O prazo de comunicação de incidente não começa quando você fica pronto para comunicar. Começa quando você toma conhecimento, e essa diferença é a coisa mais cara da LGPD para quem tem sistema em produção.
A página oficial da ANPD sobre comunicação de incidente de segurança é direta: pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, a comunicação é feita em 3 dias úteis, contados do conhecimento do incidente, com possibilidade de complementar informações em até 20 dias úteis depois da comunicação preliminar. Quem comunica é o controlador, pelo sistema SEI da agência, em formulário próprio. A orientação oficial está no gov.br.
Três dias úteis é tempo suficiente para preencher um formulário. Não é tempo suficiente para descobrir quais dados o seu sistema guarda, quantos titulares foram afetados, quando o acesso indevido começou e se ele parou. É esse segundo bloco que decide se o prazo é confortável ou impossível, e ele é resolvido meses antes, no código, ou não é resolvido.
O critério não é certeza de dano, é possibilidade
Nem todo incidente vira comunicação. A própria orientação da ANPD lista o teste: ocorrência confirmada, envolvimento de dados pessoais sujeitos à LGPD e possibilidade de acarretar risco ou dano relevante aos titulares, avaliada pelo contexto do tratamento, número de titulares afetados, tipos de dado envolvidos, proteção criptográfica aplicada e medidas mitigadoras adotadas.
A palavra que segura tudo ali é possibilidade. Você não precisa ter certeza de que alguém sofreu dano para a obrigação nascer. E repare no que a lista de critérios cobra de você, na prática: saber quantos titulares foram alcançados, quais campos estavam cifrados e o que exatamente foi feito para conter. São três perguntas de engenharia, e nenhuma delas se responde consultando a política de privacidade.
O incidente que não precisa ser comunicado à autoridade ainda assim é registrado, com os motivos documentados. Registro sem comunicação é uma coisa. Nem registro, nem comunicação é outra.
A autoridade do outro lado mudou de tamanho este ano
Em 25 de fevereiro de 2026 foi sancionada a Lei nº 15.352, que transforma a antiga Autoridade Nacional de Proteção de Dados em Agência Nacional de Proteção de Dados, autarquia com autonomia funcional, técnica, decisória, administrativa e financeira, vinculada ao Ministério da Justiça e Segurança Pública. A norma criou 200 cargos de especialista em regulação de proteção de dados, a serem preenchidos por concurso, e a mudança está ligada à atribuição de regulamentar o Estatuto Digital da Criança e do Adolescente, em vigor desde 17 de março de 2026. A matéria da Agência Senado descreve a lei.
O que muda para quem tem um SaaS pequeno rodando: nada no texto da LGPD, e bastante na capacidade de quem aplica a LGPD. Estrutura maior significa mais pedidos de informação chegando, e pedido de informação não respondido é o começo barato de um problema caro.
Antes da autoridade, quem cobra é o cliente
Na prática, a primeira pessoa a te cobrar quase nunca é a agência. É o jurídico do cliente corporativo, com uma minuta que traz obrigações de operador, exigência de notificação de incidente em prazo e direito de auditoria. É o edital, com exigência de conformidade escrita e data dura. É o titular que reclama. Nos três casos, o que trava não é o texto do contrato, é a prova de que o sistema faz o que o contrato promete.
E aqui mora a armadilha mais comum: assinar cláusula com prazo mais curto do que a lei te impôs. A LGPD tem prazo de até 15 dias apenas para a declaração completa do art. 19, II, e o agente de tratamento de pequeno porte tem esse prazo em dobro pela Resolução CD/ANPD nº 2/2022. Os demais pedidos de titular não têm prazo em dias na lei. Prometer no contrato que você responde tudo em 15 dias é criar obrigação que a lei não te impôs, e é você que vai ter que honrar.
