O que a Resolução realmente diz
A Resolução CD/ANPD nº 15/2024, editada pela Autoridade Nacional de Proteção de Dados, estabelece o Regulamento de Comunicação de Incidente de Segurança. O texto determina que o agente de tratamento deve comunicar incidente de segurança que possa acarretar risco ou dano relevante aos titulares em prazo razoável, considerando a natureza do dado, o número de titulares e a gravidade do incidente — sem fixar um número exato de horas no artigo que cria a obrigação geral.
Isso é diferente de "72 horas fixas para toda escola, todo incidente" — o que a leitura popular do tema frequentemente sugere.
De onde vem o número "72 horas"
O prazo de 72 horas é uma referência amplamente usada em cobertura sobre proteção de dado porque é o prazo que o Regulamento Geral de Proteção de Dados (GDPR) europeu fixa expressamente para notificação de incidente à autoridade de supervisão. A LGPD brasileira e a regulamentação da ANPD não replicam esse número fixo da mesma forma — usam o padrão de "prazo razoável" avaliado por critério de gravidade.
O que não foi possível confirmar nesta apuração: se a ANPD já aplicou, em caso concreto e público, uma interpretação de "prazo razoável" equivalente a 72 horas ou a outro número específico. Essa lacuna é declarada — o artigo não deve ser lido como afirmando que 72 horas nunca se aplica na prática, apenas que não é o número escrito na norma.
O que torna um incidente "grave" no caso escolar
Dado de criança e adolescente eleva a régua de gravidade, o que reduz o "prazo razoável" na prática. Arte: Escolas Inteligentes.
A Resolução orienta que a avaliação de gravidade considere, entre outros fatores: o volume de titulares afetados; a natureza do dado, com destaque para dado sensível; e a possibilidade de dano relevante ao titular. Aplicado ao caso escolar, isso significa que um incidente envolvendo dado de criança ou adolescente tende a ser avaliado com régua de gravidade mais alta — porque a LGPD já trata dado de menor de idade com atenção reforçada em outros dispositivos —, o que na prática reduz o que conta como "razoável" em termos de velocidade de resposta.
Isso é interpretação da redação aplicando o critério geral da norma ao contexto escolar — não uma regra específica de menor de idade que exista literalmente no texto da Resolução 15/2024. O texto da resolução não menciona escola ou estudante especificamente.
O que a escola precisa ter pronto antes do incidente
- Não presuma um prazo fixo de 72 horas. Trate a resposta como "o mais rápido possível, dado o risco", não como um cronômetro com folga de três dias.
- Tenha um protocolo escrito de resposta a incidente antes de precisar dele — decidir processo sob pressão, durante o incidente real, é o pior momento para isso.
- Trate dado de aluno menor de idade como fator que acelera, não posterga, a resposta.
- Documente a avaliação de gravidade feita internamente, mesmo quando a conclusão for "não há necessidade de comunicar à ANPD" — a decisão de não comunicar também deve ser justificável.
Em resumo
- A Resolução CD/ANPD nº 15/2024 fixa "prazo razoável" para comunicação de incidente, não um número fixo de horas.
- O número "72 horas" vem do GDPR europeu, não do texto da resolução brasileira.
- A avaliação de gravidade considera volume de titulares, natureza do dado e risco de dano relevante.
- Dado de criança e adolescente tende a elevar a régua de gravidade — interpretação da redação, não texto literal da norma.
- Não foi possível confirmar, nesta apuração, se a ANPD já aplicou um número específico de horas em caso concreto público.
Perguntas frequentes
A lei brasileira exige comunicação de incidente em 72 horas?
Não. A Resolução CD/ANPD nº 15/2024 usa o termo "prazo razoável", avaliado por critério de gravidade — não fixa um número de horas no dispositivo que cria a obrigação.
De onde vem a ideia de 72 horas, então?
Do GDPR europeu, que fixa esse prazo expressamente. É comum a confusão entre os dois regimes na cobertura sobre proteção de dado.
O que torna um incidente mais grave, segundo a norma?
Volume de titulares afetados, natureza do dado (com destaque para dado sensível) e possibilidade de dano relevante ao titular.
Dado de aluno menor de idade tem prazo diferenciado?
Não há prazo numérico diferenciado explícito no texto da resolução para menor de idade. A interpretação de que isso eleva a gravidade — e por consequência acelera o que é "razoável" — é aplicação do critério geral, feita pela redação.
A escola precisa comunicar todo incidente à ANPD?
Não. Apenas incidente que possa acarretar risco ou dano relevante ao titular, segundo o critério da resolução.
O que a escola deve fazer primeiro ao descobrir um incidente?
Isso é tratado em detalhe no guia complementar deste portal sobre resposta a incidente — em linha geral, avaliar gravidade, conter o incidente e documentar a decisão, mesmo antes de decidir se comunica à ANPD.
Fontes e metodologia
Fonte consultada em 10 de setembro de 2026.
- ANPD — Resolução CD/ANPD nº 15, de 24 de abril de 2024 (Regulamento de Comunicação de Incidente de Segurança). Texto lido diretamente. gov.br/anpd
Metodologia. O texto normativo da Resolução foi lido diretamente na fonte oficial da ANPD. A aplicação específica ao contexto escolar — a leitura de que dado de menor de idade eleva a régua de gravidade — é interpretação da redação, por aplicação do critério geral da norma, e não consta como regra explícita e literal no texto da resolução, que não menciona escola ou estudante.
O que não foi possível apurar. Não foi possível confirmar, com caso público concreto, como a ANPD já aplicou "prazo razoável" na prática em situação similar à escolar. Não foi encontrado registro de sanção específica ao setor educacional sob essa resolução até a data da apuração.
Nota editorial
Este conteúdo é informativo e não substitui orientação jurídica sobre cumprimento da Resolução CD/ANPD nº 15/2024 em caso concreto. Nenhum dado identificável de aluno é tratado.
Redação Escolas Inteligentes · Publicado em 15 de setembro de 2026 · Atualizado em 15 de setembro de 2026
Leia também
