Observação: O prazo de 72 horas está especificamente associado às notificações de violações de dados pessoais qualificadas nos termos do artigo 33 do GDPR. Não é um prazo universal aplicável a todas as leis de privacidade nem a todos os incidentes de segurança.
Este playbook oferece uma estrutura prática de resposta a incidentes para as primeiras horas e os primeiros dias após uma suspeita de violação de dados pessoais, destacando onde os requisitos de notificação diferem entre as jurisdições.
§Resumo
Quando um incidente de segurança pode envolver dados pessoais, as organizações devem agir rapidamente para:
- Confirmar e fazer a triagem do incidente.
- Preservar as evidências relevantes.
- Conter o acesso ou a divulgação não autorizados em andamento.
- Determinar se há dados pessoais envolvidos.
- Identificar os indivíduos, as categorias de dados, os sistemas e as jurisdições afetados.
- Avaliar a probabilidade e a gravidade do dano.
- Determinar as obrigações de notificação aplicáveis.
- Preparar as notificações às autoridades e aos indivíduos, quando exigidas.
- Documentar o incidente e todas as decisões sobre notificação.
- Dar continuidade à remediação e à revisão pós-incidente.
O cronograma de 72 horas do GDPR
Nos termos do artigo 33 do GDPR, o controlador deve notificar a autoridade supervisora competente sem demora injustificada e, sempre que possível, em até 72 horas após tomar conhecimento de uma violação de dados pessoais, a menos que seja improvável que a violação resulte em risco para os direitos e liberdades das pessoas naturais.
Se a notificação ocorrer após 72 horas, ela deve incluir os motivos do atraso.
O prazo de 72 horas deve, portanto, ser tratado como um prazo operacional a ser perseguido — e não como motivo para adiar a contenção ou a investigação até que o prazo se aproxime.
§Quando começa a contar o prazo de 72 horas do GDPR?
O prazo do GDPR não começa necessariamente quando o ataque cibernético subjacente ocorreu pela primeira vez.
O artigo 33 refere-se ao momento em que o controlador toma conhecimento da violação de dados pessoais.
Na prática, o conhecimento deve ser avaliado com base no entendimento razoável da organização de que ocorreu um incidente de segurança e de que dados pessoais foram comprometidos.
Os exemplos incluem:
- Acesso não autorizado confirmado a um banco de dados que contém dados pessoais.
- Confirmação de que dados pessoais foram exfiltrados.
- Um operador que comunica uma violação confirmada envolvendo dados pessoais do controlador.
- Descoberta de um dispositivo perdido ou roubado que contém dados pessoais não criptografados.
Um alerta de segurança não configura automaticamente o conhecimento de uma violação de dados pessoais. As organizações podem precisar de um breve período de investigação para determinar se realmente há dados pessoais envolvidos.
No entanto, a investigação não deve se tornar uma desculpa para um atraso evitável.
Princípio operacional: Inicie o processo de incidente imediatamente e estabeleça o início do prazo legal de notificação assim que os fatos sustentarem a conclusão de que houve conhecimento.
As cinco fases em resumo
Fase 1 — Detecção e triagem
- T+0 a T+6 horas — Determinar se ocorreu um incidente de segurança, preservar as evidências e ativar a estrutura de resposta.
Fase 2 — Contenção
- T+6 a T+24 horas — Interromper o acesso não autorizado em andamento, preservando as evidências.
Fase 3 — Avaliação
- T+24 a T+48 horas — Determinar o que aconteceu, quem pode ter sido afetado e quais obrigações legais foram acionadas.
Fase 4 — Decisão sobre a notificação e documentação
- T+48 a T+72 horas
Fase 5 — Protocolo regulatório e comunicação aos indivíduos
- T+72 horas em diante
§Fase 1 — Detecção e triagem
T+0 a T+6 horas
Objetivo: Determinar se ocorreu um incidente de segurança, preservar as evidências e ativar a estrutura de resposta.
