Nas primeiras horas de um vazamento de dados, a empresa tem três obrigações práticas: conter o acesso indevido, preservar as provas técnicas do que aconteceu e avaliar se o incidente exige comunicação à ANPD e aos titulares. A comunicação à autoridade não é automática em todo incidente, ela é obrigatória quando o vazamento pode acarretar risco ou dano relevante aos titulares, e o prazo previsto no regulamento da ANPD é de três dias úteis contados do conhecimento do fato.
Essa ordem importa. Empresa que comunica antes de conter continua vazando enquanto redige o comunicado. Empresa que contém e apaga o rastro perde a única prova de que agiu direito. E empresa que espera o jurídico “analisar com calma” costuma descobrir que o prazo regulatório já correu.
O que conta como vazamento de dados sob a LGPD
Incidente de segurança com dados pessoais é qualquer evento que resulta em acesso, destruição, perda, alteração, comunicação ou difusão não autorizada de dados pessoais, seja por ação externa, falha técnica ou erro humano interno. A Lei 13.709/2018, a LGPD, trata o tema no artigo 48, e o regulamento editado pela ANPD detalha quando e como a comunicação precisa ser feita.
A palavra “vazamento” faz a maioria das empresas imaginar um ataque hacker com resgate em criptomoeda. Na rotina de quem opera negócio digital, o incidente costuma ser bem mais banal:
- Planilha com base de clientes enviada por engano para o e-mail errado ou compartilhada em link público no Drive.
- Colaborador desligado que continuou com acesso ao CRM por semanas depois da saída.
- Bucket de armazenamento configurado como público, expondo notas fiscais, contratos ou documentos de identidade.
- Formulário de captação com falha que permite listar leads de outra conta apenas mudando um número na URL.
- Fornecedor de e-mail marketing, de checkout ou de atendimento que sofreu invasão e carregava a sua base.
- Backup antigo em servidor esquecido, sem senha, indexado por buscador.
Todos esses casos podem configurar incidente de segurança com dados pessoais. O que muda entre eles não é o rótulo, é o grau de risco para as pessoas cujos dados foram expostos, e é esse grau que define a obrigação de comunicar.
As primeiras horas: o que fazer em qual ordem
Contenção imediata
O primeiro movimento é técnico, não jurídico. Revogar credenciais comprometidas, encerrar sessões ativas, trocar chaves de API, tirar do ar o endpoint ou o link exposto, bloquear o acesso do usuário suspeito, isolar a máquina infectada. Se o vazamento veio de um link público em nuvem, a permissão precisa cair na mesma hora.
Há uma armadilha aqui. Contenção não é limpeza. Formatar a máquina, apagar logs, derrubar o servidor e recriar do zero resolve a exposição e destrói a evidência. Quem faz isso fica sem base para demonstrar à ANPD, ao cliente corporativo ou ao juiz o que realmente aconteceu, quantos registros saíram e em que momento a empresa percebeu. Contenha isolando, não apagando.
Preservação de prova
Enquanto o time técnico contém, alguém precisa congelar o cenário. Isso significa exportar e guardar em local separado os logs de acesso da aplicação, os registros do servidor, os alertas do WAF ou do antivírus, o histórico de permissões alteradas, as mensagens internas em que o problema foi identificado e, quando o vazamento se tornou público, as capturas do conteúdo circulando.
Para conteúdo que está na internet e pode sumir a qualquer momento, print de tela é frágil. Ata notarial lavrada em cartório, prevista no artigo 384 do Código de Processo Civil, registra o que existia naquele endereço naquela data e sustenta muito melhor uma medida judicial de remoção ou uma futura ação de responsabilização contra quem publicou. Em incidentes envolvendo dados sensíveis ou extorsão, essa peça costuma valer mais do que qualquer relatório interno. É o mesmo raciocínio aplicado em litígios digitais envolvendo fraude e uso indevido de conteúdo.
Dimensionamento
Com o acesso fechado e a prova guardada, vem a pergunta que define todo o resto: o que saiu, de quantas pessoas, e o que dá para fazer com isso?
Não é a mesma coisa expor uma lista de e-mails de newsletter e expor uma planilha com CPF, endereço residencial, data de nascimento e histórico de compras. A primeira gera incômodo e mais spam. A segunda entrega ao criminoso o pacote completo para abrir conta em nome da vítima, contratar crédito ou aplicar golpe se passando pela sua empresa. A LGPD trata como sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, e dados genéticos ou biométricos. Incidente com essa categoria de dado sobe automaticamente de patamar.
