Vazamento de dados: o que a empresa deve fazer

Vazamento de dados é incidente de segurança que expõe dados pessoais a quem não deveria acessá-los. A empresa deve conter o incidente, registrar o ocorrido, avaliar o risco e, havendo risco ou dano relevante, comunicar a ANPD e os titulares em três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais.

O que é um incidente de segurança

Incidente de segurança, para a ANPD (Autoridade Nacional de Proteção de Dados), é qualquer evento adverso confirmado que viola a confidencialidade, a integridade, a disponibilidade ou a autenticidade da segurança de dados pessoais. Pode ser um ataque externo, um erro de funcionário, um e-mail enviado à pessoa errada, um notebook perdido ou uma falha de fornecedor.

Nem todo incidente de segurança exige comunicação à ANPD. A obrigação aparece quando o evento pode acarretar risco ou dano relevante aos titulares, e avaliar isso é uma das etapas centrais.

O que é risco ou dano relevante?

Para a Resolução CD/ANPD nº 15/2024, há risco ou dano relevante quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e, ao mesmo tempo, envolve ao menos um destes critérios: dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação, protegidos por sigilo ou em larga escala.

Critério	Exemplos
Dados sensíveis	Saúde, origem racial, convicção religiosa, biometria
Dados financeiros	Cartão, conta e comprovantes
Crianças, adolescentes ou idosos	Qualquer dado desses titulares
Autenticação e sigilo	Senhas e dados protegidos por sigilo legal, judicial ou profissional
Larga escala	Número significativo de pessoas atingidas

A análise é feita caso a caso e deve ser registrada, inclusive quando a conclusão for de que não há necessidade de comunicar.

O que fazer nos primeiros passos?

Nos primeiros passos de um vazamento de dados, a empresa deve conter o incidente, registrar o que aconteceu, preservar as provas, avaliar o risco, decidir sobre a comunicação e acionar quem precisa. Cada etapa tem uma razão: agir sem ordem pode destruir evidências ou atrasar a decisão sobre o prazo.

1. Contenha o incidente. Interrompa o acesso indevido, troque credenciais, isole sistemas e corrija a falha, sem apagar evidências.
2. Registre tudo. Quando e como o incidente foi descoberto, o que aconteceu, quais sistemas e dados foram atingidos e quem participou da resposta.
3. Preserve as provas. Logs, e-mails e arquivos devem ser guardados. Uma limpeza apressada pode destruir o que ajuda a entender e a se defender.
4. Avalie o risco. Quais dados foram expostos, quantas pessoas foram atingidas, se há dados sensíveis, de crianças ou financeiros, e qual o dano possível.
5. Decida sobre a comunicação. Se há risco ou dano relevante, prepare a comunicação à ANPD e aos titulares dentro do prazo.
6. Acione quem precisa. Equipe de tecnologia, fornecedores, seguradora, se houver, e assessoria jurídica.

Qual é o prazo para comunicar a ANPD?

O prazo para comunicar a ANPD é de três dias úteis, segundo a Resolução CD/ANPD nº 15/2024, contados do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais. O mesmo prazo vale para a comunicação aos titulares. Controlador é quem decide sobre o uso dos dados, e a comunicação cabe a ele.

A obrigação vem do art. 48 da LGPD, que manda o controlador comunicar a ANPD e o titular quando o incidente puder acarretar risco ou dano relevante, em prazo razoável definido pela autoridade. Agentes de pequeno porte têm regras próprias na Resolução CD/ANPD nº 2/2022 (art. 14), e o enquadramento deve ser conferido no caso.

A comunicação à ANPD é feita por formulário eletrônico da própria autoridade, pelo encarregado pelo tratamento de dados (a pessoa indicada pela empresa como canal com a ANPD e com os titulares) ou por representante constituído, com a documentação que comprove o vínculo ou os poderes. Por isso, convém definir antes do incidente quem faz esse papel.

Como é a linha do tempo da resposta?

A resposta a um vazamento de dados tem quatro momentos: a descoberta e a contenção; a apuração do ocorrido e do risco para as pessoas; a decisão sobre comunicar, com a comunicação feita no prazo e complementável depois; e o encerramento, com a correção da falha e o registro das lições. O conteúdo de cada etapa varia conforme o caso.

E se o incidente for ransomware ou extorsão?

No ransomware, ataque que sequestra dados e exige pagamento, a empresa não deve decidir sob pressão: deve isolar os sistemas, preservar as evidências, registrar boletim de ocorrência e avaliar com as equipes técnica e jurídica as consequências antes de qualquer pagamento.

Pagar não garante a devolução nem a não divulgação dos dados. O sequestro de dados também pode ser um incidente de segurança sujeito à avaliação de comunicação, como qualquer outro. Havendo seguro cibernético, convém conferir as condições da apólice, inclusive eventuais exigências de aviso à seguradora.

O que a comunicação deve conter?

