Solicitar diagnóstico

Inteligência de marketing · consultoria de LGPD

Inteligência de marketing para consultoria de LGPD: a resposta a incidente deixou de ser narrativa e virou prazo, informação e registro — três coisas que se medem.

A conversa sobre LGPD costuma ficar no discurso de conformidade. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, aprovou o Regulamento de Comunicação de Incidente de Segurança e fixou o que um cliente precisa **conseguir provar**: três dias úteis para comunicar à ANPD e ao titular, doze informações obrigatórias, e o registro do incidente guardado por cinco anos. Para uma consultoria, isso é matéria de painel — e não de apresentação institucional.

Para o sócio ou gestor de consultoria de adequação à LGPD que quer acompanhar, cliente a cliente, o que a norma de incidente exige. Não é conteúdo sobre transferência internacional de dados, sobre a função de encarregado nem sobre segurança no site da consultoria: disso tratam as irmãs de estratégia, tráfego pago e sites deste mesmo nicho.

Conversar sobre a inteligência da minha consultoriaFazer o diagnóstico de dados

A norma de incidente fixa prazo, conteúdo e guarda — e é isso que o painel da consultoria precisa mostrar

A Resolução CD/ANPD 15/2024 aprovou o Regulamento de Comunicação de Incidente de Segurança. O art. 4º torna a comunicação obrigatória; o art. 5º define quando o incidente é relevante, por seis critérios cumulativos; o art. 6º fixa o prazo de três dias úteis para a ANPD, com doze informações (I a XII) e possibilidade de complementar em vinte dias úteis; o art. 9º repete o prazo de três dias úteis para o titular, com linguagem simples e, se a comunicação individual for inviável, divulgação por no mínimo três meses; e o art. 10 exige o registro do incidente por cinco anos. Para a consultoria, cada um desses itens é um campo de acompanhamento — e um ponto de checagem com o cliente.

Cinco pontos em que o regulamento de incidente muda o que a consultoria mede

Não muda o diagnóstico de LGPD que a consultoria já faz — muda o que ela precisa acompanhar, cliente a cliente, para que o prazo seja cumprido.

Quando a consultoria acompanha o que a empresa do cliente faz ao detectar um incidente

O prazo é de três dias úteis, contados do conhecimento do controlador

O art. 6º exige a comunicação à ANPD em três dias úteis, e o § 1º conta esse prazo do conhecimento pelo controlador de que o incidente afetou dados pessoais; o art. 9º repete o mesmo prazo para a comunicação ao titular.

O relógio começa quando o cliente sabe, não quando decide comunicar. É um dado que a consultoria precisa registrar junto do cliente, e não descobrir depois.

Quando o cliente precisa justificar por que comunicou, ou por que não comunicou

Seis critérios decidem se o incidente é relevante — e a decisão precisa estar documentada

O art. 5º exige que o incidente possa afetar significativamente interesses e direitos fundamentais e envolva, cumulativamente, ao menos um de seis critérios: dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação, protegidos por sigilo ou em larga escala.

A análise de relevância é uma decisão com consequência, e o art. 8º permite à ANPD pedir o relatório de tratamento do incidente. A consultoria precisa guardar o raciocínio, não só a conclusão.

Quando a consultoria prepara o cliente para responder a um incidente

A comunicação à ANPD tem doze informações obrigatórias

O art. 6º, § 2º, lista as doze informações (I a XII), da natureza dos dados ao total de titulares tratados; o § 3º admite complementar, de forma fundamentada, em vinte dias úteis; o § 5º exige o envio pelo encarregado, com prova de vínculo contratual ou funcional.

A consultoria que mapeia, antes do incidente, onde cada informação está deixa o cliente pronto para preencher o formulário. Sem isso, o prazo de três dias é gasto procurando dado.

Quando o controlador não consegue identificar todos os titulares afetados

Quando a comunicação individual é inviável, a norma manda divulgar — e isso é comunicação

O art. 9º, § 1º, exige linguagem simples; o § 3º manda, se a comunicação direta e individualizada for inviável, divulgar no sítio eletrônico, aplicativos e mídias sociais, com amplo conhecimento e fácil visualização, por no mínimo três meses.

A saída pelo sítio e pelas mídias é uma peça de comunicação com prazo e conteúdo. A consultoria que entrega o texto e o plano de veiculação resolve a norma e o canal no mesmo movimento.

Sempre, ao decidir qual camada da relação com a LGPD uma peça descreve

É um mecanismo distinto do que as irmãs de estratégia, tráfego e sites tratam

A irmã de estratégia (A621) trata da Resolução CD/ANPD 19/2024 e da transferência internacional; a de tráfego pago (A361) trata da Resolução 18/2024 e da função de encarregado; a de sites (A571) trata dos arts. 46 a 49 da LGPD, sobre segurança e incidente no site da própria consultoria.

