Quando comunicar, o que cada campo exige, como avisar os titulares e como o laudo sustenta a complementação e a defesa.
A LGPD manda comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. O regulamento da ANPD dá três dias úteis, contados de quando o controlador sabe que dados pessoais foram afetados, e pede doze informações. Quase todas são fatos técnicos: dados atingidos, número de titulares, vulneráveis, data, causa.
Nas primeiras horas, esses fatos são estimativas, e a estimativa erra nos dois sentidos. A equipe que se sente culpada minimiza. Outra reporta um incidente maior do que a análise mostra depois. A diferença causa estranheza na ANPD e gera pedidos complementares.
O curso mostra como comunicar com o que se sabe, marcar o que é estimativa, complementar com laudo e guardar o registro que pesa depois.
Marque quantos cursos quiser: eles ficam guardados e chegam marcados no formulário de inscrição.
Uma empresa precisava comunicar à ANPD um incidente em larga escala, e os números das primeiras horas eram estimativas. A perícia delimitou o incidente, separou os titulares em grupos de exposição, identificou os vulneráveis e segregou os detalhes técnicos em anexo sigiloso. O laudo deu base à complementação.
Uma empresa foi acusada de compartilhar, pelo site, dados de usuários sem consentimento. O parecer examinou os scripts, os dados enviados em cada fluxo e a cópia do site juntada pela autora, e demonstrou que não houve violação. O caso foi encerrado sem perícia judicial.
Uma escola percebe que alguém copiou a base de matrículas, com dados de alunos menores e dos responsáveis. O prazo já corre, e ninguém sabe quantos alunos foram atingidos. A perícia preserva os registros, delimita o período e a conta usada, conta crianças e adolescentes à parte e entrega primeiro o que a comunicação exige.
Em grupos, os participantes recebem o cenário de um vazamento numa loja virtual, com o que a TI sabe 30 horas depois da descoberta. Em 15 minutos, marcam cada um dos doze campos como medido, estimado ou desconhecido, indicam a fonte técnica que o fecha e decidem o que fica para a complementação.
Normas e decisões discutidas
LGPD, art. 48 · LGPD, arts. 43 e 55-A · Resolução CD/ANPD nº 15/2024, arts. 3º, 5º a 10 · Resolução CD/ANPD nº 4/2023, arts. 8º e 13 · STJ, AREsp 2.130.619/SP · STJ, REsp 2.121.904/SP
Consulte também
Perícia em LGPD, ANPD e Vazamento de Dados → Seguros e Sinistros Cibernéticos → Perícia em Nuvem, Identidade e DevOps → Laudos e Pareceres → Ver todos os cursos →