Quase nunca começa com um alerta de segurança. Começa com um funcionário dizendo que enviou a planilha para a lista errada, com um cliente perguntando por que recebeu e-mail de outra pessoa, ou com os arquivos do servidor abrindo criptografados numa segunda-feira de manhã. A partir daí, o relógio corre — e a maior parte do dano que a empresa sofre nos meses seguintes é decidida nas primeiras horas.
O que conta como incidente
Não é só invasão. Enquadra-se qualquer evento que comprometa a segurança de dados pessoais: acesso indevido, perda, destruição, alteração ou divulgação não autorizada. Isso inclui o notebook furtado, o backup exposto, a credencial compartilhada, o ex-funcionário com acesso ativo e o erro humano de envio — que, na prática, é a origem mais comum.
Também não depende de haver dano visível. O critério é o comprometimento da segurança, não o prejuízo já materializado.
A primeira hora: conter e preservar
Contenha. Cortar o acesso, revogar a credencial, isolar a máquina, tirar o compartilhamento do ar, chamar de volta o e-mail se o sistema permitir. Contenção vem antes de qualquer outra coisa.
Preserve. Este é o passo que quase toda empresa erra. O impulso é limpar, reinstalar, restaurar o backup e seguir a vida — e com isso se destrói a única prova do que aconteceu. Sem log, sem imagem do sistema, sem registro de horário, a empresa fica impedida de dizer o que foi acessado, por quem e em que volume. E quem não consegue delimitar o incidente é obrigado a tratá-lo pela hipótese mais grave.
Não improvise a comunicação. Aviso interno mandado no susto — para equipe, para cliente, para grupo de mensagem — vira documento depois. O que se diz na primeira hora, quando ainda não se sabe a extensão, é o que vai ser cobrado na décima.
As primeiras horas: dimensionar
A pergunta que organiza todo o resto é: que dados de quais pessoas, em que volume, e em que condição.
Dado pessoal comum ou dado sensível? Havia criptografia ou o dado estava legível? Envolve criança ou adolescente? Permite fraude financeira, discriminação ou dano à reputação de quem foi exposto? Quantos titulares? A resposta a essas perguntas determina a gravidade e, com ela, o dever de comunicar.
Enquanto o dimensionamento corre, registre tudo com horário: quando se soube, quem soube, o que foi feito a cada passo, quem decidiu. Esse registro é a espinha dorsal de qualquer demonstração posterior de diligência.
O dever de comunicar
A legislação de proteção de dados impõe ao controlador comunicar à autoridade nacional e aos titulares afetados o incidente que possa acarretar risco ou dano relevante — com prazo e forma regulamentados. A comunicação ao titular precisa ser em linguagem clara: o que aconteceu, que dados dele foram atingidos, que risco isso cria e o que ele pode fazer para se proteger.
Duas observações que costumam faltar: a obrigação é do controlador, mesmo quando o incidente aconteceu no fornecedor; e comunicar cedo, ainda sem todos os detalhes, com complementação depois, costuma ser melhor posição do que silêncio até a apuração terminar.
Depois: fechar o ciclo
Causa-raiz identificada, correção aplicada, controle ajustado para impedir a repetição, e o registro do incidente arquivado com o que se aprendeu. Incidente sem esse fechamento tende a voltar — e a repetição é o que mais pesa contra a empresa na avaliação de quem fiscaliza.
O que a Juris Factum faz nisso
Estruturamos o plano de resposta antes do incidente — quem aciona quem, em que prazo, com que texto — e acompanhamos a empresa durante, no dimensionamento, no registro e na preparação das comunicações. Onde o caso exigir atuação jurídica, encaminhamos a advogado.
Sua empresa sabe o que fazer na primeira hora? Fale pelo WhatsApp (14) 2109-6432 ou conheça a frente de Conformidade e Proteção de Dados.
