A ANPD recebeu quase uma comunicação de incidente por dia em 2025, e o prazo de três dias úteis raramente começa quando a empresa acha que começa.

O processo silencioso que ninguém vê

Existe um intervalo perigoso entre o momento em que um incidente de segurança acontece e o momento em que a organização admite, formalmente, que ele aconteceu. Nesse intervalo quase nunca há um vilão. Há um analista de suporte que notou um acesso fora do horário e abriu um chamado interno de prioridade média; há um gestor de tecnologia que pediu logs e recebeu uma planilha incompleta; há um jurídico que ficou sabendo da história três dias depois, por um comentário de corredor.

Quando o Encarregado é finalmente acionado, a pergunta mais simples é também a mais difícil de responder: em que data e em que hora a organização tomou conhecimento do fato? O chamado tem um carimbo, o e-mail do fornecedor tem outro, a ata da reunião de crise tem um terceiro. Cada área guarda um pedaço da linha do tempo, e nenhuma delas guarda a linha do tempo inteira.

É nesse ponto que a maioria dos programas de privacidade descobre que o problema real nunca foi o ataque, e sim a ausência de um processo único, datado e rastreável para transformar um evento suspeito em uma decisão documentada. A empresa tem antivírus, firewall e backup. O que ela não tem é a capacidade de provar, depois, o que soube, quando soube e o que decidiu com aquilo que soube.

Os números publicados nesta semana mostram que esse intervalo silencioso deixou de ser um detalhe operacional. A Autoridade Nacional de Proteção de Dados registrou 362 comunicações de incidente de segurança ao longo de 2025, o equivalente a quase uma por dia útil. Entre 2021 e 2025, o acumulado chegou a 1.508 comunicações, em uma curva que subiu de 186 no primeiro ano para patamares que hoje se mantêm consistentemente acima de trezentos casos anuais.

O risco invisível: por que isso é mais grave do que parece

O prazo é o primeiro problema. A Resolução CD/ANPD nº 15/2024, que aprovou o Regulamento de Comunicação de Incidente de Segurança, fixa em três dias úteis, contados do conhecimento do incidente, o prazo para que o controlador comunique a autoridade e, quando for o caso, os titulares afetados. Três dias úteis são um intervalo curto para qualquer organização; são um intervalo impossível para a organização que ainda vai descobrir com quem falar.

O segundo problema é mais sutil e costuma custar mais caro. O regulamento não obriga a comunicar todo e qualquer evento: a obrigação nasce quando o incidente pode acarretar risco ou dano relevante aos titulares, o que a autoridade associa, entre outras hipóteses, ao envolvimento de dados sensíveis, de dados de crianças, adolescentes ou idosos, de dados financeiros e de credenciais de acesso, ou ainda a cenários de fraude e falsidade ideológica em escala. Ou seja, a lei exige um juízo técnico, feito sob pressão, em prazo curto, e exige que esse juízo seja registrado.

Aqui está o ponto que muitos controladores só entendem tarde demais: tanto comunicar quanto não comunicar são decisões que precisam ser justificadas. Se a organização comunica, precisa sustentar o conteúdo do art. 48, § 1º, da LGPD, com a descrição dos dados, dos titulares envolvidos, das medidas técnicas de proteção e dos riscos. Se a organização decide não comunicar, precisa ser capaz de mostrar, meses depois, o raciocínio que levou àquela conclusão e as evidências que o sustentavam. Uma decisão de não comunicar sem lastro documental é, na prática, uma decisão indefensável.

O terceiro problema é o contexto de fiscalização. A autoridade instaurou 81 processos de fiscalização em 2025 e atendeu 12.701 requisições de titulares no mesmo período. Cada comunicação alimenta painéis públicos que cruzam setor, segmento de atividade, unidade federativa e tipo de incidente. O incidente deixou de ser assunto privado entre a empresa e o titular afetado e passou a ser dado observável de mercado.

Some-se a isso a lógica da Resolução CD/ANPD nº 4/2023, que trata da dosimetria das sanções administrativas: a existência de política de boas práticas e governança, a pronta adoção de medidas corretivas e a cooperação com a autoridade são circunstâncias consideradas na gradação da penalidade. Duas empresas com o mesmo vazamento podem terminar em posições muito diferentes, e a diferença raramente está na tecnologia de defesa. Está no que cada uma consegue provar sobre a própria conduta.

