PRO-LGPD-002 – Procedimento de Notificação de Incidente de Segurança à ANPD

Controle Documental

Campo	Informação
Código	PRO-LGPD-002
Versão	1.1
Data de Emissão	Abril/2025
Próxima Revisão	Março/2027
Aprovado por	DPO / Diretoria
Classificação	Uso Interno
LGPD	Art. 48
ISO 27001:2022	Requisito 6.1.3
Referências	PSI-014; FOR-LGPD-003; RIPD-001

Histórico de Revisões

Versão	Data	Autor	Descrição
1.0	Abr/2025	DPO / Coordenador de Tech	Emissão inicial
1.1	Mar/2026	DPO / Coordenador de Tech	Revisão periódica do documento

1. Objetivo

Estabelecer o processo formal para avaliação, decisão e execução da notificação à Autoridade Nacional de Proteção de Dados (ANPD) e comunicação aos titulares em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados pessoais, conforme art. 48 da LGPD.

2. Escopo

Aplica-se a todos os incidentes de segurança da informação que envolvam dados pessoais tratados pela METRA, seja como controladora ou operadora.

3. Critérios para Notificação Obrigatória

A notificação à ANPD é obrigatória quando o incidente puder acarretar risco ou dano relevante aos titulares. Consideram-se fatores de risco relevante:

Fator	Exemplos para a METRA
Tipo de dado exposto	Dados de saúde (exames, ASO, CID, laudos) — sempre relevante por serem dados sensíveis
Volume de titulares afetados	Quanto maior o número, maior o risco — incidentes com >50 titulares exigem notificação imediata
Natureza do incidente	Acesso externo não autorizado, ransomware, exfiltração de dados
Potencial de dano	Discriminação, estigma, dano trabalhista, financeiro ou à saúde do titular
Facilidade de identificação	Dados que permitam identificar diretamente o titular (nome + CPF + saúde)

Regra prática METRA: qualquer incidente que envolva dados de saúde ou mais de 10 titulares deve ser avaliado pelo DPO para decisão de notificação, independentemente do volume.

4. Prazo de Notificação

Marco	Prazo
Detecção do incidente	T=0
Avaliação de risco pelo DPO	Até T+4h
Acionamento da Diretoria (se risco Alto/Crítico)	Até T+4h
Notificação à ANPD	Até T+72h (referência: boas práticas internacionais e orientações da ANPD)
Comunicação aos titulares afetados	Em prazo razoável, determinado pelo DPO conforme o risco
Relatório final à ANPD (se solicitado)	Conforme prazo determinado pela ANPD

Atenção: O art. 48 da LGPD prevê comunicação "em prazo razoável". A ANPD adota como referência o prazo de 72 horas, alinhado com o GDPR europeu. Incidentes graves com dados de saúde devem ser comunicados no menor prazo possível.

5. Fluxo de Notificação

DETECÇÃO DO INCIDENTE
        │
        ▼
[T+0 até T+2h] CONTENÇÃO IMEDIATA
  └── Coordenador de Tech isola sistema, revoga acessos, aciona DPO
  └── DPO abre FOR-LGPD-003

        │
        ▼
[T+2h até T+4h] AVALIAÇÃO DE RISCO (DPO)
  └── Classifica dados afetados (sensíveis? volume?)
  └── Avalia probabilidade e gravidade do dano
  └── Decide: Notificar ANPD? Comunicar titulares?
        │
        ├── Risco BAIXO ──► Registrar em FOR-LGPD-003, monitorar, sem notificação
        │
        └── Risco MÉDIO / ALTO / CRÍTICO ──►
                │
                ▼
        [T+4h] ACIONAR DIRETORIA
          └── Briefing: natureza do incidente, dados afetados, decisão de notificação

                │
                ▼
        [Até T+72h] NOTIFICAÇÃO À ANPD
          └── Acessar portal da ANPD: peticionamento.anpd.gov.br
          └── Preencher formulário com dados da Seção 7
          └── Guardar comprovante e número de protocolo ANPD
          └── Registrar em FOR-LGPD-003

                │
                ▼
        COMUNICAÇÃO AOS TITULARES (quando aplicável)
          └── Utilizar modelo da Seção 8
          └── Definir canal (e-mail, carta, contato com empresa cliente)

