Comunicar ou não? Decisão jurídica mais importante após incidente de segurança

Quando ocorre um incidente de segurança envolvendo dados pessoais, a reação mais comum das empresas costuma ser imediata: conter o incidente, entender sua extensão e avaliar se ele deve ou não ser comunicado à Agência Nacional de Proteção de Dados (ANPD), conforme os critérios trazidos pela Resolução CD/ANPD nº 15/2024, que estabelece como e quando um incidente deve ser comunicado. Em meio à pressão das primeiras horas, é frequente ouvir uma recomendação aparentemente prudente: “na dúvida, comunique”.

A lógica é compreensível. Afinal, deixar de comunicar um incidente que deveria ter sido reportado pode expor a organização a consequências regulatórias relevantes, inclusive multas potencialmente consideráveis. Ocorre que essa orientação, embora bem-intencionada, nem sempre corresponde ao que exige a Lei Geral de Proteção de Dados (LGPD) e sua regulamentação.

Notificação nunca foi obrigatória

A LGPD nunca adotou um sistema de notificação obrigatória para todo e qualquer incidente de segurança. O artigo 48 condiciona a comunicação à ANPD e aos titulares à possibilidade de o incidente acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 foi além ao estruturar critérios para essa avaliação, deixando claro que a resposta regulatória não deve decorrer de um automatismo, mas de uma análise técnica e jurídica do caso concreto.

Essa mudança merece atenção porque altera a forma como incidentes de segurança devem ser administrados pelas organizações.

Não se trata simplesmente de decidir entre comunicar ou não comunicar. O verdadeiro desafio é realizar uma avaliação suficientemente robusta para, com base na lei e na regulamentação aplicável, sustentar qualquer uma dessas decisões.

Esse desafio torna-se ainda maior porque, quando a comunicação é obrigatória, a regulamentação estabelece regras e prazos específicos, inclusive o prazo de três dias úteis para uma comunicação preliminar, contado do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais. Em outras palavras, a organização precisa tomar uma decisão juridicamente consistente justamente quando ainda busca compreender a extensão técnica do incidente, preservar evidências e implementar medidas de contenção.

Impacto aos direitos dos titulares

A regulamentação da ANPD estabelece que essa análise deve considerar não apenas o potencial impacto aos direitos dos titulares, mas também fatores objetivos, como o envolvimento de dados sensíveis, informações financeiras, credenciais de autenticação, dados de crianças, adolescentes ou idosos, informações protegidas por sigilo legal ou tratamento em larga escala. Em outras palavras, a decisão não depende apenas da gravidade aparente do incidente, mas de critérios previamente definidos pela própria regulamentação.

Isso significa que dois incidentes tecnicamente semelhantes podem produzir consequências regulatórias distintas.

Um ataque de ransomware que afete apenas backups criptografados, sem indícios de acesso a dados pessoais, pode demandar uma análise diferente daquela aplicável a um incidente envolvendo bases de clientes com dados financeiros ou informações de saúde. Da mesma forma, um envio equivocado de informações por e-mail pode representar um incidente de segurança, mas nem sempre alcançará o patamar de risco ou dano relevante exigido pela LGPD para justificar a comunicação.

Esse aspecto costuma ser subestimado.

Comunicação defensiva

Nos últimos anos, consolidou-se, em parte do mercado, uma cultura de “comunicação defensiva”, na qual a notificação é apresentada como a alternativa naturalmente mais segura. Embora essa postura reduza o risco de omissão, ela também ignora que a comunicação de um incidente produz efeitos jurídicos concretos. Uma vez comunicada, a ocorrência poderá ser objeto de pedidos de esclarecimento, requisição de documentos, avaliação das medidas de segurança adotadas, procedimentos de fiscalização e, eventualmente, processos sancionadores.

Mais relevante ainda, a existência de um histórico regulatório pode produzir reflexos em futuras análises sancionatórias, especialmente diante das regras sobre reincidência previstas na Resolução CD/ANPD nº 4/2023, que disciplina a dosimetria e a aplicação de sanções administrativas.

