Se houver um incidente de dados, sua empresa precisa avaliar os impactos, coordenar a resposta e verificar a necessidade de comunicação à ANPD. Essas responsabilidades já existem. A proposta em consulta pública pode tornar mais explícita a relação entre incidentes e fiscalização, além de disciplinar medidas cautelares. Ela ainda não está em vigor. Para a operação, a preparação envolve integrar procedimentos de resposta, backup e continuidade, com participação das equipes de tecnologia, negócio e jurídico ou encarregado de dados.
O que está em consulta e o que pode mudar
A consulta pública sobre a revisão do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1, de 28 de outubro de 2021, está aberta de 9 de setembro a 26 de outubro de 2026, na plataforma Brasil Participativo. A revisão abrange a fiscalização de forma ampla: seu objeto não se limita aos incidentes de segurança.
Na minuta, o art. 2º, § 4º, proposto inclui expressamente a comunicação e a apuração de incidentes de segurança no processo de fiscalização, mantendo a aplicação da Resolução nº 15/2024. O art. 32, IV, proposto prevê a possibilidade de instaurar procedimento de apuração em razão de um incidente de segurança.
Já os arts. 14-A e 14-B propostos disciplinam medidas cautelares sem oitiva prévia, considerando especialmente o perigo decorrente de incidentes, e permitem multa diária para assegurar seu cumprimento.
Para as empresas, a proposta reforça a importância de conseguir explicar o ocorrido e apresentar informações organizadas sobre a resposta. Como o texto está em consulta, seus dispositivos devem ser tratados como possibilidades em discussão. A publicação da minuta não altera, por si só, as regras vigentes.
Quais prazos já precisam estar no procedimento
A Resolução CD/ANPD nº 15, de 24 de abril de 2024, está em vigor. Segundo essa norma, o controlador deve comunicar à ANPD o incidente que possa acarretar risco ou dano relevante aos titulares no prazo de três dias úteis, contado do conhecimento de que o incidente afetou dados pessoais, ressalvada legislação específica.
As informações podem ser complementadas em até vinte dias úteis. Para agentes de tratamento de pequeno porte, os prazos são contados em dobro. A avaliação sobre o enquadramento da organização e sobre a comunicação deve fazer parte da revisão dos procedimentos com o jurídico e o encarregado de dados.
Na prática, a empresa precisa fazer a informação circular entre as pessoas certas. Um alerta técnico pode chegar primeiro à equipe de infraestrutura, enquanto a avaliação dos dados envolvidos depende do responsável pelo sistema e da área de negócio.
Registrar quando o problema foi identificado, quais informações estavam disponíveis e como a análise evoluiu ajuda a coordenar esse trabalho. A existência de backup, isoladamente, não determina se um incidente precisa ser comunicado: a avaliação considera o possível risco ou dano relevante aos titulares.
Como conectar backup à resposta e à continuidade
Um incidente pode envolver indisponibilidade, alteração ou exposição de dados. Cada situação exige análise própria. Restaurar arquivos pode apoiar a recuperação operacional, mas não esclarece, por si só, se houve acesso indevido nem elimina os efeitos de uma eventual exposição.
Por isso, o plano de continuidade deve relacionar sistemas, dados e atividades de negócio. A empresa precisa conhecer as dependências entre aplicações e definir quais processos devem receber prioridade durante a recuperação. Essa decisão exige participação das áreas que utilizam os serviços.
O backup precisa acompanhar essa visão. É necessário revisar quais dados estão cobertos, como as cópias são acompanhadas e quem pode autorizar uma restauração. Os testes ajudam a verificar se os dados recuperados atendem ao uso esperado e se as aplicações conseguem utilizá-los.
Também é importante coordenar a recuperação com a investigação técnica. Restaurar um ambiente exige cuidado para preservar as informações necessárias à compreensão do incidente e avaliar as condições de retorno. Recuperação e apuração devem ser planejadas em conjunto.
Na CloudUnix, os backups do BackupPRO Cloud são replicados em três zonas de disponibilidade. Essa distribuição integra a estratégia de proteção das cópias. Sua aplicação no plano da empresa depende do escopo dos dados protegidos, das configurações adotadas e da validação dos procedimentos de recuperação.
O que revisar na sua empresa agora
A consulta oferece uma oportunidade para revisar a preparação operacional. Um exercício útil é percorrer um cenário de incidente com as equipes envolvidas: quem recebe o alerta, quem avalia os dados afetados, quem coordena a contenção e quem reúne as informações para a análise de comunicação.
Esse exercício também deve alcançar os fornecedores e as dependências externas. A organização precisa saber como acionar os responsáveis pelos serviços, quais informações solicitar e como acompanhar as ações em andamento. Contatos e responsabilidades documentados reduzem dúvidas durante a resposta.
Na continuidade, vale verificar se a infraestrutura corresponde aos requisitos das aplicações. O Cloud Enterprise atende requisitos próprios de cada empresa, incluindo softwares e versões homologadas, backups e estratégias de continuidade. O planejamento deve considerar as necessidades concretas da operação.
Acompanhe o resultado da consulta e revise os procedimentos com seu jurídico e encarregado de dados. Para avaliar como backup e infraestrutura podem compor a continuidade do negócio, converse com um arquiteto da Horizon sobre o projeto da sua empresa.
Perguntas frequentes
A proposta da consulta já está valendo? Não. A revisão do Regulamento de Fiscalização está em consulta pública até 26 de outubro de 2026. Os dispositivos apresentados são propostas e não devem ser tratados como regras em vigor.
Todo incidente precisa ser comunicado à ANPD? A regra vigente exige comunicação pelo controlador quando o incidente puder acarretar risco ou dano relevante aos titulares. A empresa deve avaliar o caso com seu jurídico e encarregado de dados, observando os prazos aplicáveis.
Ter backup resolve todas as consequências de um incidente? Não. O backup pode apoiar a recuperação de dados e a continuidade operacional. A resposta também precisa considerar a causa, os impactos, a possível exposição de informações e a avaliação sobre comunicação.
Fontes
Consulta pública: Revisão do Regulamento de Fiscalização — Brasil Participativo
ANPD abre audiência e consulta sobre atualização do Regulamento de Fiscalização
Resolução CD/ANPD nº 15, de 24 de abril de 2024