Esta página não trata do portfólio nem do site da consultoria: trata do que ela mede, cliente a cliente, para cumprir o regulamento de incidente. É outra pergunta, com o mesmo profissional.

O que a consultoria precisa conseguir acompanhar por cliente

A medida não é sobre a consultoria saber a norma — é sobre ela conseguir provar o prazo e o registro do cliente.

O primeiro corte confere, cliente a cliente, se a análise de relevância do art. 5º fica documentada e se o registro do art. 10 tem os oito itens mínimos.

O segundo confere o caminho do prazo: onde estão as doze informações do art. 6º, § 2º, e quem, na empresa, é o encarregado que assina a comunicação.

  • Cada cliente tem registro de incidente com os itens do art. 10, mantido pelo prazo de cinco anos.
  • A análise dos seis critérios do art. 5º fica documentada, e não apenas verbal.
  • As doze informações do art. 6º, § 2º, estão mapeadas antes de qualquer incidente.
  • O encarregado está identificado e tem vínculo comprovável para o envio do art. 6º, § 5º.
  • Existe plano de divulgação pelos canais do art. 9º, § 3º, caso a comunicação individual seja inviável.

Quando o cliente não registra incidente, o painel não tem o que medir

Nestes cenários, montar acompanhamento antes de o registro existir produz um relatório bonito sobre dado ausente.
  • Nenhum cliente mantém registro de incidente, comunicado ou não, como o art. 10 exige.
  • A análise de relevância do art. 5º nunca foi feita, nem uma vez, para nenhum caso.
  • Ninguém sabe quem é o encarregado de cada cliente para assinar a comunicação.
  • A direção decidiu que o foco desta rodada é a política de privacidade, e o incidente fica para depois.

O risco aqui não é o painel não existir — é ele reportar um processo que o cliente não executa. Confirmar o registro primeiro é o que separa acompanhamento de relatório vazio.

Começamos conferindo o que cada cliente registra hoje, antes de construir o painel

A primeira pergunta não é sobre ferramenta — é se o registro de incidente do art. 10 existe, e com o que.

O levantamento confere, cliente a cliente, o registro de incidente e a análise de relevância contra a Resolução CD/ANPD 15/2024: os oito itens do art. 10, os seis critérios do art. 5º e o caminho do prazo de três dias úteis.

A partir daí, o acompanhamento mede só o que a norma exige — prazo contado do conhecimento, completude das doze informações e guarda do registro —, separando o que o cliente cumpre do que ele apenas afirma.

  • Levantamento, por cliente, do registro de incidente do art. 10.
  • Conferência da análise de relevância contra os seis critérios do art. 5º.
  • Mapa das doze informações do art. 6º, § 2º, por cliente.
  • Identificação do encarregado e do vínculo exigido pelo art. 6º, § 5º.
  • Painel de acompanhamento entregue com a norma como referência de cada campo.

Dúvidas de consultoria de LGPD sobre o regulamento de incidente

O que a Resolução CD/ANPD 15/2024 aprova?

O Regulamento de Comunicação de Incidente de Segurança, na forma do anexo, nos termos do art. 48 da LGPD, conforme o art. 1º.

Qual é o prazo para comunicar um incidente?

O art. 6º fixa três dias úteis para a comunicação à ANPD, contados do conhecimento do controlador (§ 1º), e o art. 9º repete o prazo para a comunicação ao titular. Para agente de pequeno porte, os prazos dobram (arts. 6º, § 8º, e 9º, § 6º).

Quando o incidente precisa ser comunicado?

O art. 5º exige que ele possa afetar significativamente interesses e direitos fundamentais e envolva, cumulativamente, ao menos um de seis critérios: dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação, protegidos por sigilo ou em larga escala.

O que o cliente precisa guardar?

O art. 10 exige o registro do incidente, inclusive do não comunicado, por no mínimo cinco anos, com oito itens mínimos (I a VIII). O art. 8º permite à ANPD pedir o RIPD e o relatório de tratamento do incidente.

Isso é o mesmo que as irmãs de estratégia e de sites tratam?

Não. A de estratégia trata da Resolução CD/ANPD 19/2024 e da transferência internacional; a de sites trata dos arts. 46 a 49 da LGPD, sobre segurança e incidente no site da própria consultoria. Esta trata do que a consultoria mede no cliente.

Estratégia de marketing para consultoria de LGPD

Para continuar

Antes de construir o painel, vale conferir o registro de incidente de cada cliente.

A conversa começa pelo que o cliente guarda hoje e pelo que a norma exige — não pela ferramenta.

Conversar sobre a inteligência da minha consultoriaFazer o diagnóstico de dados

Nenhuma proposta é enviada antes da conversa.