Comunicação à ANPD: quando o escritório precisa avisar um incidente e o que escrever

Segurança · 13 de setembro de 2026 · 5 min de leitura · Equipe Adv3

A comunicação à ANPD é o aviso que o escritório precisa fazer quando ocorre incidente de segurança com dado pessoal que possa acarretar risco ou dano relevante aos titulares, na forma do art. 48 da LGPD. A avaliação vem antes do aviso, e precisa ser registrada mesmo quando a conclusão é de que não havia risco relevante. Em escritório de advocacia há uma camada a mais: o sigilo profissional, que independe da lei de proteção de dados.

O notebook foi roubado, o e-mail foi invadido, um arquivo com dados de clientes saiu por engano. A primeira reação é resolver o estrago; a segunda pergunta é se o caso exige comunicação à ANPD e aos clientes atingidos.

Comunicação à ANPD: quando existe o dever

O art. 48 da LGPD determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Dois pontos costumam passar despercebidos:

• Quem comunica é o controlador. No escritório, isso é você, ainda que o incidente tenha ocorrido em um fornecedor, que é operador, pelo que está em contrato com fornecedor de tecnologia.
• O critério é risco relevante, e não gravidade do susto. Um incidente sem exposição de dado pessoal não gera o dever, e um incidente pequeno com dado sensível pode gerar.

A ANPD editou regulamento próprio sobre a comunicação de incidentes, com prazo e formulário eletrônico. Antes de comunicar, confira a resolução vigente no site da autoridade, porque o procedimento foi detalhado depois da lei e pode ser atualizado.

A avaliação vem antes, e precisa ficar registrada

Mesmo quando a conclusão é de que não havia risco relevante, registre a análise. Ela é o que demonstra que o escritório avaliou, e a demonstração é parte do dever de conformidade.

O que comunicar

A comunicação descreve o essencial: a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados, os motivos de eventual demora e as providências adotadas para reverter ou mitigar os efeitos.

Duas recomendações práticas: escreva o que você sabe, sem especular, e diga o que ainda está sendo apurado. Comunicação incompleta e honesta é melhor que comunicação atrasada em busca de certeza.

Comunicar ao cliente é a parte que mais pesa

O titular também precisa ser avisado quando há risco relevante, e em escritório de advocacia essa conversa tem peso próprio: quem está do outro lado confiou documentos que tratam da vida dele.

Três princípios funcionam: avisar antes que ele descubra por outro caminho, dizer o que aconteceu sem minimizar, e explicar o que ele pode fazer. Vale lembrar que a exposição de conteúdo de caso é, além de incidente de dados, possível violação de sigilo, com o regime descrito em sigilo profissional do advogado, e que o documento de saúde tem tratamento reforçado, tratado em dado sensível de saúde no escritório.

Os incidentes mais comuns em escritório pequeno

1. E-mail enviado para o destinatário errado, com anexo de cliente. É o mais frequente de todos.
2. Equipamento perdido ou roubado sem disco cifrado, tratado em computador pessoal no trabalho do escritório.
3. Conta invadida, e-mail ou mensageiro, situação de WhatsApp clonado.
4. Ataque de sequestro de dados, com exposição além da indisponibilidade, descrito em ransomware em escritório de advocacia.
5. Acesso de ex-integrante que nunca foi revogado, o que decorre de senha compartilhada.

O que fazer antes de precisar

• Saiba onde estão os dados. Sem inventário, a avaliação de um incidente começa do zero, e o mapa está em LGPD no escritório de advocacia.
• Cifre os discos. Equipamento cifrado muda a conclusão da avaliação de risco.
• Combine quem decide. Em escritório pequeno, é o sócio; o importante é não improvisar isso no dia.
• Exija prazo de aviso do fornecedor, porque você depende dele para cumprir o seu prazo.

Quem faz isso no escritório pequeno

A LGPD prevê a figura do encarregado pelo tratamento de dados, e em banca pequena ela costuma recair sobre um dos sócios, o que é aceitável desde que a pessoa exista de fato e o canal de contato esteja publicado. O que não funciona é nomear alguém no papel e ninguém saber quem é quando o incidente acontece.

Duas providências deixam isso pronto: um endereço de contato para assuntos de proteção de dados, publicado no site, e a definição interna de quem decide comunicar. Em escritório de uma pessoa, as duas se resolvem em dez minutos, e é o tipo de preparo que só tem valor porque foi feito antes.

Perguntas frequentes

Todo incidente precisa ser comunicado?

Não. O dever nasce quando o incidente pode acarretar risco ou dano relevante aos titulares. O que precisa existir sempre é a avaliação, registrada.

Qual é o prazo?

A lei fala em prazo razoável, e a ANPD o detalhou em regulamento próprio, com prazo contado da ciência do incidente. Consulte a resolução vigente no site da autoridade antes de comunicar.

E se o incidente aconteceu no meu fornecedor?

Ele deve avisar você, e a comunicação à autoridade e aos titulares continua sendo do controlador. Por isso a cláusula de prazo de aviso no contrato é essencial.

Comunicar aumenta a chance de ser punido?

O que costuma agravar é a omissão descoberta depois. Comunicar e demonstrar as medidas adotadas é o comportamento que a lei espera.

Como o Adv3 trata isso

No Adv3 os dados de cada escritório ficam isolados por regras no próprio banco, o acesso é por conta individual com permissão por módulo e segundo fator disponível, e o acervo é exportável a qualquer momento, o que ajuda na hora de dimensionar um incidente. O que ele não faz é avaliar risco, redigir comunicação nem falar com a autoridade por você: a comunicação é do escritório, que é o controlador, e a decisão sobre comunicar é de gente.

Todos os artigos · Adv3: software jurídico para escritórios de advocacia · Criar uma conta