Início·Atuação·Governança & Crise·Gerenciamento de Crise
Busca e apreensão, vazamento de dados, produto perigoso, acidente de trabalho grave, notícia ofensiva, fato relevante. Cada crise tem um prazo legal que começa a correr de um marco próprio — e, desde junho de 2026, a tese do STF sobre o Marco Civil da Internet está estabilizada.
GEDEON — Advocacia & Consultoria Responsabilidade técnica: Gedeon Santos Cavalcante, OAB/DF 32.526 Publicado em 25 de setembro de 2026 Leitura: 18 minutos
Em resumo
1 · O relógio da crise
A primeira tarefa jurídica numa crise não é redigir nota à imprensa: é identificar quais comunicações a lei torna obrigatórias, a quem, em que prazo e a partir de que fato. Os marcos não coincidem — e a empresa que registra a hora em que soube de cada coisa já começou a defender-se.
O ponto que mais se perde é o marco inicial. No incidente de dados, o prazo corre “do conhecimento pelo controlador de que o incidente afetou dados pessoais” (Res. CD/ANPD nº 15/2024, art. 6º, § 1º), não da invasão. No produto perigoso há dois relógios: um para a investigação, outro para o recall, contado “da decisão de realizar o chamamento” (Portaria MJSP nº 618/2019, arts. 2º e 3º). Protocolo de 72 horas, comitê de crise e porta-voz único são boas práticas, não exigências legais — a lista de verificação ao final os trata como tal.
Os prazos regulatórios convivem com deveres contratuais que também têm relógio. Desde dezembro de 2025 está em vigor a Lei nº 15.040/2024, que obriga o segurado, ao tomar ciência do sinistro ou da iminência dele, a “avisar prontamente a seguradora, por qualquer meio idôneo” (art. 66, II). O descumprimento culposo custa a indenização equivalente aos danos decorrentes da omissão; o doloso, o direito inteiro (§§ 1º e 2º).
| Crise | Comunicação devida | Prazo e marco inicial | Fonte |
|---|---|---|---|
| Incidente de dados | Controlador à ANPD, por formulário eletrônico | 3 dias úteis do conhecimento de que dados pessoais foram afetados; em dobro para agente de pequeno porte | Res. CD/ANPD nº 15/2024, art. 6º, caput e §§ 1º, 4º e 8º |
| Incidente de dados | Controlador aos titulares, em linguagem simples e de forma individualizada | 3 dias úteis do mesmo marco | Res. CD/ANPD nº 15/2024, art. 9º, caput e § 1º |
| Incidente de dados | Complementação fundamentada à ANPD | 20 dias úteis da comunicação | Res. CD/ANPD nº 15/2024, art. 6º, § 3º |
| Produto ou serviço possivelmente perigoso | Fornecedor à Senacon: início da investigação | 24 horas do conhecimento da possibilidade; investigação em até 10 dias úteis, salvo extensão justificada | Portaria MJSP nº 618/2019, art. 2º, caput e § 1º |
| Recall | Fornecedor à Senacon e ao órgão regulador, com plano de mídia e de atendimento | 2 dias úteis da decisão de realizar o chamamento; aos consumidores, “imediatamente” | Portaria MJSP nº 618/2019, art. 3º; CDC, art. 10, § 1º |
| Acidente do trabalho | CAT à Previdência Social, com cópia ao acidentado e ao sindicato | Até o primeiro dia útil seguinte ao da ocorrência | Lei nº 8.213/1991, art. 22, caput e § 1º |
| Acidente do trabalho com morte | Comunicação à autoridade competente | De imediato | Lei nº 8.213/1991, art. 22, caput |
| Fato relevante | Diretor de Relações com Investidores à CVM e aos mercados | Imediata, antes ou junto com qualquer veiculação à imprensa | Res. CVM nº 44/2021, art. 3º, caput e § 3º |
| Matéria ofensiva em veículo | Pedido de resposta ao veículo, por correspondência com aviso de recebimento | 60 dias decadenciais de cada divulgação; ação cabível se não publicada em 7 dias | Lei nº 13.188/2015, arts. 3º e 5º |
| Sinistro coberto por seguro | Segurado à seguradora | “Prontamente”, da ciência do sinistro ou de sua iminência | Lei nº 15.040/2024, art. 66, II |
O prazo da ANPD é ressalvado quando houver “prazo para comunicação previsto em legislação específica” (Res. nº 15/2024, art. 6º, caput): setores regulados podem ter regra própria, que não foi inventariada nesta página.