Ações imediatas
- Valide o sinal de incidente.
- Abra um registro de incidente e atribua um ID de incidente.
- Preserve os logs e as evidências forenses relevantes.
- Identifique os sistemas e as contas afetados.
- Determine se pode haver dados pessoais envolvidos.
- Ative a equipe de resposta a incidentes.
- Identifique os papéis de controlador, operador ou suboperador pertinentes.
- Identifique as jurisdições potencialmente afetadas.
- Registre as principais decisões e seus horários.
Equipe central de resposta
Dependendo do incidente, envolva:
- Comandante do incidente
- Equipe de segurança/CISO
- Função de privacidade ou DPO
- Assessoria jurídica
- Equipes de TI e infraestrutura
- Comunicação
- Responsável pela área de negócio
- Contatos dos operadores ou fornecedores pertinentes
Entregável
Resumo inicial do incidente
Documente:
- O que aconteceu
- Quando foi detectado
- Sistemas afetados
- Dados potencialmente envolvidos
- Fatos conhecidos até o momento
- Pontos desconhecidos que exigem investigação
- Ações imediatas de contenção
§Fase 2 — Contenção
T+6 a T+24 horas
Objetivo: Interromper o acesso não autorizado em andamento, preservando as evidências.
As ações possíveis incluem:
- Desativar as contas comprometidas.
- Rotacionar as credenciais expostas.
- Revogar tokens e sessões.
- Isolar os sistemas afetados.
- Bloquear o tráfego de rede malicioso.
- Preservar as evidências relevantes de endpoints e da nuvem.
- Corrigir ou mitigar as vulnerabilidades exploradas.
- Entrar em contato com os operadores ou prestadores de serviços afetados.
- Revisar os requisitos contratuais de notificação de incidentes.
Não destrua evidências ao tentar conter o incidente.
Por isso, a preservação forense e a contenção devem ser coordenadas pela equipe de resposta de segurança.
Outras obrigações de comunicação
A notificação de privacidade é apenas uma parte da resposta a incidentes.
Dependendo da organização e do incidente, podem se aplicar obrigações separadas perante:
- Autoridades de cibersegurança
- Reguladores setoriais
- Reguladores financeiros
- Clientes com contrato
- Seguradoras
- Autoridades policiais
- Bolsas de valores ou reguladores do mercado de valores mobiliários
Essas obrigações devem ser avaliadas de forma independente.
Entregável
Relatório preliminar de contenção e escopo
§Fase 3 — Avaliação
T+24 a T+48 horas
Objetivo: Determinar o que aconteceu, quem pode ter sido afetado e quais obrigações legais foram acionadas.
Avalie:
Dados envolvidos
- Nomes e informações de contato
- Credenciais de contas
- Informações financeiras
- Informações de identificação
- Informações de saúde
- Informações biométricas
- Dados de crianças
- Dados de categorias especiais
- Informações comerciais confidenciais
Indivíduos afetados
Determine:
- Número aproximado de indivíduos
- Categorias de indivíduos
- Países ou jurisdições envolvidos
- Se há indivíduos vulneráveis afetados
Características do incidente
Documente:
- Natureza da violação
- Duração
- Mecanismo do ataque ou da falha
- Se os dados foram acessados
- Se os dados foram copiados ou exfiltrados
- Se os dados foram alterados
- Se os dados foram excluídos
- Se a exposição continua em andamento
Avaliação de risco
Considere tanto a probabilidade do dano quanto a gravidade do dano potencial.
As possíveis consequências podem incluir:
- Roubo de identidade
- Fraude
- Perda financeira
- Discriminação
- Dano reputacional
- Perda de confidencialidade
- Dano físico ou psicológico
- Exposição de informações sensíveis
Entregável
Avaliação documentada de risco e de notificação
§Fase 4 — Decisão sobre a notificação e documentação
T+48 a T+72 horas
Para incidentes abrangidos pelo GDPR, determine se a violação é suscetível de resultar em risco para os direitos e liberdades dos indivíduos.
