Incidente com dados pessoais: o que a empresa deve fazer primeiro?

A ANPD orienta que a comunicação de incidente de segurança é destinada aos controladores e deve ser feita pelo encarregado ou representante legalmente constituído, por peticionamento eletrônico no SEI!ANPD. A primeira reação, porém, começa antes do formulário: conter o acesso, preservar registros e entender o que ocorreu.

A LGPD destaca incidentes capazes de causar riscos ou danos relevantes aos titulares. Por isso, a empresa precisa identificar categorias de dados, quantidade de pessoas, possibilidade de fraude, exposição pública, duração do acesso e medidas de mitigação.

A ANPD deixa claro que comunicar apenas à autoridade não cumpre necessariamente a obrigação perante os titulares afetados. A comunicação deve ser coordenada, verdadeira e suficiente para permitir que as pessoas adotem precauções, sem divulgar dados além do necessário.

O artigo é um guia inicial e não substitui o plano de resposta, o encarregado, a equipe técnica ou a análise jurídica. Incidentes diferentes exigem decisões diferentes, e registros de tempo e providências são parte importante da prestação de contas.