2 · Operação policial na empresa
A operação policial é a crise em que as decisões das primeiras horas mais pesam depois. Quase tudo o que se poderá discutir sobre a diligência dependerá do que foi conferido e registrado no próprio dia. O desenvolvimento penal — cadeia de custódia, acordos, defesa — está na página de Penal & Processo Penal.
O mandado deve indicar, “o mais precisamente possível”, o local da diligência, mencionar “o motivo e os fins da diligência” e ser assinado pela autoridade que o expediu (CPP, art. 243). Antes de entrar, os executores mostram e leem o mandado a quem represente o morador (art. 245), regra que o art. 246 estende ao compartimento não aberto ao público onde alguém exerce profissão ou atividade. Ao final, lavra-se “auto circunstanciado, assinando-o com duas testemunhas presenciais” (art. 245, § 7º).
Na fase de investigação, cabe ao juiz das garantias decidir sobre busca e apreensão domiciliar e sobre afastamento de sigilos (CPP, art. 3º-B, XI). Cumprir mandado de busca domiciliar “após as 21h (vinte e uma horas) ou antes das 5h (cinco horas)” é conduta tipificada como abuso de autoridade (Lei nº 13.869/2019, art. 22, § 1º, III).
Se a busca alcançar o escritório ou local de trabalho de advogado, a inviolabilidade do art. 7º, II, do Estatuto da Advocacia só cede a decisão motivada e mandado “específico e pormenorizado”, cumprido na presença de representante da OAB, vedado o uso de documentos e mídias de clientes do advogado averiguado (§ 6º), salvo dos investigados como partícipes ou coautores do mesmo crime (§ 7º). A Lei nº 14.365/2022 acrescentou que a medida é excepcional (§ 6º-A) e que o representante da OAB deve impedir a apreensão de material não relacionado à investigação (§ 6º-C). Violar as prerrogativas dos incisos II a V do art. 7º é crime (art. 7º-B).
Empregados e administradores ouvidos como investigados têm direito à assistência de advogado, “sob pena de nulidade absoluta do respectivo interrogatório ou depoimento” e dos elementos dele derivados (Lei nº 8.906/1994, art. 7º, XXI). O advogado pode examinar, mesmo sem procuração, autos de investigação de qualquer natureza (art. 7º, XIV).
Segundo a Súmula Vinculante 14, na redação reproduzida em notícias oficiais do STF, “é direito do defensor, no interesse do representado, ter acesso amplo aos elementos de prova que, já documentados em procedimento investigatório realizado por órgão com competência de polícia judiciária, digam respeito ao exercício do direito de defesa”. O CPP atribui ao juiz das garantias assegurar esse acesso, “salvo no que concerne, estritamente, às diligências em andamento” (art. 3º-B, XV), e negar acesso aos autos — ressalvadas as peças de diligências em curso ou futuras cujo sigilo seja imprescindível — é crime de abuso de autoridade (Lei nº 13.869/2019, art. 32).
A Lei de Abuso de Autoridade tipifica a conduta de o responsável pelas investigações “antecipar […], por meio de comunicação, inclusive rede social, atribuição de culpa, antes de concluídas as apurações e formalizada a acusação” (Lei nº 13.869/2019, art. 38). A narrativa oficial sobre a operação também tem limite.
