Quando um incidente atinge dados pessoais, a decisão de comunicar à ANPD, e o que comunicar, depende de fatos que só a evidência mostra. A perícia mede esses fatos e sustenta a empresa no que vem depois.
A LGPD obriga o controlador a comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante (LGPD, art. 48). O prazo é de três dias úteis, contados de quando o controlador sabe que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024, art. 6º).
Comunicar ou não depende de perguntas que nenhum parecer jurídico responde sozinho. Quais dados foram atingidos, e de quantos titulares? Há dados sensíveis, financeiros, de crianças ou de idosos? Desde quando o acesso existia? As respostas estão nos registros e nos equipamentos, e é a perícia que as tira de lá.
O trabalho é pericial, não de adequação à LGPD nem de encarregado (DPO). A decisão continua com o controlador e seus advogados. O que muda é a base: um laudo técnico de incidente de segurança, e não uma estimativa feita sob pressão. Essa estimativa costuma errar nos dois sentidos. A equipe de tecnologia se sente culpada por não ter evitado o incidente, e é natural o medo de expor a gravidade do que aconteceu: o número sai menor do que o real. Em outros casos ocorre o inverso: a equipe reporta um incidente que a análise pericial depois mostra bem menor. A diferença causa estranheza na ANPD e gera pedidos complementares e procedimentos mais delicados.
Classificar a criticidade do incidente e o tipo de risco que cada grupo de titulares corre é parte do mesmo trabalho. É o que garante uma comunicação completa e permite orientar os titulares a tempo, antes que algum deles vire vítima de golpe. Também é o que protege a imagem da empresa.
O vazamento de dados virou ponto de partida de boa parte dos crimes digitais. Com nome, CPF e histórico de compras em mãos, o criminoso aplica golpes em clientes e colaboradores da empresa, e a fraude se pulveriza entre muitas vítimas, o que torna a autoria mais difícil de apurar.
Por isso algumas ações de preservação são imediatas: imagem forense dos sistemas atingidos, coleta dos registros antes que expirem e busca de vestígios de que o atacante continua no ambiente. A TI corrige o ambiente; a perícia garante que a correção não apague a prova de como o incidente aconteceu.
A comunicação pede a categoria dos dados afetados, o número de titulares, as medidas de segurança, a data e a causa do incidente (Resolução CD/ANPD nº 15/2024, art. 6º, §2º). Cada campo é um fato a demonstrar.
Por onde o acesso entrou, quais bases foram lidas ou copiadas, em que período e por qual conta. A delimitação separa o dado efetivamente exposto do dado que apenas estava no mesmo servidor, e define o tamanho real do incidente.
Os titulares são agrupados pelo dado atingido: cadastrais e de documentos, financeiros e de renda, de autenticação, de geolocalização, fotos e biometria, filiação e dependentes, histórico de compras. Crianças, adolescentes e idosos são contados em separado, porque a comunicação pede esse número.
A perícia dá suporte ao preenchimento da comunicação dentro dos três dias úteis. Depois, o laudo confronta o declarado com o medido e sustenta a complementação, admitida em até vinte dias úteis (Resolução CD/ANPD nº 15/2024, art. 6º, §3º). Detalhes sensíveis da infraestrutura ficam em anexo próprio, para o pedido fundamentado de sigilo (Resolução CD/ANPD nº 15/2024, art. 7º). Quem comunica é sempre o controlador.
Quando a evidência mostra que o incidente não preenche os critérios de risco ou dano relevante (Resolução CD/ANPD nº 15/2024, art. 5º), o parecer documenta por quê e integra o registro que o regulamento manda guardar por cinco anos (Resolução CD/ANPD nº 15/2024, art. 10).
Quando o incidente atinge um ambiente que mudou de mãos, a primeira disputa é de responsabilidade: o sistema era herdado ou já era da nova operação? Em um caso real, dezenas de terabytes foram preservados antes da remediação justamente para separar uma coisa da outra. O mesmo exame entra na due diligence de M&A, para saber se a empresa-alvo já sofreu incidente que não declarou.
Depois vêm os pedidos de informação da ANPD, o processo administrativo e as ações de titulares. O agente de tratamento não é responsabilizado quando prova que não realizou o tratamento, que não houve violação à legislação ou que o dano decorre de culpa exclusiva do titular ou de terceiro (LGPD, art. 43), e o juiz pode inverter o ônus da prova a favor do titular (LGPD, art. 42, §2º). A perícia produz essa prova. Ela demonstra, por exemplo:
Ações sobre compartilhamento indevido de dados por cookies, tags e scripts de terceiros se multiplicam. A pergunta é técnica: o que saiu do navegador do usuário, para onde foi e se ele consentiu.
O exame lê o código que o site e o aplicativo de fato executam, mapeia cada evento enviado e os dados que viajam junto, e observa o tráfego nos fluxos de cadastro, login, compra e recusa de cookies. É ali que se vê se o consentimento comanda a coleta ou é só um aviso na tela. O laudo reconstrói a configuração vigente na data dos fatos e usa como referência o guia orientativo "Cookies e Proteção de Dados Pessoais", publicado pela ANPD em 2022. Se a parte contrária juntou uma cópia do site, a perícia verifica como ela foi feita.
O mesmo exame funciona antes do processo. A auditoria preventiva de privacidade mostra o que o site e o aplicativo enviam hoje, enquanto ainda dá tempo de corrigir.
Desafio. Uma empresa foi processada sob a alegação de que seu site compartilhava dados pessoais de usuários com terceiros sem consentimento.
Método. O parecer técnico examinou os scripts executados pelo site, os dados enviados em cada fluxo e o tráfego com o site no ar, e auditou a cópia do site juntada pela parte autora.
Resultado. O parecer demonstrou que não houve violação. O caso foi encerrado sem perícia judicial, e o cliente evitou uma condenação de valor elevado.
Desafio. Uma empresa precisava comunicar à ANPD um incidente com dados de titulares em larga escala, e os números das primeiras horas eram estimativas.
Método. A perícia delimitou o incidente, separou os titulares em grupos de exposição, identificou os vulneráveis e segregou os detalhes técnicos em anexo sigiloso.
Resultado. O laudo confrontou o declarado com o medido e deu base à complementação da comunicação.
Uma instituição de ensino descobre que a base de matrículas, com dados de alunos menores e de seus responsáveis, foi copiada por um acesso indevido. O prazo de três dias úteis já corre, e ninguém sabe quantos alunos foram atingidos. A perícia preserva os registros, delimita o período e a conta usada, conta crianças e adolescentes em separado e entrega primeiro o que a comunicação exige.
Uma rede de hotéis recebe reclamações de hóspedes que pagaram, por mensagem, uma "confirmação de reserva" que o hotel nunca enviou. Os golpistas sabiam nome, datas e valor de cada reserva. A perícia examina o sistema de reservas, as integrações com terceiros e os acessos de colaboradores para achar a origem do vazamento, mesmo que ela esteja num fornecedor.
Consulte também
Investigação Corporativa e Compliance → Autoria Digital e Quebra de Sigilo Telemático → Societário e Fusões e Aquisições → Seguros e Sinistros Cibernéticos → Forense Computacional e Investigação Digital → Perícia Judicial e Extrajudicial →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso