Incidentes de Dados em Fintechs: o que a Resolução ANPD 15/2024 exige

Por que a comunicação de incidentes virou prioridade regulatória em 2025

Uma fintech descobre, numa sexta-feira à tarde, que credenciais de clientes foram expostas por falha em API de terceiro. A equipe de tecnologia isola o ambiente, abre chamado interno e planeja investigar com calma ao longo do fim de semana. O problema: o prazo regulatório para comunicar o incidente à ANPD já começou a correr.

Desde abril de 2024, a Resolução CD/ANPD nº 15/2024, que aprova o Regulamento de Comunicação de Incidente de Segurança (RCIS), transformou a obrigação genérica do art. 48 da LGPD em um protocolo com prazos duros, conteúdo mínimo prescrito e dever de registro por cinco anos. A norma passou a ser aplicada com rigor crescente a partir do segundo semestre de 2025, e o volume de fiscalizações abertas pela ANPD em 2025 já superou o acumulado de todos os anos anteriores combinados.

O que diz o art. 48 da LGPD e onde o RCIS avança

O art. 48 da LGPD estabelece que o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O dispositivo, porém, é lacônico: não define prazo exato, não descreve o conteúdo da comunicação e não disciplina o tratamento da notificação pela autoridade.

O RCIS preenche essas lacunas com precisão cirúrgica. São três eixos principais:

• Prazo: três dias úteis contados do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais (art. 6º do RCIS). Para agentes de pequeno porte, conforme a Resolução CD/ANPD nº 2, o prazo é contado em dobro — seis dias úteis.
• Conteúdo mínimo: a comunicação à ANPD deve contemplar doze pontos, incluindo natureza e categoria dos dados afetados, número de titulares impactados, medidas técnicas adotadas antes e após o incidente, riscos identificados e identificação dos operadores envolvidos. A comunicação aos titulares exige ao menos sete pontos específicos.
• Registro obrigatório: todos os incidentes devem ser documentados e mantidos por no mínimo cinco anos, independentemente de terem sido comunicados à ANPD.

Há ainda a possibilidade de a ANPD determinar ao controlador a ampla divulgação do incidente em meios de comunicação, quando necessário para garantia dos direitos dos titulares.

Quando a comunicação é obrigatória: o critério de risco relevante

Nem todo incidente gera obrigação de comunicação à ANPD e aos titulares. O gatilho é a presença de risco ou dano relevante para os titulares. O RCIS, complementado pelas diretrizes da ANPD, elenca critérios objetivos que tornam um incidente presumivelmente relevante.

São considerados de risco elevado os incidentes que envolvam:

• Dados pessoais sensíveis (origem racial, saúde, biometria, dados financeiros no sentido amplo);
• Dados de crianças, adolescentes ou idosos;
• Dados financeiros e de autenticação em sistemas;
• Dados protegidos por sigilo legal, judicial ou profissional;
• Dados em larga escala, definidos como aqueles que abrangem grande número de titulares, considerando volume, duração, frequência e extensão geográfica.

Para fintechs, a interseção é quase total. Uma SCD que opera crédito pessoal trata dados financeiros, dados de autenticação (senha, token, biometria) e, dependendo do modelo, pode atingir escala rapidamente. O incidente médio em uma fintech provavelmente ativa ao menos dois ou três critérios simultaneamente.

A avaliação de risco relevante é feita pelo próprio controlador — mas a ANPD pode discordar da conclusão em processo de fiscalização. Subnotificar um incidente que deveria ter sido comunicado é infração autônoma ao art. 48 da LGPD.

O prazo começa quando o controlador “toma conhecimento”: o detalhe que mais gera litígio

O termo inicial do prazo de três dias úteis é o conhecimento pelo controlador de que o incidente afetou dados pessoais. Parece simples, mas é o ponto que mais gera controvérsia na prática.

O operador (um fornecedor de cloud, um processador de pagamentos terceirizado) que detecta o incidente tem obrigação contratual e legal de informar o controlador sem demora injustificada. O prazo do controlador só começa com essa comunicação — mas a ANPD pode questionar se a demora do operador em avisar foi “injustificada” e se o controlador tinha mecanismos próprios de detecção que deveriam ter antecipado o conhecimento.

Na prática, a ausência de um sistema de monitoramento efetivo pode ser interpretada como negligência do controlador, encurtando o termo inicial na análise regulatória. Fintechs que externalizam toda a infraestrutura para terceiros e não possuem monitoramento próprio ficam expostas a essa interpretação desfavorável.

O que estruturar antes do incidente acontecer

O RCIS pressupõe que o controlador já tenha um processo de resposta a incidentes operacional no momento da ocorrência. Não é possível estruturar o plano durante a crise e ainda cumprir os prazos. As fintechs precisam ter, no mínimo:

1. Política formal de resposta a incidentes (IRP): documento aprovado pela diretoria, com papéis definidos, fluxos de escalada e critérios de triagem de risco. Deve ser compatível com as novas exigências de cibersegurança das Resoluções CMN e BCB publicadas em dezembro de 2025 para entidades do SFN.
2. Cláusula de notificação nos contratos com operadores: todo processador de dados deve ter obrigação contratual expressa de comunicar incidentes ao controlador em prazo inferior ao prazo regulatório, com SLA definido (recomenda-se 24 horas). Sem essa cláusula, o controlador fica à mercê do timing do operador.
3. Registro de incidentes (log de eventos de privacidade): sistema ou planilha auditável para registrar todo evento adverso relacionado a dados, comunicado ou não. O RCIS exige retenção por cinco anos.
4. Modelo de comunicação à ANPD e aos titulares: templates preenchíveis com os doze e os sete pontos mínimos, respectivamente, para agilizar a notificação dentro do prazo.
5. Definição do canal de peticionamento: a comunicação à ANPD é feita pelo DPO ou representante legalmente constituído via SEI!ANPD. Quem ainda não tem login ativo no sistema precisa regularizar antes da ocorrência.

Erros frequentes que transformam incidentes gerenciáveis em infrações graves

Confundir “confirmado” com “investigado”. O RCIS usa o termo “evento adverso confirmado”. Isso não significa que a investigação precisa estar concluída para iniciar o prazo. Se há confirmação de que dados pessoais foram afetados — mesmo que o escopo ainda seja indefinido — o prazo começa. É possível fazer comunicação preliminar e complementá-la em até vinte dias úteis contados da primeira notificação.

Notificar a ANPD e esquecer os titulares. O art. 48 da LGPD e o RCIS exigem comunicação dupla: à ANPD e aos titulares afetados. A comunicação à autoridade não substitui a comunicação direta ao titular quando há risco relevante. Casos fiscalizados pela ANPD mostram autuações específicas por omissão na comunicação aos titulares, mesmo quando a ANPD foi devidamente notificada.

Classificar todo incidente como “irrelevante” para evitar a comunicação. A ANPD adota modelo de fiscalização responsiva, mas tem demonstrado, em 2025, postura mais assertiva na análise de subnotificações. O não atendimento às medidas preventivas da autoridade pode agravar a sanção em eventual processo administrativo sancionador. A comunicação voluntária, por outro lado, é expressamente considerada como fator de boa-fé.

Ignorar o regime de dupla regulação das fintechs. Uma IP ou SCD que sofre incidente com dados financeiros de clientes está simultaneamente sujeita ao RCIS da ANPD e às exigências de comunicação ao BACEN previstas na regulação prudencial. Os prazos e os destinatários são distintos. A gestão do incidente precisa contemplar os dois fluxos em paralelo.

Síntese acionável: o mínimo que precisa estar pronto hoje

A Resolução CD/ANPD nº 15/2024 não criou uma obrigação nova — aprofundou e tornou exigível o que o art. 48 da LGPD já previa. O que mudou foi a granularidade das exigências e a disposição da ANPD em fiscalizar ativamente.

Para fintechs, o ponto de partida é reconhecer que praticamente qualquer incidente relevante vai acionar os critérios do RCIS — dados financeiros, de autenticação e eventualmente em larga escala são o núcleo do negócio. O plano de resposta a incidentes deixou de ser documento de prateleira para ser requisito operacional com prazo de ativação medido em dias úteis.

A comunicação voluntária e tempestiva, além de cumprir a lei, é expressamente reconhecida pela ANPD como demonstração de transparência e boa-fé, com efeito redutor em eventual sanção. Silêncio não é estratégia; é infração.

O Log.Law atua em proteção de dados e conformidade regulatória para fintechs e startups. Para avaliar um cenário particular, o contato está disponível no site.

FAQ

Uma fintech de pequeno porte tem o mesmo prazo de 3 dias úteis?

Não necessariamente. Para agentes de pequeno porte conforme definidos pela Resolução CD/ANPD nº 2, os prazos do RCIS são contados em dobro, ou seja, seis dias úteis para a comunicação à ANPD e aos titulares. O enquadramento como agente de pequeno porte depende de critérios objetivos de faturamento e volume de dados tratados — é necessário verificar se a fintech efetivamente se encaixa nessa categoria antes de contar com o prazo estendido.

O que acontece se o incidente for detectado pelo operador (ex.: provedor de cloud) e ele demorar a avisar?

O operador tem obrigação legal de informar o controlador sem demora injustificada. O prazo do controlador perante a ANPD só começa com o conhecimento do incidente — mas a ANPD pode questionar se a ausência de monitoramento próprio pelo controlador deveria ter antecipado esse conhecimento. A ausência de cláusula contratual com SLA de notificação ao operador também pode ser interpretada como falha na governança do controlador. O contrato com operadores precisa prever prazo explícito de comunicação, preferencialmente inferior a 24 horas.

Ransonware que criptografa dados internos sem vazamento externo precisa ser comunicado à ANPD?

Sim, se houver risco ou dano relevante aos titulares. O RCIS é expresso ao afirmar que incidentes de segurança não se restringem a violações de confidencialidade — abrangem também eventos de perda ou indisponibilidade de dados pessoais. Um ransomware que torna dados inacessíveis pode impedir o exercício de direitos pelos titulares, configurando risco relevante. A classificação depende de análise caso a caso, mas o erro mais comum é presumir que “não vazou, não precisa comunicar”.

A comunicação à ANPD substitui a notificação ao BACEN em caso de incidente em fintech regulada?

Não. São obrigações paralelas e autônomas. O RCIS da ANPD trata da proteção de dados pessoais dos titulares; a regulação prudencial do BACEN, em especial as resoluções de cibersegurança, exige comunicação à autoridade monetária quando o incidente afeta a integridade dos sistemas ou operações da instituição. Os prazos, os destinatários, o conteúdo exigido e as consequências do descumprimento são distintos. Fintechs reguladas precisam ter fluxos separados e coordenados para os dois regimes.