Simulado de incidente LGPD: como testar a resposta da empresa

Um simulado de incidente LGPD permite descobrir, em ambiente controlado, se a empresa consegue reunir fatos, conter efeitos, avaliar riscos e tomar decisões sob pressão. O exercício não busca criar uma encenação dramática. Ele testa se pessoas, processos, contratos e canais funcionam juntos quando informações ainda são incompletas e o tempo importa.

Ter um plano escrito é necessário, mas não suficiente. Telefones mudam, responsáveis saem, fornecedores usam prazos diferentes e sistemas guardam evidências em locais que poucas pessoas conhecem. Durante um evento real, essas pequenas lacunas atrasam a análise. No exercício, elas aparecem sem que a organização precise enfrentar os efeitos de uma violação verdadeira.

O formato pode ser simples. Em um exercício de mesa, um facilitador apresenta fatos aos poucos e os participantes discutem o que fariam. A empresa não precisa desligar sistemas nem enviar comunicações reais. O valor está em observar decisões, dependências, escalonamentos e registros, usando um cenário compatível com os dados e serviços da organização.

O que um simulado de incidente LGPD deve testar

O exercício deve partir de objetivos claros. A empresa quer verificar acionamento da equipe, análise de risco aos titulares, comunicação com um fornecedor, elaboração de mensagem, preservação de evidências ou continuidade de um serviço? Escolher poucos objetivos permite aprofundar a observação e evita um roteiro tão amplo que ninguém sabe o que foi realmente avaliado.

A LGPD exige medidas para proteger dados pessoais e prevê comunicação pelo controlador quando o incidente puder acarretar risco ou dano relevante aos titulares. O teste precisa refletir essa lógica. Nem todo evento técnico é incidente com dados pessoais e nem todo incidente confirmado exige a mesma resposta externa.

Segundo a página oficial da ANPD sobre comunicação de incidentes, um incidente de segurança é um evento adverso confirmado que compromete confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais. A mera vulnerabilidade não explorada não é, por si, um incidente. O cenário deve permitir que a equipe reconheça essas diferenças.

Um bom simulado de incidente LGPD verifica também quem exerce o papel de controlador e quais operadores participam. É o controlador que avalia e, quando aplicável, comunica à ANPD e aos titulares. O operador precisa informar e cooperar de modo que o controlador possa decidir. Contrato, procedimento e equipe devem estar alinhados com essa divisão.

Escolha um cenário realista, mas seguro

O cenário deve nascer do ambiente da empresa. Uma clínica pode testar indisponibilidade e possível acesso a prontuários. Uma varejista pode trabalhar com credenciais comprometidas e histórico de compras. Uma instituição de ensino pode simular envio indevido de informações de estudantes. Uma empresa B2B pode receber do provedor de nuvem uma notificação ainda inconclusiva. Por isso, o simulado de incidente LGPD deve refletir serviços, dados e dependências que a equipe conhece no cotidiano.

Use dados fictícios e ambientes controlados. Não é necessário inserir malware, expor uma base real ou contatar titulares para tornar o teste sério. O facilitador pode fornecer mensagens, capturas preparadas, trechos de logs fictícios e respostas simuladas de terceiros. Qualquer atividade técnica mais invasiva exige escopo próprio, autorização e controles além do exercício de mesa.

O roteiro precisa conter incerteza suficiente para exigir análise. Se a primeira mensagem já informa causa, número de pessoas, dados e impacto, a equipe apenas executa um checklist. Em um caso real, essas respostas chegam em momentos diferentes. O simulado pode começar com uma reclamação de cliente, um alerta de segurança ou aviso de fornecedor e liberar fatos conforme os participantes perguntam e investigam.

Também convém evitar armadilhas artificiais. Um simulado de incidente LGPD não é prova surpresa para expor alguém. Os participantes podem conhecer objetivos e regras, embora não saibam todos os eventos do cenário. A avaliação deve recair sobre o processo e a cooperação. Falhas individuais muitas vezes revelam instrução vaga, canal ruim ou responsabilidade sem recurso.

