LGPD: a notificação de incidente que a empresa não pode evitar

A obrigação de comunicar incidente de segurança é uma das que mais gera resistência, e o motivo quase sempre é o mesmo: a empresa não sabe dizer o que aconteceu, quem foi afetado e o que vai fazer.

O enquadramento é o de incidente de segurança com risco ou dano relevante aos titulares. A comunicação à ANPD precisa ser feita em prazo razoável, e o que costuma ser exigido é o relato do que foi exposto, as medidas adotadas e o ponto de contato. A comunicação aos titulares afetados também é devida, com a informação sobre o que houve e o que eles podem fazer.

O ponto que precisa ficar claro é que a notificação não é a mesma coisa que aPunição. Ela é o começo da relação com a autoridade e com o titular, e a forma mais comum de uma empresa transformar incidente em crise é empurrar a comunicação e dar a impressão de que está escondendo.

No plano de resposta, o que define o prazo é a capacidade de responder às três perguntas: o que foi exposto, quem foi afetado e o que já foi feito. E as duas últimas dependem de um inventário de dados, que é o mesmo inventário que serve para outras doze decisões de segurança.

O que costuma ser subestimado é o custo operacional do incidente. Ele não é o da investigation, é o do atendimento: cada titular que entra em contato, a emissão das notificações, o atendimento jurídico, a conciliação com o cliente, a resposta para a autoridade. Uma empresa que tem o inventário pronto reduz esse custo, porque o call center já sabe o que responder.

A experiência das empresas que passaram por isso é que a diferença entre o incidente que foi resolvido em uma semana e o que durou um trimestre não foi a falha, foi a mesma falha. Foi a capacidade de responder.