Todo programa de privacidade parece sólido até o primeiro vazamento. É nesse momento que políticas, mapeamentos como o ROPA e contratos deixam de ser papel e passam a ser testados contra o relógio, exigindo preparo rigoroso das organizações e do encarregado pela proteção de dados, o DPO.
A Lei Geral de Proteção de Dados não transfere ao encarregado as responsabilidades dos agentes de tratamento, cabendo ao controlador decidir sobre a comunicação à autoridade competente e aos titulares. No entanto, na prática diária, é o DPO quem articula as áreas técnica, jurídica, de comunicação e a alta direção em decisões urgentes.
Planejamento prévio e comitê de crise
A gestão bem-sucedida de um incidente de segurança é decidida meses antes da ocorrência. Sem um plano de resposta aprovado, a primeira manhã de crise é desperdiçada tentando definir os responsáveis pela condução do problema. O planejamento deve prever um comitê enxuto composto por segurança da informação, tecnologia, jurídico, comunicação, o DPO e um executivo com poder de decisão.
Nessa fase preventiva, o encarregado apoia as equipes em frentes cruciais, como a manutenção de um inventário de dados atualizado, a formalização de contratos claros com operadores e a realização de simulações periódicas. Fixar prazos contratuais sem fluxos definidos não assegura eficácia, tornando indispensável o alinhamento prévio entre todos os elos da cadeia de fornecimento.
Avaliação de risco e o relógio regulatório
Quando o alerta chega, a prioridade absoluta é conter os impactos e preservar evidências técnicas essenciais para a defesa da instituição perante a ANPD e o Judiciário. O relógio regulatório começa a correr no momento em que o controlador obtém o conhecimento de que o incidente afetou dados pessoais, independentemente do término da investigação interna.
Nem todo evento exige comunicação obrigatória aos titulares e à autoridade. Conforme a regulamentação vigente, a notificação é exigida quando houver risco ou dano relevante, avaliado por meio de um teste duplo que considera tanto o impacto aos direitos fundamentais quanto a presença de fatores agravantes, como dados sensíveis, financeiros ou tratamento em larga escala.
Comunicação transparente e registro de incidentes
Identificados os requisitos legais, o controlador dispõe de prazo exíguo para notificar a autoridade e os afetados, ressalvadas as exceções para agentes de pequeno porte. O erro clássico no processo é aguardar a apuração completa para realizar o comunicado. O procedimento adequado consiste em informar o que é conhecido e atualizar os dados progressivamente.
Todo o histórico do incidente, independentemente de ter resultado em comunicação pública, deve integrar o registro oficial do controlador por no mínimo cinco anos. Encerrada a crise, cabe ao encarregado participar da revisão do caso para transformar as lições aprendidas em melhorias concretas para a segurança institucional.