Defina participantes, papéis e regras do exercício

O núcleo costuma envolver segurança ou TI, privacidade, jurídico e encarregado. Dependendo do cenário, inclua comunicação, atendimento, RH, operações, gestão de fornecedores e liderança executiva. Não é necessário colocar todas as pessoas na mesma sala desde o início. O exercício pode testar se o primeiro grupo sabe quando e como acionar os demais. A composição do simulado de incidente LGPD deve incluir quem investiga, decide, comunica e mantém o serviço afetado.

Nomeie um patrocinador, um coordenador, um facilitador e observadores. O patrocinador garante prioridade e acesso. O coordenador prepara escopo e participantes. O facilitador conduz a cronologia sem responder pela equipe. Os observadores registram horários, perguntas, decisões, evidências usadas e dificuldades. Essas funções podem ser ajustadas ao porte da organização.

Antes de começar, explique que nenhuma mensagem deve ser enviada para a ANPD, imprensa, clientes ou titulares. Marque documentos e canais como exercício. Defina uma palavra de interrupção caso surja um evento real. Se acontecer um incidente verdadeiro durante a sessão, o processo operacional deve assumir prioridade e o teste deve ser suspenso.

No convite do simulado de incidente LGPD, informe duração, objetivos, tratamento dos registros e expectativa de participação. Preserve confidencialidade, pois a discussão pode revelar vulnerabilidades e lacunas. O relatório final deve circular apenas entre quem precisa executar, supervisionar ou aprovar as melhorias.

Monte uma cronologia com informações progressivas

Uma sessão de duas ou três horas pode usar blocos. No primeiro, chega o alerta e a equipe decide se abre um caso, quem aciona e quais fatos busca. No segundo, aparecem indícios de dados pessoais afetados. No terceiro, o fornecedor fornece detalhes incompletos. No quarto, um titular publica reclamação. No quinto, a liderança pede posição e próximos passos. Com essa estrutura, o simulado de incidente LGPD revela como as decisões evoluem à medida que surgem novos fatos.

Cada inserção deve estar vinculada a um objetivo. Se a empresa quer testar gestão de fornecedores, inclua demora contratual, dúvida sobre suboperador ou dificuldade para obter logs. Se quer testar titulares, apresente categorias de dados e impactos que exijam linguagem clara. Se quer testar continuidade, mostre tensão entre manter o serviço e preservar evidências.

O facilitador deve responder conforme o material preparado, não inventar fatos para punir uma escolha inesperada. Quando os participantes fazem uma pergunta não prevista, pode registrar a necessidade e fornecer uma resposta neutra. O exercício também revela quais informações deveriam estar disponíveis no plano, no inventário ou no contrato.

Durante o simulado de incidente LGPD, registre quando a equipe percebe que há dados pessoais, quando reconhece o papel das partes, quando envolve o encarregado e quando inicia avaliação de risco. Observe se alguém declara uma conclusão antes de ter evidência, se há decisões paralelas conflitantes ou se o grupo espera certeza absoluta para começar medidas seguras de contenção.

Teste a avaliação de risco ou dano relevante

A Resolução CD/ANPD nº 15/2024 condiciona a comunicação à possibilidade de risco ou dano relevante aos titulares. A página da ANPD orienta considerar contexto do tratamento, categorias e quantidade de titulares, natureza e quantidade dos dados, potenciais danos e existência de proteção que impeça identificar as pessoas, entre outros aspectos.

O cenário deve fornecer elementos para uma análise documentada, não uma resposta automática. Dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, autenticação, sigilo e larga escala podem ser relevantes nos termos do regulamento, mas a equipe precisa considerar também se o incidente pode afetar significativamente interesses e direitos fundamentais.

