Incidente no fornecedor: os 3 dias úteis são seus
Quem comunica o incidente à ANPD é o controlador, ou seja, a sua empresa, mesmo quando a falha aconteceu dentro do fornecedor. O prazo é de três dias úteis, contados de quando você toma conhecimento. O fornecedor precisa avisar você sem demora injustificada, e é só isso que a norma exige dele.
Quem comunica o incidente quando a falha foi do fornecedor?
Você. A página oficial da ANPD sobre comunicação de incidentes é direta: a obrigação legal de comunicar aos titulares e à Autoridade é do controlador, nos termos do art. 48 da LGPD. O operador, que na prática é o fornecedor que trata dados em seu nome, deve informar o fato ao controlador sem demora injustificada e entregar tudo o que a comunicação exige.
Repare na assimetria. Você tem um prazo em dias, contado e fiscalizável. O fornecedor tem uma expressão: sem demora injustificada. Por isso a própria ANPD recomenda que as obrigações de comunicação entre controlador e operador sejam estabelecidas em contrato.
A leitura jurídica do seu caso é do encarregado e do jurídico. O que interessa aqui é a consequência operacional, que ninguém resolve com cláusula: no dia do incidente, a sua empresa precisa saber responder perguntas sobre um sistema que roda na casa de outra pessoa.
Por que o relógio de três dias é mais curto do que parece?
Porque ele começa a correr quando você descobre, e a descoberta não está sob seu controle. A Resolução CD/ANPD nº 15/2024 fixa três dias úteis no art. 6º e diz, no § 1º, que o prazo conta do conhecimento pelo controlador de que o incidente afetou dados pessoais. O § 8º dobra os prazos para agentes de tratamento de pequeno porte, o que dá seis dias úteis. Confira com o seu jurídico se a empresa se enquadra nesses critérios, porque o enquadramento não é automático. O art. 9º repete a regra para a comunicação aos titulares.
Enquanto isso, a exposição por terceiros cresceu. O Data Breach Investigations Report 2026 da Verizon, que analisou incidentes ocorridos entre novembro de 2024 e outubro de 2025, registrou envolvimento de terceiros em perto de metade das violações, com alta de 60% na comparação anual.
O mesmo relatório mostra o outro lado do problema. Apenas 23% das organizações terceiras corrigiram por completo as falhas de autenticação multifator apontadas. Senha fraca e permissão mal configurada levam perto de oito meses para que metade dos achados seja resolvida. Vale um cuidado de método: a Verizon vende serviços de segurança, embora o relatório reúna dados de forças policiais, CERTs e empresas de resposta a incidentes de vários países.
Some as duas coisas. Você depende de um aviso sem prazo definido para iniciar uma contagem com prazo definido, sobre uma falha que costuma levar meses para ser fechada do outro lado.
O que o formulário da ANPD pede que você não tem no dia do incidente?
Doze informações, listadas no art. 6º, § 2º. Quatro delas costumam faltar justamente quando o incidente foi no fornecedor.
A identificação do operador. Parece trivial até a empresa perceber que não sabe qual fornecedor guarda qual base, porque a contratação foi feita por área e não por arquitetura.
A causa principal do incidente, quando for possível identificá-la. Ela está no log de outra empresa.
O total de titulares cujos dados são tratados na atividade afetada, além do número de titulares efetivamente afetados, com destaque para crianças, adolescentes e idosos. Duas contagens diferentes, e nenhuma delas sai de memória.
Existe uma válvula, e convém conhecê-la antes de precisar dela. Sem as informações completas, a comunicação pode ser feita em duas etapas, preliminar e complementar, com vinte dias úteis para completar, desde que a impossibilidade seja justificada. É exceção prevista, não plano. A pergunta continua de pé, só muda de data: em vinte dias úteis você vai ter esses números?
Há ainda o art. 10, que obriga a manter registro do incidente por no mínimo cinco anos, inclusive dos que você decidiu não comunicar, com os motivos da ausência de comunicação. O incidente que não vira comunicação vira documento.
Repare também no que aciona o gatilho. Entre os critérios de risco relevante do art. 5º está dado de autenticação em sistemas, que o art. 3º define como conta de login, senha e token. As credenciais que ligam os seus sistemas ao fornecedor são, elas próprias, dado sujeito à regra.
Um exemplo, e ele é uma hipótese
O cenário a seguir é hipotético, montado com regras e prazos reais para mostrar a mecânica. Os números são ilustrativos e não descrevem nenhum cliente, caso ou incidente real.
Uma rede de academias com quatro unidades usa um sistema de matrículas contratado de um fornecedor. No dia 2, alguém acessa indevidamente a base desse fornecedor. No dia 12, a rede recebe um e-mail avisando do ocorrido, sem detalhe de causa e sem número de registros expostos.
