Prazos de notificação de incidentes e vazamentos por país: quem avisar e quando

Como funcionam os prazos de notificação

Três questões decidem cada dever de notificação: o que faz o prazo começar a correr, quem precisa ser avisado e quanto você precisa saber antes de comunicar.

O que faz o prazo correr. Pelas regras da ANPD, os três dias úteis são contados a partir do momento em que você toma ciência de que um incidente de segurança afetou dados pessoais. Pelo GDPR, na Europa, as 72 horas contam a partir do momento em que você toma ciência de uma violação de dados pessoais. Para os reguladores europeus, ter ciência significa ter um grau razoável de certeza de que um incidente de segurança comprometeu dados pessoais, e isso pode acontecer poucas horas depois do primeiro alerta. A HIPAA conta a partir da descoberta, ou da data em que você teria sabido do incidente agindo com diligência razoável. A regra da SEC conta a partir da data em que uma companhia listada nos EUA decide que o incidente é material, e essa decisão também precisa ser tomada sem demora injustificada. O DORA conta a partir do momento em que uma entidade financeira classifica um incidente como grave. Anote no registro de decisões a hora e as evidências de cada um desses marcos.

Quem deve ser informado. O regulador e as pessoas afetadas costumam ter critérios diferentes. A LGPD usa o mesmo critério para os dois: se o incidente puder causar risco ou dano relevante, você avisa a ANPD e os titulares dos dados. O GDPR exige notificar o regulador, a menos que seja improvável que a violação gere risco para as pessoas, mas só exige avisar as pessoas quando o risco for alto. Alguns regimes acrescentam destinatários: os procuradores-gerais dos estados americanos, a imprensa pela HIPAA ou os investidores pela regra da SEC.

Quanto você precisa saber. Muito pouco, a princípio. A ANPD aceita uma primeira comunicação com o que você sabe e um complemento em até 20 dias úteis, e o GDPR permite fornecer informações em fases. A NIS2 e o DORA funcionam em etapas: um relatório inicial curto, uma notificação mais completa e, por fim, um relatório final. Esperar o quadro completo antes de comunicar é o jeito mais fácil de perder o prazo.

Prazos em resumo

Os critérios e o alcance variam dentro de cada regime. Use esta tabela como mapa e depois confira o detalhe abaixo e a fonte oficial de cada regime.

Brasil

A LGPD (art. 48) obriga o controlador a comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 fixou o prazo em 3 dias úteis, contados do momento em que o controlador toma ciência de que o incidente afetou dados pessoais, e os titulares devem ser avisados no mesmo prazo. Pela resolução, o risco é relevante quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e envolve pelo menos um destes fatores: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala.

A comunicação vai pelo formulário eletrônico da ANPD, normalmente enviado pelo encarregado. Se a investigação ainda não terminou, envie o que você sabe dentro do prazo e complemente em até 20 dias úteis. Agentes de tratamento de pequeno porte têm os prazos em dobro. Registre todos os incidentes, inclusive os que decidir não comunicar, com a avaliação feita, e guarde o registro por pelo menos cinco anos.

Instituições autorizadas a funcionar pelo Banco Central também devem comunicar ao Bacen, de forma tempestiva, os incidentes relevantes, conforme as Resoluções CMN nº 4.893/2021 e BCB nº 85/2021, atualizadas em dezembro de 2025 pelas Resoluções CMN nº 5.274 e BCB nº 538. Se a sua empresa presta serviços de tecnologia a um banco, essas regras chegam até você pelo contrato; nosso artigo sobre o que a CMN 5.274 e a BCB 538 exigem do fornecedor mostra como.

Seguradoras e demais supervisionadas pela SUSEP seguem as regras de segurança cibernética da Circular SUSEP nº 638/2021, e companhias abertas precisam avaliar se o incidente é um fato relevante a ser divulgado ao mercado, nos termos da Resolução CVM nº 44/2021. Comunicar o incidente ao CERT.br é voluntário. Se houve crime, como extorsão ou fraude, registre também um boletim de ocorrência.

União Europeia

O GDPR se aplica a organizações estabelecidas na UE e, pelo artigo 3(2), a uma empresa brasileira que ofereça bens ou serviços a pessoas na UE ou monitore o comportamento delas lá. Ele fixa a regra das 72 horas (artigo 33) e o critério de alto risco para avisar as pessoas (artigo 34). A parte difícil é saber qual autoridade avisar. Se você tem um estabelecimento principal na UE (em geral a administração central, ou o local onde se tomam as decisões sobre o tratamento), a autoridade de controle desse Estado-membro costuma liderar os casos transfronteiriços pelo mecanismo de balcão único (one-stop shop). Um escritório na UE que não toma essas decisões pode não contar. Sem estabelecimento na UE, o balcão único não se aplica: as diretrizes de notificação de violação do CEPD (EDPB) dizem que você deve notificar a autoridade de controle de cada Estado-membro onde vivem pessoas afetadas, e nomear um representante na UE pelo artigo 27 não muda isso. A resposta depende de como e onde você trata os dados, então resolva a questão com antecedência e registre-a no plano.

