Vazou um dado do seu cliente. O relógio já está correndo.

O escritório quase sempre cai na regra, e o motivo está no inciso V

Nem todo incidente precisa ser comunicado. O art. 5º da Resolução diz que ele é comunicável quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver pelo menos um de seis critérios. O quinto deles é:

“V — dados protegidos por sigilo legal, judicial ou profissional.”

É a pasta do seu cliente, inteira. Não é uma avaliação que o escritório faz caso a caso — é a natureza do material com que ele trabalha todo dia. E raramente vem sozinho: o inciso II alcança dados de crianças, adolescentes e idosos, e o III, dados financeiros. Um inventário, uma ação de alimentos ou uma execução de honorários costumam marcar os três de uma vez.

A consequência prática é desconfortável e é melhor saber antes: para a maioria dos escritórios, a pergunta não é se comunica, é em quantos dias.

Quantos dias, exatamente?

São dois prazos, e eles correm juntos.

O dobro vem da Resolução CD/ANPD nº 2/2022, que enquadra ali microempresas e empresas de pequeno porte: a sociedade de advogados constituída como ME ou EPP entra.

Seis dias úteis parece confortável até a conta ser feita num feriado prolongado. Um incidente conhecido numa quinta-feira véspera de feriado vence na sexta da semana seguinte.

E há duas armadilhas nesse dobro. Elas são independentes: basta uma para o prazo voltar a ser de três dias úteis.

A primeira é quem você é. O art. 3º, I da mesma Resolução 2/2022 exclui do tratamento diferenciado quem realiza tratamento de alto risco — e boa parte dos escritórios realiza, sem saber. Explicamos o teste em O prazo em dobro pode não ser seu.

A segunda é qual foi o incidente. O art. 14, II da Resolução 2/2022 concede o dobro para a comunicação de incidente, mas com uma ressalva escrita no próprio inciso:

“[…] excetoquando houver potencial comprometimento à integridade física ou moral dos titulares ou à segurança nacional, devendo, nesses casos, a comunicação atender aos prazos conferidos aos demais agentes de tratamento […]”

Repare em “moral”. Um acervo processual exposto — o que a pessoa contou ao advogado, o que ela responde, com quem litiga — é material cujo vazamento compromete integridade moral com facilidade. Não é uma hipótese remota para escritório: é o cenário provável. Na dúvida entre seis e três, conte três.

O relógio começa antes de você ter certeza

Este é o ponto que mais surpreende, e está no § 1º do art. 6º:

“O prazo a que se refere o caput será contado do conhecimento pelo controlador de que o incidente afetou dados pessoais.”

Do conhecimento. Não da conclusão da apuração, não do laudo da perícia, não do dia em que o escritório descobriu a extensão do estrago. Basta saber que dado pessoal foi afetado.

A própria Resolução assume que isso vai apertar: entre as informações obrigatórias da comunicação está, no inciso V do § 2º, “os motivos da demora” quando ela não sai no prazo. O regulamento não fecha a porta para quem atrasa — mas exige que o atraso seja justificado por escrito, o que é bem diferente de silenciar.

O que a comunicação precisa conter

São doze informações, listadas no art. 6º, § 2º. Vale ler a lista inteira uma vez, porque duas delas costumam pegar o escritório desprevenido:

• Inciso IX — a identificação do controlador e, se for o caso, declaração de que se trata de agente de tratamento de pequeno porte. O prazo em dobro não é automático: ele é declarado.
• Inciso X — a identificação do operador, quando aplicável. Ou seja: o escritório informa à ANPD quem é o fornecedor do sistema em que os dados estavam. Se essa resposta não estiver pronta hoje, ela vai ter que ser construída no pior dia possível.

As outras dez cobrem a natureza e a categoria dos dados afetados, o número de titulares, as medidas técnicas antes e depois, os riscos e impactos, as medidas de mitigação, a data do incidente e a do conhecimento, os dados do encarregado ou de quem representa o controlador, a descrição do incidente com a causa principal e o total de titulares tratados nas atividades atingidas.

Como o escritório fica sabendo que houve incidente?

A norma pressupõe o conhecimento e conta o prazo a partir dele. Só que perceber um incidente depende de uma coisa anterior, que nenhum regulamento resolve: saber por onde a informação do escritório circula. Um documento que saiu num aplicativo de mensagem no celular pessoal de alguém, uma pasta compartilhada com um estagiário que já foi embora, um anexo reenviado para o e-mail particular — nada disso dispara alarme.

E se não comunicar?

A ANPD publicou em 25 de junho de 2026 o resultado de um monitoramento de 56 agentes de tratamento — 39 órgãos públicos e 17 empresas privadas. Vinte e sete estavam em conformidade, oito com pendências e vinte e um não responderam. Sobre estes últimos, a Agência foi direta:

“A desconformidade com as solicitações da ANPD e a ausência de respostas podem levar a novas medidas por parte da Agência, inclusive à aplicação de sanções.”

Vale notar o que estava sendo monitorado ali: a indicação de encarregado e a disponibilização de canal de comunicação entre controlador e titular — duas obrigações formais, não um vazamento. O recado que interessa ao escritório é o de postura: o que levou os vinte e um para a fila de avaliação de sanção foi não ter respondido.

As sanções possíveis estão no art. 52 da LGPD e vão de advertência a multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além da publicização da infração — que, para um escritório de advocacia, costuma custar mais que o valor.

Três coisas para deixar prontas antes de precisar

1. Saber se o escritório é agente de pequeno porte, e conseguir declarar isso. É o que separa três dias de seis, e é o inciso IX da comunicação.
2. Ter à mão quem é o operador. O inciso X pede a identificação de quem trata os dados por conta do escritório. Isso é o contrato com o fornecedor do sistema, e ele se pede em dia de calma.
3. Ter um canal de comunicação com o titular. É o que a Resolução 2/2022 exige de quem dispensa o encarregado — e é exatamente o que a ANPD saiu monitorando em junho.

Nenhuma das três se resolve no dia do incidente. Todas se resolvem numa tarde, agora.