Naturalmente, isso não significa que empresas devam evitar comunicações ou adotar interpretações restritivas da regulamentação. A transparência continua sendo um dos pilares da LGPD, e incidentes que preencham os requisitos legais devem ser comunicados tempestivamente. O ponto é outro: comunicar não deve ser uma reação automática, mas a consequência de uma avaliação técnica adequadamente fundamentada.

Ao exigir que o controlador mantenha registro dos incidentes, inclusive daqueles que não são comunicados, indicando os motivos que justificaram essa decisão, a regulamentação transforma a não comunicação em um verdadeiro ato de governança. A decisão de não comunicar deixa de ser mera omissão administrativa e passa a constituir uma conclusão jurídica que deve ser documentada e, se necessário, posteriormente demonstrada à autoridade.

Fiscalização do incidente e da decisão

Sob essa perspectiva, o objeto da fiscalização deixa de ser apenas o incidente.

A ANPD poderá avaliar também a qualidade do processo decisório adotado pela organização: quais informações estavam disponíveis no momento da decisão, quais critérios foram utilizados para avaliar o risco, quem participou da análise, quais medidas de contenção foram implementadas e por que se concluiu pela necessidade (ou não) de comunicar.

Essa mudança aproxima a resposta a incidentes do próprio princípio da accountability, previsto no artigo 6º, inciso X, da LGPD. Mais do que cumprir obrigações formais, espera-se que o controlador seja capaz de demonstrar que suas decisões foram tomadas de forma diligente, estruturada e compatível com os riscos efetivamente identificados. Nos termos da Resolução CD/ANPD nº 4/2023, a adoção de políticas de boas práticas e governança e de mecanismos internos capazes de minimizar os danos aos titulares pode, inclusive, ser considerada na dosimetria de eventual sanção.

Essa leitura encontra respaldo na evolução da atuação da própria ANPD. Na primeira decisão sancionatória da Autoridade, envolvendo empresa do setor de telecomunicações, a ausência de encarregado foi tratada como infração autônoma, independentemente das discussões sobre a licitude do tratamento de dados em si. Em outras decisões, aspectos relacionados à governança, como registros das operações de tratamento e relatórios de impacto à proteção de dados, também passaram a integrar o objeto da fiscalização. O incidente, portanto, funciona não apenas como fato gerador de uma obrigação regulatória, mas também como ponto de partida para uma avaliação mais ampla da maturidade do programa de proteção de dados da organização e, principalmente, da importância das medidas preventivas.

Submissão ao escrutínio regulatório

O debate sobre comunicação de incidentes, portanto, talvez deva deixar de ser apresentado como uma simples escolha entre comunicar ou não comunicar. A verdadeira questão é outra: a empresa possui um processo suficientemente estruturado para avaliar o incidente, tomar uma decisão tecnicamente consistente e demonstrar, meses ou anos depois, por que aquela decisão foi a correta?

Essa reflexão torna-se ainda mais relevante em um momento de fortalecimento institucional da própria ANPD. A recente transformação da autoridade em agência reguladora, acompanhada da ampliação de sua estrutura e de sua capacidade fiscalizatória, sinaliza uma tendência de escrutínio cada vez maior sobre a forma como as organizações administram incidentes de segurança e documentam suas decisões.

Sob essa perspectiva, talvez a principal inovação trazida pela Resolução nº 15/2024 não esteja propriamente na definição de quando um incidente deve ser comunicado. Sua contribuição mais relevante parece ter sido outra: transformar a avaliação do incidente em um processo decisório juridicamente estruturado, cuja qualidade pode ser posteriormente submetida ao escrutínio regulatório. O foco deixa de recair exclusivamente sobre o incidente e passa a alcançar também a racionalidade da decisão tomada pelo controlador. É justamente nesse deslocamento que se revela uma das manifestações mais concretas do princípio da accountability na disciplina brasileira de proteção de dados.