A NIS2 se aplica a entidades essenciais e importantes de 18 setores. O artigo 23 exige um alerta inicial em até 24 horas após a ciência de um incidente significativo, indicando se ele parece malicioso e se pode ter efeitos transfronteiriços. Uma notificação mais completa vem em até 72 horas, e um relatório final em até um mês depois dessa notificação, ou um relatório de andamento se o incidente ainda estiver em curso. Cada Estado-membro designa seu próprio CSIRT ou autoridade competente, então verifique a lei nacional de cada país onde você presta serviços. Nosso artigo sobre a NIS2 para fornecedores brasileiros explica quando ela alcança uma empresa no Brasil.

O DORA se aplica às entidades financeiras da UE desde 17 de janeiro de 2025. Quando uma entidade financeira classifica um incidente de TIC como grave, ela tem quatro horas para enviar a notificação inicial, e no máximo 24 horas a partir da ciência do incidente. O relatório intermediário vem em até 72 horas após a notificação inicial, e o relatório final em até um mês após o último relatório intermediário. Os critérios de classificação (clientes afetados, duração, perda de dados, serviços críticos atingidos) estão nas normas técnicas de regulamentação (RTS). Nosso artigo sobre o DORA nos serviços financeiros explica os demais requisitos.

Reino Unido

O UK GDPR também alcança organizações fora do Reino Unido que oferecem bens ou serviços a pessoas no país ou monitoram o comportamento delas. Por ele, o controlador deve comunicar uma violação de dados pessoais ao ICO sem demora injustificada e, quando viável, em até 72 horas após tomar ciência dela. Se a violação puder gerar alto risco para os direitos e liberdades das pessoas, o controlador também deve avisá-las, sem demora injustificada. Você também precisa registrar todas as violações, inclusive as que decidir não comunicar, com os fatos, os efeitos e as medidas tomadas. A página de comunicação de violações do ICO tem o formulário on-line e uma ferramenta de autoavaliação.

Os operadores de serviços essenciais sujeitos às NIS Regulations 2018 devem informar a autoridade competente do seu setor sobre um incidente com impacto significativo no serviço em até 72 horas após tomarem ciência dele. Provedores de serviços digitais relevantes, como marketplaces on-line e serviços em nuvem, comunicam ao ICO.

O projeto de lei Cyber Security and Resilience Bill substituiria esse regime por um modelo em duas fases: uma notificação inicial em até 24 horas após a ciência de um incidente significativo e um relatório completo em até 72 horas, enviados ao regulador e ao NCSC britânico. O projeto também incluiria provedores de serviços gerenciados e data centers.

A partir de 18 de março de 2027, as empresas de serviços financeiros passam a ter um regime único de comunicação de incidentes operacionais e de terceiros, conforme o PS26/2 da FCA e regras equivalentes da PRA, com relatórios em etapas para incidentes acima de limites definidos.

Estados Unidos

Cada estado americano tem sua própria lei de notificação de vazamentos, e vale a lei do estado onde mora cada pessoa afetada. Muitos estados exigem aviso "no prazo mais curto possível e sem demora injustificada"; outros fixam um prazo. Colorado, Flórida, Maine e Washington dão 30 dias, e a maioria desses estados também exige avisar o procurador-geral do estado quando o vazamento atinge certo número de residentes, geralmente 500. A orientação do procurador-geral de Washington é um exemplo claro. A definição de informação pessoal também varia, e muitos estados isentam dados criptografados, a menos que a chave também tenha sido levada.

De acordo com a HIPAA, as covered entities devem avisar as pessoas afetadas sem demora injustificada e em até 60 dias corridos após a descoberta. Violações que atingem 500 ou mais pessoas são comunicadas ao HHS no mesmo prazo, e as que atingem mais de 500 residentes de um estado ou jurisdição também exigem aviso a grandes veículos de imprensa da região. Violações menores são registradas e comunicadas ao HHS em até 60 dias após o fim do ano civil. Os business associates devem informar a covered entity em até 60 dias após a descoberta.

Companhias com ações listadas nos EUA devem divulgar um incidente de cibersegurança material no Form 8-K, Item 1.05, em até quatro dias úteis após decidirem que ele é material. A regra da SEC diz que a decisão deve ser tomada sem demora injustificada após a descoberta, e o fato de a investigação ainda estar em andamento não autoriza adiá-la. O adiamento só é possível se o Attorney General dos EUA determinar que a divulgação representaria risco substancial à segurança nacional ou pública.

