A exposição durou horas; a falta de resposta organizada virou processo sancionador. Veja por que apagar não é responder e como estruturar o fluxo.

O problema que ninguém vê: o incidente que “durou poucas horas”

Em setembro de 2025, uma prefeitura do interior baiano precisava cumprir uma ordem judicial: publicar no Diário Oficial do Município a lista de cidadãos que haviam perdido um benefício de transporte gratuito. Uma tarefa administrativa, rotineira, dessas que passam por várias mesas sem que ninguém pare para pensar. Junto com os nomes, porém, foram publicados os diagnósticos que justificavam o benefício. Dados sensíveis de 1.241 pessoas ficaram expostos na internet por algumas horas, até que a publicação fosse retirada no mesmo dia.

Para quem operou a publicação, o problema estava resolvido: o arquivo saiu do ar. Para a Autoridade Nacional de Proteção de Dados (ANPD), estava apenas começando. A denúncia chegou 48 horas depois, a fiscalização foi aberta e, em 26 de outubro de 2026, a ANPD divulgou a decisão do processo sancionador contra a Prefeitura de Feira de Santana: advertência, publicização da infração na primeira página do site do município por seis meses e uma lista extensa de medidas corretivas.

O detalhe que mais deveria incomodar qualquer encarregado não é a falha original. É o que veio depois. Segundo a própria ANPD, a prefeitura “não comunicou o incidente à ANPD nem aos titulares afetados” e deixou de responder aos pedidos formais de informação, conduta que a autoridade tratou como obstrução da atividade fiscalizatória. A exposição durou horas; a falta de resposta organizada transformou o episódio em processo sancionador com seis infrações reconhecidas.

Esse roteiro não é exclusivo do setor público. Em empresas privadas ele se repete com outros figurinos: a planilha enviada ao destinatário errado, o relatório publicado com uma coluna a mais, o acesso indevido descoberto por acaso. A reação instintiva é sempre a mesma: corrigir rápido, apagar, seguir em frente e torcer para que ninguém pergunte.

O risco invisível: apagar não é responder

A Lei Geral de Proteção de Dados não pergunta apenas se o incidente foi contido. O art. 48 da LGPD obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024, o Regulamento de Comunicação de Incidente de Segurança, detalhou essa obrigação: fixou o prazo de três dias úteis para a comunicação, definiu as informações que precisam ser enviadas e indicou situações que pesam na avaliação de risco, como o envolvimento de dados sensíveis, dados de crianças e adolescentes, dados financeiros, dados protegidos por sigilo ou tratamento em larga escala. Exigiu ainda que o controlador mantenha o registro dos incidentes com dados pessoais por, no mínimo, cinco anos, inclusive daqueles que não forem comunicados.

Em outras palavras: mesmo quando a organização conclui que não precisa comunicar, ela precisa provar por que chegou a essa conclusão. O silêncio só é defensável quando existe um registro que o justifique.

Três dias úteis parecem suficientes até o incidente acontecer numa quinta-feira à tarde. Nesse intervalo é preciso descobrir quais dados foram afetados, quantos titulares, quais atividades de tratamento estão envolvidas, se houve dado sensível, quem decide pela comunicação e quem redige o comunicado. Organizações que dependem de e-mails dispersos e de memória individual chegam ao terceiro dia ainda tentando montar a lista de afetados.

O caso de Feira de Santana mostra que o custo da desorganização vai além da comunicação. Entre as infrações reconhecidas estão a ausência de medidas técnicas e administrativas de segurança e a falta de mecanismos de governança, com base nos princípios do art. 6º e nos arts. 46 a 49 da LGPD. Entre as medidas corretivas determinadas estão a nomeação de encarregado, a elaboração e divulgação de Política de Segurança da Informação e de um Plano de Resposta a Incidentes de Segurança, a criação de uma etapa prévia à publicação para avaliar o impacto sobre os titulares e um plano de capacitação dos servidores. A mensagem da ANPD é clara: a autoridade avalia o incidente, mas também a estrutura que deveria existir antes dele.

