LGPD: o prazo de 72 horas para notificar vazamentos de dados
A Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) impõe às empresas brasileiras uma obrigação crítica em caso de incidentes de segurança: notificar a Autoridade Nacional de Proteção de Dados (ANPD) em até 72 horas após tomar conhecimento de qualquer vazamento que envolva dados pessoais.
Esse prazo curto existe porque quanto mais rápido uma empresa age, menor o risco de danos aos titulares dos dados — e menores as chances de uma crise pública, um processo judicial ou uma multa bilionária.
O que diz a LGPD sobre incidentes de segurança
O Art. 48 da LGPD determina que o controlador deve comunicar à ANPD sobre qualquer incidente de segurança que possa causar risco ou dano relevante aos titulares dos dados pessoais. A comunicação deve incluir, no mínimo:
- Descrição da natureza dos dados afetados
- Informações sobre os titulares envolvidos
- Indicação das medidas técnicas e de segurança utilizadas
- O prazo estimado para conclusão do incidente
- Medidas adotadas para mitigar os efeitos do incidente
As consequências de não cumprir o prazo
O descumprimento do prazo de 72 horas exposes a empresa a:
- Multa simples: até R$ 50 milhões por infração
- Multa diária: para continuidade da infração
- Sanções administrativas: publicação da infração comoahi
- Danos reputacionais: publicação obrigatória em veículo de comunicação
- Processos civis: titulares afetados podem pleitear danos individuais e coletivos
72 horas é pouco tempo — a tecnologia faz a diferença
Na prática, 72 horas é um período muito curto. A maioria das empresas brasileiras leva meses para descobrir que sofreu um vazamento. Dados da IBM mostram que o tempo médio de detecção de umdata breach no Brasil é de 277 dias — quase 10 vezes o permitido pela LGPD.
Isso significa que a maioria das empresas Brasileiras está em descumprimento permanente da LGPD: já sofreu incidentes que desconhece, e se esses incidentes fossem descobertos hoje, o prazo de 72 horas já teria sido extrapolado.
Como se preparar para cumprir o prazo
A preparação para o prazo de 72 horas da LGPD exige três capacidades simultâneas:
- Detecção rápida: Monitoramento ativo de dark web, paste sites e Telegram para descobrir vazamentos em minutos — não meses. A Thronos alerta em média em 4 minutos.
- Evidências documentadas: O Art. 48 exige provas da ocorrência. Screenshots, URLs, timestamps e contexto do vazamento são essenciais para demonstrar compliance à ANPD.
- Processo de resposta: Um protocolo documentado com os passos de notificação à ANPD e aos titulares afetados, com templates prontos para uso imediato.
FAQ — LGPD e Vazamento de Dados
A partir de quando conta o prazo de 72 horas?
O prazo começa a contar a partir do momento em que o controlador toma conhecimento do incidente. Ou seja, se sua equipe de TI descobre um vazamento na segunda-feira às 10h, a notificação precisa ser enviada até quarta-feira às 10h. Por isso, descobrir vazamentos rapidamente é fundamental — quanto antes você souber, mais tempo terá para notificar corretamente.
Quais dados pessoais exigem notificação?
Qualquer dado pessoal sensível ou não: nome, e-mail, CPF, RG, endereço, telefone, dados financeiros, dados de saúde, biometria, histórico de navegação — entre outros. Se o vazamento pode identificar um titular, a LGPD se aplica.
A Thronos ajuda a cumprir a LGPD?
Sim. A Thronos detecta vazamentos de dados em média em 4 minutos, muito antes do prazo de 72 horas. Cada alerta inclui evidências documentadas (URLs, screenshots, timestamps) que são exatamente o tipo de material que a ANPD exige no processo de notificação. Isso permite que sua empresa aja com tempo suficiente e demonstrando compliance.
Conclusão
O prazo de 72 horas da LGPD não é apenas uma formalidade burocrática — é um reflexo da urgência com que incidentes de segurança devem ser tratados. A realidade é que a maioria das empresas brasileiras está correndo um risco enorme: não sabe quantos vazamentos já sofreu, há quanto tempo, e se esses vazamentos já extrapolaram o prazo legal para notificação.
Investir em detecção rápida e evidências documentadas não é apenas uma questão de segurança — é uma questão de sobrevivência legal. E com as multas podendo chegar a R$ 50 milhões por infração, o custo de não estar preparado é exponencialmente maior.