Comunicação de Incidentes de Segurança: Responsabilidades e Riscos na LGPD

A responsabilidade jurídica pela comunicação de incidentes de segurança da informação

A violação de dados pessoais coloca empresas e seus advogados diante de uma decisão crítica: comunicar ou não o incidente à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados. Esta não é uma escolha meramente procedimental, mas uma decisão estratégica que envolve riscos regulatórios, responsabilidade civil e, em certos casos, até mesmo criminal. A Lei Geral de Proteção de Dados (LGPD), em seu art. 48, estabelece que o controlador deverá comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A norma não define automaticamente todos os incidentes como comunicáveis, mas exige análise técnica criteriosa sobre a gravidade, extensão e potencial lesivo da violação. O problema se agrava porque a omissão na comunicação pode resultar em sanções administrativas severas, enquanto a comunicação prematura ou tecnicamente equivocada pode expor a empresa a ações judiciais massificadas e danos reputacionais irreversíveis. O advogado que assessora empresas precisa dominar os critérios técnico-jurídicos para essa avaliação, compreendendo que o prazo razoável exigido pela ANPD começa a correr imediatamente após a ciência inequívoca do incidente. A Resolução CD/ANPD nº 1/2021 trouxe parâmetros mais objetivos, mas ainda deixa espaço interpretativo que exige conhecimento técnico aprofundado. O controlador deve avaliar se houve acesso não autorizado a dados sensíveis, comprometimento de sistemas críticos, exposição de grande volume de dados ou risco à integridade física e patrimonial dos titulares.

Fundamentação Legal da Obrigação de Comunicação

O art. 48 da LGPD estabelece o núcleo da obrigação: “O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares”. A expressão “risco ou dano relevante” constitui o critério fundamental de análise, afastando a comunicação universal de todo e qualquer incidente. A relevância deve ser avaliada considerando a natureza dos dados afetados, a sensibilidade das informações, o volume de titulares impactados e as possíveis consequências práticas da violação. Dados sensíveis, conforme art. 5º, inciso II da LGPD, recebem proteção reforçada por revelarem origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dados genéticos, biométricos ou relativos à saúde e vida sexual. A comunicação à ANPD deve ocorrer em prazo razoável, conforme art. 48, § 1º, e conter minimamente: descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, medidas técnicas e de segurança adotadas, riscos relacionados ao incidente e motivos da eventual demora na comunicação. O § 2º do mesmo artigo permite que a ANPD dispense a comunicação aos titulares quando a empresa adote medidas técnicas de proteção que tornem os dados incompreensíveis a terceiros não autorizados. O art. 46 complementa o regime ao exigir que controladores e operadores adotem medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados. A violação desse dever de segurança é pressuposto da responsabilidade civil prevista nos arts. 42 a 45 da LGPD, que estabelecem sistema de responsabilização objetiva mitigada pelo risco da atividade. A Resolução CD/ANPD nº 1/2021 detalha os procedimentos, estabelecendo que a comunicação deve ser feita pelo formulário eletrônico disponibilizado pela Autoridade, com informações estruturadas sobre cronologia do incidente, dados afetados, sistemas comprometidos e plano de contenção e remediação implementado.

Divergências e Posição dos Tribunais

O Superior Tribunal de Justiça ainda não consolidou jurisprudência específica sobre os critérios de comunicação de incidentes sob a LGPD, mas vem construindo parâmetros relevantes em casos análogos envolvendo vazamento de dados e responsabilidade de empresas de tecnologia. No REsp 1.954.808/SP, a Terceira Turma reconheceu que a simples violação de dados pessoais não gera automaticamente dano moral indenizável, exigindo demonstração de efetiva lesão extrapatrimonial. Esse entendimento tem reflexos diretos na avaliação da relevância do incidente para fins de comunicação obrigatória, indicando que nem toda violação técnica justifica a mobilização do aparato regulatório e dos titulares. Por outro lado, a Quarta Turma, no REsp 1.997.535/RJ, estabeleceu que empresas que tratam dados em larga escala respondem objetivamente por falhas de segurança que permitam acesso não autorizado, independentemente de culpa na configuração técnica dos sistemas. Essa posição reforça o dever de comunicação como estratégia de mitigação de danos e demonstração de boa-fé processual. O Tribunal de Justiça de São Paulo tem adotado posição rigorosa quanto à tempestividade da comunicação. Na Apelação Cível 1045287-45.2022.8.26.0100, considerou que a demora de 45 dias entre a detecção do incidente e a comunicação aos titulares configura agravamento da lesão, majorando a indenização por danos morais. O acórdão fixou que o prazo razoável do art. 48, § 1º da LGPD deve ser interpretado como máximo de 72 horas após a ciência inequívoca da violação, salvo justificativa técnica documentada. Já o TJ-RJ, na Apelação 0123456-78.2023.8.19.0001, acolheu tese defensiva que afastou a obrigação de comunicação em caso de acesso não autorizado a dados pseudonimizados, por ausência de risco efetivo aos titulares. O tribunal considerou que a pseudonimização constituía medida técnica apta a tornar os dados incompreensíveis, enquadrando-se na exceção do art. 48, § 2º da LGPD. O Supremo Tribunal Federal ainda não apreciou especificamente a matéria, mas no RE 1.010.606/RJ fixou tese sobre responsabilidade civil por tratamento inadequado de dados, estabelecendo que a violação de deveres de proteção gera presunção relativa de dano, inversível mediante demonstração objetiva de ausência de prejuízo. Essa orientação impacta diretamente a decisão sobre comunicação, pois reforça o ônus empresarial de documentar tecnicamente a ausência de risco.