O relógio da rede começa no dia 12. Em três dias úteis ela precisa dizer à ANPD quantos alunos foram afetados, quantos são menores ou idosos, qual a causa principal e quantos alunos existem na atividade afetada. Nada disso está na rede: está no fornecedor, que já demorou dez dias para dar a primeira notícia. Cabe a comunicação preliminar, com justificativa e vinte dias úteis para complementar, mas o prazo maior não muda de lado quem tem os números.
Some o agravante do art. 9º, § 3º. Se a rede não conseguir identificar os titulares afetados, precisa divulgar o incidente publicamente, pelos seus próprios canais, por no mínimo três meses. A empresa passa de vítima da falha de um terceiro a anunciante do problema, sem nunca ter tido acesso ao sistema que falhou.
Que decisões de arquitetura reduzem essa exposição?
Quatro, e nenhuma delas é compra de software de segurança. Nenhuma delas é auditoria, teste de invasão ou parecer jurídico, que são trabalho de outros especialistas. O que segue é decisão de arquitetura: onde o dado mora, quantas cópias existem e quem consegue contá-las sem pedir licença.
A primeira é o inventário de onde o dado mora. Uma lista com qual base, em qual fornecedor, com qual categoria de dado, quantos titulares e quem responde internamente. Sem isso, os incisos X e XII do formulário viram pesquisa interna no pior dia possível. É a mesma pergunta que aparece em como avaliar a integração antes de contratar uma ferramenta, só que feita antes da assinatura.
A segunda é reduzir o número de cópias. Cada área que adotou a própria ferramenta criou mais um lugar onde o dado do cliente existe, e cada lugar desses é uma comunicação possível no seu nome. É o custo silencioso do shadow IT: a fatura mensal aparece, a superfície de dado não.
A terceira é o contrato de dado. Prazo em horas para o fornecedor avisar, conteúdo mínimo do aviso, quem no time dele fala com quem no seu e o compromisso de entregar o que o art. 6º, § 2º exige. A ANPD recomenda o contrato, e é ali que a expressão sem demora injustificada vira número.
A quarta é a capacidade de responder sozinho. Se a sua base de clientes está no seu sistema de registro, você conta os titulares afetados sem pedir licença a ninguém, mesmo quando a falha foi lá fora. Foi esse o movimento da SuperVida ao trocar uma base improvisada no Airtable por um ERP sob medida e da Colo Saúde ao assumir uma plataforma herdada e conduzir a migração para um stack próprio.
Segurança de acesso dentro de casa continua valendo, e já tratamos disso em controle de acessos. O ponto aqui é outro. O perímetro da sua empresa não termina no seu escritório. Ele termina no último fornecedor que guarda um dado seu, e quem responde pelo conjunto é você.
Perguntas frequentes
Meu fornecedor é grande e tem certificação. Isso não resolve o problema?
Reduz a chance da falha, não muda quem responde. A obrigação do art. 48 continua sendo do controlador, e o tamanho do fornecedor não encurta o tempo até ele avisar você. No dado da Verizon, terceiros são a parte lenta da correção: só 23% fecharam por completo as falhas de autenticação apontadas. Certificação é um bom critério de escolha. Ela não substitui um contrato com prazo de aviso.
Não tenho equipe qualificada para montar esse inventário. Por onde começo?
Por uma planilha de meia hora com três colunas: qual sistema, qual dado de cliente ele guarda e quem responde por ele aqui dentro. A parte difícil não é técnica, é decidir quem é o dono de cada linha. Depois disso a conversa muda de assunto, porque fica visível quais bases precisam voltar para dentro e quais podem ficar onde estão.
A integração com o que já uso vai ficar mais complicada por causa disso?
Não precisa ficar. O que muda é o critério: em vez de perguntar apenas se a ferramenta conecta, você passa a perguntar quais dados saem, para onde vão e o que acontece quando ela falha. Integração desenhada com fronteira clara costuma dar menos trabalho de manutenção do que a que foi ligada às pressas, então o ganho aparece antes do incidente.
O próximo passo
Se você não sabe dizer hoje quantos fornecedores guardam dados dos seus clientes, o Diagnóstico de Arquitetura Operacional é uma conversa de 30 minutos para mapear isso antes que o prazo comece a correr. Fale com um arquiteto.
Leia também
Cases relacionados
Reconheceu a sua operação neste artigo?
Agende o Diagnóstico de Arquitetura Operacional: 30 minutos para mapear onde está o gargalo da sua operação. Sem proposta na primeira conversa.
Agendar diagnóstico