Quem acompanha os processos administrativos sancionadores da ANPD encontra um padrão que surpreende quem esperava manchete de vazamento gigante. A conduta punida costuma não ser a falha técnica que permitiu o incidente. É o que a empresa deixou de fazer nos dias seguintes: não comunicou a ANPD, não comunicou os titulares, ou comunicou tarde e pela metade. O motivo é menos jurídico do que probatório, e vale entender antes de aprovar mais um real de orçamento de segurança.
O que a norma exige, exatamente
O art. 48 da LGPD cria o dever de comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Por quase seis anos esse dever conviveu com um prazo aberto, o famoso "prazo razoável", que na prática virou espaço de interpretação. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, fechou essa porta. O Regulamento de Comunicação de Incidente de Segurança determina que a comunicação à ANPD e aos titulares seja feita pelo controlador no prazo de três dias úteis.
Três dias úteis contados da ciência do incidente, não da conclusão da perícia. A norma admite comunicação em etapas quando a informação ainda não está disponível: dá para enviar um comunicado preliminar dentro do prazo e complementar depois, em até vinte dias úteis, desde que a demora seja justificada. Esse é o ponto que mais gente perde. O prazo não existe para você entender o incidente. Existe para você declarar que ele aconteceu.
- A descrição da natureza e da categoria dos dados pessoais afetados.
- As medidas técnicas e de segurança utilizadas para a proteção dos dados, resguardados os segredos comercial e industrial.
- Os riscos relacionados ao incidente e os possíveis impactos aos titulares.
- Os motivos da demora, quando a comunicação não for imediata.
- As medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos.
- A data de conhecimento do incidente e o contato do encarregado para mais informações.
Quanto custa errar isso, com o número certo
Circula bastante em material comercial de compliance a ideia de uma multa fixa de cinquenta mil reais por dia de atraso na notificação. A norma não diz isso, e trabalhar com o número errado enfraquece o argumento na hora de defendê-lo internamente. O que existe está no Regulamento de Dosimetria e Aplicação de Sanções Administrativas, a Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023. O art. 15, inciso II, limita a multa simples a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado de empresas no Brasil no seu último exercício, excluídos os tributos, com teto de R$ 50.000.000,00 por infração.
A multa diária também existe, mas serve a outra coisa. O art. 16 do mesmo regulamento é explícito: a ANPD a aplica quando necessária para assegurar o cumprimento, em prazo certo, de uma sanção não pecuniária ou de uma determinação estabelecida pela própria ANPD. É instrumento coercitivo para fazer cumprir uma ordem já emitida, não uma tarifa automática por dia de silêncio. O § 1º acrescenta que o valor é acumulado considerando o tempo entre a incidência da multa e o cumprimento da obrigação, até o limite total de R$ 50.000.000,00 por infração. O valor diário é fixado caso a caso, não é uma constante da norma.
Na prática, o atraso na notificação entra na conta por dois caminhos. Primeiro como infração autônoma, sujeita à multa simples. Segundo como circunstância que piora a dosimetria de todo o resto, porque o regulamento pondera a cooperação do infrator e as medidas adotadas para mitigar o dano. Duas empresas que sofreram exatamente o mesmo vazamento, uma que avisou em três dias e outra que avisou em três meses, não terminam no mesmo lugar.
Por que essa é a infração mais fácil de provar
Discutir se as medidas de segurança de uma empresa eram adequadas nos termos do art. 46 é um debate técnico longo, com espaço para perícia, contraditório e comparação com o estado da arte do setor. Discutir se a comunicação saiu dentro de três dias úteis não é. Existem duas datas: a da ciência e a do protocolo. A diferença entre elas ou cabe no prazo ou não cabe.
É por isso que a falha de notificação aparece com tanta frequência nas decisões publicadas. Não é que ela seja mais grave que o incidente em si. É que ela é objetiva, documental e não depende de convencer ninguém sobre nível de maturidade de segurança. Do ponto de vista de quem instrui o processo, é a infração de menor custo probatório que existe na LGPD.
E aqui um problema que parece jurídico vira problema de engenharia. A data de ciência não é a data em que o jurídico foi avisado. É a data em que a organização tomou conhecimento, e essa data quase sempre está registrada em algum lugar: log de autenticação, ticket do service desk, alerta de EDR, e-mail de pesquisador externo, mensagem em canal interno. Se o alerta disparou numa terça e o comunicado saiu três semanas depois, o carimbo de tempo já está gravado do lado de dentro da sua própria infraestrutura.
