Plano de resposta a incidentes sob ótica da LGPD

Incidente de TI vs. Incidente de Privacidade: a diferença

Incidente de TI pode não ter privacidade. Sistema down por ransomware é incidente TI crítico, mas se dados pessoais estavam criptografados ou não foram acessados, não há obrigação LGPD de comunicação. Incidente de privacidade é aquele onde há risco aos direitos/liberdades do titular de dados. Um usuário deletou arquivo por acidente é incidente TI (necessário restore), não é incidente privacidade. Um atacante acessou lista de clientes com CPF é incidente privacidade. Gate de decisão: "Há dados pessoais envolvidos?" Se sim, ativa módulo de privacidade^[1].

Fases de resposta com lente LGPD

T+0h: Detecção de incidente (alerta de sistema, usuário reporta). T+4h: DPO avalia preliminarmente se há dados pessoais afetados. Decisão inicial: continuar investigação como incidente privacidade ou não. T+24h: Análise de risco completa por DPO: que titulares foram afetados? Qual é o risco? Obrigação de comunicação? T+48h: Se obrigação de comunicação, notificar ANPD. T+72h–7 dias: Se obrigação, notificar titulares. Ongoing: Comunicação transparente sobre mitigação, direitos do titular, etc.

Diferença vs. IRP clássico: gates de privacidade e cronograma de comunicação legal.

Estrutura de time de resposta: papéis e responsabilidades

Incident Commander: Liderança técnica. DPO/Privacy Officer: Avalia risco de privacidade, determina se há obrigação de comunicação. Jurídico: Interpreta lei, prepara comunicação à ANPD e mídia. Communications: Redige comunicações ao titular, ANPD, mídia. TI/Security: Investigação técnica, coleta evidência, remediação. Compliance: Monitora conformidade com LGPD, documenta tudo.

Papéis podem ser acumulados em empresa pequena (DPO = Jurídico), mas responsabilidades devem ser claras.

Análise de risco de privacidade em 24h

DPO recebe notificação de incidente. Dentro de 24h deve responder: (1) Que tipo de dados foram afetados? (nome, CPF, email, dados de cartão, dados médicos?) (2) Quantos titulares? (1 pessoa vs. 100k pessoas = riscos diferentes) (3) Qual é o risco? (dado foi acessado? Exfiltrado? Modificado?) (4) Consentimento do titular existia? (se não, risco maior porque coleta pode ser ilegal). (5) Comunicação obrigatória? (se risco aos direitos/liberdades, sim). Resultado: recomendação formal de comunicação ou não-comunicação, documentada.

Comunicação à ANPD e ao titular

Se análise de risco conclui que há obrigação: ANPD deve ser notificada sem demora (ideal: <24h da conclusão de risco). Titular também deve ser notificado (prazo: razoável, idealmente <7 dias). Comunicação deve incluir: descrição do incidente, tipo de dados afetados, direitos do titular (acesso, retificação, exclusão, portabilidade, bloqueio), como mitigou (medidas tomadas), contato para mais informações. Comunicação deve ser clara, não jurídico denso — titular deve entender o que aconteceu.

Recomendação: ter templates preparados antes do incidente. Quando ocorre, preencher dados específicos, enviar.

Documentação e auditoria

Plano deve gerar documentação de cada incidente com dados pessoais: (1) Data/hora de detecção. (2) Descrição do incidente. (3) Análise de risco (realizada por DPO, documentada). (4) Decisão de comunicação (comunicar ou não, por quê). (5) Comunicações enviadas (ANPD, titulares, mídia). (6) Feedback de titulares (reclamações? Requisições de direitos?). (7) Lições aprendidas. Tudo deve ser armazenado por tempo definido em política de retenção (LGPD recomenda indefinidamente para conformidade).