Resposta a ataque cibernético nas primeiras 48 horas segundo LGPD

Nas primeiras 48 horas de um ataque cibernético, o advogado deve garantir contenção do incidente, preservação de evidências digitais e cumprimento do dever de comunicação à ANPD e aos titulares afetados. A resposta técnica adequada evita responsabilização do controlador, minimiza danos e preserva direitos em eventual litígio. O tempo é o fator crítico nessa janela.

O que a Lei Geral de Proteção de Dados exige nas primeiras horas após um incidente?

O artigo 48 da Lei nº 13.709/2018 (LGPD) estabelece que o controlador deve comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Essa comunicação deve ocorrer em prazo razoável, conforme regulamentação posterior.

A Resolução CD/ANPD nº 1/2021 detalha que a comunicação à Autoridade deve acontecer em até 2 dias úteis a partir da ciência do incidente, quando houver risco ou dano relevante. Já a comunicação aos titulares precisa ser feita em prazo razoável, considerando a necessidade de mitigação de danos e os legítimos interesses dos titulares.

O artigo 46 da LGPD também determina que os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais. A falha nessa obrigação durante o incidente pode configurar infração passível de sanções administrativas previstas no artigo 52, incluindo advertência, multa e bloqueio ou eliminação dos dados.

Além da LGPD, o Marco Civil da Internet (Lei nº 12.965/2014) em seu artigo 10 já prevê a responsabilidade pela guarda e proteção de registros e dados pessoais. A conjugação das normas reforça que a resposta inadequada ao ataque pode gerar responsabilização civil, administrativa e até penal, especialmente quando há invasão de dispositivo informático (artigo 154-A do Código Penal).

Como os tribunais brasileiros têm julgado casos de resposta inadequada a incidentes de segurança?

A jurisprudência sobre LGPD ainda é incipiente, mas os tribunais já vinham responsabilizando empresas por vazamento de dados com base no Código de Defesa do Consumidor e no Marco Civil da Internet. O Superior Tribunal de Justiça tem reconhecido dano moral in re ipsa em casos de exposição indevida de dados sensíveis, dispensando prova do prejuízo.

No Recurso Especial nº 1.758.799/MG, o STJ fixou que a simples exposição de dados cadastrais e financeiros já configura dano moral presumido. Essa posição tem sido replicada por tribunais estaduais em casos de ataques cibernéticos, especialmente quando a empresa demora a comunicar os titulares ou não adota medidas de contenção.

Tribunais de Justiça estaduais também têm analisado a tempestividade da resposta como critério para graduar a responsabilidade. Casos nos quais a empresa comunicou rapidamente o incidente e ofereceu medidas mitigatórias (como monitoramento de crédito) resultaram em condenações por danos morais em valores menores.

Por outro lado, decisões têm aumentado significativamente o valor de indenizações quando há demora injustificada na comunicação ou quando a empresa tenta ocultar o vazamento. Alguns acórdãos destacam que a transparência e a presteza na resposta são elementos que demonstram boa-fé e reduzem a extensão do dano.

Como as primeiras 48 horas alteram a estratégia de defesa e o atendimento ao cliente?

O advogado que atua em Direito Digital precisa ter um protocolo de resposta a incidentes pronto antes mesmo do ataque acontecer. Quando o cliente sofre um vazamento, não há tempo para pesquisar procedimentos: é necessário agir imediatamente com checklist de contenção, preservação de provas e comunicações obrigatórias.

A primeira providência é orientar a contenção técnica do incidente: isolar sistemas comprometidos, interromper acessos não autorizados e acionar a equipe de TI ou empresa especializada em forense digital. Paralelamente, é fundamental preservar logs, registros de acesso e qualquer evidência que possa servir tanto para investigação quanto para defesa em processos futuros.

A comunicação à ANPD dentro do prazo de 2 dias úteis não é mera formalidade: o descumprimento pode configurar infração autônoma e agravar sanções. O advogado deve preparar a notificação com análise criteriosa sobre a natureza do incidente, dados afetados, número de titulares impactados e medidas já adotadas, conforme exigências da Resolução CD/ANPD nº 1/2021.

Quanto aos titulares, a estratégia de comunicação deve equilibrar transparência e gestão de crise. Uma comunicação mal elaborada pode gerar pânico desnecessário e multiplicar processos judiciais. O ideal é comunicar de forma clara, indicando exatamente quais dados foram afetados, quais riscos existem e que medidas de proteção estão sendo oferecidas.

Do ponto de vista processual, a documentação detalhada de todas as ações tomadas nas primeiras horas é essencial para construir a defesa. Demonstrar que houve resposta rápida, técnica e em conformidade com a legislação pode afastar a caracterização de negligência e reduzir drasticamente condenações por danos morais coletivos ou individuais.

Para o atendimento consultivo, isso significa que contratos de prestação de serviços na área de proteção de dados devem prever claramente cláusulas de acionamento emergencial, inclusive fora do horário comercial. O advogado especializado agrega valor quando está preparado para atuar nessa janela crítica, não apenas para remediar depois que o prazo se esgotou.

Perguntas frequentes

Fontes

• Pauta sugerida pela cobertura de: ConJur

Este artigo teve curadoria da equipe da Legale Educacional e foi produzido com apoio de inteligência artificial. As citações de lei e de artigos de código foram conferidas no texto oficial publicado pelo Planalto.