Se a notificação à autoridade supervisora for exigida, prepare a notificação do artigo 33.
A notificação deve incluir, quando disponíveis:
- A natureza da violação de dados pessoais.
- As categorias e o número aproximado de indivíduos afetados.
- As categorias e o número aproximado de registros de dados pessoais afetados.
- Os dados de contato do DPO ou de outro ponto de contato.
- As consequências prováveis.
- As medidas adotadas ou propostas para tratar a violação e mitigar os efeitos adversos.
Se nem todas as informações estiverem disponíveis em 72 horas, o GDPR permite que elas sejam fornecidas em etapas, quando apropriado.
Se você decidir não notificar
Não se limite a encerrar o incidente.
O artigo 33(5) do GDPR exige que os controladores documentem as violações de dados pessoais, incluindo os fatos relacionados à violação, seus efeitos e as medidas corretivas adotadas.
O registro também deve explicar por que a notificação foi ou não considerada necessária.
Entregável
Decisão final sobre a notificação + pacote de protocolo perante a autoridade + registro interno da violação
§Fase 5 — Protocolo regulatório e comunicação aos indivíduos
T+72 horas em diante
Quando a notificação do GDPR for exigida, envie a notificação à autoridade supervisora competente dentro do prazo aplicável.
Se a notificação for enviada após 72 horas, documente os motivos do atraso.
Notificação aos titulares dos dados
O artigo 34 do GDPR contém um limiar distinto.
Quando uma violação de dados pessoais for suscetível de resultar em alto risco para os direitos e liberdades das pessoas naturais, o controlador deve, em geral, comunicar a violação aos indivíduos afetados sem demora injustificada, observadas as exceções aplicáveis.
O limiar de notificação à autoridade e o limiar de notificação aos indivíduos não são, portanto, os mesmos.
Em geral, as comunicações aos indivíduos devem explicar:
- O que aconteceu
- Quais categorias de informações foram envolvidas
- As consequências prováveis
- O que a organização fez
- O que os indivíduos podem fazer para se proteger
- As informações de contato pertinentes
Use uma linguagem clara e compreensível.
§Notificação de violações em várias jurisdições
Um incidente global não deve ser gerenciado com base em uma única regra de 72 horas.
Cada jurisdição adota diferentes:
- Gatilhos de notificação
- Prazos
- Limiares de risco
- Autoridades reguladoras
- Formatos de notificação
- Requisitos de notificação aos indivíduos
Comparação ilustrativa
| Jurisdição | Abordagem geral |
|---|---|
| EU GDPR | Notificar a autoridade supervisora competente em até 72 horas após tomar conhecimento, quando a violação for suscetível de resultar em risco, observadas as exceções do GDPR. |
| UK GDPR | Regime semelhante de 72 horas para violações qualificadas, observados o UK GDPR e os requisitos aplicáveis do Reino Unido. |
| PDPA de Singapura | Uma violação notificável deve ser comunicada à PDPC assim que possível e em até 3 dias corridos após a organização determinar que ela é notificável. |
| LGPD do Brasil | Incidentes qualificados que envolvam risco ou dano relevante estão sujeitos aos requisitos de comunicação da Resolução nº 15/2024 da ANPD; o regime da ANPD adota o prazo de 3 dias úteis. |
| Marco DPDP da Índia | As DPDP Rules 2025 exigem a notificação sem demora aos Data Principals afetados e a notificação sem demora ao Board, seguidas de informações detalhadas em até 72 horas ou em prazo maior permitido pelo Board. O cronograma de implementação deve ser verificado, pois a lei e as regras têm entrada em vigor escalonada. |
| Outras jurisdições | Os requisitos variam substancialmente. Avalie separadamente os requisitos nacionais, setoriais, contratuais e de comunicação de cibersegurança aplicáveis. |
Importante: Esta tabela é uma visão geral operacional, e não um substituto para a análise jurídica específica de cada jurisdição.