Em um simulado de incidente LGPD, peça que o grupo registre fatos conhecidos, lacunas, medidas já tomadas, danos possíveis e conclusão provisória. A decisão pode mudar quando novas informações surgem. Isso não é falha. O problema é não atualizar o raciocínio ou não manter evidência de por que a organização decidiu comunicar ou não comunicar.

É recomendável ter assessoramento jurídico e técnico na avaliação, sem paralisar a resposta. Segurança explica o evento e as medidas. As áreas de negócio informam contexto e titulares. Privacidade organiza princípios, fluxos e direitos. Jurídico analisa obrigações aplicáveis. O controlador permanece responsável pela decisão, com apoio dessas competências.

Prazos e comunicação segundo a Resolução 15/2024

Quando a comunicação é aplicável, a Resolução CD/ANPD nº 15/2024 estabelece, em geral, o prazo de três dias úteis para o controlador comunicar à ANPD e aos titulares, ressalvada a existência de prazo previsto em legislação específica. A contagem deve seguir o regulamento e parte do conhecimento pelo controlador de que o incidente afetou dados pessoais.

O prazo não transforma todo alerta em notificação imediata. A equipe deve confirmar o evento, verificar o envolvimento de dados pessoais e avaliar risco ou dano relevante. Ao mesmo tempo, não pode adiar o início da análise até obter detalhes que talvez levem semanas. O simulado de incidente LGPD ajuda a testar esse equilíbrio entre diligência, rapidez e informação ainda parcial. Nesse teste, o simulado de incidente LGPD deve cobrar rapidez sem substituir análise por conclusões precipitadas.

O exercício pode pedir uma minuta de comunicação. Para os titulares, a ANPD indica linguagem simples, forma direta e individualizada quando possível e conteúdo sobre natureza e categoria dos dados, medidas de proteção, riscos, impactos, mitigação, data do conhecimento e contato, além de motivo de eventual demora. A mensagem deve orientar sem minimizar nem especular.

A comunicação externa simulada deve permanecer no ambiente do teste. Use destinatários fictícios e não abra protocolo real. A equipe pode preencher uma cópia de trabalho do formulário ou um modelo interno para identificar informações faltantes. O objetivo é testar capacidade, não movimentar o canal oficial sem um incidente verdadeiro.

Inclua fornecedor e contrato no exercício

Muitos eventos chegam por operador ou suboperador. O fornecedor identifica atividade incomum, mas ainda não sabe quais clientes foram afetados. A empresa precisa acionar o contato correto, pedir evidências, definir cadência de atualização e manter sua própria cronologia. Esperar passivamente o relatório final pode consumir o tempo necessário para decidir.

O artigo da TOGETHER sobre o vazamento de dados na Cemig discute a importância do preparo para contenção, investigação e comunicação. No exercício, essa preparação deve alcançar contratos: prazo de aviso, canal contínuo, conteúdo mínimo, preservação de logs, cooperação, subfornecedores e responsabilidade por mensagens.

Um simulado de incidente LGPD pode convidar um fornecedor crítico para participar ou designar alguém para representar suas respostas. A primeira opção testa a relação real. A segunda dá mais controle ao roteiro. Em ambos os casos, registre se a equipe sabe quem contatar fora do horário comercial e se o contrato oferece informação em tempo compatível com o risco.

Se o fornecedor também atende outros controladores, cada cliente pode precisar realizar sua própria avaliação. Evite presumir que uma nota genérica do operador resolve a comunicação do controlador. O teste deve mostrar quais fatos a empresa precisa para compreender seus titulares, seus dados e seus impactos.

Observe decisões, comunicação interna e evidências

Durante a sessão, avalie mais que a resposta final. A equipe abriu registro único do caso? Identificou responsável pela cronologia? Separou fato, hipótese e decisão? Preservou logs? Controlou versões da mensagem? Registrou quem aprovou? Essas práticas reduzem desencontro e sustentam a avaliação posterior. A observação do simulado de incidente LGPD precisa registrar o caminho seguido, as evidências consultadas e as aprovações.

