Três dias úteis e vinte e quatro horas: os prazos que correm sozinhos

Fixar por escrito o gatilho que inicia a contagem, o dono da notificação e o modelo de comunicação preliminar já redigido.

• Definir o momento exato em que a empresa toma ciência e o relógio começa a correr.
• Distinguir os regimes aplicáveis por país e por tipo de produto, com prazos e canais próprios.
• Preparar a evidência técnica que sustenta a notificação antes que ela expire.

Em linguagem simples

Existe uma diferença entre resolver o incidente e prestar contas dele. A primeira tarefa é do time técnico e termina quando o produto volta. A segunda é da empresa e começa antes disso, num momento que a lei define e não a agenda da diretoria. No Brasil, a Resolução CD/ANPD nº 15/2024, de 24 de abril de 2024, converteu a obrigação genérica da LGPD em protocolo: três dias úteis para a comunicação preliminar à autoridade e aos titulares, contados de quando o controlador toma ciência do comprometimento, e vinte dias úteis para o relatório complementar.

Três dias úteis parece confortável e não é. O prazo cobre apuração, decisão jurídica, redação, aprovação e envio, e costuma começar numa sexta-feira à noite. Quem não tem dono nomeado, suplente e modelo escrito gasta o primeiro dia inteiro descobrindo quem decide. A partir de 11 de setembro de 2026, para produto disponibilizado no mercado da União Europeia, entra em vigor um relógio ainda mais curto sob o Cyber Resilience Act: alerta inicial em até 24 horas do momento em que o fabricante se torna ciente.

1. 01O relógio começa na ciência, não na conclusão. A contagem parte do momento em que a empresa toma ciência do comprometimento, não de quando termina a apuração. Adiar a conclusão não adia o prazo, apenas encurta o tempo restante para redigir.
2. 02Comunicação preliminar aceita informação incompleta. O regime brasileiro prevê comunicação preliminar seguida de relatório complementar em vinte dias úteis. O desenho existe justamente para o cenário de informação parcial.
3. 03Regimes se somam, não se substituem. O mesmo incidente pode acionar a autoridade brasileira, a obrigação europeia de produto e as cláusulas de notificação do contrato com cada cliente corporativo. Prazos diferentes, canais diferentes, relógios simultâneos.
4. 04A evidência técnica tem prazo de validade próprio. Log de execução no plano gratuito é retido por 1 hora, verificado em 1 de julho de 2026. Se a evidência que sustenta a notificação mora só no fornecedor, ela pode ter expirado antes de alguém pensar em pedi-la.

Confusão mais comum: Achar que o prazo começa quando o jurídico confirma que houve vazamento. Ele começa quando a empresa toma ciência do comprometimento. Encomendar uma perícia de duas semanas antes de notificar não pausa o relógio; consome quase todo ele.

Explique em voz alta: Aponte, com hora e minuto, qual foi o instante de ciência no último incidente de segurança da sua empresa, e quem registrou esse instante.

O relógio começou antes de a reunião ser marcada

Na maioria dos materiais técnicos de publicação essa camada simplesmente não existe. A auditoria do curso legado da Nortis, feita em 24 de julho de 2026, encontrou zero ocorrências dos termos LGPD, ANPD, conformidade e auditoria em 946 linhas. O time aprendia a subir o site e não aprendia o que a empresa deve a um regulador quando a esteira de publicação for a porta de entrada.

A Resolução CD/ANPD nº 15/2024, de 24 de abril de 2024, transformou a obrigação genérica do artigo 48 da LGPD em protocolo com números: três dias úteis para a comunicação preliminar à autoridade e aos titulares, contados da ciência do comprometimento, e vinte dias úteis para o relatório complementar, com prazos dobrados para agentes de tratamento de pequeno porte. O teto legal de sanção é de R$ 50 milhões por infração.

Uma análise de processos sancionadores concluídos aponta que ausência ou atraso de comunicação foi infração identificada em sete de nove casos. O número vem de análise de terceiros e não foi confirmado em documento da própria autoridade, então ele entra aqui como indício de direção, não como estatística oficial. A direção, porém, é consistente com o desenho da norma: o que a regra pune com mais facilidade é o silêncio, porque silêncio é fácil de provar.

Modelo operacional

O gatilho: o que significa tomar ciência

Sem definição escrita e combinada antes, a discussão sobre quando o relógio começou acontece durante o incidente, no pior momento possível, e tende a escorregar para a data mais conveniente. A definição precisa caber em quatro campos.

