Vazamento de dados: o roteiro de enfrentamento do DPO

Todo programa de privacidade parece sólido até o primeiro vazamento. É nesse momento que políticas, mapeamentos como o ROPA e contratos ou DPAs deixam de ser papel e passam a ser testados contra o relógio. E é também quando o encarregado, o DPO, descobre se a organização o enxerga como peça central da resposta ou como alguém a ser avisado depois.

A LGPD não transfere ao encarregado as responsabilidades dos agentes de tratamento. Cabe ao controlador decidir sobre a comunicação à ANPD e aos titulares, sem afastar os deveres de segurança e cooperação do operador. Mas, na prática, é o DPO quem costura técnica, jurídico, comunicação e alta direção em decisões que precisam sair em horas, não semanas.

A gestão de um vazamento é decidida, em boa parte, meses antes dele. Sem um plano de resposta aprovado, a primeira manhã é gasta descobrindo quem precisa estar na sala. O plano deve nomear um comitê enxuto (segurança da informação, TI, jurídico, comunicação, o DPO e um executivo com poder de decisão), definir quem aciona quem e prever canais alternativos seguros, caso os sistemas corporativos estejam comprometidos.

Nessa fase, o encarregado apoia as áreas responsáveis em três frentes. Primeiro, um inventário de dados atualizado, que ajuda a identificar quais dados e pessoas podem ter sido afetados. Segundo, contratos com operadores que estabeleçam canais e procedimentos para comunicar incidentes sem demora injustificada, com as informações disponíveis e atualizações conforme a apuração. Terceiro, equipes que saibam reconhecer um incidente e a quem reportá-lo. Simulações periódicas valem mais do que qualquer política bem redigida.

Fixar contratualmente um prazo em horas, isoladamente, não assegura uma resposta eficaz. Prazos específicos funcionam quando o evento que inicia a contagem, o conteúdo do aviso inicial e o fluxo de atualização são claros e exequíveis. Em cadeias com múltiplos fornecedores, nem sempre a causa ou a responsabilidade pode ser atribuída a um único deles, o que reforça a importância de definir papéis e fluxo de informações antes da crise.

Quando o alerta chega, a prioridade é conter os impactos e preservar evidências, com medidas técnicas proporcionais definidas pelas equipes responsáveis. O DPO não conduz essa frente, mas precisa estar nela desde o início para apoiar a avaliação de risco e o cumprimento dos deveres de comunicação. Logs apagados na pressa de restaurar o ambiente comprometem a apuração e a defesa da empresa perante a ANPD e o Judiciário.

O relógio regulatório também corre: o prazo de comunicação conta a partir do momento em que o controlador sabe que o incidente afetou dados pessoais, e não do fim da investigação. O encarregado deve registrar essa data com precisão.

As perguntas do DPO são objetivas: quais bases foram atingidas, que categorias de dados continham, quantos titulares e qual volume de dados foram afetados, se houve acesso indevido, exfiltração, alteração, perda ou indisponibilidade, se os dados estavam criptografados e se o operador ou terceiro envolvido já foi acionado.

As respostas exigem cooperação. O operador conhece o evento técnico e os recursos atingidos; o controlador, as finalidades do tratamento e as pessoas envolvidas. Em serviços nos quais o fornecedor não tem visibilidade do conteúdo armazenado, essa troca é essencial para identificar as categorias de dados e os titulares potencialmente afetados.

Muitas ocorrências de dados pessoais em documentos não significam o mesmo número de pessoas afetadas, já que um titular pode aparecer em vários arquivos. Por outro lado, documentos ainda não analisados não devem ser presumidos livres de dados pessoais. O DPO ajuda a distinguir fatos, estimativas e lacunas, sem que essa depuração atrase uma comunicação obrigatória.

Nem todo incidente precisa ser comunicado. O art. 48 da LGPD exige a comunicação quando houver risco ou dano relevante aos titulares, e a Resolução CD/ANPD nº 15/2024 deu contornos a esse conceito com um teste duplo: o incidente deve poder afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolver ao menos um fator agravante, como dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação; dados protegidos por sigilo legal, judicial ou profissional; ou tratamento em larga escala.

Essa avaliação exige olhar para o contexto, e não apenas para uma lista. Ferramentas de inteligência artificial podem apoiar a análise, mas a decisão exige avaliação humana e responsabilidade definida. Um arquivo com nomes e e-mails pode parecer inofensivo, mas vira matéria-prima para phishing direcionado se estiver ao lado do número do contrato e do valor da dívida. Dados bem criptografados, com chaves protegidas, reduzem o risco de leitura indevida, mas perda e indisponibilidade também contam.

Uma suspeita exige apuração diligente, mas não gera, por si só, comunicação automática. A falta de todas as respostas, por outro lado, não justifica atrasar uma comunicação obrigatória. Qualquer que seja a decisão, ela deve estar fundamentada por escrito e ser revista diante de novos fatos.

Presentes os requisitos, o controlador tem três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para avisar a ANPD e os titulares, ressalvados prazos de legislação específica e o prazo em dobro para agentes de pequeno porte elegíveis. A comunicação à ANPD pode ser complementada, de forma fundamentada, em até 20 dias úteis. O erro clássico é esperar ter todas as respostas para comunicar. O caminho correto é comunicar o que se sabe e atualizar depois.

Inscreva-se no canal de notícias do JOTA no WhatsApp e fique por dentro das principais discussões do país!

Com os titulares, o desafio é de linguagem. A mensagem deve dizer, em termos simples, o que aconteceu, quais dados foram afetados, que riscos existem e o que a pessoa pode fazer para se proteger. Se a comunicação individual for inviável, ela deve ser feita por meios amplos, como site, aplicativos e redes sociais, por no mínimo três meses. Depois, o controlador ainda precisa declarar à ANPD que avisou os titulares e por quais meios.

Aqui o DPO exerce um papel de contrapeso: a mensagem deve diferenciar fatos confirmados de aspectos em apuração, sem antecipar conclusões sobre causa ou responsabilidade. O aviso existe para que o titular possa se defender, e a transparência deve ser compatível com a precisão das informações e a segurança dos sistemas e das pessoas.

Todo incidente, comunicado ou não, deve constar do registro do controlador por no mínimo cinco anos, que pode ser solicitado pela ANPD numa fiscalização. Ele deve trazer a data do conhecimento, a descrição dos fatos, os dados e titulares afetados, a avaliação de risco fundamentada, as medidas adotadas e, se for o caso, as razões para não comunicar.

Encerrada a crise, o DPO deve participar da revisão do caso com as áreas responsáveis e, quando cabível, com os fornecedores. Qual foi a causa raiz? O plano funcionou? O que atrasou a resposta? As lições aprendidas precisam virar ações concretas, e não apenas uma ata arquivada.

O encarregado que tenta resolver um vazamento sozinho fracassa. Dá conta da crise quem chega a ela com o plano testado, o inventário em dia e a confiança da alta direção para dizer o que precisa ser dito, com a autonomia e a independência inerentes à função.

Num incidente, o DPO não é quem apaga o fogo. É quem ajuda a organização a compreender onde está o fogo, quem está sendo atingido e o que precisa contar a eles, dentro do prazo e com honestidade. Para ter um programa de privacidade efetivo, a atuação autônoma do DPO é crucial.