Atualizado em 11 de agosto de 2026. A página da ANPD sobre Comunicação de Incidente de Segurança foi modificada em 4 de agosto. Ela esclarece papéis: o controlador comunica incidentes à Agência quando os critérios se aplicam; o titular que quer noticiar ocorrência própria usa o canal de denúncia indicado.
Incidente tem significado específico
A ANPD descreve incidente como evento adverso confirmado que compromete confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. Uma vulnerabilidade isolada não é necessariamente incidente; sua exploração pode resultar em um. Essa distinção evita transformar qualquer erro de login em vazamento confirmado.
Conta inacessível não prova exposição
Falha de senha, manutenção ou restrição pode impedir acesso sem que dados tenham sido violados. Por outro lado, sessão desconhecida, alteração de recuperação e ação não realizada formam sinais que merecem resposta rápida. O leitor deve registrar fatos e pedir confirmação, sem diagnosticar a infraestrutura por conta própria.
Papéis do controlador e do titular
A comunicação formal de incidente à ANPD pertence ao controlador, segundo a página. O titular deve receber comunicação quando houver risco ou dano relevante nos termos aplicáveis e pode usar canais de denúncia. Isso não impede procurar imediatamente a organização, proteger a conta e registrar protocolos.
O aviso precisa ser lido com cuidado
Uma comunicação útil deve permitir entender natureza, dados envolvidos, riscos e medidas. Mensagem fraudulenta pode imitar um aviso e pedir senha ou código. Saia do e-mail e abra a conta ou o canal institucional por caminho independente. Nenhuma mitigação legítima exige entregar token a um atendente.
Dados de autenticação elevam o impacto
O glossário da ANPD inclui contas de login, tokens e senhas como dados de autenticação em sistemas. Se esses elementos podem ter sido expostos, troque credenciais por dispositivo confiável, encerre sessões e revise fatores. Senha reutilizada exige ação nos outros serviços, começando pelo e-mail.
Preserve evidência sem espalhar dados
Guarde horário, remetente, domínio, mensagem e protocolo. Não publique documento, saldo, e-mail de login ou captura completa. Um registro pode ser necessário para organização, instituição ou autoridade, mas deve seguir o canal e a finalidade corretos. Classificação pública de documento também merece cuidado.
Resposta prática em ordem
- interrompa interação suspeita;
- abra o serviço por caminho conhecido;
- proteja e-mail e conta;
- encerre sessões desconhecidas;
- revise alterações e fatores;
- contate o responsável;
- registre protocolo e orientações.
Se houver dado financeiro ou transação, acione também a instituição competente. O blog não intermedeia.
O que não fazer
Não pague por recuperação, não instale acesso remoto, não envie código e não crie outra conta para fugir do problema. Não apague mensagens antes de registrar o necessário. Evite continuar conversando com o possível fraudador para obter confissão.
Comunicação em etapas
A página explica que, quando o controlador não dispõe de todas as informações, a comunicação pode ser preliminar e depois complementar nas condições do regulamento. Para o titular, isso significa que um aviso inicial pode não encerrar a apuração. Acompanhe atualizações e diferencie o que está confirmado do que ainda é investigado.
Como este artigo será revisto
A redação acompanhará a página da ANPD, o Regulamento de Comunicação de Incidente e o glossário. Alterações de canal, prazo ou papel receberão nota. Não usamos postagem de rede social como única base para instrução sensível.
Fontes consultadas
ANPD, Comunicação de Incidente de Segurança, modificada em 4 de agosto de 2026, e Glossário de Proteção de Dados Pessoais. As URLs ficam no registro privado.
Síntese
O titular protege a conta, registra fatos e usa os canais adequados; o controlador avalia e cumpre obrigações de comunicação. Falha de login não basta para afirmar incidente. Leia também proteção após redefinição.