§Responsabilidades do operador vs do controlador
A organização responsável pela notificação regulatória nem sempre é a que primeiro descobre o incidente.
Nos termos do GDPR:
Operador
O operador deve notificar o controlador sem demora injustificada após tomar conhecimento de uma violação de dados pessoais.
O operador deve fornecer informações suficientes para permitir que o controlador cumpra suas próprias obrigações.
Controlador
O controlador avalia se a violação está sujeita à notificação à autoridade supervisora e, quando aplicável, à notificação aos indivíduos.
Por isso, os contratos com operadores devem estabelecer procedimentos de escalonamento de incidentes e prazos internos de notificação suficientemente curtos.
O controlador não deve estruturar seu processo de notificação pelos operadores com base em toda a janela regulatória de 72 horas.
Abordagem prática: Exija que os operadores escalonem suspeitas de incidentes com dados pessoais bem antes do prazo regulatório do controlador.
§Quem é responsável pela decisão?
Defina as responsabilidades antes que um incidente ocorra.
Comandante do incidente
Responsável pela coordenação operacional, pelo escalonamento e pelos prazos de resposta.
Equipe de segurança
Responsável pela contenção técnica, pela investigação forense, pela remediação e pela análise de causa raiz.
Função de privacidade / DPO
Apoia a análise das leis de privacidade, a avaliação de notificação, a documentação e a interação com as autoridades, dentro do modelo de governança da organização.
Assessoria jurídica
Presta assessoria jurídica e apoia as questões regulatórias, contratuais, de litígio e de comunicação, quando apropriado.
Comunicação
Coordena as comunicações com clientes, funcionários, imprensa e outros públicos externos, quando necessário.
Diretoria executiva
Toma as decisões de negócio e de risco que exigem aprovação da alta administração.
Deve haver um único processo decisório, claramente identificado, para a decisão final sobre a notificação.
§Erros comuns na resposta a violações
Erro 1: tratar as 72 horas como um prazo universal
O prazo do GDPR não se aplica automaticamente a todas as jurisdições.
Erro 2: esperar que a investigação forense esteja totalmente concluída
A notificação regulatória pode precisar ocorrer antes que todos os fatos sejam conhecidos. Muitas vezes, informações adicionais podem ser fornecidas depois.
Erro 3: confundir um incidente de segurança com uma violação de dados pessoais
Nem todo evento de cibersegurança envolve dados pessoais, e nem toda violação de dados pessoais tem as mesmas consequências em termos de notificação.
Erro 4: não documentar a decisão de não notificar
Para os controladores sujeitos ao GDPR, a violação ainda precisa ser documentada, mesmo quando a notificação não é exigida.
Erro 5: usar um único limiar global de notificação
Leis diferentes aplicam testes diferentes.
Erro 6: esquecer os prazos contratuais
Clientes, operadores, seguradoras de riscos cibernéticos e outras contrapartes podem impor requisitos de notificação com prazos anteriores aos legais.
Erro 7: perder evidências forenses
As ações de contenção devem ser coordenadas com a preservação forense.
Erro 8: publicar um comunicado público incompleto
As comunicações externas devem ser precisas, coerentes com a investigação e coordenadas com as equipes jurídica, de privacidade, de segurança e de comunicação.