• Quem pode declarar ciência: Os papéis autorizados a registrar o instante de ciência, com suplente para cada um. Sem suplente, férias e viagem viram lacuna de governança em vez de detalhe de agenda. Exemplo: Encarregado pelo tratamento de dados, com o diretor jurídico como suplente e o CISO como segundo suplente, todos nomeados na política.
• Que indício basta: O gatilho é indício razoável de comprometimento, não prova conclusiva. Alerta técnico com evidência de acesso indevido já basta para iniciar a contagem e a apuração em paralelo. Exemplo: Registro de acesso a rota que expõe dado cadastral, com padrão incompatível com uso legítimo, durante janela conhecida de falha.
• Onde o instante fica registrado: Um registro único, com data, hora, autor e a evidência que motivou. Fora da plataforma afetada, para sobreviver ao próprio incidente. Exemplo: Primeira mensagem do canal de incidente, replicada no registro de evidências da empresa com carimbo de tempo.
• Quais relógios o gatilho dispara: O mesmo instante inicia simultaneamente o prazo regulatório aplicável, os prazos contratuais com clientes corporativos e o prazo interno de comunicação ao conselho. Exemplo: Três dias úteis para a autoridade brasileira, prazos de contrato para cada cliente corporativo e aviso ao conselho em 24 horas por política interna.

O gatilho escrito antes do incidente protege a empresa das duas falhas simétricas: notificar tarde por indecisão e notificar cedo demais, sem escopo, virando ruído para a autoridade e para o cliente.

Três relógios que podem correr ao mesmo tempo

O mesmo incidente aciona regimes diferentes, com prazos, canais e destinatários distintos. Nenhum deles substitui o outro, e o mais curto é o que manda na agenda da noite.

Evidência pública

Caso documentado: o comprometimento que nasce no framework, não no seu código

Next.js, boletim de segurança de 20 de julho de 2026

Em 20 de julho de 2026 o framework que sustenta o site da Nortis publicou um boletim de segurança com nove falhas, quatro delas de severidade alta. Entre elas está um desvio da camada de intermediação, que é onde a maioria dos times coloca a verificação de autenticação, e duas falhas de requisição forjada no servidor. As correções saíram nas versões 16.2.11 e 15.5.21. Na semana anterior, o fornecedor anunciou que o framework passa a adotar boletim de segurança pré-anunciado.

• O desvio da camada de intermediação é falha de controle de acesso: a camada onde a maioria dos times coloca verificação de identidade e limite de taxa pode ser pulada.
• Nenhuma dessas falhas nasce em código escrito pela empresa, e nenhuma delas altera de quem é o dever de notificar.
• O modelo de release pré-anunciada cria janela para planejar a atualização, o que transforma a política de patch em item de calendário e não de reação.

O dever de notificar acompanha quem oferece o produto ao cliente, não quem escreveu a linha vulnerável. Isso converte política de atualização de framework em controle de conformidade, com prazo interno declarado para aplicar correção de severidade alta.

Identificadores das quatro falhas de severidade alta, para quem for cruzar com o inventário do módulo 11: CVE-2026-64641 (negação de serviço via Server Actions no App Router), CVE-2026-64642 (desvio de middleware ou proxy com Turbopack e locale único), CVE-2026-64645 e CVE-2026-64649 (requisição forjada no servidor).

Rotina real

O plantão de privacidade, na prática

Encarregada pelo tratamento de dados pessoais da Nortis, com suplente designado · Escala de plantão de privacidade publicada no mesmo lugar da escala de plantão técnico, com revisão mensal e cobertura de férias declarada.

Situação: Sexta-feira, 18h47. O canal de incidente registra indício de leitura indevida de dados cadastrais de motoristas durante uma janela de quatro horas. A causa ainda está em apuração e o escopo exato é desconhecido.

Entradas: O carimbo de ciência com hora, o intervalo suspeito, a lista preliminar de titulares potencialmente afetados e a indicação de quais clientes corporativos estão envolvidos.

Processo: Classificar a natureza do dado, iniciar a contagem do prazo, acionar o modelo de comunicação preliminar, mandar preservar a evidência técnica antes que a retenção expire e avisar o conselho pelo canal interno.

Saída: Comunicação preliminar redigida com escopo declarado e causa em apuração, lista de clientes com cláusula contratual de notificação, e o registro de evidências exportado para fora da plataforma afetada.

Verificação humana: A decisão de notificar é da encarregada, com o jurídico, e não do time técnico que está resolvendo o incidente. Quem opera a correção não deve decidir sobre dever legal na mesma noite, porque o conflito de foco é previsível.

Como se mede: Horas entre o carimbo de ciência e o envio da comunicação preliminar, medidas em todo incidente, inclusive nos que terminam sem dever de notificar.

Guardrail

O que derruba um plano de notificação que existe no papel

As falhas abaixo são de operação da política, com o texto já escrito e aprovado. Todas aparecem na primeira sexta-feira à noite em que a política precisa funcionar, e nenhuma delas custa dinheiro para corrigir antes.

