Proteção de Dados (ANPD) mantém, desde a Resolução CD/ANPD nº 15/2024 (arts. 6º e 9º), uma regra clara para quem sofre um incidente de segurança com dados pessoais: o controlador tem até 3 dias úteis, contados do momento em que toma conhecimento do incidente, para comunicar tanto a ANPD quanto os titulares de dados afetados — salvo prazo diferente previsto em lei específica. Se a empresa ainda não tiver todas as informações completas ou não conseguir notificar todos os titulares a tempo, pode registrar uma comunicação preliminar e complementá-la depois, com justificativa, em até 20 dias úteis. A notificação voluntária e dentro do prazo é tratada pela ANPD como evidência de boa-fé e transparência; atraso injustificado pode levar a sanções administrativas previstas na LGPD.

A comunicação é feita pelo encarregado (DPO) ou por representante legalmente constituído da empresa, por meio do sistema SEI!ANPD (peticionamento eletrônico externo, com acesso via conta gov.br). Antes de pedir acesso ao processo, o representante precisa comprovar que tem poderes para isso — ato de nomeação do encarregado, procuração ou contrato social, por exemplo. O caminho dentro do sistema é: "Peticionamento" → "Processo Novo" → tipo de processo "ANPD – Comunicados de Incidentes à Agência Nacional de Proteção de Dados" → preenchimento do formulário de incidente (preliminar ou completo) em "Documento Principal", com os documentos de representação anexados em "Documentos Complementares". Para complementar uma comunicação já aberta, usa-se "Intercorrente", informando o número do processo original.

Nem todo incidente precisa ser comunicado: a avaliação leva em conta se ele está confirmado, se envolve dados pessoais sob a LGPD e se pode causar risco ou dano relevante aos titulares — considerando o contexto do tratamento, a quantidade e o tipo de dados e pessoas afetadas, o potencial de dano e se os dados estavam protegidos (criptografados, por exemplo) de forma adequada. Quando a notificação aos titulares é necessária, ela deve ser feita de forma individual e direta sempre que possível, pelo canal que a empresa já usa para se comunicar com o cliente; se não for possível identificar os afetados, a empresa deve avisar todos os titulares da base atingida. A comunicação aos titulares precisa usar linguagem simples e informar: a natureza e as categorias de dados afetados; as medidas de segurança adotadas (respeitado o sigilo comercial); os riscos e possíveis impactos; os motivos de eventual atraso; as medidas tomadas ou planejadas para reverter ou mitigar os efeitos; a data em que a empresa tomou conhecimento do incidente; e um contato para mais informações. A ANPD pode pedir cópia dessa comunicação aos titulares a qualquer momento, mas a empresa não precisa enviar à Autoridade a lista de pessoas afetadas.

Por que isso importa para uma PME brasileira: a regra vale para controladores de qualquer porte — a página oficial da ANPD não prevê nenhum procedimento simplificado ou prazo diferente para pequenas empresas. É um engano comum achar que essas obrigações são só para grandes bancos ou big techs: qualquer negócio que trate dados de clientes, fornecedores ou funcionários — inclusive em planilhas, sistemas de pedidos, CRMs ou lojas virtuais — é controlador para efeitos da LGPD e está sujeito ao mesmo prazo de 3 dias úteis. As dezenas de vazamentos que o AZ News cobre mensalmente, de empresas de todos os tamanhos e setores, mostram que o risco não é exclusividade de quem processa milhões de registros. Se sua empresa usa operadores externos — gateway de pagamento, plataforma de e-commerce, provedor de nuvem, agência de marketing —, vale lembrar que a responsabilidade de notificar é sempre do controlador: o operador só precisa avisar a empresa sem demora indevida, e isso deveria estar previsto em contrato.

O que fazer agora: confirme quem é o encarregado (ou responsável) pela proteção de dados na empresa e garanta que essa pessoa tenha acesso a uma conta gov.br e saiba operar o SEI!ANPD antes que um incidente aconteça — não é o momento ideal para aprender isso sob pressão. Defina um fluxo interno simples: ao suspeitar de um incidente, alguém precisa avaliar rapidamente se dados pessoais foram afetados e se há risco relevante aos titulares, documentando a data em que a empresa tomou conhecimento (é esse horário que inicia a contagem dos 3 dias úteis). Prepare um modelo de comunicação aos titulares em linguagem simples, cobrindo os pontos exigidos, para não ter que redigir do zero sob pressão. E revise os contratos com fornecedores que processam dados em nome da empresa, incluindo cláusula de aviso imediato em caso de incidente do lado deles.

Fonte primária: ANPD — Comunicação de Incidente de Segurança (CIS), com base na Resolução CD/ANPD nº 15/2024.