Incidente Com Dados Em Larga Escala

Definição Simples (O que é?)

Um “” é um Incidente de Segurança que afeta um número muito grande de pessoas (geralmente na casa das dezenas ou centenas de milhares) ou envolve um volume massivo de Dados Pessoais.

Não há um número exato que defina a “larga escala”; a ANPD avalia o contexto, o volume e o potencial de dano caso a caso.

Definição Formal (O que diz a Lei?)

A LGPD não define “larga escala” por um número fixo. No entanto, este é um critério central usado pela ANPD para medir a gravidade de um Incidente de Segurança e o (Art. 48, § 1º, IV).

É um dos principais fatores que levam a ANPD a determinar a Ampla Divulgação do Incidente e é considerado um fator agravante na aplicação de sanções.

Exemplos Práticos

O vazamento da base de dados completa de um e-commerce nacional, expondo dados de milhões de clientes.
Um ataque de ransomware que expõe os registos de pacientes de uma rede de hospitais com atuação em vários estados.
A exposição pública de dados de login e senha de todos os utilizadores de uma rede social ou aplicação popular.

Ponto de Atenção (Erro Comum)

O equívoco mais grave é pensar que “larga escala” é o único fator que define a gravidade de um incidente. Um incidente pode não ser de larga escala (ex: afetar apenas 50 pessoas), mas ser considerado gravíssimo se:

Envolver Dados Pessoais Sensíveis (ex: o diagnóstico de HIV desses 50 pacientes).
Afetar um Grupo Afetado vulnerável (ex: crianças ou idosos).

A gravidade é uma combinação do volume de pessoas afetadas, da natureza dos dados e do potencial de dano aos titulares.

Você Sabia? (Curiosidade)

O conceito de “larga escala” também é usado para definir se uma empresa precisa ou não de um . Empresas que realizam (mesmo fora de um incidente) geralmente não se qualificam para a dispensa de nomeação de , mesmo que se enquadrem como .