Por Robert Daniel-Shores e Érica Costa
Quando ocorre um incidente de segurança envolvendo dados pessoais, a reação mais comum das empresas costuma ser imediata: conter o incidente, entender sua extensão e avaliar se ele deve ou não ser comunicado à Agência Nacional de Proteção de Dados (ANPD), conforme os critérios trazidos pela Resolução CD/ANPD nº 15/2024, que estabelece como e quando um incidente deve ser comunicado. Em meio à pressão das primeiras horas, é frequente ouvir uma recomendação aparentemente prudente: “na dúvida, comunique”.
A lógica é compreensível. Afinal, deixar de comunicar um incidente que deveria ter sido reportado pode expor a organização a consequências regulatórias relevantes, inclusive multas potencialmente consideráveis. Ocorre que essa orientação, embora bem-intencionada, nem sempre corresponde ao que exige a Lei Geral de Proteção de Dados (LGPD) e sua regulamentação.
Fonte: ConJur, em 10.07.2026