Para a maioria das organizações, comunicar o incidente à CISA ou ao IC3 do FBI é voluntário, mas vale considerar. A Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) fixa, para entidades de infraestrutura crítica, 72 horas para incidentes cobertos e 24 horas para pagamentos de resgate, assim que a regra de implementação da CISA entrar em vigor; confira a situação do seu setor e as regras setoriais do seu próprio regulador.

Austrália

Pelo regime Notifiable Data Breaches, uma organização que suspeite de uma violação de dados elegível (eligible data breach, que possa causar danos graves) deve avaliá-la em até 30 dias. Quando concluir que a violação ocorreu, deve notificar o OAIC e as pessoas afetadas assim que viável. Os 30 dias são um teto, não uma meta.

As entidades responsáveis por ativos de infraestrutura crítica sob a Security of Critical Infrastructure Act (SOCI Act) comunicam ao Australian Cyber Security Centre, da ASD, em até 12 horas após tomarem ciência de um incidente com impacto significativo, e em até 72 horas quando o impacto é relevante. Um relatório de 12 horas feito por telefone deve ser seguido por um relatório escrito em até 84 horas. Desde 30 de maio de 2025, empresas com faturamento anual de A$ 3 milhões ou mais e as entidades responsáveis por infraestrutura crítica devem comunicar pagamentos de ransomware ou de extorsão cibernética em até 72 horas após fazerem o pagamento ou saberem que ele foi feito. As duas comunicações são feitas em cyber.gov.au.

Índia

As Directions do CERT-In de 28 de abril de 2022 exigem que provedores de serviços, intermediários, data centers, empresas e órgãos públicos comuniquem os incidentes cibernéticos listados em até seis horas após percebê-los ou serem informados deles. A lista é ampla e inclui violações de dados, ransomware, comprometimento de sistemas críticos e ataques a serviços em nuvem. As mesmas Directions exigem que os logs dos sistemas de TIC sejam mantidos na Índia por um período contínuo de 180 dias.

As Digital Personal Data Protection Rules, publicadas em 13 de novembro de 2025, acrescentam um dever separado: informar sem demora o Data Protection Board e cada pessoa afetada sobre uma violação de dados pessoais e, depois, enviar ao Board um relatório detalhado em até 72 horas. A expectativa é que as regras sobre violações passem a valer por volta de maio de 2027, 18 meses após a publicação das Rules.

Canadá

De acordo com o PIPEDA, uma organização do setor privado com uma violação que crie risco real de dano significativo deve comunicá-la ao Office of the Privacy Commissioner e avisar as pessoas afetadas assim que viável. Ela também deve manter por 24 meses um registro de todas as violações de salvaguardas de segurança, comunicáveis ou não. Quebec tem lei própria, que exige aviso sem demora à Commission d'accès à l'information sempre que houver risco de dano grave.

Contratos e seguros

A lei é só uma parte. Contratos de tratamento de dados (DPAs), contratos com clientes e contratos com fornecedores costumam fixar prazos de aviso próprios, às vezes de 24 ou 48 horas, e um prazo contratual perdido pode custar o cliente, mesmo que o regulador esteja satisfeito. As apólices de seguro cibernético geralmente exigem aviso imediato à seguradora, e muitas exigem que você use os prestadores de resposta e os advogados credenciados por ela. Em incidentes com pagamentos por cartão, as regras das bandeiras exigem avisar também o seu adquirente. Tire esses prazos dos contratos agora e coloque-os na mesma lista dos prazos legais.

Como montar uma matriz de notificação

Uma matriz de notificação é uma tabela no seu plano de resposta a incidentes com uma linha para cada regime que pode se aplicar a você. Defina os regimes a partir de onde você está estabelecido, onde vivem seus clientes e funcionários, em quais setores você atua, se tem ações listadas em bolsa e o que dizem seus contratos. Para cada linha, registre:

• O gatilho e o critério: que tipo de incidente conta e a partir de quando o prazo corre
• Cada prazo, incluindo os relatórios em etapas
• O destinatário e o canal de comunicação, com a URL ou o portal e qualquer conta que você precise criar com antecedência
• Quem decide se vai comunicar, quem envia e quem aprova o texto
• Se os titulares devem ser avisados e o modelo de aviso que você vai usar

Abaixo está o começo de uma matriz com três linhas de exemplo. Copie os títulos e adicione uma linha para cada regime da sua lista.

As linhas são ilustrativas. Critérios, prazos e canais variam por regime e mudam com o tempo, então confira cada linha na fonte oficial ao montar a matriz e de novo a cada revisão.

Faça pelo menos um exercício tabletop por ano em que a equipe precise usar a matriz contra o relógio, e atualize-a sempre que entrar em um novo país ou setor. Nosso guia para montar um plano de resposta a incidentes mostra onde a matriz entra, e nosso artigo sobre as primeiras horas após um incidente e a comunicação à ANPD trata da resposta em si.