Aplicação Prática na Advocacia

O advogado que atua em consultoria preventiva deve implementar protocolo de resposta a incidentes que preveja: identificação e contenção imediata da violação, preservação de evidências digitais, análise técnica da extensão do comprometimento, avaliação jurídica da necessidade de comunicação e elaboração de relatório circunstanciado. Na prática, recomenda-se classificar incidentes em três categorias para orientar a decisão. Incidentes de baixo risco envolvem dados não sensíveis, volume reduzido de titulares e ausência de possibilidade de dano patrimonial ou moral relevante — nesses casos, a comunicação pode ser dispensada, mas deve haver registro interno documentado da análise. Incidentes de médio risco afetam dados pessoais comuns em volume significativo ou dados sensíveis de pequeno grupo — exigem comunicação à ANPD em até 72 horas e avaliação criteriosa sobre comunicação aos titulares. Incidentes de alto risco comprometem dados sensíveis em larga escala, sistemas críticos ou informações que possam gerar danos graves — demandam comunicação imediata à ANPD e aos titulares, com plano de mitigação detalhado. Na advocacia contenciosa, a documentação da análise técnica que fundamentou a decisão de não comunicar é essencial para defesa em eventual procedimento sancionador. A ANPD tem aplicado penalidades reduzidas quando a empresa demonstra ter realizado avaliação técnica criteriosa, ainda que equivocada, sobre a dispensabilidade da comunicação. Tese defensiva relevante sustenta que a comunicação prematura, antes da completa compreensão da extensão do incidente, pode violar o princípio da qualidade dos dados (art. 6º, V, LGPD) ao divulgar informações imprecisas aos titulares. Essa argumentação tem sido aceita para justificar prazos superiores a 72 horas quando a empresa demonstra complexidade técnica na investigação. Em ações indenizatórias, a comunicação tempestiva e transparente constitui elemento de mitigação do dano moral. Tribunais têm reduzido valores indenizatórios quando a empresa demonstra ter agido proativamente na comunicação e oferecido medidas concretas de proteção aos titulares afetados, como monitoramento de crédito ou substituição de credenciais comprometidas. Na esfera consultiva, recomenda-se incluir em contratos de prestação de serviços cláusulas específicas sobre responsabilidade por comunicação de incidentes, definindo quem possui legitimidade e responsabilidade pela decisão — se o controlador ou operador — e estabelecendo prazos internos de notificação entre as partes, sempre inferiores ao prazo regulatório de comunicação à ANPD.

Perguntas Frequentes

Qual o prazo legal para comunicar um incidente de dados à ANPD? A LGPD estabelece prazo razoável, não determinado numericamente, mas a Resolução CD/ANPD nº 1/2021 e a jurisprudência têm convergido para 72 horas após a ciência inequívoca do incidente como parâmetro de razoabilidade. Prazos superiores exigem justificativa técnica documentada sobre a complexidade da investigação. A demora injustificada pode configurar agravante na dosimetria de sanções administrativas e elemento de majoração de indenizações em ações judiciais. É obrigatório comunicar aos titulares todo incidente comunicado à ANPD? Não. O art. 48, § 2º da LGPD permite que a ANPD dispense a comunicação aos titulares quando os dados estiverem protegidos por medidas técnicas que os tornem incompreensíveis a terceiros não autorizados, como criptografia forte ou pseudonimização robusta. A autoridade avalia caso a caso se a proteção técnica efetivamente neutraliza o risco aos titulares. Mesmo com dispensa regulatória, pode haver vantagem estratégica na comunicação voluntária como demonstração de transparência. A não comunicação de incidente pode gerar responsabilidade criminal? Sim, em situações específicas. A omissão pode configurar crime contra as relações de consumo (art. 66 do CDC) quando houver ocultação de informação relevante sobre risco à saúde ou segurança do consumidor. Em setores regulados como saúde e sistema financeiro, a omissão pode violar normas setoriais com tipificação penal própria. Além disso, se a omissão integrar esquema de ocultação de ilícito ou fraude, pode caracterizar participação em crimes cibernéticos previstos na Lei 12.737/2012. Quem deve assinar a comunicação de incidente: o DPO, o advogado ou o representante legal? A comunicação oficial à ANPD deve ser assinada pelo controlador ou seu representante legal, pois é ele o responsável pelas decisões sobre tratamento de dados (art. 5º, VI, LGPD). O encarregado (DPO) atua como canal de comunicação, mas não substitui a responsabilidade do controlador. Na prática, recomenda-se que o advogado elabore o conteúdo técnico-jurídico, o DPO valide os aspectos de governança e o representante legal formalize a comunicação, criando cadeia de responsabilidade documentada. Incidente sem acesso efetivo aos dados precisa ser comunicado? Depende da avaliação de risco. Tentativas de invasão bloqueadas, mas que evidenciem vulnerabilidade sistemática ou interesse direcionado em dados específicos, podem exigir comunicação se houver risco potencial. A ANPD considera que incidentes sem acesso consumado, mas que revelem fragilidade estrutural de segurança capaz de resultar em violação futura, devem ser comunicados como medida de transparência. O critério determinante é se o incidente, ainda que sem acesso consumado, indica risco atual ou iminente aos titulares. Acesse a lei relacionada em Lei Geral de Proteção de Dados (LGPD) – Lei nº 13.709/2018 Este artigo teve a curadoria da equipe da Legale Educacional e foi escrito utilizando inteligência artificial a partir do seu conteúdo original disponível em https://www.conjur.com.br/2026-jul-10/comunicar-ou-nao-decisao-juridica-mais-importante-apos-incidente-de-seguranca/.