LGPD, incidente de segurança e seguro cyber: comunicação à ANPD e multas

Se um incidente de segurança com dados pessoais puder causar risco ou dano relevante aos titulares, a LGPD exige que o controlador comunique a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados (art. 48 da Lei nº 13.709/2018). O regulamento de comunicação de incidentes da ANPD (Resolução CD/ANPD nº 15/2024) detalha prazo, conteúdo e critérios, incluindo prazo de três dias úteis para a comunicação à ANPD, contado do conhecimento de que o incidente afetou dados pessoais e atende aos critérios de risco relevante. Este guia explica a lógica, as sanções possíveis e como isso se relaciona com o seguro cyber. Confirme sempre o texto atualizado no site da ANPD.

Quando um incidente é de comunicação obrigatória

Nem todo incidente exige comunicação. A avaliação é feita pelo controlador com base na probabilidade de risco ou dano relevante aos titulares. O regulamento da ANPD considera, em geral, incidentes que afetem significativamente interesses e direitos fundamentais dos titulares e envolvam, por exemplo, dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, dados protegidos por sigilo ou em larga escala. Se a avaliação indicar risco relevante, a comunicação é obrigatória; se não, a empresa deve registrar o incidente e a justificativa para eventual fiscalização.

Perguntas úteis para a avaliação:

1. Que dados foram afetados e de quantos titulares?
2. Há dados sensíveis, financeiros ou de autenticação?
3. Os dados estavam criptografados ou anonimizados?
4. Pode haver fraude, discriminação, dano material ou reputacional?
5. Houve acesso, perda, alteração ou divulgação indevida?

Como funciona a comunicação

• Controlador é quem decide sobre o tratamento (em geral, a empresa). O operador (por exemplo, um fornecedor de nuvem ou de segurança) deve avisar o controlador, conforme contrato.
• O encarregado (DPO) é o canal de comunicação com titulares e ANPD.
• A comunicação à ANPD é feita pelos canais oficiais indicados no site da autoridade e deve conter informações como natureza do incidente, dados afetados, titulares envolvidos, medidas de segurança, riscos e medidas adotadas para reverter ou mitigar.
• Os titulares devem ser comunicados em linguagem clara, com informações sobre o que ocorreu, riscos e o que podem fazer.
• Quando faltam informações no prazo inicial, o regulamento permite complementar a comunicação posteriormente.

Sanções da LGPD

O art. 52 da LGPD prevê sanções administrativas aplicáveis pela ANPD, como advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício (excluídos tributos), limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados e suspensão de atividades de tratamento, conforme o caso. A ANPD aplica sanções com base em regulamento de dosimetria, considerando gravidade, boa-fé, vantagem, reincidência, cooperação, adoção de medidas e política de boas práticas.

Para ter ordem de grandeza, use o simulador do teto da multa da LGPD. Um exemplo ilustrativo: para faturamento de R$ 8.000.000, 2% equivalem a R$ 160.000 (teto percentual, não previsão). A multa é só uma parte do custo: perícia, notificação, ações judiciais, perda de clientes e interrupção costumam pesar mais.

Além da ANPD, os titulares podem buscar reparação na Justiça e em órgãos de defesa do consumidor, e há possibilidade de responsabilização civil nos termos da LGPD (art. 42 e seguintes).

E o seguro cyber? O que ele costuma cobrir

A possibilidade de segurar multas e sanções é tema sensível: muitas apólices excluem multas ou as cobrem apenas "quando permitido por lei". Confirme o texto e peça manifestação por escrito do corretor sobre a cláusula. Veja também o que o seguro cyber normalmente não cobre.

Seguro não substitui conformidade

A LGPD exige medidas de segurança técnicas e administrativas (art. 46) e boas práticas e governança (art. 50). Uma apólice não cumpre essas obrigações. Em um incidente, a ANPD observa se a empresa tinha programa de governança, mapeamento de dados, política de segurança, plano de resposta, treinamento e contratos com operadores. Esses elementos reduzem o risco de sanção e também ajudam na relação com seguradoras.

Alinhando plano de resposta, LGPD e apólice

1. Defina quem decide se o incidente é de comunicação obrigatória (jurídico/DPO com TI).
2. Registre cada incidente, mesmo os que não exigirem comunicação.
3. Inclua no plano o contato da seguradora e os prazos da apólice e da LGPD, que correm em paralelo.
4. Revise contratos com operadores para que avisem rapidamente sobre incidentes.
5. Treine a equipe para escalar suspeitas imediatamente.

Veja o passo a passo em como acionar o seguro cyber.

Quando procurar ajuda profissional

Avalie com advogado especializado em proteção de dados se um incidente exige comunicação, como redigi-la e como tratar riscos de responsabilização. Combine com o corretor a verificação da apólice.

Perguntas frequentes

A comunicação à ANPD é sempre obrigatória?

Não. É exigida quando o incidente puder acarretar risco ou dano relevante aos titulares. Documente a avaliação mesmo quando decidir não comunicar.

A multa é sempre de 2% do faturamento?

Não. Esse é o teto, limitado a R$ 50 milhões por infração. A sanção depende de dosimetria e de outros fatores.

Pequenas empresas também precisam cumprir?

Sim, a LGPD se aplica, embora haja regulamentação diferenciada para agentes de tratamento de pequeno porte em alguns pontos, como a Resolução CD/ANPD nº 2/2022. Verifique se a sua empresa se enquadra.

Operador precisa comunicar a ANPD?

Em regra, o operador comunica o controlador, que avalia e comunica. Cláusulas contratuais devem prever prazos e formatos.

Fontes e referências

• ANPD — regulamentos, guias e canal de comunicação de incidentes.
• Planalto — LGPD (Lei nº 13.709/2018) — texto da lei.
• SUSEP — regulação do seguro.