# Freeze the "date of awareness" the moment the first alert fires.
# Anything reconstructed three weeks later is a claim.
# A hashed, timestamped export is evidence.
INCIDENT="INC-2026-0042"
mkdir -p "evidence/$INCIDENT"
# 1. Export the triggering alert and the surrounding access logs.
journalctl -u sshd --since "2026-08-18" --until "2026-08-21" -o json > "evidence/$INCIDENT/authlog.json"
# 2. Hash every artifact and record the exact collection time in UTC.
find "evidence/$INCIDENT" -type f -exec sha256sum {} + > "evidence/$INCIDENT/MANIFEST.sha256"
date -u +"%Y-%m-%dT%H:%M:%SZ" > "evidence/$INCIDENT/collected_at.txt"
# 3. Verify later, in front of whoever asks.
sha256sum -c "evidence/$INCIDENT/MANIFEST.sha256"Detectar cedo é controle de compliance, não só de segurança
Formalmente, o relógio de três dias úteis só começa quando a empresa toma ciência, e isso não é uma boa notícia. Significa que a organização que leva oitenta dias para perceber o comprometimento chega ao prazo legal em posição muito pior: os titulares ficaram expostos esse tempo todo, a mitigação começou tarde, e é exatamente isso que o regulamento de dosimetria pesa. Detecção lenta não salva o prazo. Ela piora tudo o que vem depois dele.
-- Bulk-read detection over a table holding personal data.
-- The threshold matters far less than having one that fires in hours
-- instead of surfacing in a quarterly access review.
SELECT
a.actor_id,
date_trunc('hour', a.ts) AS window_start,
count(*) AS reads,
count(DISTINCT a.subject_id) AS distinct_subjects,
b.p95_subjects_per_hour AS baseline
FROM data_access_audit a
JOIN actor_hourly_baseline b USING (actor_id)
WHERE a.ts >= now() - interval '24 hours'
GROUP BY a.actor_id, date_trunc('hour', a.ts), b.p95_subjects_per_hour
HAVING count(DISTINCT a.subject_id) > 10 * b.p95_subjects_per_hour
ORDER BY distinct_subjects DESC;Pior ainda é o cenário mais comum na prática: a empresa não descobre sozinha. Descobre por um e-mail de extorsão, por um pesquisador externo, por um cliente que encontrou o próprio dado à venda, ou pela imprensa. Nesse ponto a ciência está estabelecida e documentada por um terceiro, o prazo passou a correr num momento que você não escolheu, e a resposta precisa ser montada sob pressão pública.
É por aí que pentest recorrente e monitoramento contínuo se conectam com risco legal, e não apenas com risco técnico. São dois efeitos distintos e vale separar. O teste reduz a probabilidade do incidente, fechando a falha antes que alguém a encontre. O monitoramento reduz o tempo entre o comprometimento e a ciência, o que encurta a exposição dos titulares e coloca você em condição de cumprir o prazo com informação real na mão, em vez de protocolar um comunicado preliminar às cegas.
Nenhum dos dois elimina a chance de um incidente, e quem promete isso está vendendo outra coisa. O que eles mudam é a distância entre o que aconteceu e o que você é capaz de afirmar por escrito, com data, para um regulador.
O que dá para resolver antes do próximo incidente
- Definir por escrito quem tem autoridade para declarar que aquilo é um incidente de segurança e iniciar a contagem. Sem esse dono, o prazo corre e ninguém está contando.
- Registrar data e hora de ciência no momento em que ela acontece, com artefato preservado, em vez de reconstruí-la semanas depois a partir de memória e caixa de entrada.
- Manter o comunicado preliminar como modelo pronto, com os campos exigidos pelo regulamento já mapeados, para que a decisão sob pressão seja só o que preencher, não o que escrever.
- Testar o fluxo num exercício de mesa com jurídico e encarregado na sala. A maioria dos planos de resposta trata a notificação regulatória como linha final, não como entrega com prazo de três dias úteis.
- Medir o tempo até a detecção como métrica de negócio, com meta e acompanhamento, e não como número que aparece no relatório trimestral de segurança e não muda nada.
O vazamento é o evento que a imprensa cobre. O prazo é o que o regulador mede. Quem investe em encurtar a distância entre o comprometimento e a ciência está comprando as duas coisas ao mesmo tempo: menos incidente e menos exposição a uma infração que, diferente da discussão sobre adequação de controles, não deixa margem para interpretação.