Comunicação ao titular e à ANPD após incidente

Duas obrigações, dois destinatários

Quando um incidente de dados é confirmado e avaliado como de risco relevante, a empresa tem dois deveres de comunicação independentes:

1. Comunicação à ANPD: obrigação regulatória formal, realizada pelo sistema eletrônico da autoridade, com prazo definido e conteúdo mínimo prescrito pela norma.
2. Comunicação aos titulares afetados: obrigação ética e legal com as pessoas cujos dados foram comprometidos — funcionários, no caso de dados de RH — com foco em informar o que ocorreu e como elas podem se proteger.

As duas comunicações não são substitutas uma da outra. É possível notificar a ANPD sem ter ainda identificado todos os titulares afetados — e, nesse caso, a comunicação aos titulares ocorre em momento posterior, com a complementação à ANPD em até 20 dias úteis.

O fato gerador das duas obrigações é o mesmo: incidente que possa causar risco ou dano relevante aos titulares. Incidentes sem potencial de dano podem ser apenas registrados internamente, sem comunicação formal obrigatória — mas o registro deve ser mantido por ao menos 5 anos.

Comunicação à ANPD: prazo, canal e conteúdo

Prazo

Canal

A comunicação à ANPD é realizada exclusivamente pelo sistema eletrônico CIS — Comunicação de Incidente de Segurança, disponível no Portal do Agente de Tratamento no site da ANPD (gov.br/anpd). Comunicações por e-mail ou telefone não substituem o protocolo no sistema CIS.

Conteúdo mínimo obrigatório

A Resolução CD/ANPD nº 15/2024 define o que deve constar na comunicação inicial. Para dados de RH, os campos obrigatórios traduzem-se em:

1. Natureza dos dados afetados: quais categorias de dados pessoais foram comprometidos — dados de identificação, dados de saúde, dados financeiros, dados de desempenho, entre outros;
2. Número de titulares envolvidos: quantos funcionários ou ex-funcionários foram ou podem ter sido afetados (estimativa aceitável se o número exato ainda não for conhecido);
3. Medidas de contenção adotadas: o que já foi feito para interromper ou limitar o incidente;
4. Riscos identificados: quais danos são possíveis para os titulares — discriminação, fraude, exposição indevida;
5. Dados de contato do DPO: nome e canal de contato do Encarregado de Proteção de Dados, obrigatório como ponto de referência da ANPD.

Se algum campo não puder ser preenchido no momento da comunicação inicial, o campo deve indicar isso explicitamente — e a complementação posterior, em até 20 dias úteis, trará as informações pendentes.

Comunicação aos titulares: o que dizer e como dizer

A comunicação ao titular afetado tem objetivo diferente da notificação regulatória: é uma comunicação com a pessoa, não com a autoridade. O conteúdo deve ser claro, compreensível e orientado a ajudar o titular a se proteger — não a minimizar a responsabilidade da empresa.

Conteúdo mínimo para a comunicação ao titular

1. O que ocorreu: descrição objetiva do incidente, sem jargão técnico — o que aconteceu, quando e como foi descoberto;
2. Quais dados foram afetados: quais informações específicas do titular podem ter sido comprometidas;
3. Medidas já adotadas: o que a empresa fez para conter o incidente e proteger os dados;
4. Como o titular pode se proteger: orientações práticas — trocar senhas, monitorar extratos, acionar serviços de proteção de crédito, dependendo da natureza dos dados expostos;
5. Canal de contato da empresa: onde o titular pode fazer perguntas, registrar reclamações ou exercer seus direitos previstos na LGPD.

Canal de comunicação

A comunicação ao titular deve usar o canal mais direto e verificável disponível. Para funcionários afetados, isso geralmente significa e-mail corporativo ou pessoal (quando o corporativo foi comprometido), comunicação presencial para grupos menores, ou carta formal. O canal deve garantir que a mensagem chegou ao destinatário — não apenas que foi enviada.

Comunicação coletiva: quando é permitida e como funciona

A comunicação individual a cada titular afetado é a forma preferencial. No entanto, a Resolução CD/ANPD nº 15/2024 prevê uma alternativa quando a comunicação individual for inviável — tipicamente quando não é possível identificar todos os titulares afetados ou quando o volume impossibilita o contato direto.

Nesse caso, a empresa pode optar por comunicação ostensiva: publicação de aviso no site institucional e nas redes sociais da empresa, de forma visível e mantida por tempo suficiente para que os titulares a visualizem.

Erros que amplificam o dano

Uma comunicação de incidente mal conduzida pode gerar danos adicionais — reputacional, jurídico e de confiança — além dos causados pelo incidente em si. Os erros mais frequentes são:

1. Comunicar antes de delimitar o escopo: notificar titulares com informações imprecisas obriga a empresa a retificar a comunicação, o que gera confusão e amplifica a percepção de descontrole. A comunicação deve esperar a confirmação mínima do que foi afetado — sem ultrapassar os prazos legais.
2. Usar linguagem que implica certeza sobre dados não confirmados: afirmar que "os seguintes dados foram acessados" quando a investigação ainda não está concluída é um erro que pode gerar obrigações jurídicas adicionais. O texto deve distinguir o que foi confirmado do que ainda está sendo apurado.
3. Comunicar para grupos mais amplos do que os afetados: enviar comunicação de incidente a todos os funcionários quando apenas um subgrupo foi afetado gera alarme desnecessário e pode expor a empresa a questionamentos sobre sua gestão da informação.
4. Não registrar a comunicação: a empresa deve manter evidência de que a comunicação foi feita — conteúdo, destinatários, data e canal. Esse registro integra o dossiê do incidente, obrigatório por 5 anos.
5. Comunicações internas que contradizem a comunicação formal: em grandes empresas, comunicações informais de gestores ou do RH podem antecipar ou contradizer a comunicação oficial. O protocolo deve prever que a comunicação aos afetados é centralizada — gestores não comunicam por conta própria antes da versão oficial.

Retenção de registros

Independentemente de o incidente ter gerado comunicação obrigatória ou não, todos os incidentes devem ser registrados e mantidos por pelo menos 5 anos, conforme a Resolução CD/ANPD nº 15/2024. O dossiê de cada incidente deve conter:

• Descrição do incidente (o quê, quando, como descoberto)
• Avaliação de risco — por que foi ou não considerado de risco relevante
• Medidas de contenção adotadas e quando
• Cópia da comunicação à ANPD (se enviada) e protocolo de recebimento
• Cópia da comunicação aos titulares (se enviada) e evidência de entrega
• Complementações posteriores, se houver

Esse registro é a principal defesa da empresa em caso de autuação pela ANPD ou ação judicial dos titulares. Incidentes sem registro documentado são tratados como incidentes sem resposta.