3 · Dados, produto e acidente
Nas três crises, a lei parte da mesma premissa: quem está exposto ao risco tem de ser avisado antes de a empresa ter todas as respostas. O que muda é o destinatário, o conteúdo mínimo e a consequência do silêncio.
Nem todo incidente se comunica. A comunicação é devida quando o incidente puder afetar significativamente direitos dos titulares e envolver ao menos um critério: dados sensíveis; de crianças, adolescentes ou idosos; financeiros; de autenticação; protegidos por sigilo; ou em larga escala (Res. CD/ANPD nº 15/2024, art. 5º). A comunicação à ANPD tem doze itens obrigatórios, entre eles as medidas de segurança “adotadas antes e após o incidente” e “os motivos da demora”, se houver (art. 6º, § 2º, III e V).
Todo incidente, porém, se registra — “inclusive daquele não comunicado à ANPD e aos titulares” —, pelo prazo mínimo de cinco anos, com os motivos da ausência de comunicação (art. 10, caput e § 1º, VIII). É esse registro que demonstrará quando a empresa soube e por que decidiu (veja Proteção de Dados).
O fornecedor que descobre a periculosidade depois da introdução do produto no mercado “deverá comunicar o fato imediatamente às autoridades competentes e aos consumidores, mediante anúncios publicitários”, às suas expensas (CDC, art. 10, §§ 1º e 2º). Deixar de fazê-lo é crime, com pena de detenção de seis meses a dois anos e multa; também o é deixar de retirar o produto do mercado quando determinado pela autoridade (art. 64).
A Portaria MJSP nº 618/2019 dá forma ao dever: a comunicação do recall traz defeito, riscos, quantidade, distribuição geográfica, acidentes conhecidos, plano de mídia, plano de atendimento e modelo de aviso de risco (art. 3º, § 1º); o plano de mídia usa ao menos uma estrutura escrita, uma de som e uma de som e imagem (art. 4º, § 3º); e acidentes conhecidos depois da comunicação também devem ser informados (art. 13).
A CAT é devida até o primeiro dia útil seguinte ao acidente e, em caso de morte, a comunicação à autoridade competente é imediata, sob pena de multa aplicada pela Previdência Social (Lei nº 8.213/1991, art. 22). Se a empresa não comunicar, o acidentado, os dependentes, o sindicato, o médico ou qualquer autoridade pública podem fazê-lo — o que não a exime da responsabilidade pela omissão (§§ 2º e 3º).
4 · Imprensa e redes
A notícia de um jornal e a publicação de um usuário em rede social parecem a mesma crise, mas a lei as separa. Escolher o instrumento errado consome o tempo que o prazo de 60 dias ou a guarda de registros não devolvem.
A lei protege também a pessoa jurídica: é matéria ofensiva a que atente, “ainda que por equívoco de informação”, contra “o nome, a marca ou a imagem de pessoa física ou jurídica” (art. 2º, § 1º). Ficam de fora os comentários de usuários nas páginas dos veículos (§ 2º), e a retratação espontânea do veículo não impede a resposta nem a ação por dano moral (§ 3º).
O rito é curto. O pedido vai ao veículo por correspondência com aviso de recebimento em 60 dias de cada divulgação (art. 3º); sem publicação em sete dias, nasce o interesse para a ação (art. 5º), no foro do domicílio do ofendido ou do lugar de maior repercussão (§ 1º). O juiz cita o veículo em 24 horas, para justificar-se em igual prazo e contestar em três dias (art. 6º), e pode fixar a veiculação em prazo não superior a dez dias (art. 7º). Nas ADIs 5.415, 5.418 e 5.436, julgadas em 11 de março de 2021, o STF manteve a lei e declarou inconstitucional apenas a expressão “em juízo colegiado prévio” do art. 10, permitindo a integrante do tribunal decidir monocraticamente sobre efeito suspensivo, conforme divulgado pelo STF.
