Plano de Resposta a Vazamento de Dados: Quem Avisa e Quando

Um plano de resposta a vazamento de dados é o documento que decide, antes da crise, quem descobre, quem decide, quem avisa a ANPD, quem fala com o cliente e em quantas horas cada coisa acontece. Sem ele, a empresa descobre o incidente numa sexta à noite e gasta o prazo legal discutindo de quem é a responsabilidade. Este guia mostra como montar o seu, com prazos reais, papéis e um checklist das primeiras 72 horas.

TL;DR

• A Resolução CD/ANPD nº 15/2024 dá 3 dias úteis, contados do conhecimento do incidente, para comunicar a ANPD e os titulares quando houver risco ou dano relevante. Agente de pequeno porte tem o prazo em dobro.
• Depois da comunicação, você tem 20 dias úteis para complementar as informações. Todo incidente, comunicado ou não, precisa ficar registrado por no mínimo 5 anos.
• O custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, segundo o relatório Cost of a Data Breach da IBM. A multa da LGPD é só uma parte dessa conta.
• O plano de resposta a vazamento cabe em poucas páginas: papéis nomeados, árvore de decisão de "comunica ou não comunica", modelos de texto prontos e um checklist por hora.

O que é um plano de resposta a vazamento (e o que ele não é)

É um roteiro operacional, não a política de privacidade nem o relatório de impacto (RIPD). Responde por escrito a cinco perguntas que ninguém responde bem com o coração acelerado:

1. Quem pode declarar que existe um incidente?
2. Quem decide se ele precisa ser comunicado à ANPD e aos titulares?
3. Quem executa a contenção técnica (trocar senhas, isolar servidor, revogar token)?
4. Quem escreve e assina as comunicações?
5. Onde fica a evidência de tudo o que foi feito, e em que ordem?

A Lei Geral de Proteção de Dados (LGPD, art. 48) obriga o controlador a comunicar a autoridade e o titular quando um incidente puder gerar risco ou dano relevante. A Resolução 15/2024 transformou esse "prazo razoável" da lei em regra objetiva.

Na Agathas Web, administramos servidores de Moodle, sites, APIs e integrações com a API oficial do WhatsApp para clientes de vários portes. O padrão que vemos se repete: quem tem um plano de resposta a vazamento de dados de três páginas resolve em horas o que quem não tem resolve em dias. A diferença quase nunca é técnica. É de decisão.

Se você ainda está na fase de entender como os vazamentos acontecem, comece pelo nosso guia sobre o que é vazamento de dados e como evitar. Este post parte do ponto em que a prevenção falhou.

Os prazos da Resolução CD/ANPD nº 15/2024, sem juridiquês

A resolução foi aprovada em abril de 2024 e regulamenta a comunicação de incidentes de segurança. Em setembro de 2025, a ANPD foi transformada em agência reguladora pela Medida Provisória 1.317/2025, e o procedimento de comunicação continuou o mesmo. Os números que importam para quem desenha um plano de resposta a vazamento de dados:

O que	Prazo	Contado a partir de
Comunicar a ANPD (incidente com risco ou dano relevante)	3 dias úteis	Conhecimento de que o incidente afetou dados pessoais
Comunicar os titulares afetados	3 dias úteis	Mesmo marco
Complementar a comunicação feita à ANPD	20 dias úteis	Data da comunicação
Agente de pequeno porte (Resolução CD/ANPD nº 2/2022)	Prazos em dobro	Mesmos marcos
Guarda do registro de incidentes (inclusive os não comunicados)	Mínimo de 5 anos	Data do registro

Três detalhes que pegam as empresas

O relógio não espera a investigação terminar. Ele corre desde que o controlador sabe que dados pessoais foram afetados. Investigar uma semana antes de "declarar" o incidente só gera um atraso a justificar.

A comunicação preliminar existe, mas não resolve sozinha. Segundo a página oficial da ANPD sobre incidentes, ela é aceita quando faltam informações, desde que justificada e complementada depois. Sozinha, não cumpre o art. 48 da LGPD.

O canal é o SEI da ANPD. O encarregado (DPO) ou o representante legal protocola por peticionamento eletrônico. Se ninguém da empresa tem acesso de usuário externo no SEI, crie agora, não no dia do incidente.