O dimensionamento precisa responder, por escrito: a natureza dos dados afetados, o volume aproximado de titulares, o período em que a exposição ficou aberta, a causa provável, se os dados estavam criptografados ou pseudonimizados e quais medidas já foram tomadas. Esse documento vira a espinha dorsal da comunicação à ANPD e do registro interno do incidente.
Quando comunicar à ANPD e em que prazo
O artigo 48 da LGPD obriga o controlador a comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. O regulamento de comunicação de incidentes editado pela ANPD fixou o prazo em três dias úteis contados da data em que o controlador toma conhecimento de que o incidente afetou dados pessoais.
Duas leituras erradas aparecem com frequência. A primeira é achar que todo incidente precisa ir para a ANPD. Não precisa. Vazamento de dados já públicos, ou incidente sem potencial de risco relevante, é registrado internamente e tratado, sem comunicação obrigatória. A segunda leitura errada, bem mais cara, é usar essa exceção como desculpa para não comunicar nada. A avaliação de risco precisa estar documentada. Decisão de não comunicar sem fundamentação escrita é indefensável depois.
Risco ou dano relevante costuma existir quando o incidente pode gerar discriminação, fraude financeira, roubo de identidade, dano à reputação, restrição de direitos, exposição de dado sensível ou de dado de criança e adolescente, ou quando o volume e o tipo de informação permitem montar o perfil completo de uma pessoa.
O que a comunicação precisa conter
O parágrafo 1º do artigo 48 lista os elementos mínimos. Na prática, a comunicação descreve a natureza dos dados pessoais afetados, informa quem são os titulares envolvidos, indica as medidas técnicas e de segurança que estavam em uso para proteger aqueles dados, aponta os riscos decorrentes do incidente, explica o motivo da demora quando a comunicação não foi imediata e detalha as medidas adotadas ou que serão adotadas para reverter ou reduzir os efeitos.
Comunicação vaga é pior do que comunicação ruim. Texto genérico do tipo “identificamos um acesso não autorizado e estamos apurando” sinaliza para a autoridade que a empresa não tem controle sobre o próprio ambiente. Quando a apuração ainda está em curso, o caminho é comunicar com o que já se sabe e informar que haverá complementação, e não empurrar o prazo esperando um relatório perfeito.
Comunicação ao titular
Quando a comunicação à ANPD é obrigatória, a comunicação às pessoas afetadas normalmente também é. E é aqui que muita empresa transforma um problema técnico em crise de reputação.
O aviso ao titular precisa ser em linguagem clara, dizer o que aconteceu, quais dados daquela pessoa foram atingidos, quais riscos concretos ela corre e o que ela pode fazer para se proteger, além de oferecer um canal real de contato. Se o dado exposto inclui CPF e telefone, o aviso deve alertar sobre tentativas de golpe por ligação ou mensagem se passando pela empresa. Se inclui senha, deve orientar a troca imediata, inclusive em outros serviços onde a mesma senha tenha sido reaproveitada.
O tom também conta. Comunicado escrito para blindar a empresa, cheio de “eventual” e “suposto”, costuma produzir mais reclamação do que o próprio vazamento. Comunicado direto, que assume o ocorrido e mostra o que já foi feito, reduz a chance de ação individual e de repercussão pública. A ANPD, aliás, pode determinar ampla divulgação do fato em meios de comunicação quando entender que a gravidade justifica.
Incidente que comunica e incidente que só registra
| Situação | Risco provável ao titular | Conduta esperada |
|---|---|---|
| Lista de e-mails de newsletter exposta, sem outro dado associado | Baixo, limitado a spam e phishing genérico | Registro interno, contenção e avaliação documentada da decisão de não comunicar |
| Base de clientes com nome, CPF, endereço e telefone | Alto, permite fraude de identidade e golpe direcionado | Comunicação à ANPD e aos titulares, com orientação de proteção |
| Credenciais de acesso de usuários, com senhas em texto legível | Alto, alcança outros serviços por reuso de senha | Invalidação de senhas, comunicação à ANPD e aos titulares, troca forçada |
| Dados de saúde, biometria ou informação de criança e adolescente | Alto por natureza, mesmo em volume pequeno | Comunicação à ANPD e aos titulares, com tratamento prioritário |
| Backup criptografado extraviado, com chave sob controle exclusivo da empresa | Baixo enquanto a chave não for comprometida | Registro interno, avaliação documentada e monitoramento |
| Invasão em fornecedor que operava a base como operador | Depende do dado, mas a obrigação de comunicar continua com o controlador | Acionamento contratual do fornecedor e comunicação feita pelo controlador |
Quem faz o quê durante o incidente
Plano de resposta que só existe na cabeça do sócio não é plano. Em incidente real, todo mundo tenta resolver ao mesmo tempo e ninguém decide. A divisão mínima que funciona em empresa digital de porte pequeno e médio distribui quatro frentes.