Em 26 de junho de 2025, no julgamento dos Recursos Extraordinários 1.037.396 (Tema 987) e 1.057.258 (Tema 533), o STF declarou o art. 19 do Marco Civil da Internet parcialmente inconstitucional. Em 17 de junho de 2026, ao julgar embargos de declaração, o Plenário aperfeiçoou a tese e determinou o trânsito em julgado; segundo o Tribunal, os critérios passam a ser seguidos de imediato em todas as instâncias.
A regra geral passou a ser a notificação: o provedor responde, de forma solidária e nos termos do art. 21, pelos danos de conteúdo de terceiro que configure crime ou ato ilícito, “salvo se demonstrada dúvida razoável quanto à ilicitude, após análise de diligência qualificada por parte do provedor de aplicações” (item 3 da tese). A ofensa à honra continua no art. 19 — exige ordem judicial para a indenização —, “sem prejuízo da possibilidade de remoção por notificação extrajudicial” (item 3.2). Para quem enfrenta uma campanha, pesa ainda o item 3.3: fato ofensivo já reconhecido por decisão judicial e replicado deve ser removido por todos os provedores de redes sociais a partir de notificação, sem nova decisão.
O provedor de aplicações organizado profissionalmente guarda os registros de acesso por seis meses (Lei nº 12.965/2014, art. 15). A parte interessada pode pedir ao juiz, em caráter incidental ou autônomo, que ordene o fornecimento desses registros, demonstrando fundados indícios do ilícito, a utilidade dos registros e o período a que se referem (art. 22). Na crise reputacional, o pedido de preservação e de fornecimento é, muitas vezes, mais urgente que o de remoção.
| Situação | Regime | Quando o provedor responde | Fonte |
|---|---|---|---|
| Crime ou ato ilícito em geral; contas não autênticas | Art. 21 do MCI, responsabilidade solidária | Se não remover após notificação, salvo dúvida razoável após diligência qualificada | Tese, itens 3 e 3.1 |
| Crime ou ilícito civil contra a honra | Art. 19 do MCI | Após descumprir ordem judicial específica; remoção por notificação extrajudicial é possível | Tese, item 3.2; MCI, art. 19 |
| Replicação de fato ofensivo já reconhecido em juízo | Remoção por notificação | Se não remover as publicações idênticas após notificação judicial ou extrajudicial | Tese, item 3.3 |
| Anúncio ou impulsionamento pago; disseminação artificial | Presunção relativa de culpa | Independentemente de notificação, salvo prova de atuação diligente e em tempo razoável | Tese, item 4 |
| Crimes graves do rol taxativo (golpe, terrorismo, racismo, crimes contra mulheres e crianças, entre outros) | Dever de cuidado | Falha sistêmica em prevenir ou remover; conteúdo isolado segue o art. 21 | Tese, itens 5 a 5.4 |
| E-mail e mensageria (comunicações interpessoais); reuniões fechadas por vídeo ou voz | Art. 19 do MCI | Após descumprir ordem judicial específica | Tese, item 3.4 |
| Marketplace | Código de Defesa do Consumidor | Segundo as regras do CDC | Tese, item 6 |
Redação final da tese publicada pelo STF após o julgamento dos embargos em 17/06/2026. “Não haverá responsabilidade objetiva” (item 11). Efeitos a partir da publicação da ata do julgamento de mérito, em 5/8/2025, ressalvados atos continuados ou permanentes (item 13); 60 dias da publicação da ata dos embargos para as obrigações estruturais do item 5 (item 14).
5 · Mercado e integridade
Duas crises pedem decisão sobre revelar: a da companhia aberta, em que a lei trata o silêncio como exceção, e a do ato lesivo contra a administração pública, em que admitir e cooperar entram no cálculo da multa.