Quando o incidente precisa ser comunicado

A ANPD considera três condições ao mesmo tempo: o incidente foi confirmado, envolve dados pessoais sujeitos à LGPD e pode gerar risco ou dano relevante aos titulares. Pesam para "relevante":

• Dados sensíveis (saúde, biometria, religião) ou de crianças, adolescentes e idosos;
• Larga escala, pela quantidade de titulares e de dados;
• Ausência de criptografia que torne os dados ininteligíveis;
• Pouca eficácia das medidas de mitigação já aplicadas.

Uma matriz de decisão que cabe numa folha

Comunicar tudo, por medo, gera ruído. Não comunicar por conveniência é infração. O meio-termo é uma matriz simples, que todo plano de resposta a vazamento deve trazer, preenchida pelo encarregado e anexada ao registro.

Situação	Tendência	Por quê
Notebook perdido com disco criptografado e senha forte	Registrar, não comunicar	Dados ininteligíveis para terceiros
Planilha de clientes com nome e e-mail enviada ao destinatário errado, que confirmou a exclusão	Registrar, avaliar	Baixa escala e contenção comprovada
Banco do Moodle com CPF, notas e laudos de acessibilidade copiado por invasor	Comunicar	Dado sensível, escala e cópia confirmada
Token da API do WhatsApp exposto em repositório público, com histórico de conversas acessível	Comunicar	Conteúdo de mensagens e telefones de clientes
Ransomware com exfiltração confirmada	Comunicar	Cópia de dados mais risco de divulgação

A tabela é uma tendência, não um parecer. O que a matriz garante é que a decisão foi tomada com critério e pode ser explicada depois, e é esse rastro que a fiscalização olha.

Para quem opera ambiente de EAD, há particularidades: dados de menores, laudos médicos para adaptação de prova e notas. Detalhamos isso em LGPD no Moodle: o que a instituição precisa fazer no AVA.

Quem avisa quem: o mapa de papéis

O erro mais comum é o plano que diz "a empresa comunicará a ANPD". Quem comunica é uma pessoa. O seu plano de resposta a vazamento de dados precisa ter nomes, telefones pessoais e um substituto para cada papel.

Papel	Quem costuma ser	Responsabilidade principal
Coordenador do incidente	Sócio, diretor ou gestor de TI	Declara o incidente, convoca o time, decide prioridades
Encarregado (DPO)	Interno ou terceirizado	Avalia risco relevante, redige e protocola a comunicação na ANPD
Líder técnico	Sysadmin, fornecedor de hospedagem, dev responsável	Contenção, preservação de evidências, causa raiz
Jurídico	Advogado interno ou escritório	Revisa comunicados, contratos com operadores, exposição a ações
Comunicação	Marketing ou atendimento	Texto aos titulares, respostas a clientes e imprensa
Operadores	Hospedagem, SaaS, agência, fornecedor de software	Avisam o controlador e entregam logs e informações

Controlador e operador não têm o mesmo dever

Quem decide sobre os dados (o controlador, normalmente a sua empresa) é quem comunica a ANPD e os titulares. O operador (a hospedagem, o fornecedor do CRM, a agência que roda o seu site) tem o dever de avisar o controlador e colaborar. Na prática, isso significa que o seu prazo de 3 dias úteis depende da velocidade do seu fornecedor.

Revise os contratos: uma cláusula exigindo aviso em até 24 horas, com entrega de logs, salva o seu prazo. Nos contratos de hospedagem gerenciada que operamos, o aviso ao cliente é imediato e o log segue junto, porque sabemos que é ele quem responde à ANPD.

Checklist das primeiras 72 horas

As 72 horas abaixo são o coração de qualquer plano de resposta a vazamento de dados e cabem dentro dos 3 dias úteis na maioria dos cenários. Se o incidente começar na sexta, você ganha o fim de semana para investigar, mas não conte com isso para atrasar a decisão.

Hora 0 a 4: confirmar e conter

• Registrar data e hora exatas em que alguém tomou conhecimento. Esse é o marco do prazo.
• Coordenador declara o incidente e abre um canal fechado (grupo dedicado, não o grupo geral da empresa).
• Líder técnico preserva evidências antes de limpar: snapshot do servidor, cópia dos logs de acesso, do banco e do firewall.
• Conter: trocar senhas e chaves expostas, revogar tokens de API, bloquear IPs, isolar a máquina comprometida.
• Avisar operadores envolvidos (hospedagem, SaaS) e pedir logs formalmente, por escrito.

