Incidentes – Prazos de notificação e o que o auditor espera ver
Este é o tutorial para ler antes de precisar dele. Ele explica os dois relógios que o módulo controla, como a plataforma os mostra, e o que um auditor procura quando abre o seu registro de incidentes.
Existem dois relógios, e eles são diferentes
A confusão mais comum é tratar prazo de notificação como se houvesse apenas um. Na plataforma existem dois, com âncoras distintas.
O relógio de avaliação começa quando o incidente passa a ter dados pessoais suspeitos ou confirmados. Ele não pergunta se você já notificou, pergunta se você já decidiu. É um prazo curto, de poucos dias úteis, e existe para impedir que um caso fique parado em “estamos investigando” indefinidamente.
O relógio de notificação só existe quando a avaliação concluiu que a notificação é exigida. Ele é contado a partir da confirmação de que dados pessoais estão envolvidos, e não da detecção do incidente.
A consequência prática é útil: confirmar o envolvimento de dados pessoais é o gesto que inicia o prazo de notificação. Isso não é motivo para postergar a confirmação, porque a demora precisa ser justificada, e é motivo para investigar com urgência.
Registrada a avaliação, o relógio curto se encerra: a decisão foi tomada, que era o que ele cobrava.
Como a plataforma sinaliza
A coluna de notificação na lista de incidentes mostra o estado de cada caso:
| Sinal | Significado |
|---|---|
| Avaliar | Falta a decisão sobre risco aos titulares |
| Vence em breve | A notificação é exigida e o prazo se aproxima |
| Atrasado | O prazo passou sem notificação registrada |
| Notificado | A comunicação foi feita e registrada |
| Não exigido | A avaliação concluiu que não há obrigação |
No topo da tela existe também um indicador de notificação à autoridade pendente. É o número que vale acompanhar semanalmente, mesmo quando não há nada acontecendo, porque um caso pode ter mudado de estado sem que ninguém tenha olhado.
Na página do caso, quando há prazo, ele aparece de forma explícita, com a data limite. Depois de notificar, a data da notificação passa a ser exibida no lugar.
Sobre o prazo em si
A plataforma calcula a data limite em dias úteis e a mostra para você, considerando o prazo configurado para a autoridade aplicável.
Duas observações honestas:
O prazo legal é definido pela autoridade, não pela ferramenta. A plataforma aplica o prazo configurado e o exibe, e ela não substitui a leitura da regulamentação vigente. Confirme com assessoria jurídica qual prazo se aplica ao seu caso, especialmente se a sua empresa também estiver sujeita a regimes de outros países, que têm prazos próprios e frequentemente mais curtos.
O cálculo é conservador. A contagem de dias úteis não considera feriados, o que faz a data limite exibida cair um pouco antes do prazo real quando há feriado no meio. O efeito é você ser avisado mais cedo, nunca mais tarde.
O que fazer quando o prazo aparece
Uma ordem prática:
- Complete o checklist de conteúdo mínimo. Ele organiza exatamente o que a comunicação precisa conter, e evita a situação de escrever às pressas.
- Notifique a autoridade pelo canal oficial dela, fora da plataforma.
- Registre a notificação com o número de protocolo recebido.
- Avalie se os titulares também devem ser comunicados. É uma obrigação distinta da notificação à autoridade, e a linha do tempo registra as duas separadamente.
- Encerre o caso com causa raiz e resumo da contenção.
O passo 3 é o que mais se esquece, e é o único que produz prova. Notificar sem registrar deixa você com a obrigação cumprida e sem como demonstrar.
O que o auditor realmente procura
Depois de muitas auditorias, o padrão é bem consistente. O auditor não espera que a empresa nunca tenha tido incidentes. Ele procura sinais de que existe processo.
Que o registro tenha movimento. Um registro vazio é suspeito em uma empresa de qualquer tamanho, porque incidentes pequenos acontecem em toda parte. Registro vazio costuma significar que ninguém registra, não que nada aconteceu.
Que cada caso com dados pessoais tenha avaliação registrada. Esta é a verificação mais direta. Um incidente com dados pessoais e sem decisão sobre risco é o achado mais grave possível aqui.
Que a fundamentação exista. Concluir “sem risco” é perfeitamente aceitável quando há justificativa. Sem justificativa, parece conveniência.
Que a linha do tempo mostre reação em prazo razoável. Ele compara a data de detecção com as datas dos passos seguintes. Não espera perfeição, espera que não haja meses de silêncio.
Que casos encerrados tenham causa raiz. Encerrar sem causa raiz sugere que o problema pode voltar.
Que exista um plano de resposta publicado. E que a conduta dos casos reais seja compatível com o que o plano diz.
O que costuma dar ressalva
- Nenhum incidente registrado no período. Vira pergunta, não elogio.
- Casos abertos há muito tempo sem movimentação. Sugere abandono.
- Avaliação de violação em branco em caso com dados pessoais.
- “Sem risco” sem fundamentação, repetido em vários casos.
- Notificação feita e não registrada, sem número de protocolo guardado.
- Encerramento sem causa raiz, ou com o sintoma no lugar da causa.
- Plano de resposta que ninguém seguiu, o que é pior que não ter plano.
Duas práticas que valem o esforço
Registre os incidentes pequenos. O engano de destinatário, o acesso indevido interno resolvido no mesmo dia, a indisponibilidade de uma hora. Eles demonstram que o processo é usado de verdade, e é exatamente esse rastro que sustenta os controles de resposta a incidentes.
Faça um exercício simulado por ano. Registre um caso fictício claramente identificado como exercício, percorra o fluxo até o fim, e veja onde o processo trava. É muito mais barato descobrir em um simulado que ninguém sabe quem fala com a autoridade.
Problemas comuns
O prazo apareceu e eu não esperava. A avaliação registrada concluiu risco relevante com dados pessoais confirmados. Se a avaliação estiver errada, corrija a avaliação, e não ignore o prazo.
Não consigo encerrar por causa de notificação pendente. É trava deliberada. Registre a notificação, ou reveja a avaliação se a conclusão anterior não se sustenta.
O prazo exibido parece curto. A contagem é conservadora, em dias úteis e sem feriados, para avisar antes.
Tenho clientes na Europa. Regimes de outros países podem ter prazos próprios e mais curtos, contados de forma diferente. Trate isso com assessoria jurídica antes do primeiro caso.
⚠️ Este tutorial descreve o funcionamento da plataforma e não é orientação jurídica. Os prazos aplicáveis, a forma de contagem, a necessidade de notificação à autoridade e a comunicação aos titulares devem ser definidos com assessoria jurídica qualificada e conforme a regulamentação vigente.
Este artigo foi útil?