Hora 0
Contenção e preservação
- Isolar a máquina da rede, sem desligar
- Não apagar, não restaurar, não formatar
- Preservar logs e registros de acesso
- Anotar quem descobriu, como e a que horas
- Trocar credenciais de acesso privilegiado
Plantão de resposta a incidentes
O relógio começou a correr quando você descobriu.
A Resolução CD/ANPD nº 15/2024 fixa três dias úteis para comunicar o incidente à ANPD, contados do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais. Descobriu numa sexta à noite? Você tem até quarta.
Ligue e digite 9 a qualquer momento para ser direcionado ao plantão, sem passar pelo menu. Em horário comercial a chamada toca direto, sem fila.
Linha do tempo
O que fazer, na ordem em que precisa ser feito.
O erro mais caro da primeira hora não é demorar a comunicar. É destruir a evidência, desligando o servidor, restaurando backup por cima ou apagando o e-mail suspeito. Sem evidência não há como dimensionar o incidente, e sem dimensionamento não há como sustentar perante a ANPD que o risco não era relevante.
Horas 1 a 6
Dimensionamento
- Que categorias de dado foram atingidas
- Há dado sensível, de criança ou financeiro
- Quantos titulares, em que período
- Vetor de entrada e janela de exposição
- Abertura do registro interno do incidente
Dia 1
Decisão jurídica
- Há risco ou dano relevante ao titular
- Dever de comunicar à ANPD e aos titulares
- Notificação a operadores e seguradora
- Alinhamento da comunicação institucional
Até o 3º dia útil
Comunicação à ANPD
- Comunicação pelo canal oficial da ANPD
- Comunicação aos titulares afetados
- Sem informação completa, cabe comunicação preliminar
- Complementação em até 20 dias úteis
- Plano de medidas corretivas
Para esses setores, praticamente todo incidente nasce comunicável.
Res. CD/ANPD nº 15/2024
O dever de comunicar se liga ao envolvimento de dados sensíveis, de crianças e adolescentes, financeiros, de autenticação, protegidos por sigilo legal ou tratados em larga escala. São exatamente as categorias que a clínica, a farmácia, a academia e a escola tratam todo dia.
Tempo de resposta
O que prometemos, e o que não prometemos.
| Situação | Prazo | O que acontece |
|---|---|---|
| Horário comercial | Imediato | Segunda a sexta, das 9h às 18h. Ligue e digite 9. A chamada toca direto no ramal do advogado responsável, sem fila. |
| Fora do horário | Até as 10h do dia útil seguinte | O atendimento registra o chamado com o horário e passa a orientação de preservação imediata, para que nada se perca até o retorno. |
Não prometemos evitar sanção, afastar multa ou garantir resultado perante a ANPD. Prometemos estar ao telefone dentro do prazo acima e conduzir o caso com o rigor que o prazo legal exige.
Anote o horário em que você tomou conhecimento do incidente antes de qualquer outra providência. É esse momento, e não o do ataque, que inicia a contagem do prazo do art. 48 da LGPD.
Depois da ligação
O que conduzimos, do primeiro telefonema à defesa.
CONTENÇÃO
Primeiras horas
Orientação imediata de preservação e contenção, antes que a tentativa de resolver sozinho destrua o que interessa.
ENQUADRAMENTO
Dever de comunicar
Avaliação de risco relevante pelos critérios da Resolução 15/2024, para decidir se comunica, a quem e em que prazo.
DEFESA
Perante a ANPD
Peças de comunicação, complementação em até 20 dias úteis, plano de medidas corretivas e defesa em processo administrativo.
Sigilo desde a primeira conversa
O contato é regido por contrato de honorários advocatícios, com o sigilo profissional do art. 7º, II, da Lei 8.906/94 desde a primeira ligação. Havendo impedimento por conflito de interesses, você é informado de imediato e nada do que foi dito é aproveitado.
Conteúdo informativo. Não constitui consulta jurídica nem substitui análise do caso concreto.