O silêncio ofensivo da Argentina e o plano de respostas no papel

No domingo, 19 de julho de 2026, a Espanha venceu a Argentina por 1 a 0, na prorrogação, e conquistou o bicampeonato mundial¹. Mas o resultado no placar conta apenas parte da história.

Os números da partida revelam algo mais incisivo sobre a estratégia argentina. Durante os 90 minutos do tempo regulamentar, a Argentina não finalizou uma única vez, um feito inédito em mais de 900 partidas de Copa do Mundo disputadas desde 1966: nenhuma seleção havia terminado o tempo normal de uma final sem ao menos uma finalização². Somando a prorrogação, a Espanha terminou com vinte finalizações, doze no alvo, contra apenas duas da Argentina, nenhuma em direção ao gol³, e, quando mais precisava de uma resposta, a seleção argentina não teve repertório para produzi-la.

Essa imagem, a de uma equipe que teve estrutura e talento de sobra, mas nunca ensaiou o cenário específico de romper um bloqueio na hora decisiva, serve como ponto de partida útil para pensar em um problema recorrente na adequação de órgãos públicos e privados à lei Geral de Proteção de Dados: o plano de resposta a incidentes que existe no papel, mas nunca foi testado para o cenário que efetivamente ocorre.

Ter o documento não é o mesmo que estar preparado

O art. 50, §2º, inciso I, alínea "g", da LGPD inclui o plano de resposta a incidentes entre os componentes mínimos de um programa de governança em privacidade⁴. Já o art. 48 impõe o dever de comunicar à ANPD - Agência Nacional de Proteção de Dados e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante⁵.

A resolução CD/ANPD 15/24, que instituiu o RCIS - Regulamento de Comunicação de Incidente de Segurança, fixou o prazo de três dias úteis para essa comunicação ao titular, contados da ciência, pelo controlador, de que o incidente afetou dados pessoais⁶.

Como observa Ana Paula Vasconcellos da Silva, embora a RCIS seja bastante descritiva quanto aos procedimentos de comunicação nos arts. 6º a 9º, "é fundamental que sejam definidos, previamente, os processos de trabalho relativos às respostas a incidentes de segurança das informações"⁷, com rotinas já incorporadas pelo comitê interno e funcionários previamente orientados e treinados sobre como agir diante de um incidente real.

O problema das organizações é, na verdade, mais grave do que o da Argentina, que ao menos teve preparo geral para chegar à final: a maioria sequer tem o documento, e as poucas que têm raramente ensaiaram o cenário específico de um incidente real envolvendo dados pessoais.

O acórdão 1.372/25 do TCU, fruto de auditoria realizada junto a 387 organizações públicas federais, constatou que apenas 127 delas, ou 32,82%, elaboraram e mantêm atualizado um plano de resposta a incidentes que trate especificamente de violação de dados pessoais⁸.

Neste contexto, menos da metade, 179 organizações (46,25%), afirmou monitorar de forma proativa e contínua eventos e sinais precursores que possam indicar um incidente em curso. E apenas 137 organizações (35,4%) mantêm procedimento padronizado para comunicar a ocorrência à ANPD e aos titulares.

No âmbito municipal fluminense, o retrato é ainda mais severo. A auditoria do TCE/RJ no processo 217.899-0/24, que resultou no acórdão 003931/25-PLENV, analisou 91 prefeituras do estado do Rio de Janeiro, universo que não inclui o município do Rio de Janeiro, fora da jurisdição do TCE/RJ nessa matéria, e constatou que 90 delas, ou 98,9%, não elaboraram ou não mantêm atualizado seu plano de resposta a incidentes⁹. 86 municípios, 94,51% do total, sequer estabeleceram procedimento para comunicar incidentes de violação de dados à ANPD e aos titulares.

Da reatividade tática ao privacy by design

Há uma diferença importante que vale marcar aqui: o plano de resposta a incidentes é, por natureza, um instrumento reativo. Tal documento existe justamente para orientar a atuação da organização depois que o incidente ocorre. Isso não é, em si, uma falha. O problema surge quando a reatividade do plano de incidentes se torna a única camada de proteção da organização, sem que haja, antes dela, uma postura proativa de prevenção.

É aqui que cabe uma referência breve à privacy by design, princípio previsto no art. 46, §2º, da LGPD¹⁰.