§Checklist de resposta a violações
Primeiras 6 horas
- Confirme o incidente
- Abra o registro do incidente
- Preserve as evidências
- Identifique os sistemas potencialmente afetados
- Determine se pode haver dados pessoais envolvidos
- Ative a equipe de resposta
- Estabeleça a linha do tempo do incidente
Primeiras 24 horas
- Contenha o incidente
- Identifique os dados afetados
- Identifique os indivíduos afetados
- Identifique as jurisdições pertinentes
- Entre em contato com operadores/fornecedores
- Inicie a avaliação de notificação
- Verifique as obrigações de comunicação contratuais e setoriais
Primeiras 48 horas
- Conclua a avaliação preliminar de risco
- Determine os limiares de notificação aplicáveis
- Identifique as autoridades competentes
- Redija a notificação regulatória
- Redija a comunicação aos indivíduos, se exigida
- Obtenha as aprovações internas adequadas
Até o prazo aplicável
- Envie as notificações regulatórias exigidas
- Notifique os indivíduos afetados, quando exigido
- Registre as confirmações de protocolo
- Documente as decisões e as premissas
- Dê continuidade à remediação
Após a notificação
- Forneça informações complementares, quando exigido
- Conclua a análise de causa raiz
- Corrija as vulnerabilidades
- Revise os controles dos operadores
- Atualize as políticas e os procedimentos
- Realize uma revisão pós-incidente
- Faça um exercício de resposta a violações com base nas lições aprendidas
§Perguntas frequentes
Toda violação de dados está sujeita a um prazo de 72 horas?
Não. O prazo de 72 horas está especificamente associado às notificações do artigo 33 do GDPR. Outras leis de privacidade e de cibersegurança têm requisitos diferentes.
O prazo de 72 horas do GDPR começa quando o ataque se inicia?
Não necessariamente. O artigo 33 conta o prazo a partir do momento em que o controlador toma conhecimento da violação de dados pessoais.
Uma notificação do GDPR pode ser enviada após 72 horas?
Sim, quando necessário, mas o controlador deve apresentar os motivos do atraso.
E se não conhecermos todos os fatos?
Não espere necessariamente por uma investigação completa. O GDPR permite que as informações sejam fornecidas em etapas, quando apropriado.
Toda violação exige a notificação dos indivíduos afetados?
Não. No GDPR, a notificação aos indivíduos depende, em geral, de a violação ser suscetível de resultar em alto risco para os direitos e liberdades dos indivíduos, observadas as exceções aplicáveis.
O que um operador deve fazer após descobrir uma violação?
O operador deve notificar o controlador sem demora injustificada e fornecer informações suficientes para que o controlador avalie e cumpra suas obrigações.
Devemos notificar todas as autoridades de todos os países onde há clientes?
Não automaticamente. Determine quais autoridades têm competência e aplique as regras específicas de cada jurisdição pertinente.
Na Índia, devemos notificar o CERT-In além das autoridades de privacidade?
Possivelmente. A comunicação de incidentes de cibersegurança e a comunicação de violações de dados pessoais são questões de conformidade distintas. As organizações devem avaliar de forma independente as diretrizes aplicáveis do CERT-In, os requisitos setoriais, as obrigações contratuais e o marco DPDP.
§Prepare-se antes que o incidente aconteça
Um plano de resposta a violações é mais valioso antes que uma violação ocorra.
As organizações devem manter:
- Um plano documentado de resposta a incidentes
- Papéis definidos de privacidade e segurança
- Informações de contato de reguladores e autoridades
- Procedimentos de escalonamento para operadores
- Critérios de avaliação de violações
- Modelos de notificação
- Procedimentos de preservação de evidências
- Registros de decisões
- Planos de comunicação
- Cenários para exercícios de simulação (tabletop)
Um processo bem estruturado deve permitir que a organização passe da detecção à tomada de decisão sem precisar criar sua estrutura de resposta durante um incidente em andamento.
Precisa de suporte na resposta a violações?
A RegulatoryBridge ajuda organizações a avaliar incidentes de privacidade, coordenar requisitos regulatórios, documentar decisões sobre notificação e gerenciar obrigações de conformidade em várias jurisdições.
Conheça os serviços de Resposta a Emergências da RegulatoryBridge ou fale com nossa equipe para discutir suas necessidades de resposta a incidentes.