A frente técnica contém, isola e levanta os logs. A frente jurídica avalia a obrigação de comunicar, redige a comunicação à ANPD, revisa o aviso aos titulares e mapeia a exposição contratual com clientes e fornecedores. A frente de comunicação cuida do texto público, do atendimento e da resposta a imprensa e redes sociais. E uma pessoa, apenas uma, coordena e decide, porque incidente com quatro chefes trava.
O encarregado pelo tratamento de dados, o DPO, entra como ponto de contato com a ANPD e com os titulares. Empresa que ainda não nomeou encarregado costuma descobrir isso justamente no pior momento, quando precisa apontar um canal oficial na comunicação e não tem nenhum.
O que costuma dar errado
Alguns erros se repetem tanto que dá para antecipá-los. Vale conhecer antes de precisar.
Negar antes de apurar é o mais comum. Alguém publica no LinkedIn ou em fórum que a base da empresa está circulando, o atendimento responde que “não houve qualquer vazamento” e, dois dias depois, a apuração confirma o vazamento. A negativa vira prova de má fé e contamina a defesa inteira.
Pagar resgate sem análise é o segundo. Além de não haver garantia nenhuma de que o criminoso apagará a cópia, o pagamento não afasta a obrigação de comunicar e pode gerar problema adicional na demonstração de conduta diligente.
Tratar o incidente só como problema de TI é o terceiro. Vazamento gera três frentes de exposição ao mesmo tempo: administrativa, com a ANPD, civil, com os titulares e com clientes corporativos que têm cláusula de proteção de dados no contrato, e às vezes criminal, quando há invasão de dispositivo informático ou fraude eletrônica envolvida. Resolver a parte técnica e ignorar as demais adia o custo, não o elimina.
O quarto erro é contratual e aparece depois. Empresa descobre, no meio do incidente, que o contrato com a plataforma que guardava os dados não tem cláusula de segurança da informação, não define prazo para o fornecedor avisar sobre incidentes e não prevê responsabilidade por multa aplicada em decorrência de falha dele. Sem isso, o prejuízo fica todo com quem contratou. Esse é um dos pontos que uma revisão de contratos digitais e termos de uso deveria cobrir antes de o problema existir.
Quando o vazamento veio do fornecedor
Muita empresa opera com dados espalhados entre CRM, plataforma de e-mail, gateway de pagamento, ferramenta de atendimento e planilhas na nuvem. Quando o incidente acontece dentro de um desses serviços, a reação instintiva é apontar para o fornecedor e esperar que ele resolva.
A LGPD não funciona assim. Quem decide as finalidades e os meios do tratamento é o controlador, e é dele a obrigação de comunicar à ANPD e aos titulares, mesmo quando a falha técnica ocorreu no operador contratado. O controlador pode, depois, buscar regresso contra o fornecedor pelo prejuízo, mas isso é uma discussão entre as duas empresas. Para o titular e para a autoridade, o interlocutor é quem coletou o dado.
Na prática, isso significa três providências no mesmo dia: acionar formalmente o fornecedor por escrito, exigindo relatório do incidente e prazo de resposta, verificar o que o contrato prevê sobre notificação e responsabilidade, e assumir a comunicação oficial em vez de esperar que o fornecedor a faça. Negócios que rodam sobre integração pesada de plataformas, como empresas de SaaS e operações de e-commerce, precisam ter esse fluxo desenhado antes, porque o prazo de três dias úteis não espera negociação com o suporte do fornecedor.
O que pesa na avaliação depois do incidente
A LGPD prevê no artigo 52 sanções administrativas que vão de advertência a multa simples de até dois por cento do faturamento da pessoa jurídica no Brasil no último exercício, limitada a cinquenta milhões de reais por infração, além de bloqueio ou eliminação dos dados envolvidos. A lei também manda considerar, na dosagem, a gravidade do fato, a boa fé do infrator, a vantagem obtida, a condição econômica, a reincidência, o grau do dano, a cooperação, a adoção de mecanismos internos de conformidade, a adoção de política de boas práticas e a pronta adoção de medidas corretivas.