Como observa Silvio Maciel e Silva Junior, esse instrumento "deve ser concebido desde a fase de planejamento dos sistemas dos aplicativos, dos processos organizacionais, dos serviços e das políticas públicas, em sintonia com o conceito de privacy by design, cunhado pela Dra. Ann Cavoukian e incorporado ao art. 25 do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (RGPD) e 46, §2º da LGPD"¹¹.

Uma organização que monitora continuamente sinais precursores, mapeia riscos com antecedência e realiza avaliações de impacto antes de tratar dados sensíveis reduz a chance de precisar, de fato, acionar o plano de resposta a incidentes em sua versão mais crítica. A organização que concentra todo o seu programa de privacidade na resposta a incidentes, sem investir em prevenção, chega ao momento da violação de dados sem repertório para agir dentro do prazo legal.

O limite do esforço individual

Vale ainda uma nota sobre Messi, que considero, sem exagero, um dos melhores jogadores deste século. Em sua última partida de Copas do Mundo¹², coube a ele boa parte da tentativa de organizar o ataque argentino, papel natural do jogador mais experiente em campo. Ainda assim, com a expulsão do volante Enzo Fernández nos acréscimos do tempo normal, que deixou a Argentina com um jogador a menos durante toda a prorrogação¹³, a tarefa se tornou praticamente impossível, por mais talento que houvesse em campo. A capacidade individual, por maior que seja, não substitui uma estrutura coletiva ausente.

Essa cena ajuda a situar o papel do encarregado diante de um incidente de segurança. O art. 41, §2º, da LGPD atribui a ele quatro atribuições¹⁴: aceitar reclamações e comunicações dos titulares e adotar providências; receber comunicações da Agência Nacional de Proteção de Dados e adotar providências; orientar funcionários e contratados sobre as práticas de proteção de dados pessoais; e executar as demais atribuições determinadas pelo controlador, sendo que, nenhuma delas transforma o encarregado em um solucionador solitário.

O próprio acórdão 1.372/25 do TCU aponta, como causa raiz de parte considerável das fragilidades identificadas na auditoria, a falta de priorização do tema pela alta administração das organizações, não a falta de competência técnica dos encarregados nomeados¹⁵. Um encarregado pode ser tecnicamente muito bem preparado e, ainda assim, não conseguir uma resposta eficaz a um incidente se a organização não lhe garantiu, com antecedência, equipe, orçamento, sistema de registro e canal de comunicação já estruturados.

A norma ISO/IEC 27002:2022 reconhece essa distinção ao tratar como controles separados a preparação e o planejamento da gestão de incidentes (controle 5.24) e a resposta ao incidente propriamente dita (controle 5.26)¹⁶. São etapas diferentes, e a segunda depende de a primeira ter sido bem-feita, com antecedência e sem a pressão do incidente já em curso.

O ensaio que faltou

A seleção argentina certamente treinou bastante para chegar a uma final de Copa do Mundo. O que faltou não foi preparo em geral, mas o ensaio de um cenário específico: como romper um bloqueio quando o jogo pede iniciativa, e como reagir com um jogador a menos. Da mesma forma, muitas organizações têm um programa de segurança da informação estruturado em termos gerais, mas nunca simularam o cenário específico de um incidente envolvendo dados pessoais, com os prazos e as obrigações de comunicação que a LGPD impõe.

Os dados do TCU e do TCE/RJ convergem para uma mesma conclusão: a ausência de plano de resposta a incidentes, ou a existência de um plano nunca testado, não é exceção, é a regra na administração pública brasileira.

Neste sentido, simulações periódicas do cenário específico de vazamento de dados pessoais, papéis e responsabilidades bem definidos e integração entre o encarregado, a área de tecnologia e a alta gestão são elementos que transformam um documento arquivado em capacidade real de resposta.

A final deste domingo mostrou que resistir bem, por noventa ou até cento e vinte minutos, não garante o resultado se a organização não tiver, no momento certo, uma resposta pronta para ser executada. Em proteção de dados pessoais, o incidente também tem hora marcada para acontecer. A diferença entre as organizações que atravessam essa hora com dano controlado e as que sofrem consequências mais severas, inclusive perante o TCU, o TCE e a própria ANPD, está no ensaio específico que fizeram antes, e não apenas no preparo geral que já tinham. Depois do terremoto de Lisboa e da garrafa esquecida¹⁷, esse já é o terceiro convite que faço para pensar no assunto, e duvido que seja o último.

