Sofrer o incidente e não comunicar são duas infrações, e só a segunda é sempre sua

O art. 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante. O incidente pode ter vindo de fora; a omissão da comunicação, não.