Comunicação interna
Vazamento de dados de colaboradores: como a Comunicação Interna deve agir nos primeiros três dias úteis
Saiba como a Comunicação Interna pode apoiar a resposta a um vazamento de dados de colaboradores, com fluxo, responsabilidades e comunicação em três dias úteis.
Quando designada no protocolo interno, a Comunicação Interna pode redigir, distribuir ou apoiar a notificação aos colaboradores afetados após a decisão do controlador; essa divisão é uma recomendação organizacional, enquanto a obrigação regulatória e a decisão de comunicar permanecem com o controlador.
Em resumo
O prazo de três dias úteis é do controlador e começa quando ele toma ciência do incidente; confirmação, decisão, aprovação e notificação devem caber antes do vencimento.
CI trabalha com fatos confirmados, itens em apuração e uma próxima atualização definida, sem transformar hipóteses em fatos.
A notificação deve ser simples, direta e individualizada quando os afetados puderem ser identificados, com as informações mínimas indicadas pela ANPD.
A matriz e o log abaixo são recomendações de governança para adaptar ao protocolo interno da empresa.
O que CI não deve decidir
Nem todo incidente de segurança exige comunicação aos titulares. O controlador avalia se o incidente pode acarretar risco ou dano relevante e decide sobre a comunicação à ANPD e aos titulares. A orientação da ANPD sobre comunicação de incidente de segurança esclarece que comunicar somente a Autoridade não encerra a obrigação quando houver risco ou dano relevante.
CI não substitui a avaliação do controlador, a apuração técnica ou a orientação jurídica. Seu papel, quando previsto no protocolo interno, é transformar o conteúdo aprovado em uma mensagem compreensível, consistente, distribuída pelo canal adequado e rastreável.
Organize o fluxo de trás para frente
O prazo regulatório é de três dias úteis, ressalvada legislação específica, contados da ciência do controlador sobre o incidente. Ele não começa quando CI recebe a demanda, quando a investigação termina ou quando as áreas concluem a aprovação interna. O Regulamento de Comunicação de Incidente de Segurança e a LGPD são referências para o procedimento e seu fundamento legal.
A sequência abaixo não divide artificialmente o trabalho por dia. Ela organiza os quatro primeiros marcos para que a comunicação inicial devida ocorra dentro do prazo. O quinto marco é posterior ou adicional quando necessário: ele atualiza ou corrige a mensagem inicial, mas não a substitui nem prorroga o prazo.
Matriz operacional dos cinco marcos
Esta é uma recomendação de governança. Adapte responsáveis, aprovações e canais à estrutura interna, preservando o controlador como responsável pela decisão.
Marco | Decisão | Validação ou execução | Entrada | Saída | Relação com o prazo |
|---|---|---|---|---|---|
1. Confirmação técnica | Segurança confirma os fatos disponíveis para análise. | Segurança reúne fatos; CI pode estruturar a ficha factual. | Registro do incidente, dados potencialmente envolvidos, proteções e medidas adotadas. | Ficha com fatos confirmados e pontos em apuração. | Deve começar imediatamente após a ciência do controlador; não interrompe a contagem. |
2. Decisão do controlador | Controlador avalia risco ou dano relevante e decide se haverá comunicação. | Jurídico e Encarregado/DPO podem orientar; Segurança fornece a apuração. | Ficha factual e avaliação das áreas responsáveis. | Decisão e fundamentos registrados no protocolo. | Deve ocorrer a tempo de permitir aprovação e notificação dentro dos três dias úteis. |
3. Aprovação factual e jurídica | Controlador aprova a versão a enviar. | Segurança valida fatos; Jurídico e Encarregado/DPO podem orientar o conteúdo; CI redige; RH pode apoiar audiência e canais. | Rascunho, checklist e definição de destinatários. | Texto aprovado, audiência e canal definidos. | Deve anteceder a notificação inicial, sem consumir o prazo por espera indefinida. |
4. Notificação | Controlador mantém a decisão sobre o envio. | CI pode distribuir ou apoiar a distribuição; RH pode apoiar os canais laborais. | Texto aprovado, lista ou critério de alcance e canal. | Comunicação inicial enviada e registrada. | Deve ocorrer dentro dos três dias úteis quando a comunicação for devida. |
5. Atualização | Controlador aprova correções ou complementos necessários. | Segurança confirma novos fatos; CI prepara e registra a atualização. | Novas informações confirmadas, correções e dúvidas recebidas. | Atualização com canal, horário e alterações explícitas. | Pode ocorrer depois da comunicação inicial; não substitui nem estende o prazo dela. |
Use uma ficha factual antes de redigir
No primeiro marco, separe claramente o que está confirmado, o que está em apuração e qual será a próxima atualização. A ficha pode registrar:
o que ocorreu e quando o incidente se tornou conhecido;
natureza e categorias dos dados possivelmente afetados;
grupos de pessoas potencialmente envolvidos;
proteções existentes e medidas já tomadas;
riscos, possíveis impactos e limitações ainda em apuração.
