A comunicação de incidente de segurança na LGPD é o aviso obrigatório que a empresa ou órgão (controlador dos dados) deve fazer à ANPD (Agência Nacional de Proteção de Dados) e aos titulares quando ocorre um acesso não autorizado, vazamento ou perda de dados pessoais que possa gerar risco ou dano relevante.
O que é um incidente de segurança?
É qualquer evento adverso confirmado que comprometa a segurança dos dados pessoais, afetando a:
• Confidencialidade (exposição indevida)
• Integridade (alteração não autorizada)
• Disponibilidade (perda de acesso aos dados)
Quando a comunicação é obrigatória?
Nem todo incidente exige aviso formal, mas a notificação é obrigatória se houver risco ou dano relevante, como:
• Vazamento de dados sensíveis, financeiros ou de autenticação.
• Dados de crianças, adolescentes ou idosos.
• Comprometimento de sigilo legal ou profissional.
• Incidentes em larga escala que afetem os direitos e liberdades dos cidadãos.
Prazos e Regras principais
• Prazo: O aviso à ANPD e aos afetados deve ocorrer em até três dias úteis a partir do conhecimento do fato.
• Conteúdo: Deve detalhar a natureza dos dados, o volume de pessoas afetadas, os riscos e as medidas de mitigação adotadas.
• Como fazer: A notificação à autoridade é feita por meio de formulário eletrônico nos canais oficiais do governo.
A Ufersa normatizou o processo de comunicação de ocorrência de incidente de segurança à ANPD através da Norma Operacional CGD/Ufersa nº 1/2026, de 6 de janeiro de 2026.
Norma Operacional nº 01/2026 – Comunicação de Ocorrência de Incidentes de Segurança