A liderança precisa receber informação executiva útil: o que ocorreu, o que se sabe, quais serviços e pessoas podem ser afetados, o que foi feito, quais decisões precisam de aprovação e quando virá nova atualização. Longas explicações técnicas podem ocultar a escolha urgente. Mensagens vagas podem criar promessa sem base.

Atendimento e comunicação também devem saber usar uma fonte única. Se clientes entrarem em contato, respostas improvisadas podem contradizer a apuração. O simulado de incidente LGPD pode testar roteiro provisório, escalonamento e registro de manifestações, sem pedir que a equipe esconda fatos confirmados ou antecipe conclusões.

Observe ainda como o grupo trata divergência. Jurídico, segurança e negócio podem avaliar urgência de formas diferentes. O plano deve definir quem decide, como escalar e como registrar opinião técnica. Consenso é desejável, mas a ausência dele não pode deixar a organização sem responsável.

Avalie o exercício e crie um plano de melhoria

Ao final, faça uma conversa curta enquanto a memória está fresca. Pergunte o que ajudou, o que atrasou, quais informações faltaram e onde o plano não refletiu a prática. Depois, os observadores consolidam a linha do tempo e vinculam cada achado a evidências do exercício. Essa etapa do simulado de incidente LGPD transforma percepções dos participantes em melhorias concretas.

Classifique melhorias por impacto e esforço, sem usar uma nota única para esconder detalhes. Um contato desatualizado pode ser simples e urgente. A incapacidade de consultar logs exige projeto técnico. Uma cláusula inadequada pode depender de renovação. Um papel indefinido precisa de decisão de governança.

Cada ação deve ter responsável, prazo interno proporcional, critério de conclusão e evidência. Atualizar documento não basta quando a falha é operacional. Se ninguém encontrava o inventário, teste o novo acesso. Se o fornecedor demorou, valide o canal. Se a mensagem estava confusa, faça nova oficina. Se a avaliação de risco variou sem critério, revise o formulário e os exemplos.

Planeje um novo simulado de incidente LGPD para verificar as correções. O próximo cenário pode mudar o vetor e preservar alguns objetivos. A repetição não deve buscar aprovação teatral. Ela confirma se a empresa aprendeu e se a melhoria resiste a outra situação.

Como a TOGETHER pode apoiar

A TOGETHER pode prestar consultoria em LGPD para revisar o plano de resposta, construir cenários, conduzir o exercício e avaliar comunicação, papéis, contratos e evidências. O roteiro é adaptado ao setor, aos titulares, às tecnologias e aos fornecedores da empresa, sem expor sistemas ou dados reais sem necessidade.

Com DPO as a Service, a TOGETHER pode apoiar a avaliação de risco ou dano relevante, organizar a participação do encarregado, acompanhar medidas corretivas e manter a governança preparada entre os exercícios. Em um evento real, o serviço também pode coordenar informações para a decisão do controlador e os canais aplicáveis, em conjunto com jurídico e segurança.

O apoio inclui transformar o relatório do simulado de incidente LGPD em backlog verificável. Assim, contatos, formulários, cláusulas, acessos, mensagens e responsabilidades deixam de ser observações genéricas e passam a ter donos e critérios de conclusão.

Próximos passos

Escolha um serviço crítico e um cenário plausível. Defina três objetivos, convide quem toma as decisões e prepare uma cronologia com informações graduais. Marque todo o material como exercício, proíba comunicações reais e nomeie observadores para registrar tempo, fatos, decisões e dificuldades.

Depois, corrija as lacunas e teste de novo. Um simulado de incidente LGPD bem conduzido não promete eliminar incidentes. Ele reduz improviso, melhora a qualidade das decisões e deixa a empresa mais capaz de proteger titulares quando um evento real exige resposta.