A Lei nº 6.404/1976 obriga os administradores a comunicar “imediatamente” à bolsa e a divulgar fato relevante que possa influir de modo ponderável na decisão dos investidores (art. 157, § 4º). Entre os exemplos da Resolução CVM nº 44/2021 estão a paralisação da fabricação ou comercialização de produto e a propositura de ação ou procedimento que possa afetar a situação econômico-financeira da companhia (art. 2º, parágrafo único, XIX e XXII). A divulgação cabe ao Diretor de Relações com Investidores e deve preceder ou ser simultânea à veiculação “por qualquer meio de comunicação, inclusive informação à imprensa” (art. 3º, caput e § 3º); sempre que possível, fora do horário de negociação (art. 5º).
O sigilo é exceção e tem prazo de validade: o fato pode deixar de ser divulgado se a revelação puser em risco interesse legítimo da companhia, mas deve sair imediatamente se a informação escapar ao controle ou houver oscilação atípica na cotação (art. 6º). Administradores e controladores que souberem do fato e constatarem a omissão do DRI só se eximem comunicando-o imediatamente à CVM (art. 3º, § 2º). Durante a crise, quem negocia dispondo de informação relevante não divulgada presume-se ter feito uso dela (art. 13, § 1º, I), e o uso para obter vantagem é crime (Lei nº 6.385/1976, art. 27-D).
A Lei nº 12.846/2013 manda considerar, na sanção, a cooperação da pessoa jurídica para a apuração e a existência de programa de integridade (art. 7º, VII e VIII). O Decreto nº 11.129/2022 converte esses fatores em percentuais subtraídos da base de cálculo da multa (art. 23) — e a colaboração conta “independentemente do acordo de leniência” (inciso III). Como a admissão só recebe o percentual máximo se vier antes da instauração do processo administrativo de responsabilização (parágrafo único, II), a decisão sobre autodenúncia é tomada no calendário da crise, não no do processo. Os requisitos da leniência estão na página de Penal & Processo Penal.
| Fator | Redução máxima sobre a base de cálculo | Condição para o percentual máximo | Fonte |
|---|---|---|---|
| Infração não consumada | Até 0,5% | — | Decreto nº 11.129/2022, art. 23, I |
| Devolução espontânea da vantagem e ressarcimento do dano | Até 1% | Devolução integral | Art. 23, II, “a”, e parágrafo único, I |
| Colaboração com a investigação | Até 1,5% | Independe de acordo de leniência | Art. 23, III |
| Admissão voluntária da responsabilidade objetiva | Até 2% | Admissão antes da instauração do PAR | Art. 23, IV, e parágrafo único, II |
| Programa de integridade existente e aplicado | Até 5% | Programa anterior ao ato lesivo | Art. 23, V, e parágrafo único, III |
Os fatores agravantes estão no art. 22 do Decreto, e o art. 25 fixa pisos e tetos para o valor final da multa. Leniência exige, entre outros requisitos, ser a primeira a se manifestar (Lei nº 12.846/2013, art. 16, § 1º).
Erros que custam caro
Como trabalhamos
Nesta área, como em todas, a casa trabalha com seis regras: primeiro a norma, depois a opinião; recibo de fontes no pé de cada peça; o prazo antes do argumento; a prova antes da defesa; verificação contrária; e supervisão humana declarada.
O que fazemos
A casa não presta serviço, não intermedeia e não participa de licitação junto ao Departamento de Estradas de Rodagem do Distrito Federal e às entidades a ele vinculadas. Toda contratação é precedida de verificação de conflito de interesses.
Esta página não veicula honorários, resultado, caso concreto nem depoimento, em observância ao Provimento CFOAB nº 205/2021 e ao Código de Ética e Disciplina da OAB.
Boas práticas
Perguntas frequentes
Ler o mandado e conferir local, motivo e fins da diligência (CPP, art. 243), acompanhar a busca e exigir o auto circunstanciado assinado por duas testemunhas (art. 245, § 7º). Empregados ouvidos como investigados têm direito à assistência de advogado (Lei nº 8.906/1994, art. 7º, XXI).
