Vazamento de dados na minha empresa: o que fazer nas primeiras horas?

Descobrir que sua empresa sofreu um vazamento ou acesso indevido a dados pessoais é assustador, mas a LGPD (Lei nº 13.709/2018) já define um caminho claro do que precisa ser feito, e segui-lo corretamente é o que separa uma resposta responsável de um problema ainda maior. O artigo 48 da lei determina que incidentes que possam gerar risco relevante aos titulares dos dados (as pessoas cujas informações foram expostas) precisam ser comunicados à Autoridade Nacional de Proteção de Dados (ANPD). A Resolução CD/ANPD nº 15/2024, em seu art. 6º, fixa em três dias úteis o prazo para essa comunicação, tempo em que a empresa também precisa conter a falha e medir os danos causados.

Como conter o incidente sem perder as provas do que aconteceu?

O primeiro movimento diante da confirmação de exfiltração consiste em interromper a sangria digital sem comprometer a memória do ataque. A equipe de tecnologia deve isolar os ambientes afetados, revogar credenciais expostas e forçar a redefinição de senhas com autenticação em múltiplos fatores. Simultaneamente, é indispensável resguardar a cadeia de custódia das evidências digitais, garantindo a extração segura dos registros de acesso e auditoria (syslogs e firewalls) antes de qualquer reinicialização dos sistemas.

Como saber se o incidente precisa ser comunicado à ANPD?

A etapa analítica exige atuação conjunta entre as áreas técnica, jurídica e o Encarregado pelo Tratamento de Dados (DPO) para determinar se a ocorrência gera risco ou dano relevante aos titulares — requisito que aciona a obrigatoriedade de comunicação. Avalia-se o volume de registros atingidos, a eventual presença de dados sensíveis ou de grupos vulneráveis e a probabilidade de exploração maliciosa dessas informações para a prática de fraudes, roubo de identidade ou danos morais.

Como comunicar o incidente à ANPD e às pessoas afetadas?

Confirmada a relevância do impacto, o dever de transparência impõe a formalização da notificação à ANPD por meio de seus canais oficiais de peticionamento, detalhando a natureza do evento, as salvaguardas adotadas e as medidas de mitigação. De igual modo, os titulares dos dados precisam ser comunicados de forma direta e compreensível, recebendo orientações claras sobre os potenciais desdobramentos e as condutas preventivas recomendadas para resguardar a própria segurança.

O que a empresa precisa documentar depois do incidente?

O ciclo de resposta encerra-se com a consolidação do princípio da responsabilidade (accountability). A empresa deve redigir o Relatório Oficial de Incidente, registrando a cronologia dos fatos, a causa raiz e o plano de ação corretivo, além de revisar o Relatório de Impacto à Proteção de Dados (RIPD). Todo esse acervo documental deve permanecer arquivado pelo prazo mínimo regulamentar de cinco anos para fundamentar eventuais fiscalizações ou defesas.