Em resumo. Um incidente de segurança só precisa ser comunicado à ANPD quando puder gerar risco ou dano relevante aos titulares, e o prazo é de três dias úteis a contar de quando o controlador toma conhecimento (Resolução CD/ANPD nº 15/2024). O aspecto que costuma escapar: quem faz esse juízo de relevância, em um primeiro momento, é a própria empresa. O vazamento que o iFood confirmou em junho de 2026 evidencia a extensão dessa zona cinzenta e a razão pela qual a decisão de não comunicar precisa nascer documentada.
Neste texto
- O que aconteceu, em poucas linhas
- Quando a LGPD obriga a comunicar um incidente à ANPD?
- Quem decide se o risco é "relevante"?
- "Larga escala" já tem régua? Ainda não
- A decisão que precisa sobreviver ao retrovisor
O que aconteceu, em poucas linhas
Em 3 de junho de 2026, o iFood confirmou um vazamento que expôs dados cadastrais, nome e CPF, de cerca de 1,2 milhão de clientes, com origem em um incidente de segurança ocorrido em dezembro de 2025. A empresa afirmou que senhas, meios de pagamento e dados financeiros não foram comprometidos e que, na sua avaliação, o episódio não representou risco ou dano relevante aos usuários. Foi essa leitura que a levou a não comunicar o caso à ANPD. A Autoridade, por sua vez, declarou que não recebeu comunicação formal do incidente e que já solicitou informações à empresa.
O caso concreto importa menos do que o mecanismo que ele expõe. Existe um ponto da LGPD que costuma passar despercebido até o momento em que chega à mesa do jurídico, e é exatamente esse ponto que está em jogo aqui.
Quando a LGPD obriga a comunicar um incidente à ANPD?
A comunicação é obrigatória quando o incidente puder acarretar risco ou dano relevante aos titulares. É o que estabelece o art. 48 da LGPD. A lei original falava apenas em "prazo razoável", expressão que sempre gerou insegurança, e a Resolução CD/ANPD nº 15/2024 encerrou a dúvida: o prazo é de três dias úteis, contados do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais.
Dois detalhes da Resolução mudam a rotina de quem opera proteção de dados. O primeiro: a comunicação inicial pode ser complementada de forma fundamentada em até vinte dias úteis, o que reconhece que nem tudo se sabe nas primeiras horas. O segundo, e mais esquecido: todo incidente precisa ser registrado e o registro guardado por no mínimo cinco anos, inclusive o incidente que a empresa decidiu não comunicar. Não comunicar nunca foi sinônimo de não documentar.
Quem decide se o risco é "relevante"?
No primeiro momento, o próprio controlador. Aqui mora o nó de todo o caso.
A obrigação de avisar a ANPD não dispara sozinha com o vazamento. Ela depende de um juízo sobre a relevância do risco, e esse juízo nasce dentro da empresa que sofreu o incidente, ou seja, na parte que detém o interesse mais direto em concluir que nada de grave ocorreu. A LGPD confia essa primeira leitura ao controlador, e a ANPD a reavalia em momento posterior, com o caso já público e o benefício da análise retrospectiva.
A própria Autoridade já deu o roteiro de como esse juízo deveria ser feito. A avaliação de relevância considera, entre outros fatores, a natureza dos dados afetados, o volume de titulares impactados e os efeitos potenciais do incidente. E há uma orientação que muda o ângulo da decisão: mesmo quando ainda restam dúvidas sobre a extensão dos riscos, espera-se que o controlador adote medidas preventivas e mitigatórias. A dúvida, na lógica da norma, pesa a favor de agir.
Nome e CPF ilustram bem o problema. Isolados, parecem inofensivos. Combinados e em escala, são a matéria-prima do golpe direcionado: a base que fornece ao fraudador o repertório para soar legítimo em uma ligação, em um e-mail ou em uma mensagem de "regularização de cadastro". Avaliar a relevância de um dado cadastral apenas pelo que ele revela, sem considerar o que ele habilita, é onde muitas leituras tropeçam.
"Larga escala" já tem régua? Ainda não
Um dos critérios que tendem a ensejar a obrigação de comunicar é o tratamento em larga escala. E aqui o cenário tem uma falha que conviria conhecer antes de tomar qualquer decisão: a ANPD ainda não parametrizou o que conta como larga escala. A tomada de subsídios sobre o tema foi aberta em abril de 2024 e segue sem definição fechada.
Para o controlador, isso é uma faca de dois gumes. De um lado, a ausência de um número oficial abre espaço para argumentar que determinado volume não configura larga escala. De outro, e este é o ponto que a defesa costuma subestimar, a indefinição de um critério não funciona como salvo-conduto. Quando a régua exata ainda não existe, a decisão volta a se apoiar nos demais fatores, natureza do dado e efeitos potenciais, e na orientação geral de prudência. Espaço para argumentar não é o mesmo que porto seguro.
A decisão que precisa sobreviver ao retrovisor
A resposta prática cabe em uma frase: documente o juízo de relevância no momento em que ele é feito, com os fatos e os fundamentos que levaram à conclusão, antes de arquivá-lo.
Uma decisão defensável se distingue de uma decisão frágil menos pelo resultado e mais pelo rastro documental que ela deixa. Uma empresa que avaliou natureza do dado, volume, efeitos potenciais e medidas adotadas, e que registrou esse raciocínio, chega à eventual fiscalização com uma narrativa coerente, mesmo que a ANPD discorde da conclusão. Uma empresa que concluiu "não era relevante" sem deixar como chegou ali tem pouco a apresentar quando a Autoridade pede explicações. O registro de cinco anos previsto na Resolução existe justamente para esse momento.
Há ainda um deslocamento de mentalidade que o caso torna visível. A comunicação de incidente costuma ser tratada como o capítulo final de uma crise, a etapa formal posterior ao momento mais agudo. Ela é, na prática, um teste de maturidade do programa de privacidade: mede se a organização sabe avaliar risco sob pressão, com método, e produzir prova dessa avaliação. Um programa que opera de fato não improvisa esse julgamento na urgência das primeiras horas. Ele já dispõe do critério escrito, do responsável definido e do registro pronto para ser preenchido, porque o momento de definir como se decide um incidente antecede o próprio incidente.
Fontes
- iFood confirma vazamento de dados de 1,2 milhão de usuários — Tecnoblog, 03/06/2026
- Vazamento de dados no iFood atinge 1,2 milhão de usuários — Seu Dinheiro, 03/06/2026
- iFood confirma vazamento; ANPD não foi comunicada e pediu informações — ICL Notícias, 03-04/06/2026
- LGPD (Lei nº 13.709/2018), art. 48
- Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança)
- ANPD, página oficial de Comunicação de Incidente de Segurança (gov.br/anpd)
Transparência: esta peça foi pesquisada e estruturada com apoio de IA, sob edição e responsabilidade de Maria Mercedes F. Cunha. A capa carrega Content Credentials (C2PA) com a procedência da imagem.
