| name | lgpd-incident-response |
| description | Execute the LGPD security incident response runbook (Art. 48 LGPD + Resolução CD/ANPD nº 15/2024). Use when user says "tivemos um incidente", "vazamento de dados", "data breach", "preciso comunicar a ANPD", "incident response LGPD", or as part of an audit pipeline preparing the runbook in advance. Encodes the 3-business-day deadline to notify ANPD and data subjects, the 12 mandatory items for ANPD notification, the 7 items for subject notification, and the 5-year retention requirement for ALL incident records (notified or not). Cite Resolution 15/2024 explicitly in outputs. |
Incident Response LGPD
Runbook aderente à Resolução CD/ANPD nº 15/2024 (RCIS) + Art. 48 LGPD.
⚠️ Esta skill tem dois modos:
- Preparatório — quando invocada no pipeline de auditoria, gera runbook + tabletop exercise para uso futuro.
- Emergencial — quando invocada após incidente detectado, executa o fluxo em modo crítico.
Critério de notificação (Res. 15/2024, Art. 5º — cumulativo)
Notificar ANPD se e somente se ambos:
A. Risco/dano relevante — pode afetar significativamente interesses e direitos fundamentais.
B. Pelo menos uma das 6 categorias envolvidas:
- I. Dados pessoais sensíveis
- II. Dados de crianças, adolescentes ou idosos
- III. Dados financeiros
- IV. Dados de autenticação em sistemas
- V. Dados protegidos por sigilo legal, judicial ou profissional
- VI. Dados tratados em larga escala
Se A e B → notificar. Se só A → documentar internamente. Se nenhum → registrar mesmo assim (Art. 10 — registro obrigatório por 5 anos de TODOS os incidentes).
Prazos
| Ação | Prazo |
|---|
| Notificar ANPD | 3 dias úteis desde o conhecimento de afetação a dados pessoais |
| Notificar titulares | 3 dias úteis (mesmo gatilho) |
| Complementar comunicação | até 20 dias úteis após comunicação inicial |
| Manter registro do incidente | 5 anos mínimo |
| ATPP | prazos em dobro (6 dias úteis), salvo risco à integridade física/moral |
Runbook — Hora 0 a Hora 72+
T+0h: Detecção
- Quem detectou? Sistema (SIEM, DLP, antivirus)? Pessoa (funcionário, titular, pesquisador)?
- Registrar timestamp exato do conhecimento da afetação a dados pessoais — este é o marco do prazo.
- Acionar Encarregado imediatamente.
T+0h a T+4h: Contenção e triagem
T+4h a T+24h: Avaliação
T+24h a T+72h (3 dias úteis): Comunicação
À ANPD — 12 itens obrigatórios (Art. 6º, § 2º Res. 15/2024):
- Natureza e categoria dos dados pessoais afetados
- Número de titulares afetados, discriminando crianças, adolescentes e idosos
- Medidas técnicas e de segurança adotadas antes e depois do incidente
- Riscos e possíveis impactos aos titulares
- Motivos da demora, se houve
- Medidas para reverter ou mitigar
- Data do incidente e data do conhecimento
- Dados do encarregado ou representante
- Identificação do controlador (declaração de ATPP se for o caso)
- Identificação do operador
- Descrição do incidente com causa principal
- Total de titulares cujos dados são tratados nas atividades afetadas
Canal: portal eletrônico da ANPD (https://www.gov.br/anpd).
Aos titulares — 7 itens (Art. 9º Res. 15/2024):
- Natureza e categoria dos dados afetados
- Medidas de segurança técnicas
- Riscos
- Motivos da demora, se houve
- Medidas reversivas/mitigatórias
- Data do conhecimento
- Contato do encarregado
Em linguagem simples. Comunicação individualizada (e-mail/SMS/carta/mensagem in-app). Se inviável (volume + falta de contato), comunicação coletiva via site + imprensa por mínimo 3 meses.
Templates em assets/notification-anpd.md e assets/notification-subject.md.
T+72h+: Pós-incidente
Complemento à ANPD (até 20 dias úteis)
Após investigação completa, complementar a comunicação inicial com informações mais precisas se algo mudou.
Registro permanente (Art. 10 Res. 15/2024)
.lgpd/incidents/log.md — TODOS os incidentes, mesmo não notificados:
# Registro de Incidentes — {projeto}
## INC-2026-001
- **Detecção**: 2026-05-15T14:30:00-03:00
- **Conhecimento de afetação a dados pessoais**: 2026-05-15T15:45:00-03:00
- **Tipo**: vazamento de e-mails
- **Categoria afetada** (Art. 5º Res. 15/2024): VI — larga escala (sim, ≥ 100k titulares)
- **Titulares afetados**: ~120.000
- **Decisão**: notificar
- **Notificação ANPD**: 2026-05-16T18:00:00-03:00 (protocolo nº ...)
- **Notificação titulares**: 2026-05-16 a 2026-05-17 (e-mail individualizado)
- **Justificativa da notificação**: risco relevante + larga escala (> 2 milhões? não, mas ANPD considera larga escala em outras métricas) — Art. 5º, VI
- **Medidas adotadas**: rotação de credenciais, revogação de tokens, patch
- **Causa raiz**: bug em endpoint que retornava lista de e-mails sem auth
- **Plano de remediação**: ADR-2026-08 (auth obrigatória em todos endpoints /api/users/*)
- **Retenção do registro**: até 2031-05-15 (5 anos)
Tabletop exercise (preparatório)
Executar 1x por ano no mínimo. Cenários sugeridos:
- Vazamento de e-mails via endpoint mal configurado (probabilidade alta)
- Acesso indevido por funcionário com privilégios excessivos (insider)
- Comprometimento de cloud provider (operador)
- Ransomware com exfiltração
- Bug em pipeline de analytics que envia PII para Datadog
- Vazamento via SDK mobile (token leak no app store)
Para cada cenário: simular a triagem, decisão de notificar, e tempo até comunicação. Cronometrar. Se > 3 dias úteis, processo está quebrado.
Status update
## F9 — Incident response ✓
- Runbook publicado em `.lgpd/incidents/runbook.md`
- Templates de notificação em `.lgpd/incidents/templates/`
- Registro inicializado em `.lgpd/incidents/log.md`
- Tabletop agendado para {data}
- Encarregado e jurídico cientes do fluxo
- Próximo: lgpd-ropa (greenfield) ou lgpd-privacy-policy (legacy)