Se o incidente afetou dados pessoais e pode afetar significativamente os titulares, envolvendo algum dos critérios do art. 5º da Resolução CD/ANPD nº 15/2024, sim: em três dias úteis do conhecimento de que dados pessoais foram afetados, à ANPD e aos titulares (arts. 6º e 9º). Não sendo o caso, o incidente ainda assim deve ser registrado e guardado por cinco anos (art. 10).
Sim. A Portaria MJSP nº 618/2019 exige comunicar à Senacon, em 24 horas, o início das investigações, que não devem passar de dez dias úteis sem justificativa (art. 2º). Decidido o recall, a comunicação à Senacon e ao regulador ocorre em dois dias úteis (art. 3º).
A CAT deve ser emitida até o primeiro dia útil seguinte, e a morte deve ser comunicada de imediato à autoridade competente (Lei nº 8.213/1991, art. 22). A omissão sujeita a empresa a multa, mesmo que terceiros façam a comunicação (§ 3º).
Sim: a Lei nº 13.188/2015 alcança matéria que atente contra o nome, a marca ou a imagem de pessoa jurídica (art. 2º, § 1º). O pedido deve ser enviado ao veículo em 60 dias da divulgação (art. 3º); sem publicação em sete dias, cabe ação de rito especial (art. 5º).
Depende do conteúdo. Pela tese do STF nos Temas 987 e 533, em crime ou ato ilícito o provedor responde se não remover após notificação, salvo dúvida razoável (item 3); para ofensa à honra, a responsabilidade continua a exigir ordem judicial, embora a remoção por notificação extrajudicial seja possível (item 3.2). Os registros de acesso para identificar os autores podem ser pedidos ao juiz (Lei nº 12.965/2014, art. 22).
Só se a revelação puser em risco interesse legítimo da companhia, e a divulgação passa a ser imediata se a informação escapar ao controle ou houver oscilação atípica (Resolução CVM nº 44/2021, art. 6º).
É uma decisão estratégica, não automática. O Decreto nº 11.129/2022 dá até 2% de redução pela admissão voluntária — o percentual máximo só se ela for anterior à instauração do PAR — e até 1,5% pela colaboração, com ou sem leniência (art. 23, III e IV). A leniência tem requisitos próprios, como ser a primeira a se manifestar (Lei nº 12.846/2013, art. 16, § 1º).
Gedeon Santos Cavalcante, OAB/DF 32.526. Esta página tem caráter exclusivamente informativo, não constitui consulta nem orientação para caso concreto, e cada afirmação traz o dispositivo ou o ato em que se apoia, com a data em que a fonte foi lida.
Leia também
Recibo de fontes
Todas as normas acima foram lidas no texto oficial entre 24 e 25 de setembro de 2026. Ressalvas de honestidade: as decisões do STF estão citadas pela tese e pelas notícias divulgadas oficialmente, sem leitura do inteiro teor dos acórdãos; a data de publicação da ata dos embargos nos Temas 987 e 533, que dá início ao prazo de 60 dias do item 14, não foi conferida; o enunciado da Súmula Vinculante 14 foi lido em notícias oficiais do STF, e não na página de súmulas do portal; a Portaria MJSP nº 618/2019 foi lida na redação original publicada no repositório do MJSP (a Portaria GAB-SENACON nº 20/2020 trata só dos relatórios periódicos do art. 8º e não altera os prazos citados); e prazos setoriais de comunicação de incidente não foram inventariados. Esta página é revista a cada novo ato.
Contato
Numa crise, a primeira conversa não é sobre a nota à imprensa: é sobre quais prazos já estão correndo, o que preservar e quem fala em nome da empresa. É por aí que começamos.
GEDEON — Advocacia & Consultoria · SHS Quadra 06, Conjunto A, Bloco A, Salas 501 e 512 — Asa Sul, Brasília/DF · Gedeon Santos Cavalcante, OAB/DF 32.526.