Art. 18 do Decreto nº 9.936/2019

I - à Autoridade Nacional de Proteção de Dados, na hipótese de ocorrência que envolva o fornecimento de dados de pessoas naturais;

II - ao Banco Central do Brasil, na hipótese de ocorrência que envolva o fornecimento de dados prestados por instituições autorizadas a funcionar pelo Banco Central do Brasil; e

III - à Secretaria Nacional do Consumidor do Ministério da Justiça e Segurança Pública, na hipótese de ocorrência que envolva o fornecimento de dados de consumidores.

§ 1º  A comunicação de que trata o caput será feita no prazo de dois dias úteis, contado da data do conhecimento do incidente, e mencionará, no mínimo:

I - a descrição da natureza dos dados pessoais afetados;

II - as informações sobre os cadastrados envolvidos;

III - a indicação das medidas de segurança utilizadas para a proteção dos dados, inclusive os procedimentos de encriptação;

IV - os riscos relacionados ao incidente; e

V - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

§ 2º  No juízo de gravidade do incidente de que trata o caput , será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis para terceiros não autorizados a acessá-los.

§ 3º  Será obrigatória a pronta comunicação aos cadastrados afetados pelo incidente de segurança de que trata este artigo.

CAPÍTULO IX

DISPOSIÇÕES FINAIS