Relatorio De Tratamento De Incidente

Definição Simples (O que é?)

É o documento interno que a empresa (o ) prepara depois que um Incidente de Segurança acontece. Ele serve como um “diário de bordo” ou uma “autópsia” do incidente, registando formalmente tudo o que aconteceu:

A descrição do incidente (o que, quando, onde);
A análise de risco (o , os );
As ações tomadas (a Comunicação de Incidente à ANPD e aos titulares, se necessária);
As adotadas.

É a prova formal de que a empresa tratou o incidente de forma diligente.

Definição Formal (O que diz a Lei?)

O Regulamento de Comunicação de Incidentes de Segurança (Resolução CD/ANPD nº 1/2021) estabelece que, mesmo nos casos em que um incidente não é comunicado à ANPD (por não ter risco relevante), o deve “manter o registro da ocorrência” (Art. 9º, § 2º).

Este registro é o Relatório de de Incidente, que deve conter as informações mínimas de análise, mesmo que simplificado.

Exemplos Práticos

Um funcionário envia acidentalmente um e-mail com dados de 50 clientes para um destinatário errado.
O () é notificado, inicia o Procedimento de Apuração e conclui que o risco não é relevante (o destinatário é conhecido, confirmou que apagou o e-mail, etc.).
A empresa decide não comunicar à ANPD.
Neste ponto, o deve elaborar o Relatório de de Incidente, registando: a data, a descrição do incidente, a análise de risco que justificou a não comunicação e as (ex: treinar o funcionário sobre o uso de e-mail).

Ponto de Atenção (Erro Comum)

O erro mais comum é achar que este relatório só é necessário se o incidente for grave ou se for comunicado à ANPD. Isso está incorreto. A Resolução exige o registro de todas as ocorrências, mesmo as de baixo risco que não são comunicadas.

Este relatório é a sua principal (e às vezes única) prova, durante uma Fiscalização, para justificar por que você decidiu não comunicar um incidente à autoridade.

Você Sabia? (Curiosidade)

Este relatório é uma peça-chave do Princípio da Responsabilização e Prestação de Contas. A ANPD pode solicitar cópias desses relatórios internos a qualquer momento durante uma Fiscalização para avaliar a maturidade do Programa de Governança em Privacidade (PGP) da empresa e a sua seriedade na gestão de incidentes.