_____

1. CNN BRASIL. Espanha domina, bate Argentina na prorrogação e é bicampeã da Copa do Mundo. CNN Brasil, São Paulo, 19 jul. 2026. Disponível em: https://www.cnnbrasil.com.br/esportes/futebol/copa-do-mundo/espanha-domina-bate-argentina-na-prorrogacao-e-e-bicampea-da-copa-do-mundo/. Acesso em: 19 jul. 2026.

2. CNN BRASIL. Argentina registra marca inédita em final na história das Copas. CNN Brasil, São Paulo, 19 jul. 2026. Disponível em: https://www.cnnbrasil.com.br/esportes/futebol/copa-do-mundo/argentina-registra-marca-inedita-em-final-na-historia-das-copas/. Acesso em: 19 jul. 2026. Dados originais: plataforma Opta.

3. 365SCORES. 20 chutes contra apenas dois: veja os números do domínio total da Espanha sobre a Argentina. 365Scores, 19 jul. 2026. Disponível em: https://www.365scores.com/pt-br/news/magazine/20-chutes-contra-dois-numeros-dominio-espanha-argentina/. Acesso em: 19 jul. 2026.

4. BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD), art. 50, §2º, I, "g". Diário Oficial da União, Brasília, DF, 15 ago. 2018.

5. BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD), art. 48. Diário Oficial da União, Brasília, DF, 15 ago. 2018.

6. BRASIL. Agência Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Regulamento de Comunicação de Incidente de Segurança, art. 9º. Brasília, DF, 26 abr. 2024.

7. SILVA, Ana Paula Vasconcellos da. Construindo um programa de governança em proteção de dados pessoais no poder público: boas práticas sugeridas. In: LIMA, Ana Paula Canto de; SILVA JUNIOR, Silvio Maciel e (coord.). Direito Digital: tendências e desafios. Recife: Editora Império, 2025. p. 73.

8. BRASIL. Tribunal de Contas da União. Acórdão nº 1.372/2025 – Plenário. Processo TC 009.980/2024-5. Relator: Min. Walton Alencar Rodrigues. Brasília, DF, 25 jun. 2025.

9. BRASIL. Tribunal de Contas do Estado do Rio de Janeiro. Acórdão nº 003931/2025-PLENV. Processo nº 217.899-0/24. Relatora: Cons. Marianna Montebello Willeman. Rio de Janeiro, 2025.

10. BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD), art. 46, §2º. Diário Oficial da União, Brasília, DF, 15 ago. 2018.

11. SILVA JUNIOR, Silvio Maciel e. Aspectos relevantes e práticos de plano de respostas a incidentes de segurança com dados pessoais. In: LIMA, Ana Paula Canto de; SILVA JUNIOR, Silvio Maciel e; CARDOSO, Oscar Valente (coord.). Proteção de Dados e Segurança da Informação: Diálogos entre Brasil e Portugal. Recife: Editora Império, 2026. p. 722.

12. Cf. nota 1 (CNN BRASIL).

13. NO ATAQUE. Espanha x Argentina tem fato que não ocorria há 20 anos em finais de Copa do Mundo. No Ataque, 19 jul. 2026. Disponível em: https://noataque.com.br/futebol/copa-do-mundo/time/espanha/noticia/2026/07/19/espanha-x-argentina-tem-fato-que-nao-ocorria-ha-20-anos-em-finais-de-copa-do-mundo/. Acesso em: 19 jul. 2026.

14. BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD), art. 41, §2º. Diário Oficial da União, Brasília, DF, 15 ago. 2018.

15. Cf. nota 8 (TCU, Acórdão nº 1.372/2025).

16. ABNT. NBR ISO/IEC 27002:2022 — Segurança da informação, segurança cibernética e proteção da privacidade — Controles de segurança da informação, controles 5.24 e 5.26. Rio de Janeiro: ABNT, 2022. Adoção idêntica à ISO/IEC 27002:2022.

17. SILVA JUNIOR, Silvio Maciel e. Quando o terremoto chega: incidentes de dados, a LGPD e a lição de Lisboa. Migalhas, 25 jun. 2026; SILVA JUNIOR, Silvio Maciel e. A garrafa esquecida: quem responde pelo programa de privacidade? Migalhas, 10 jul. 2026.