Pequeno porte é regime mais leve, não é dispensa
Vale checar o próprio enquadramento antes de comprar obrigação alheia. A Resolução CD/ANPD nº 2/2022 define quem é agente de tratamento de pequeno porte no art. 2º, e o art. 6º é a cláusula que preserva o dever de fundo: o regime simplifica forma e prazo, e mantém integrais as bases legais, os princípios, os direitos do titular e as regras de dado sensível. O registro de operações pode ser simplificado, a indicação de encarregado é dispensada mas o canal de comunicação com o titular continua obrigatório, e prazos de atendimento dobram.
Isso não é detalhe de advogado. É o que separa vender para você uma pilha de documento que você não precisa de fazer o que você precisa. Vale lembrar, aliás, que o estudo Mercado Brasileiro de Software 2026 da ABES com a IDC aponta que 94,3% das 41.613 empresas de software e serviços do país são micro ou pequenas empresas. Os números do estudo estão nesta cobertura. Estatisticamente, o regime simplificado é o caso normal, e não a exceção.
O que sai caro é o que não estava medido
O relatório Cost of a Data Breach da IBM registrou custo médio de R$ 7,19 milhões por violação de dados no Brasil, alta de 6,5% sobre os R$ 6,75 milhões do ano anterior, com saúde em R$ 11,43 milhões. O mesmo material aponta que o uso não governado de IA acrescentou em média R$ 591,4 mil ao custo e que 87% das organizações brasileiras ouvidas não tinham política de governança de IA. Os números estão publicados.
De novo com a cautela devida: é média de empresa grande o bastante para participar desse estudo, e não é a sua conta. O que ele mostra bem é onde o custo se concentra, que é no tempo entre acontecer e alguém entender o que aconteceu. Esse tempo é engenharia: trilha de auditoria de acesso a dado pessoal, log que diz quem leu o quê, e alguém capaz de responder em horas quantas pessoas foram alcançadas.
Sobre multa, uma nota de honestidade que vale mais que susto. A lei prevê multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, e o texto está no art. 52, II da Lei nº 13.709/2018. Ninguém consegue te dizer qual seria a sua, porque isso não existe, e quem apresenta faixa esperada de multa para o seu caso está inventando. O custo que chega primeiro continua sendo o contrato parado.
O que dá para arrumar antes do relógio começar
- Saber quem leu o quê. Trilha de auditoria de acesso a dado pessoal, com autor e origem. Sem isso, a pergunta “quantos titulares foram afetados” não tem resposta em três dias úteis.
- Ter prazo de guarda escrito por tipo de dado e uma rotina que de fato apaga. Expurgo que existe só na política e não no código vira dívida no dia em que você assinar a cláusula.
- Ter um canal de titular que alguém abre. Endereço que ninguém lê é pior que ausência de endereço, porque agora existe prova de que o pedido chegou.
- Ter runbook de incidente escrito antes. Quem decide comunicar, quem escreve, quem assina, onde estão os dados para preencher o formulário. Improvisar isso em três dias úteis não funciona.
- Saber quais fornecedores tratam dado seu e para onde eles mandam. Inventário de fornecedor é a pergunta que mais atrasa resposta de cláusula contratual.
Nenhum dos cinco é peça jurídica. Os cinco são comportamento de sistema, e comportamento de sistema se prova com evidência técnica ou não se prova.
Leitura recomendada
- ANPD, comunicação de incidente de segurança, prazos e critérios: gov.br/anpd
- Agência Senado sobre a Lei nº 15.352/2026, que cria a Agência Nacional de Proteção de Dados: senado.leg.br
- IBM, Cost of a Data Breach, números do Brasil: brasil.newsroom.ibm.com
- ABES e IDC, Mercado Brasileiro de Software 2026: coletivo.tech
Onde começar
Se quiser conferir como o seu sistema está nessas perguntas antes de alguém perguntar por você, tem um autodiagnóstico gratuito em fabership.com.br/diagnostico-lgpd. Você responde sozinho sobre o seu próprio sistema e vê o resultado na hora, sem falar com ninguém.
A Fabership faz engenharia de software e de segurança da informação. Não somos escritório de advocacia, não emitimos parecer jurídico e não declaramos conformidade de ninguém à LGPD. Quando o caso pede assinatura de advogado, trabalhamos com advogada parceira especializada em proteção de dados.