O que fazer nas primeiras 72 horas após um vazamento de dados

Descobrir um vazamento é só o começo. A partir do momento em que sua empresa toma conhecimento do incidente, o relógio de 72 horas da LGPD já está correndo, e o que acontece nesse intervalo determina não só se você cumpre o prazo, mas o tamanho da sanção caso a ANPD avalie o caso. Este é um playbook prático, hora a hora, para não perder tempo com decisões que deveriam estar pré-definidas.

Hora 0-1: Confirmar e conter

• Confirme que o incidente é real, evite notificar com base em suspeita não verificada
• Isole os sistemas ou contas comprometidas para impedir que o vazamento continue em andamento
• Acione o responsável técnico e o encarregado de dados (DPO) imediatamente, sem esperar reunião formal
• Registre o horário exato em que o incidente foi identificado, é a partir dele que o prazo de 72 horas começa a contar

Hora 1-6: Montar o time e preservar evidências

• Forme um comitê de resposta com TI/segurança, jurídico, comunicação e liderança executiva
• Preserve evidências antes de qualquer remediação que possa apagar rastros: logs, capturas de tela, URLs onde os dados apareceram, timestamps
• Não exponha publicamente detalhes do incidente antes de entender seu escopo real
• Se o vazamento foi identificado em fóruns de dark web ou Telegram, documente o link, o autor da publicação e a amostra de dados exposta

Hora 6-24: Avaliar o escopo e os titulares afetados

• Identifique quais categorias de dados pessoais foram expostas (cadastrais, financeiros, sensíveis)
• Estime o número de titulares afetados, esse dado é obrigatório na notificação à ANPD
• Avalie se há risco ou dano relevante aos titulares, critério que define se a notificação é obrigatória segundo o Art. 48 da LGPD
• Verifique se fornecedores ou parceiros com acesso aos mesmos dados também precisam ser avisados

Hora 24-48: Preparar a comunicação

• Redija a notificação à ANPD com: natureza dos dados afetados, titulares envolvidos, medidas técnicas adotadas, riscos e medidas de mitigação
• Prepare a comunicação aos titulares afetados em linguagem clara, sem termos técnicos desnecessários
• Alinhe internamente uma única fonte de informação para evitar declarações contraditórias caso o caso vaze para a imprensa
• Envolva o jurídico na revisão final de qualquer comunicação externa

Hora 48-72: Notificar e continuar monitorando

• Envie a notificação formal à ANPD antes do fechamento da janela de 72 horas
• Notifique os titulares afetados, quando exigido, com orientações práticas (trocar senhas, monitorar contas, etc.)
• Continue monitorando dark web e Telegram, é comum que os mesmos dados reapareçam em novos fóruns ou canais nos dias seguintes
• Documente todas as ações tomadas, esse histórico é o que demonstra boa-fé caso a ANPD abra um processo de fiscalização

Erros comuns que agravam o risco de multa

1. Esperar ter certeza absoluta antes de agir, atrasando a contenção e a notificação
2. Não documentar evidências no momento da descoberta, dificultando comprovar boa-fé depois
3. Comunicação pública precipitada antes de entender o escopo real do incidente
4. Não monitorar continuamente após a notificação inicial, perdendo reincidências do mesmo vazamento
5. Depender de descoberta acidental em vez de monitoramento ativo, o que geralmente significa descobrir o incidente muito além do prazo legal

Para entender como esse último ponto afeta diretamente o valor de eventuais sanções, veja nosso artigo sobre como a ANPD calcula multas da LGPD.

FAQ: Resposta a incidente de vazamento de dados

O prazo de 72 horas conta em dias úteis ou corridos?

A LGPD não faz distinção, o prazo é de 72 horas corridas a partir do momento em que a empresa toma conhecimento do incidente, incluindo finais de semana e feriados.

É melhor notificar rápido com informações incompletas ou esperar ter o quadro completo?

A LGPD permite notificações preliminares seguidas de complementações posteriores, à medida que a investigação avança. Notificar dentro do prazo com o que já se sabe, sinalizando que a apuração continua, é preferível a ultrapassar as 72 horas esperando certeza total.

Como a Thronos ajuda durante esse playbook?

A Thronos cobre justamente a fase mais crítica: a detecção. Em vez de descobrir o vazamento por acaso, meses depois, a plataforma monitora dark web, deep web e Telegram 24/7 e entrega o alerta já com evidências documentadas (URLs, capturas de tela, timestamps), o material exato necessário para preencher a notificação à ANPD dentro do prazo.

Conclusão

As 72 horas passam rápido quando cada etapa precisa ser decidida na hora. Empresas que já têm um protocolo definido, e que descobrem o incidente cedo, chegam à notificação com evidências sólidas e uma resposta coordenada. As que não têm, gastam as primeiras horas críticas apenas tentando entender o que aconteceu.

Agende uma demonstração da Thronos e ganhe tempo real para agir antes que o prazo da LGPD se torne um problema.