_____

365SCORES. 20 chutes contra apenas dois: veja os números do domínio total da Espanha sobre a Argentina. 365Scores, 19 jul. 2026. Disponível em: https://www.365scores.com/pt-br/news/magazine/20-chutes-contra-dois-numeros-dominio-espanha-argentina/. Acesso em: 19 jul. 2026.

ABNT. NBR ISO/IEC 27002:2022 — Segurança da informação, segurança cibernética e proteção da privacidade — Controles de segurança da informação. Rio de Janeiro: ABNT, 2022.

BRASIL. Agência Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Brasília, DF, 26 abr. 2024. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-aprova-o-regulamento-de-comunicacao-de-incidente-de-seguranca. Acesso em: 19 jul. 2026.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 19 jul. 2026.

BRASIL. Tribunal de Contas da União. Acórdão nº 1.372/2025 – Plenário. Processo TC 009.980/2024-5. Relator: Min. Walton Alencar Rodrigues. Brasília, DF, 25 jun. 2025. Disponível em: https://portal.tcu.gov.br/data/files/60/83/2F/6D/64BF791070549D79F18818A8/Peca%20965%20-%20TC-009-980-2024-5_Peca%20965%20-%20ACORDAO--MIN-WAR-2025-3-20.pdf. Acesso em: 19 jul. 2026.

BRASIL. Tribunal de Contas do Estado do Rio de Janeiro. Acórdão nº 003931/2025-PLENV. Processo nº 217.899-0/24. Relatora: Cons. Marianna Montebello Willeman. Rio de Janeiro, 2025. Disponível em: https://portal-br.tcerj.tc.br/documents/234311/2a4c6de2-e594-4922-b2be-fccbc33c7269. Acesso em: 19 jul. 2026.

CNN BRASIL. Argentina registra marca inédita em final na história das Copas. CNN Brasil, São Paulo, 19 jul. 2026. Disponível em: https://www.cnnbrasil.com.br/esportes/futebol/copa-do-mundo/argentina-registra-marca-inedita-em-final-na-historia-das-copas/. Acesso em: 19 jul. 2026.

CNN BRASIL. Espanha domina, bate Argentina na prorrogação e é bicampeã da Copa do Mundo. CNN Brasil, São Paulo, 19 jul. 2026. Disponível em: https://www.cnnbrasil.com.br/esportes/futebol/copa-do-mundo/espanha-domina-bate-argentina-na-prorrogacao-e-e-bicampea-da-copa-do-mundo/. Acesso em: 19 jul. 2026.

NO ATAQUE. Espanha x Argentina tem fato que não ocorria há 20 anos em finais de Copa do Mundo. No Ataque, 19 jul. 2026. Disponível em: https://noataque.com.br/futebol/copa-do-mundo/time/espanha/noticia/2026/07/19/espanha-x-argentina-tem-fato-que-nao-ocorria-ha-20-anos-em-finais-de-copa-do-mundo/. Acesso em: 19 jul. 2026.

SILVA, Ana Paula Vasconcellos da. Construindo um programa de governança em proteção de dados pessoais no poder público: boas práticas sugeridas. In: LIMA, Ana Paula Canto de; SILVA JUNIOR, Silvio Maciel e (coord.). Direito Digital: tendências e desafios. Recife: Editora Império, 2025. p. 73.

SILVA JUNIOR, Silvio Maciel e. A garrafa esquecida: quem responde pelo programa de privacidade? Migalhas, 10 jul. 2026. Disponível em: https://www.migalhas.com.br/depeso/459816/a-garrafa-esquecida-quem-responde-pelo-programa-de-privacidade. Acesso em: 19 jul. 2026.

SILVA JUNIOR, Silvio Maciel e. Aspectos relevantes e práticos de plano de respostas a incidentes de segurança com dados pessoais. In: LIMA, Ana Paula Canto de; SILVA JUNIOR, Silvio Maciel e; CARDOSO, Oscar Valente (coord.). Proteção de Dados e Segurança da Informação: Diálogos entre Brasil e Portugal. Recife: Editora Império, 2026. p. 722.

SILVA JUNIOR, Silvio Maciel e. Quando o terremoto chega: incidentes de dados, a LGPD e a lição de Lisboa. Migalhas, 25 jun. 2026. Disponível em: https://www.migalhas.com.br/depeso/458837/quando-o-terremoto-chega-incidentes-de-dados-a-lgpd-e-a-licao. Acesso em: 19 jul. 2026.