Reglamento de comunicación de incidentes de seguridad de la ANPD
VigenteRes. ANPD 15/2024 (incidentes)
Resumen
Fija cuándo y cómo comunicar a la ANPD y a los titulares un incidente de seguridad con datos personales que pueda causar riesgo o daño relevante, y obliga a llevar un registro de incidentes.
A quién se dirige
Responsables del tratamiento sujetos a la LGPD.
Sanciones
Las de la LGPD (art. 52).
Nombre oficial
Resolução CD/ANPD nº 15, de 24 de abril de 2024 – Regulamento de Comunicação de Incidente de Segurança
Verificado en fuente oficial el 4 de noviembre de 2026
Comunicar incidentes relevantes a la ANPD y a los titulares
Res. CD/ANPD 15/2024, arts. 6, 9 y 10Vigente
Ya aplicable
Cuándo se relaciona
Si trata datos personales sujetos a la LGPD.
Qué prevé la norma
Comunicar a la ANPD y a los titulares los incidentes que puedan causar riesgo o daño relevante en un plazo de 3 días hábiles desde que se sabe que afectaron datos personales; para agentes de pequeño porte el plazo es el doble.
Llevar un registro de todos los incidentes y conservarlo al menos 5 años.
Incluir los incidentes de sistemas de IA (fugas por prompts, exposición de datos de entrenamiento).
Evidencias habituales
Procedimiento con plazos y registro de incidentes.
Verificado en fuente oficial el 4 de noviembre de 2026Comprobado en el texto de la resolución publicado por la ANPD en gov.br (expediente SEI 00261.000098/2021-67): arts. 6 y 9 ("três dias úteis"), 9 § 6 (plazo en dobro para pequeño porte) y 10 (registro por al menos cinco años). El DOU no respondió en esta revisión.