Hora 4 a 24: dimensionar

• Quais categorias de dados foram afetadas? Há dados sensíveis, financeiros ou de menores?
• Quantos titulares? Uma estimativa com método vale mais que um "não sabemos".
• Os dados estavam criptografados? A chave também vazou?
• O acesso foi só leitura ou houve cópia, alteração ou exclusão?
• O encarregado preenche a matriz de risco (ver seção seguinte) e recomenda: comunicar ou registrar.

Hora 24 a 72: decidir e comunicar

• Coordenador e jurídico validam a decisão. Se for comunicar, o DPO protocola no SEI (preliminar, se faltarem dados).
• Comunicação aos titulares sai pelo canal habitual (e-mail, SMS, WhatsApp, área do aluno), em linguagem simples.
• Atendimento recebe um roteiro de respostas e o contato do encarregado.
• Tudo entra no registro de incidentes, inclusive a decisão de não comunicar e o porquê.

Depois das 72 horas

• Complementar a comunicação na ANPD dentro dos 20 dias úteis.
• Relatório de causa raiz e lista de correções com responsável e data.
• Reunião de lições aprendidas e atualização do plano.

O que dizer à ANPD e aos titulares

A comunicação à ANPD segue o formulário oficial. A comunicação ao titular é sua, e é ela que define a reação do cliente. Deixe os dois modelos prontos dentro do plano de resposta a vazamento de dados, revisados pelo jurídico.

Conteúdo mínimo para os titulares

Pela orientação da ANPD, o texto ao titular traz, em linguagem simples: natureza e categoria dos dados, medidas de segurança que os protegiam, riscos, motivos de eventual demora, medidas de mitigação, data em que você tomou conhecimento e contato do encarregado. Deve ser direto e individual sempre que possível; aviso genérico no site ou na imprensa é exceção e precisa de justificativa.

Quando NÃO mandar o comunicado ainda

Não dispare e-mail para milhares de pessoas antes de saber se o invasor ainda está dentro. Se a conta de e-mail transacional foi comprometida, o seu aviso vira o phishing do atacante. Contenha primeiro, comunique por um canal que você controla e, se isso empurrar o prazo, use a comunicação preliminar e documente o motivo.

Dois erros clássicos de texto: minimizar ("um pequeno incidente sem impacto") antes de saber o tamanho, e pedir ao cliente que clique num link para "verificar se foi afetado", que é exatamente o padrão de golpe.

Quanto custa não ter um plano

O relatório Cost of a Data Breach 2025 da IBM estimou o custo médio de uma violação no Brasil em R$ 7,19 milhões, alta de 6,5% sobre 2024. Saúde lidera, com média de R$ 11,43 milhões. Comprometimento de terceiros e da cadeia de fornecedores apareceu como o vetor mais caro, com média de R$ 8,98 milhões. A amostra é de organizações maiores que a PME média, mas a composição do custo vale para todos: perícia, advogado, atendimento e clientes perdidos.

A multa da LGPD vai até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). Além dela, existem advertência, publicização da infração e bloqueio ou eliminação dos dados. Para muitas empresas, a publicização dói mais que a multa.

E os incidentes são rotina. Segundo levantamento feito a partir dos painéis da ANPD, a média ficou em torno de 350 comunicações de incidentes por ano entre 2023 e 2025, com ransomware e roubo de credenciais entre os tipos mais frequentes.

Sem plano, o dinheiro vai embora em perícia contratada às pressas, em comunicação ampla demais por falta de dimensionamento e em prazo estourado, que transforma um incidente bem tratado num processo sancionador.

Montar e testar um plano de resposta a vazamento de dados custa uma fração disso. Uma consultoria de tecnologia bem escopada entrega o plano, os modelos e o primeiro simulado em poucas semanas.

Armadilhas técnicas que vemos na prática

Esta é a parte que o modelo de plano de resposta a vazamento baixado da internet não cobre, porque depende de como a sua infraestrutura funciona de verdade.

Log que ninguém guarda

Servidor com rotação de log de 7 dias e incidente descoberto 20 dias depois: não há como provar o que foi acessado. Defina retenção mínima (90 dias é um ponto de partida razoável para logs de acesso web e de banco) e guarde fora do servidor que pode ser comprometido. Sem log, nenhum plano de resposta a vazamento de dados funciona.