Como o módulo Gestão de Incidentes do PROTEGON resolve

O módulo Gestão de Incidentes do PROTEGON existe para eliminar o intervalo silencioso descrito no início deste texto. Ele converte o incidente de um evento difuso, espalhado por e-mails e chamados, em um registro único com dono, prazo e trilha de evidências.

• Registro com marco temporal desde a primeira suspeita. O incidente entra na plataforma no instante em que é reportado, por qualquer área, com data e hora de conhecimento gravadas de forma imutável. A contagem dos três dias úteis passa a ser objetiva e visível, não uma reconstrução feita depois.
• Triagem estruturada de risco relevante. O módulo conduz a avaliação pelos critérios do Regulamento de Comunicação de Incidente de Segurança: categorias de dados envolvidas, presença de dados sensíveis ou de grupos vulneráveis, volume de titulares e potencial de dano. O resultado é uma recomendação fundamentada de comunicar ou não comunicar, com a justificativa registrada.
• Fluxo de aprovação com responsáveis nomeados. Cada etapa tem responsável designado, prazo e status. O Encarregado deixa de perseguir informação por telefone e passa a acompanhar um painel em que sabe exatamente o que está parado, com quem e há quanto tempo.
• Dossiê de evidências anexado ao caso. Logs, laudos técnicos, comunicações do fornecedor, atas do comitê e pareceres jurídicos ficam vinculados ao mesmo registro, prontos para instruir uma eventual resposta à autoridade sem garimpo em caixas de e-mail.
• Plano de ação corretivo com acompanhamento. As medidas de contenção e de remediação viram tarefas monitoradas até a conclusão, o que sustenta, com prova documental, o argumento de pronta adoção de medidas corretivas.
• Histórico e indicadores para o comitê. Recorrência por causa raiz, tempo médio entre detecção e decisão, taxa de incidentes comunicados e status dos planos de ação alimentam a prestação de contas periódica à alta direção.

O módulo conversa naturalmente com a Gestão de Riscos, que recebe as causas raízes identificadas e as transforma em risco tratado, e com a Requisição do Titular, já que boa parte dos incidentes gera, dias depois, uma onda de pedidos de informação vindos das pessoas afetadas.

Do caos para a previsibilidade

A mudança que as organizações percebem primeiro não é a redução do número de incidentes, e sim a redução do pânico. Nenhuma plataforma elimina o erro humano ou o ataque externo. O que muda é que a organização passa a ter, já no primeiro dia, resposta clara para as três perguntas que a autoridade fará: o que aconteceu, quando soubemos e o que fizemos a respeito.

Em programas que operam com registro estruturado, é comum que mais da metade dos eventos reportados sejam encerrados na triagem, com justificativa documentada de ausência de risco relevante, o que evita comunicações desnecessárias e o desgaste reputacional que vem com elas. Os casos que efetivamente exigem comunicação chegam ao prazo legal com o conteúdo do art. 48 já montado, e não sendo escrito às pressas na véspera.

O ganho mais duradouro é de outra ordem. Com histórico confiável, o comitê de privacidade passa a discutir padrões em vez de episódios: descobre que três vazamentos distintos tinham a mesma origem, um perfil de acesso mal parametrizado, e que corrigir aquilo vale mais do que qualquer campanha genérica de conscientização. A gestão de incidentes deixa de ser reação e vira insumo de governança.

Próximo passo

Faça o exercício com a sua própria operação. Se um incidente relevante tivesse ocorrido na semana passada, sua organização conseguiria informar hoje, com precisão e com prova, a data e a hora exatas em que tomou conhecimento do fato? E conseguiria apresentar o documento que justifica a decisão de comunicar, ou de não comunicar, à autoridade?

Se a resposta depende de reunir pessoas e reconstruir a memória de caixas de e-mail, o risco não está no ataque que ainda vai acontecer, e sim no intervalo silencioso que já existe. Conheça o módulo que transforma essa exposição em rotina controlada