Vale lembrar que a ausência de multa, no caso, decorre de uma regra específica: órgãos públicos não estão sujeitos à multa da LGPD. Para controladores privados, a mesma sequência de falhas abre espaço para sanções pecuniárias, além do dano reputacional da publicização.

Como o módulo Gestão de Incidentes do PROTEGON resolve

O módulo Gestão de Incidentes do PROTEGON foi desenhado justamente para o dia em que o problema acontece. Em vez de improvisar uma resposta, a organização segue um fluxo pronto, com papéis, etapas e evidências registradas desde o primeiro minuto:

• Registro e classificação estruturados: cada ocorrência é registrada, classificada e tratada em um fluxo único, que cobre escalonamento, parecer, anexação de evidências e decisão sobre a comunicação.
• Comunicação no formato exigido: o módulo emite a Comunicação de Incidente de Segurança (CIS) no padrão da ANPD, reduzindo o tempo gasto em redação sob pressão dentro do prazo de três dias úteis.
• Identificação rápida dos afetados: a integração com o mapeamento de dados (ROPA) permite consultar quais atividades de tratamento e quais categorias de titulares estão envolvidas no incidente.
• Separação entre incidentes de segurança da informação e incidentes de privacidade: cada tipo segue o procedimento adequado, sem misturar eventos técnicos com aqueles que geram obrigação perante a ANPD.
• Entrada pelos canais certos: denúncias recebidas pelo Canal de Denúncias e pela Ouvidoria chegam à triagem do módulo com status e responsáveis definidos, inclusive as de fontes externas.
• Alertas e trilha histórica: avisos por e-mail e no painel mantêm a equipe dentro dos prazos, e o histórico preservado sustenta o registro de incidentes exigido pelo regulamento.

Quando o incidente revela uma falha de processo, como a ausência de revisão antes de uma publicação, o módulo alimenta o RNC: Registro de Não Conformidade, onde o desvio recebe análise de causa raiz e ações corretivas com prazo acordado. E as políticas que a ANPD costuma cobrar, como a Política de Segurança da Informação e o Plano de Resposta a Incidentes, ganham controle de versão, vigência e trilha de autorização no módulo Gestão de Documentos.

Do caos para a previsibilidade

Imagine o mesmo episódio em uma organização que já opera com o fluxo estruturado. A equipe que identifica a publicação indevida abre o registro no mesmo dia. O mapeamento de dados mostra imediatamente que a atividade envolve dados sensíveis, o que eleva o risco e aponta para a comunicação. O encarregado emite o parecer, o comunicado é gerado no formato esperado e enviado dentro do prazo. Os titulares são informados. A falha de processo vira uma não conformidade com causa raiz identificada e uma etapa de revisão prévia passa a fazer parte do procedimento.

Quando a ANPD perguntar, e ela costuma perguntar, a resposta não depende de quem estava de plantão naquele dia. Ela está no sistema: data de ciência, classificação, avaliação de risco, decisão, comunicação, evidências e ações corretivas.

A diferença entre os dois cenários não está na gravidade do incidente original. Está na capacidade de demonstrar responsabilidade e prestação de contas, o princípio do art. 6º, X, da LGPD. Organizações que estruturam a resposta a incidentes deixam de tratar cada ocorrência como uma crise inédita e passam a tratá-la como uma rotina controlada, com prazos previsíveis e decisões documentadas. Pedidos de informação da autoridade deixam de ser um risco de obstrução e passam a ser respondidos com o histórico já organizado.

Próximo passo

Faça um teste simples: se um dado sensível da sua organização fosse exposto hoje à tarde, quem decidiria pela comunicação, com base em qual registro, e em quanto tempo o comunicado estaria pronto? Se a resposta depende de procurar e-mails antigos ou de uma pessoa específica, o risco já está instalado.

Conheça o módulo Gestão de Incidentes e veja como o fluxo funciona na prática. É possível testar o PROTEGON por 30 dias, sem custo, com acompanhamento do time; o teste cobre os 22 módulos do plano Smart.