A comunicação à ANPD deve conter, pela Resolução CD/ANPD nº 15/2024, a descrição do incidente, a natureza e a categoria dos dados afetados, o número de titulares, as medidas de segurança, os riscos e as medidas de mitigação, além dos dados do encarregado ou do representante.

Também entram as datas da ocorrência e do conhecimento e os motivos de eventual demora. As informações podem ser complementadas, de forma fundamentada, em até vinte dias úteis. Informações imprecisas, exageradas ou incompletas podem criar novos problemas.

Como comunicar clientes e titulares?

A comunicação ao titular deve usar linguagem simples e, sempre que possível, ser direta e individualizada. Ela informa a natureza e a categoria dos dados afetados, os riscos e impactos possíveis, as medidas de segurança e de mitigação adotadas, a data em que a empresa soube do incidente e um canal de contato.

Convém evitar jargão e evitar tanto minimizar quanto exagerar. Mensagem, nota no site e atendimento devem dizer a mesma coisa. Quando o incidente permite golpes contra os clientes, como cobranças falsas em nome da empresa, oriente-os também sobre o golpe do Pix e o que fazer.

Relatório de impacto e registro do incidente

O controlador deve manter o registro do incidente, inclusive do que não foi comunicado, por no mínimo cinco anos (art. 10 da Resolução CD/ANPD nº 15/2024), com a avaliação do risco, as medidas adotadas e a decisão sobre comunicar.

A ANPD também pode pedir o relatório de impacto à proteção de dados pessoais, documento que descreve os tratamentos e os riscos. Esse trabalho faz parte da adequação da empresa à LGPD.

O papel dos fornecedores

A empresa que contratou o fornecedor continua tendo responsabilidades de controladora quando o vazamento ocorre no fornecedor, como uma plataforma de e-mail, de hospedagem ou de gestão de clientes. O operador, que trata os dados em nome do controlador, deve informar o incidente ao controlador sem demora injustificada.

Os contratos com fornecedores devem prever como o incidente será comunicado e em que prazo, e a empresa precisa saber onde estão seus dados.

O que está em jogo para a empresa

Um incidente de dados mal conduzido pode gerar sanções administrativas da ANPD, ações de titulares por danos, perda de contratos e de confiança dos clientes e exposição pública da empresa. A forma como a empresa reage, o que fez antes do incidente e como se comunicou são fatores considerados na responsabilidade.

Como se preparar antes

Preparar-se para um vazamento antes que ele ocorra facilita a resposta. Um plano de resposta a incidentes define quem comanda, quem fala com a ANPD e com os titulares, como se registra o evento e qual é o fluxo de decisão. Treinar a equipe e testar o plano evita improviso.

O plano faz parte de um programa de adequação à LGPD para pequenas empresas.

Quando procurar um advogado

Num vazamento de dados, vale buscar orientação jurídica quando o caso envolve dados sensíveis, de crianças ou financeiros, dúvida sobre a obrigação de comunicar, fornecedor, ameaça ou extorsão, ou notificação da ANPD, porque cada fator muda o que precisa ser feito.

Perguntas frequentes

Todo vazamento precisa ser comunicado à ANPD?

Não. A comunicação é exigida quando o incidente pode causar risco ou dano relevante aos titulares. A avaliação precisa ser feita e registrada.

E se eu não souber de tudo dentro do prazo?

A comunicação deve ser feita no prazo com as informações disponíveis. A Resolução CD/ANPD nº 15/2024 permite complementá-las, de forma fundamentada, em até vinte dias úteis; convém documentar o que se sabia em cada data.

Preciso avisar os clientes?

Sim, se o incidente puder causar risco ou dano relevante: a comunicação aos titulares também é exigida, com linguagem clara.

A empresa pode ser punida mesmo tendo sido vítima de um ataque?

Sim, é possível. A responsabilidade depende das medidas de segurança que a empresa adotava antes e de como reagiu depois. Ter medidas e documentação ajuda.

Pequenas empresas também precisam comunicar?

Sim, a obrigação de comunicar vale para pequenas empresas que sejam controladoras. Os agentes de pequeno porte têm regras próprias na Resolução CD/ANPD nº 2/2022 (art. 14), e o enquadramento depende do caso.

Quem comunica a ANPD, a empresa ou o fornecedor?

A comunicação à ANPD cabe ao controlador, isto é, à empresa. O fornecedor, como operador, deve avisar a empresa, e o contrato precisa dizer como e quando.

Sobre o seu caso

A natureza dos dados, o número de pessoas atingidas e a causa do incidente mudam o que precisa ser feito. Se a sua empresa passou por um incidente, ou quer se preparar, o escritório pode analisar o seu caso. Veja Incidentes e ANPD ou fale com o escritório.

Leia também: LGPD para pequenas empresas: por onde começar e golpe do Pix: o que fazer.

Este texto é informativo e geral. Não substitui a análise do seu caso nem constitui promessa de resultado. Revisado em 22/10/2026. Por Caroline Amaral, advogada, OAB/RO 9576.