Isso muda o cálculo. O que a empresa faz nas primeiras horas não serve apenas para conter o dano técnico, serve como prova de conduta diligente na fase em que a sanção é dosada. Registro do incidente com horário, decisão fundamentada sobre comunicar ou não, comunicação dentro do prazo, aviso claro aos titulares e correção da causa raiz formam um conjunto que a autoridade lê como cooperação. A ausência desse conjunto também é lida.
Há ainda a frente civil. O artigo 42 da LGPD prevê a reparação do dano patrimonial, moral, individual ou coletivo causado por tratamento em violação à lei, e o artigo 44 é expresso ao dizer que responde pelos danos quem deixar de adotar as medidas de segurança esperadas. Ação individual de titular e ação coletiva por associação ou pelo Ministério Público são desdobramentos possíveis, especialmente em vazamentos de grande volume.
O plano que deveria existir antes
Plano de resposta a incidente não precisa ser um manual de cem páginas. Em empresa digital enxuta, um documento de duas ou três páginas já resolve, desde que responda com nome e telefone quem aciona quem, onde ficam os logs, quem tem autoridade para tirar sistema do ar, qual o texto base do aviso ao titular, quem assina a comunicação à ANPD e onde está o inventário de dados.
O inventário costuma ser a peça que falta. Sem saber quais dados a empresa trata, onde eles estão e quem tem acesso, o dimensionamento do incidente vira arqueologia em plena crise, e o prazo corre enquanto o time tenta descobrir se aquela planilha antiga ainda tinha CPF. Empresa que mantém o mapeamento atualizado responde em horas o que outra leva dias para montar.
O escritório costuma ser acionado em dois momentos bem distintos: antes, para montar o plano, revisar contratos com fornecedores e organizar as bases legais do tratamento, ou depois, com o vazamento já circulando e o prazo correndo. O segundo cenário é resolvível, mas custa mais e deixa menos margem de escolha.
Perguntas frequentes
Qual é o prazo para comunicar um vazamento à ANPD?
O regulamento de comunicação de incidentes da ANPD estabelece três dias úteis contados do conhecimento de que o incidente afetou dados pessoais. Se a apuração não estiver concluída, a empresa comunica com as informações disponíveis e complementa depois, em vez de deixar o prazo vencer.
Preciso comunicar todo incidente de segurança?
Não. A obrigação nasce quando o incidente pode acarretar risco ou dano relevante aos titulares. Incidentes de baixo risco são registrados internamente, mas a decisão de não comunicar precisa estar documentada com a justificativa, porque ela pode ser questionada depois.
O vazamento aconteceu no meu fornecedor. A responsabilidade é dele?
A obrigação de comunicar à ANPD e aos titulares continua sendo do controlador, ou seja, de quem coletou os dados e definiu a finalidade do tratamento. A responsabilidade do fornecedor é discutida em paralelo, com base no contrato firmado entre as empresas.
Posso ser multado mesmo tendo comunicado corretamente?
Pode, porque a comunicação não apaga a falha de segurança que originou o incidente. Ela pesa a favor na dosagem da sanção, junto com a pronta adoção de medidas corretivas e a existência de programa de conformidade, conforme os critérios do artigo 52 da LGPD.
Devo avisar os clientes antes ou depois de comunicar a ANPD?
As duas comunicações caminham juntas e não há ordem obrigatória entre elas. Na prática, o aviso aos titulares costuma ser preparado enquanto a comunicação à autoridade é redigida, para que a versão pública e a versão oficial contem a mesma história.
Próximo passo
Se a sua empresa está no meio de um incidente agora, a prioridade é conter, preservar log e avaliar o prazo de comunicação antes de qualquer declaração pública. Se não está, esse é o momento barato de montar o plano e revisar os contratos com quem guarda os seus dados. Fale com o escritório pelo WhatsApp e descreva a situação em poucas linhas.
Este conteúdo é informativo e não substitui análise jurídica individual. A obrigação de comunicar, o conteúdo da comunicação e a estratégia de resposta dependem dos dados envolvidos, do volume de titulares, dos contratos existentes e das circunstâncias concretas do incidente.
Sobre o autor: Diego Castro é advogado inscrito na OAB/PI sob o número 15.613, especialista em Direito Digital, LGPD e contratos para empresas de tecnologia. Fundou o escritório Diego Castro Advogado em 2017, com atuação nacional e bases em Teresina e São Paulo.
IMPORTANTE: O Artigo acima foi escrito e revisado por nossos advogados. Ele tem função apenas informativa, e deve servir apenas como base de conhecimento. Sempre consulte um advogado para analisar seu caso concreto.