                │
                ▼
        INVESTIGAÇÃO E REMEDIAÇÃO
          └── Identificar causa-raiz
          └── Implementar medidas corretivas
          └── Atualizar RIPD-001 se necessário

                │
                ▼
        ENCERRAMENTO
          └── Relatório final para Diretoria
          └── Fechar FOR-LGPD-003
          └── Lições aprendidas

6. Responsabilidades

Responsável	Atribuição
Qualquer colaborador	Reportar imediatamente ao Coordenador de Tech ou DPO ao detectar ou suspeitar de incidente
Coordenador de Tech	Contenção técnica; abertura do FOR-LGPD-003; suporte técnico à investigação
DPO	Avaliação de risco; decisão de notificação; elaboração das comunicações; interlocução com ANPD; comunicação aos titulares
Diretoria	Aprovação da comunicação externa; suporte ao DPO; providências jurídicas
RH	Apoio na comunicação a colaboradores afetados

7. Conteúdo da Notificação à ANPD

A notificação à ANPD deve conter, no mínimo (art. 48, §1º, LGPD):

Item	Informação a incluir
Data e hora do incidente	Quando ocorreu e quando foi detectado
Natureza dos dados afetados	Tipos de dados (saúde, identificação, financeiro etc.)
Informações sobre os titulares	Categorias (trabalhadores, colaboradores etc.) e número estimado
Medidas técnicas e de segurança adotadas	O que já foi feito para proteger os titulares
Riscos relacionados ao incidente	Potenciais danos aos titulares
Motivos da demora na comunicação	Se notificação ocorreu após 72h, justificar
Medidas adotadas ou que serão adotadas	Para remediar e prevenir recorrência

Portal da ANPD para peticionamento: peticionamento.anpd.gov.br

8. Modelo de Comunicação aos Titulares

Assunto: Comunicado Importante sobre Segurança dos seus Dados Pessoais – METRA

Prezado(a) [nome do titular ou "Titular"],

A METRA – Medicina e Segurança do Trabalho vem, por meio deste comunicado, informá-lo(a) sobre um incidente de segurança que pode ter envolvido seus dados pessoais.

O que aconteceu: [Descrever o incidente de forma clara e objetiva, sem termos técnicos desnecessários]

Quais dados foram afetados: [Listar as categorias de dados: ex. nome, CPF, dados de saúde]

Quando ocorreu: [Data/período do incidente]

O que fizemos: [Descrever as medidas de contenção e remediação adotadas]

O que você pode fazer: [Orientações específicas ao titular: monitorar suas contas, contatar o DPO, etc.]

Seu contato com o DPO: [e-mail do DPO] | [telefone]

Lamentamos o ocorrido e reafirmamos nosso compromisso com a proteção dos seus dados pessoais. A METRA já notificou a Autoridade Nacional de Proteção de Dados (ANPD) conforme exige a legislação.

Atenciosamente,

[Nome do DPO] Encarregado de Dados – METRA [e-mail] | [telefone]

9. Comunicação ao Controlador (quando METRA atua como Operadora)

Quando a METRA atua como operadora (ex.: exames para empresas clientes), em caso de incidente:

O DPO notifica imediatamente a empresa cliente (controladora) sobre o incidente, contendo as informações da Seção 7;
A responsabilidade de notificar a ANPD e os titulares é da empresa cliente (controladora);
A METRA coopera integralmente com a controladora, fornecendo informações técnicas, logs e evidências;
A METRA registra o incidente em FOR-LGPD-003 com indicação de que foi informado ao controlador.

10. Pós-Incidente

Após o encerramento de cada incidente, o DPO deve:

Registrar lições aprendidas em FOR-LGPD-003;
Avaliar se o RIPD-001 precisa ser atualizado com novos riscos ou alteração dos existentes;
Propor à Diretoria as melhorias necessárias em processos, tecnologia ou treinamento;
Apresentar relatório de incidentes à Diretoria semestralmente ou após incidente relevante.

11. Simulação e Exercícios

A METRA realizará ao menos 1 (um) exercício simulado de notificação de incidente por ano, envolvendo o Coordenador de Tech, o DPO e representante da Diretoria, para verificar a efetividade deste procedimento e o tempo de resposta.