Não transforme “possivelmente envolvido” em “afetado” nem uma causa provável em fato. Se uma informação necessária ainda não estiver disponível, o protocolo deve indicar o que já foi confirmado, explicar a limitação ou eventual demora quando aplicável e definir a atualização sob validação das áreas responsáveis.
Checklist do comunicado ao colaborador
A ANPD orienta que a comunicação ao titular seja simples, direta e individualizada quando a identificação for possível. Use este checklist na aprovação:
natureza e categorias dos dados pessoais afetados;
proteções técnicas e de segurança utilizadas, preservados os segredos comercial e industrial;
riscos relacionados ao incidente e possíveis impactos sobre os titulares;
motivos de eventual demora na comunicação;
medidas adotadas para reverter ou mitigar os efeitos;
data em que o incidente se tornou conhecido; e
canal de contato, incluindo o Encarregado quando aplicável.
A lista não deve virar texto burocrático. Um comunicado útil explica o que a pessoa precisa saber, quais medidas foram tomadas, que orientação aprovada ela deve seguir e onde pode pedir ajuda. Os princípios de como fazer um comunicado interno ajudam a estruturar assunto, contexto, impacto, ação esperada e canal para dúvidas.
Defina quem recebe a mensagem
Quando os colaboradores afetados puderem ser identificados, a comunicação deve ser direta e individualizada. Se isso não for possível, pode ser necessário alcançar todas as pessoas presentes na base violada. Comunicação indireta é excepcional e precisa ser justificada.
Não confunda a notificação aos afetados com um aviso operacional para toda a empresa. Lideranças e atendimento podem precisar de orientações para responder dúvidas, mas não devem receber detalhes pessoais ou técnicos desnecessários. A disciplina é semelhante à de um comunicado de mudança: responder às dúvidas reais sem preencher lacunas com conclusões.
Mantenha um log de versões e decisões
O modelo abaixo também é uma recomendação de governança. Ele não transforma cada campo em exigência legal, mas ajuda a preservar rastreabilidade. A ANPD pode solicitar cópia do comunicado enviado aos titulares, embora não exija a lista de titulares ou seus contatos como comprovação.
Campo | Preenchimento recomendado |
|---|---|
Versão | Identificador da mensagem, como V1 ou V2. |
Data e horário | Momento da aprovação e do envio. |
Audiência | Colaboradores afetados ou outro público operacional, com o critério usado. |
Canal | E-mail, canal individual ou outro meio definido no protocolo. |
Aprovadores | Pessoas e áreas que validaram a versão. |
Fatos incluídos ou corrigidos | O que entrou, mudou ou foi corrigido, sempre com base confirmada. |
Justificativa da alteração | Motivo da nova versão, da correção ou da atualização. |
Próxima atualização | Responsável, canal e horário previsto, quando houver informação pendente relevante. |
Esse registro permite responder objetivamente qual versão foi enviada, para quem, quando, por qual canal e com base em quais fatos aprovados. É o mesmo princípio de rastreabilidade útil na gestão de políticas internas, aplicado a uma situação que exige rapidez e cuidado adicional.
Prepare o protocolo antes de precisar dele
Reúna Controlador, Segurança, Jurídico, Encarregado/DPO, RH e CI para adaptar a matriz, validar a ficha factual, escolher canais e testar o log. Em um incidente real, CI poderá se concentrar no que lhe cabe: comunicar fatos aprovados com clareza, alcançar as pessoas certas e registrar atualizações sem assumir decisões que pertencem ao controlador.
Perguntas frequentes
CI pode avisar os colaboradores antes da decisão do controlador?
CI pode preparar rascunhos e organizar canais, mas a decisão sobre comunicar o incidente e o conteúdo aprovado cabe ao controlador com as áreas responsáveis pelos fatos e pelo enquadramento.
Quando começa o prazo de três dias úteis?
O prazo começa quando o controlador toma ciência do incidente. Por isso, confirmação técnica, decisão, aprovação e notificação devem ser organizadas para caber antes do vencimento, sem contar a partir do acionamento de CI.
É obrigatório avisar todos os colaboradores?
Não necessariamente: a comunicação deve alcançar os titulares afetados de forma direta e individualizada quando eles puderem ser identificados; se isso não for possível, a estratégia de alcance deve ser avaliada e justificada pelas áreas responsáveis.
O que fazer quando ainda há fatos em apuração?
Comunique os fatos confirmados, informe a limitação ou eventual demora quando aplicável e defina quando e por qual canal haverá atualização; não apresente hipóteses como fatos nem use a atualização para substituir a comunicação inicial devida.
Um comunicado geral substitui a notificação individual?
Não quando os afetados puderem ser identificados, pois a orientação da ANPD é que a comunicação seja direta e individualizada nessa situação.
Quem deve aprovar cada versão?
O protocolo deve preservar o controlador como responsável pela decisão. Como recomendação de governança e conforme a estrutura interna, Segurança pode validar os fatos; Jurídico e Encarregado/DPO podem orientar o conteúdo; RH pode apoiar a definição da audiência e dos canais; e CI pode redigir, distribuir ou apoiar a distribuição e registrar as versões.
