Incidente com dado biométrico: o plano de resposta antes de precisar dele

Quando um banco de senhas vaza, a resposta técnica existe e é rotineira: invalidar tudo, forçar redefinição, seguir em frente. Quando vaza um banco de selfies e documentos, essa resposta não existe. Ninguém redefine o próprio rosto. O dado biométrico comprometido fica comprometido para a vida do titular, e é essa assimetria que faz do incidente com biometria uma categoria própria, que merece plano próprio, escrito antes do dia em que for necessário.

Este artigo cobre as duas metades do problema para quem opera verificação de identidade: o que a norma brasileira exige quando o incidente acontece, e o que o desenho do sistema pode fazer, em tempo de paz, para que o incidente possível seja pequeno.

O que a lei exige: comunicação com relógio

A LGPD, Lei 13.709/2018, trata o tema em dois artigos que trabalham juntos. O artigo 46 exige medidas de segurança aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda ou alteração. O artigo 48 cria o dever de comunicar: o controlador deve comunicar à ANPD, a Autoridade Nacional de Proteção de Dados, e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, com a comunicação descrevendo a natureza dos dados afetados, os titulares envolvidos, as medidas adotadas e os riscos relacionados.

O relógio e os critérios vieram com a Resolução CD/ANPD 15/2024, o regulamento de comunicação de incidente de segurança. Dois pontos do regulamento redesenham qualquer plano de resposta. Primeiro, o prazo: a comunicação à ANPD e aos titulares deve ocorrer em três dias úteis contados do conhecimento do incidente, prazo que só se cumpre com processo ensaiado. Segundo, o critério de relevância: entre os fatores que caracterizam o risco relevante está justamente o envolvimento de dados sensíveis, e dado biométrico usado para identificar uma pessoa é dado sensível por definição expressa do artigo 5º, inciso II, da LGPD. Tradução operacional: vazamento de base biométrica dificilmente escapa do dever de comunicar. O regulamento ainda exige que todo incidente, comunicável ou não, seja registrado internamente com a avaliação que fundamentou a decisão.

Tempo de paz, parte um: saber onde o dado vive

Nenhum plano de resposta funciona sem o inventário: em quais sistemas existe mídia biométrica, por quais caminhos ela entra e sai, quem consegue acessá-la. Em arquiteturas de verificação bem desenhadas, a resposta é curta de propósito: a mídia vai direto do aparelho do usuário para o armazenamento de objetos por URL assinada de vida curta, cifrada em repouso, sem passar pelos servidores de aplicação nem se espalhar por logs, o desenho descrito no artigo sobre upload seguro de mídia. Inventário curto é raio de explosão curto: no dia do incidente, a diferença entre "vazou o balde de mídia" e "não sabemos o que vazou" é a diferença entre uma comunicação precisa e uma crise sem fundo.

O segundo redutor de raio é a retenção: dado que já foi apagado não vaza. Cada mês a mais de mídia guardada além da necessidade é raio de explosão comprado de graça, e a régua de quanto guardar, por tipo de dado e obrigação legal, está no artigo sobre retenção de dados de verificação.

Tempo de paz, parte dois: papéis e ensaio

O relatório de impacto à proteção de dados, o RIPD, exigível para tratamento de alto risco como biometria em escala, é o documento onde os cenários de incidente já deveriam estar pensados, com o roteiro descrito no artigo sobre RIPD para verificação biométrica. E o encarregado de dados, figura do artigo 41 da LGPD detalhada no artigo sobre o papel do DPO, é quem assina o canal com a ANPD e com os titulares: ele precisa estar no plano com nome, suplente e telefone, não como cargo abstrato. E quando a infraestrutura que guarda a mídia é de um fornecedor, o dever de o operador avisar o controlador em prazo curto precisa existir por escrito, cláusula tratada no artigo sobre o contrato controlador-operador.

O plano em si cabe numa página: quem declara o incidente, quem congela e preserva evidência, quem avalia o risco pelo critério do regulamento, quem redige as comunicações, quem aciona o jurídico. O teste do plano é um exercício de mesa por semestre, com cenário concreto: credencial de leitura do armazenamento exposta, quantos registros, de quais titulares, comunicamos ou não, com qual texto. Equipes que ensaiaram discutem conteúdo no dia do incidente; equipes que não ensaiaram discutem processo, e três dias úteis evaporam em discussão de processo.

As primeiras horas: conter, avaliar, comunicar

Na hora real, a sequência que o regulamento pressupõe é: conter o vetor (revogar credenciais, fechar o acesso, preservar logs), levantar a extensão (quais objetos, de quais titulares, em qual janela), avaliar a relevância do risco pelo critério normativo e decidir a comunicação com registro escrito da decisão. A tentação de esperar certeza completa antes de comunicar joga contra o prazo: o próprio regulamento admite comunicação complementar posterior, então a primeira comunicação vai com o que se sabe, dizendo o que ainda não se sabe.

Passada a crise, o ciclo fecha com a revisão: o que o incidente ensinou sobre inventário, acesso e retenção vira mudança concreta de arquitetura, com prazo e dono, e o registro interno documenta a lição junto com o caso.

Incidente com biometria não tem final feliz, tem final administrado. A diferença entre os dois desfechos raramente se decide no dia; decide-se nos meses anteriores, no inventário curto, na retenção enxuta e no ensaio que fez do plano um hábito em vez de um documento.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 5º, 41, 46 e 48, disponível no portal do Planalto: planalto.gov.br
• Resolução CD/ANPD 15/2024, Regulamento de Comunicação de Incidente de Segurança, ANPD, publicada no Diário Oficial da União: in.gov.br
• ANPD, orientações sobre comunicação de incidente de segurança, portal oficial: gov.br/anpd