• Existe suplente nomeado para o responsável pela decisão de notificar, com cobertura declarada de férias e viagem.
• O gatilho de início de contagem está escrito e foi combinado com o jurídico antes de qualquer incidente.
• O modelo de comunicação preliminar já está redigido, com lacunas para escopo, janela e providências, e já passou por revisão jurídica.
• Os canais de cada autoridade estão anotados com o endereço de envio conferido, e não com o nome do órgão apenas.
• Existe inventário dos contratos com cláusula de notificação, com prazo de cada um, porque vários são mais curtos que o legal.
• A evidência técnica é exportada para fora do fornecedor durante o incidente, e não na semana seguinte.
• A contagem de prazo é medida e registrada em todo incidente, inclusive nos que não geram dever de notificar, para que o número exista antes de fazer falta.

Laboratório de decisão

Notificar com informação incompleta ou esperar a apuração fechar

Sábado de manhã. Há indício de acesso indevido, o escopo exato é desconhecido e a perícia externa promete conclusão em duas semanas. O prazo de comunicação preliminar é de três dias úteis contados da ciência, registrada em 18h47 de sexta.

A Nortis notifica agora, com informação parcial, ou espera a conclusão da perícia?

• A. Esperar a perícia externa concluir para notificar uma única vez, com informação completa.: Consome duas semanas de um prazo de três dias úteis. A notificação chega tecnicamente impecável e fora do prazo, e o atraso costuma ser mais fácil de caracterizar do que qualquer discussão sobre escopo.
• B. Notificar imediatamente tudo que se imagina possível, listando o pior cenário concebível de titulares afetados.: Cumpre o prazo e cria dano próprio: comunicação superdimensionada aciona clientes que não foram afetados, contamina a relação comercial e depois exige uma retificação que ninguém lê com a mesma atenção.
• C. Enviar a comunicação preliminar dentro do prazo, com escopo declarado como preliminar e causa em apuração, e usar o relatório complementar para fechar o que faltou.: Usa o desenho da norma como ele foi feito: aviso rápido e parcial, detalhamento depois em vinte dias úteis. Exige que o modelo de texto já exista e que alguém tenha autoridade para assinar no fim de semana.

Recomendação: A terceira opção, com o escopo marcado como preliminar em todas as peças e a data do relatório complementar já agendada no envio.

A primeira opção confunde rigor técnico com cumprimento de dever e troca um risco pequeno de imprecisão por um risco grande de atraso, justamente a infração mais fácil de constatar. A segunda tenta comprar segurança com exagero e produz dano comercial real, além de enfraquecer a credibilidade da própria empresa nas comunicações seguintes. A terceira exige preparação prévia, e é aí que ela deixa de ser decisão de sábado e vira decisão de comitê: alguém precisou escrever o modelo, nomear o suplente e definir o gatilho antes. O plano de notificação é o que torna a opção correta executável num fim de semana.

Caso Nortis · Semana 11, sábado, 09h40

A apuração indica acesso indevido a dados pessoais de clientes durante a janela do incidente. É sábado. O responsável pela privacidade está de férias e não há suplente designado.

A contagem começa na ciência do comprometimento, muito antes de a apuração terminar: são 3 dias úteis para a comunicação preliminar no regime brasileiro. Para os três clientes europeus, entra em 11 de setembro de 2026 uma obrigação adicional de alerta em 24 horas.

Aprovar o plano de notificação com dono nomeado e suplente, definição escrita do gatilho que inicia a contagem, canal por autoridade e modelo de comunicação preliminar pronto para preencher.

Exemplo trabalhado

18h47 de uma sexta-feira, com o responsável de férias

Diretora jurídica da Nortis, acionada pelo canal de incidente

A apuração do incidente da madrugada indica que uma rota exposta permitiu leitura de dados cadastrais de motoristas de três transportadoras durante quatro horas. O encarregado pelo tratamento de dados está de férias e não havia suplente designado. Três dos clientes da Nortis estão na União Europeia.

Resultado: A comunicação preliminar sai no primeiro dia útil, com escopo declarado e causa em apuração. O relatório complementar entra dentro do prazo, com a evidência preservada na noite do incidente. A ausência de suplente vira a primeira linha do plano de correção.

Continua sob responsabilidade humana: Notificar dentro do prazo não encerra a exposição da empresa e não substitui a correção técnica. Também não decide sozinho a comunicação a cada cliente corporativo, que segue o que está escrito em cada contrato. O plano de notificação organiza o dever legal; o dever contratual é uma segunda lista, com prazos próprios.

• Eu sei dizer, com precisão, qual evento inicia a contagem do prazo de notificação na minha empresa e quem pode declará-lo.
• Eu tenho suplente nomeado para a decisão de notificar, com cobertura de férias declarada por escrito.
• Eu sei onde a evidência técnica do incidente será preservada e quem a coleta durante o incidente, não depois.

Passado o prazo imediato, o jurídico faz a pergunta estrutural: para onde esse dado viajava, e com qual amparo.