Texto da norma
Comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável (art. 48). LGPD, cláusula 6.3 · texto integral oficial em ANPD — Autoridade Nacional de Proteção de Dados.
Guia do Benjamin · IA do facilita.ia
O que isso quer dizer na prática?
Se a empresa sofrer um vazamento de dados (ex.: lista de clientes com CPF roubada, senhas de colaboradores expostas ou planilha de salários vazada), precisamos avisar rápido quem foi afetado (clientes, funcionários) e a ANPD (órgão do governo). Não adianta esconder: a lei exige transparência para minimizar prejuízos, como fraudes ou constrangimentos.
Como atender (passo a passo)
- Identificar o incidente Descobrir o que vazou (ex.: base de e-mails do marketing), como (hack, notebook perdido, erro de envio) e quem foi exposto (10 clientes? 500 funcionários?).
- Avaliar o risco real Perguntar: "Isso pode gerar dor de cabeça para as pessoas?" (ex.: dados bancários vazados = risco alto; lista de nomes sem mais nada = risco baixo). Regra prática: se tiver CPF, senha ou info financeira, é grave.
- Comunicar em até 72h (prazo "razoável")
- Para a ANPD: Preencher o [formulário oficial](https://www.gov.br/anpd/pt-br) com detalhes do incidente (use o modelo da equipe de TI ou Jurídico).
- Para os titulares: Enviar e-mail ou mensagem clara (sem desculpas vagas). Exemplo:
- Registrar tudo Anotar data/hora da descoberta, ações tomadas e quem foi notificado. Guardar prints, logs ou relatórios de TI como prova.
- Corrigir a falha Bloquear o vazamento (ex.: revogar acessos, instalar patch de segurança) e treinar a equipe para evitar repetição.
O que auditor procura como evidência
- Registro do incidente: Planilha ou sistema com data, descrição e ações (ex.: "20/05 – Vazamento de planilha de RH via e-mail errado. Notificado ANPD em 21/05").
- Comprovação de comunicação: Print do e-mail enviado aos titulares ou protocolo da ANPD.
- Relatório de causa-raiz: Documento assinado por TI/Jurídico explicando por que aconteceu e como foi resolvido.
- Treinamentos pós-incidente: Ata de reunião ou lista de presença de colaboradores que receberam orientação sobre segurança.
Erros comuns
- Achar que "ninguém vai descobrir": A ANPD fiscaliza denúncias e multas podem chegar a 2% do faturamento da empresa.
- Notificar só a ANPD e esquecer os titulares: Ambos devem ser avisados, mesmo que a lei não exija formato específico.
- Demorar para agir: Se levar 15 dias para comunicar um vazamento grave, a empresa fica em situação pior do que o incidente em si. Regra: em dúvida, notifique rápido.
Artefatos sugeridos para evidência auditável
Tipos de documento, processo, registro ou indicador que tipicamente sustentam essa cláusula em auditoria. Cada um é gerado e rastreado dentro do facilita.ia.
| Tipo | Artefato | Por quê |
|---|---|---|
| Document | Procedimento de Comunicação de Incidentes de Segurança | Estabelece o processo formal para comunicação de incidentes conforme a LGPD. |
| Risk Register | Registro de Riscos de Segurança de Dados | Identifica e gerencia riscos associados a incidentes de segurança de dados. |
| Kpi | Indicador de Tempo de Resposta a Incidentes de Segurança | Monitora o prazo de comunicação de incidentes à ANPD e titulares. |
| Audit | Auditoria de Conformidade com a LGPD | Verifica a conformidade com a cláusula 6.3 da LGPD. |
Como o facilita.ia aplica essa cláusula ao contexto da sua empresa
O Benjamin contextualiza esta orientação para a sua operação, cruza a evidência com outras normas via Cross Intelligence e mantém o rastreamento auditável.
Diagnóstico gratuito Ver comparativos