Sofrer o incidente e não comunicar são duas infrações, e só a segunda é sempre sua

O que muda

Para a empresa — O dever é do controlador — quem decide sobre o tratamento —, não do operador que executou e sofreu o incidente. Cláusula contratual que atribui a comunicação ao fornecedor redistribui custo entre as partes, mas não desloca a obrigação legal perante a autoridade e o titular.Vigência da LGPD desde 2020

Para o advogado — Na defesa administrativa, convém separar duas condutas que costumam ser tratadas como uma: o incidente, que pode ter causa em ataque de terceiro, e a omissão de comunicar, que é sempre do controlador. Defender as duas com o mesmo argumento — o ataque externo — deixa a segunda sem defesa.

Para quem estuda — Incidente de segurança não é sinônimo de vazamento. O art. 46 fala em destruição, perda, alteração e comunicação indevida, além do acesso não autorizado — o que amplia bastante o que aciona o dever do art. 48.

O dever é de comunicar, e nasce do risco, não do dano

A LGPD não condiciona a comunicação a que o prejuízo já tenha se materializado. O gatilho é a possibilidade de risco ou dano relevante, o que desloca a decisão para um momento em que quase nunca se conhece a extensão do que aconteceu:

Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.Lei 13.709/2018 (LGPD), art. 48, caput

São dois destinatários, e eles não se substituem: a autoridade nacional e o titular. Comunicar apenas a ANPD cumpre metade do artigo; avisar apenas os titulares cumpre a outra metade.

O conteúdo mínimo também está na lei, e é o que transforma a comunicação em documento útil em vez de aviso genérico. O § 1º exige a descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, as medidas técnicas de proteção que estavam em uso, os riscos relacionados, os motivos de eventual demora e as providências adotadas para reverter ou mitigar o prejuízo.

A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:Lei 13.709/2018 (LGPD), art. 48, § 1º

O que é incidente, afinal

A palavra sugere invasão, e essa leitura estreita é a origem de boa parte das omissões. O dever de segurança que o incidente rompe está no art. 46, e ele descreve um conjunto bem mais amplo de eventos:

Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.Lei 13.709/2018 (LGPD), art. 46, caput

Perda de um dispositivo com base de clientes, planilha enviada ao destinatário errado, backup apagado sem cópia, banco corrompido por erro de rotina: nenhum desses casos envolve invasor, e todos podem acarretar risco relevante ao titular. A pergunta que o art. 48 faz não é «houve ataque?», é «houve risco?».

Por que a omissão sai mais cara que o incidente

Porque as duas condutas têm autores diferentes. Um ataque bem executado atinge organizações que investiram em segurança, e a lei reconhece isso ao exigir medidas aptas, não infalíveis. A ausência de comunicação, ao contrário, não tem causa externa: ela é decisão de quem controlava os dados.

E as sanções alcançam o descumprimento de qualquer obrigação da lei, sem distinguir a origem do incidente. O rol do art. 52 vai da advertência à multa, com teto por infração:

II - multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;Lei 13.709/2018 (LGPD), art. 52, II

Há ainda um efeito que não aparece na lista de sanções e costuma pesar mais: o § 1º do art. 48 pede os motivos da demora quando a comunicação não é imediata. Quem demora precisa explicar a demora no próprio documento em que comunica — e essa explicação vira prova de como o incidente foi conduzido internamente.

Perguntas diretas

Toda falha de segurança precisa ser comunicada à ANPD?

Não. O art. 48 da LGPD condiciona o dever aos incidentes que possam acarretar risco ou dano relevante aos titulares. A avaliação é do controlador, feita no momento em que a extensão do evento ainda é parcialmente desconhecida, e precisa ficar documentada.

Quem comunica o incidente: o controlador ou o operador?

O controlador. É ele quem toma as decisões sobre o tratamento e é a ele que o art. 48 dirige o dever, ainda que o incidente tenha ocorrido na infraestrutura do operador. O contrato entre os dois pode repartir custos, sem alterar quem responde perante a autoridade.

Perder um notebook com dados de clientes conta como incidente?

Pode contar. O art. 46 abrange situações acidentais de perda, destruição e alteração, além do acesso não autorizado, de modo que o evento não precisa envolver invasor para acionar a análise do art. 48.

Existe prazo fixo em dias na LGPD para comunicar um incidente?

O texto legal não traz número: fala em prazo razoável, conforme definido pela autoridade nacional, e delega a fixação à ANPD. Por isso o prazo aplicável deve ser conferido na regulamentação vigente da autoridade, e não no corpo da lei.

O que ainda não está decidido

O art. 48 delega à autoridade nacional a definição do prazo razoável e dos critérios do que é risco ou dano relevante, de modo que a régua aplicável não está no texto da lei e acompanha a regulamentação em vigor. Continua indefinido, também, o tratamento de incidentes cujo risco só se revela semanas depois da descoberta, quando a comunicação inicial já foi feita com base em avaliação incompleta.