LGPD art. 48 · ISO 27001 A.5.24 a A.5.28
Playbook de incidente de dados pessoais
Incidente de dados pessoais tem uma característica cruel: o relógio começa a correr antes de você entender o que aconteceu. A pergunta que decide tudo não é técnica, é quem tem autoridade para declarar o incidente e para notificar. Esse nome precisa estar escrito antes, porque no sábado ninguém vai procurar.
Playbook de resposta a incidente de dados pessoais · Empresa: ______________________ · Responsável: ______________________ · Data: ____ / ____ / ______
Fase 0 · Antes de acontecer Preparação
Tudo nesta seção precisa estar pronto hoje. Nenhuma delas dá para improvisar no dia.
Sem esse nome, a primeira hora é gasta descobrindo quem pode decidir, e a primeira hora é a que mais importa.
Como fica pronto: Uma pessoa titular e uma suplente, com telefone pessoal, escritas em um documento que o time de plantão alcança.
A.5.24Decisão de notificar tem consequência jurídica e reputacional. Costuma envolver jurídico, DPO e direção, e a regra de quem assina precisa existir antes.
Como fica pronto: Regra escrita de quem participa da decisão e quem tem a palavra final, com substitutos.
LGPD art. 48Lista de contatos desatualizada é o modo mais comum de perder horas no início.
Como fica pronto: Contatos revisados nos últimos seis meses, incluindo canal fora do e-mail corporativo.
LGPD art. 41Sem critério, cada incidente vira uma discussão nova sobre o quanto é grave.
Como fica pronto: Níveis com exemplos concretos, ligados ao que dispara notificação e escalonamento.
A.5.25Sem log íntegro não há investigação possível, e a ANPD avalia as medidas técnicas adotadas.
Como fica pronto: Registros com retenção definida, protegidos contra alteração pelo próprio administrador.
A.8.15Plano nunca exercitado é ficção, e o exercício é o que revela o telefone errado e o acesso que ninguém tem.
Como fica pronto: Registro de simulação com data, cenário, participantes e falhas encontradas.
A.5.29Fase 1 · Primeiras horas Detecção e triagem
Objetivo aqui não é resolver, é entender o suficiente para decidir. Resistir à vontade de consertar antes de registrar é o mais difícil.
É desse instante que se contam os prazos, e é a primeira coisa que a autoridade vai perguntar.
Como fica pronto: Marco temporal registrado com quem recebeu a informação e por qual canal.
LGPD art. 48A reação natural é limpar. Limpar antes de coletar destrói a única prova do que aconteceu.
Como fica pronto: Cópia dos registros relevantes preservada com data e responsável pela coleta.
A.5.28Classificar no calor do momento sem critério prévio leva a subestimar ou a exagerar.
Como fica pronto: Nível atribuído, com a justificativa em uma frase e quem classificou.
A.5.25É o que separa um incidente de segurança de um incidente de dados pessoais, com obrigações diferentes.
Como fica pronto: Categorias de dados afetadas e estimativa de titulares atingidos, mesmo que preliminar.
LGPD art. 48 §1º I e IIQuanto mais tarde o jurídico entra, menos opções restam.
Como fica pronto: Registro de acionamento com horário, para provar tempestividade depois.
LGPD art. 41Fase 2 · Conter e erradicar Resposta técnica
Agora sim, agir. Cada ação daqui precisa ser registrada enquanto acontece, não reconstruída depois.
Isolar é diferente de apagar. O objetivo é parar o sangramento preservando o que aconteceu.
Como fica pronto: Ações de contenção registradas com horário e responsável.
A.5.26Incidente que continua com a credencial válida é incidente que ainda está acontecendo.
Como fica pronto: Lista de credenciais revogadas ou rotacionadas, com horário.
A.5.17Fechar sem causa raiz faz o mesmo incidente voltar, e o auditor pergunta pela causa.
Como fica pronto: Causa identificada, com o caminho de entrada e a falha de controle que permitiu.
10.2A LGPD considera, na avaliação da gravidade, se havia medida técnica que tornasse os dados ininteligíveis.
Como fica pronto: Registro do estado de criptografia ou anonimização dos dados afetados.
LGPD art. 48 §3ºFase 3 · Comunicar LGPD art. 48
A lei lista o conteúdo mínimo da comunicação. Montar esses seis itens sob pressão é lento, então tenha o modelo pronto.
É esse juízo que dispara a obrigação de comunicar à autoridade e aos titulares.
Como fica pronto: Decisão registrada com fundamento, participantes e horário.
LGPD art. 48Primeiro item do conteúdo mínimo exigido pela lei.
Como fica pronto: Categorias de dados, sem expor os dados em si na própria comunicação.
art. 48 §1º ISegundo item do conteúdo mínimo.
Como fica pronto: Quantidade e perfil dos titulares atingidos, ainda que estimados.
art. 48 §1º IITerceiro item, observados os segredos comercial e industrial.
Como fica pronto: Controles que estavam em vigor no momento do incidente.
art. 48 §1º IIIQuarto item do conteúdo mínimo.
Como fica pronto: Consequências plausíveis para os titulares, não apenas para a empresa.
art. 48 §1º IVA lei prevê expressamente que os motivos da demora sejam informados.
Como fica pronto: Linha do tempo que sustente a justificativa, montada a partir dos registros da fase 1.
art. 48 §1º VSexto item do conteúdo mínimo, e o que a autoridade usa para avaliar a resposta.
Como fica pronto: Ações de reversão e mitigação, com prazos.
art. 48 §1º VIContratos B2B costumam ter prazo mais curto que o regulatório, e o descumprimento é inadimplemento.
Como fica pronto: Levantamento de cláusulas de notificação dos contratos afetados.
A.5.20Fase 4 · Depois Recuperação e aprendizado
É a fase que quase todo mundo pula, e a única que reduz a chance de repetição.
Restaurar de um backup comprometido reinicia o incidente.
Como fica pronto: Registro da restauração com verificação de integridade do que voltou.
A.8.13É o documento que o auditor, a ANPD e o cliente vão pedir, e reconstruir depois é sempre pior.
Como fica pronto: Cronologia com horários, decisões, responsáveis e comunicações enviadas.
A.5.25Incidente que não mudou nada indica um processo que não aprende.
Como fica pronto: Reunião registrada com participantes e ações definidas, não apenas constatações.
A.5.27Lição sem responsável não vira mudança, e a norma cobra a eficácia da ação.
Como fica pronto: Ação corretiva ligada à causa raiz, com prazo e verificação posterior de eficácia.
10.2Um incidente é evidência empírica de que a estimativa de risco anterior estava errada.
Como fica pronto: Riscos revisados com o novo nível e o tratamento ajustado.
8.2O playbook é a parte fácil. Provar que ele existe é o resto
O auditor não pergunta se você teve incidente. Ele pergunta o que aconteceu no último, quem decidiu o quê e o que mudou depois. Isso é registro, não documento.
Ver o checklist pré-auditoriaEste playbook é material de preparação e não é orientação jurídica. O artigo 48 da LGPD determina que a comunicação seja feita em prazo razoável conforme definido pela autoridade nacional, ou seja, o prazo é fixado em regulamento da ANPD e não no texto da lei. Confirme o prazo vigente com a ANPD ou com o seu jurídico antes de usar esta lista em um incidente real. O que você marcar fica salvo apenas neste navegador e não é enviado para lugar nenhum.
Quer as próximas ferramentas quando saírem?
Publicamos diagnósticos, geradores e listas de referência como estes, sempre abertos e sem cadastro para usar. Se quiser receber os próximos e o que aprendemos montando cada um, deixe seu e-mail.