Credencial compartilhada

"A senha do painel está no grupo do WhatsApp" é a frase que mais ouvimos ao assumir um ambiente. Com cinco pessoas no mesmo login, ninguém sabe quem fez o quê. Contas individuais com dois fatores são pré-requisito, não melhoria futura.

Token de API esquecido

Integrações com a API oficial do WhatsApp, gateways de pagamento e CRMs usam tokens de longa duração. Um token num repositório público ou num .env exposto dá acesso a conversas e dados de clientes. Liste onde cada token vive e como revogá-lo em minutos.

Backup que também vazou

Backup na mesma conta da nuvem, com a mesma credencial, cai junto. E um dump .sql esquecido na pasta pública do site é um vazamento esperando acontecer.

Para o lado humano do problema, o uso de IA sem controle também virou porta de saída de dados. Tratamos disso em política de uso de IA na empresa.

Como montar o seu plano de resposta a vazamento em 4 etapas

Não precisa de um documento de 60 páginas. Precisa de um documento que alguém abre às 23h e consegue seguir.

1. Inventário mínimo. Quais sistemas tratam dados pessoais, onde estão hospedados, quem é o fornecedor, onde ficam os logs e os backups. Uma planilha resolve.
2. Papéis e contatos. A tabela de papéis acima, com nome, substituto, telefone pessoal e quem tem acesso ao SEI da ANPD.
3. Procedimentos e modelos. O checklist de 72 horas, a matriz de decisão, o modelo de comunicação ao titular e o modelo de registro de incidente.
4. Teste. Um simulado de mesa (tabletop) de 2 horas: alguém conta o cenário, o time responde como faria. Na primeira vez, sempre aparece um buraco, e é melhor que apareça no simulado.

Quando não vale a pena complicar

Se a sua empresa tem um site institucional sem formulário e nenhum sistema com dados de clientes, o plano de resposta a vazamento de dados pode ser uma página. Complexidade proporcional ao risco. O que não existe é "não tenho dado pessoal" para quem atende cliente pelo WhatsApp, emite nota fiscal ou tem uma lista de e-mails.

Como a Agathas Web resolve isso

Nossa consultoria de tecnologia monta o plano de resposta a vazamento de dados a partir da infraestrutura real da sua empresa, não de um modelo genérico. Somos time técnico: olhamos servidor, log, backup, tokens e contratos de fornecedor, e entregamos o plano junto com as correções que tornam o plano executável.

O que está incluso:

• Diagnóstico da infraestrutura: onde estão os dados pessoais, quem acessa, retenção de logs, backups, credenciais compartilhadas e tokens de API expostos.
• Plano escrito com papéis, contatos, checklist de 72 horas, matriz de decisão e modelos de comunicação à ANPD e aos titulares.
• Ajustes técnicos prioritários: retenção de logs fora do servidor, contas individuais com dois fatores, revisão de backups e varredura de arquivos expostos.
• Simulado de mesa com o seu time e relatório com o que precisa melhorar.
• Suporte no incidente real, se acontecer: contenção, preservação de evidências e dados técnicos para o encarregado e o jurídico.

Como funciona: uma conversa inicial de diagnóstico, uma proposta com escopo e prazo fechados e a execução em ciclos curtos. Não substituímos o seu advogado nem o seu DPO. Entregamos a parte técnica que eles precisam para cumprir o prazo, e revisamos o plano de resposta a vazamento sempre que a infraestrutura muda. Para contratar, fale com a gente pela página de consultoria em tecnologia e segurança.

Conclusão: o plano é para o pior dia, escreva no melhor

Três dias úteis parecem muito até você precisar descobrir, no meio de um incidente, quem tem a senha do servidor, onde está o log e quem pode assinar a comunicação. Um plano de resposta a vazamento de dados não impede o ataque. Ele impede que o ataque vire também uma infração, um prazo perdido e uma comunicação desastrosa.

Comece pelo básico do seu plano de resposta a vazamento de dados ainda esta semana: nomeie o coordenador e o encarregado, crie o acesso ao SEI da ANPD e descubra por quantos dias os seus logs ficam guardados. Se quiser ajuda para transformar isso num plano testado, a consultoria da Agathas Web faz o diagnóstico e entrega o plano pronto para usar.