Vazamento de dados: o que a empresa faz

Um vazamento de dados é, antes de tudo, uma corrida contra o prazo. Quando o incidente pode causar risco ou dano relevante aos titulares, a empresa tem 3 dias úteis para comunicá-lo à ANPD e aos próprios titulares. Ao mesmo tempo, precisa conter o incidente, avaliar o que foi afetado e documentar cada passo, porque essa documentação será a base da defesa em eventual fiscalização ou ação judicial.

resposta curta

Se o incidente puder afetar significativamente direitos dos titulares e envolver dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação, sigilosos ou em larga escala, o controlador deve comunicá-lo à ANPD e aos titulares em 3 dias úteis do conhecimento (LGPD, art. 48; Resolução CD/ANPD nº 15/2024, arts. 5º, 6º e 9º). Todo incidente, comunicado ou não, deve ser registrado e guardado por no mínimo cinco anos (art. 10).

atenção

Setores regulados podem ter prazos e regras próprias de comunicação de incidente; o regulamento da ANPD ressalva prazo previsto em legislação específica (Resolução CD/ANPD nº 15/2024, art. 6º).

O que é um incidente de segurança

Para a ANPD, incidente de segurança é qualquer evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais (Resolução CD/ANPD nº 15/2024, art. 3º, XII). Vazamento é o caso mais conhecido, mas o conceito inclui também o sequestro de dados por ransomware, que afeta a disponibilidade, e a alteração indevida de registros, que afeta a integridade.

Quando é obrigatório comunicar

A comunicação é obrigatória quando o incidente puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver pelo menos um destes critérios (art. 5º):

dados pessoais sensíveis;
dados de crianças, de adolescentes ou de idosos;
dados financeiros;
dados de autenticação em sistemas, como logins, tokens e senhas;
dados protegidos por sigilo legal, judicial ou profissional;
dados em larga escala, considerando número de titulares, volume, duração, frequência e extensão geográfica.

Afetar significativamente direitos inclui, por exemplo, impedir o exercício de direitos ou o uso de um serviço e causar danos como discriminação, ofensa à imagem, fraude financeira ou roubo de identidade (art. 5º, § 1º).

Prazos e conteúdo da comunicação

Etapa	Prazo	Base
Comunicação à ANPD	3 dias úteis do conhecimento de que o incidente afetou dados pessoais	Art. 6º e § 1º
Complementação das informações	Até 20 dias úteis da comunicação, de forma fundamentada	Art. 6º, § 3º
Comunicação aos titulares	3 dias úteis do conhecimento	Art. 9º
Declaração à ANPD de que os titulares foram comunicados	Até 3 dias úteis depois do prazo de comunicação aos titulares	Art. 9º, § 4º
Agentes de pequeno porte	Prazos de comunicação e de complementação contados em dobro	Arts. 6º, § 8º, e 9º, § 6º

A comunicação à ANPD é feita por formulário eletrônico, pelo encarregado ou por representante com poderes (art. 6º, §§ 4º e 5º), e deve informar, entre outros pontos: natureza e categoria dos dados, número de titulares (destacando crianças, adolescentes e idosos), medidas de segurança antes e depois do incidente, riscos e impactos, medidas de mitigação, datas da ocorrência e do conhecimento, descrição e causa principal do incidente, e motivos de eventual demora (art. 6º, § 2º). A empresa pode pedir sigilo para informações protegidas, como segredos comerciais (art. 7º).

Aos titulares, a comunicação deve usar linguagem simples e ser direta e individualizada, por telefone, e-mail, mensagem ou carta. Se isso for inviável, a divulgação deve ficar visível no site, em aplicativos, redes sociais e canais de atendimento por no mínimo três meses (art. 9º, §§ 1º a 3º). Incluir recomendações para que os titulares reduzam os efeitos do incidente pode ser considerado boa prática na dosimetria de eventual sanção (art. 9º, § 5º).

O registro do incidente

Todo incidente deve ser registrado, inclusive os que não foram comunicados, e o registro deve ser guardado por no mínimo cinco anos (art. 10). Ele deve conter a data de conhecimento, as circunstâncias, os dados e o número de titulares afetados, a avaliação de risco, as medidas adotadas, a forma e o conteúdo da comunicação e, quando for o caso, os motivos para não comunicar. É esse registro que demonstra, numa fiscalização, que a decisão de não comunicar foi fundamentada.

O que a ANPD pode fazer

Determinar providências: ampla divulgação do incidente, às custas do controlador, e medidas para reverter ou mitigar os efeitos (art. 19). Essas providências não são sanções (art. 22).
Medidas preventivas imediatas, inclusive com multa diária (art. 15).
Apurar incidente não comunicado de que tome conhecimento, determinar a comunicação e instaurar processo sancionador (arts. 16 e 17).
Aplicar sanções se as medidas determinadas não forem adotadas (art. 21). As sanções vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (LGPD, art. 52). Veja multa da LGPD e sanções da ANPD.

Responsabilidade civil e indenização

O tratamento de dados é irregular quando não fornece a segurança que o titular pode esperar, e responde pelos danos o controlador ou operador que, ao deixar de adotar as medidas de segurança exigidas, der causa ao dano (LGPD, arts. 44 e 46). A empresa só se exime se provar que não realizou o tratamento, que não violou a lei ou que o dano decorreu de culpa exclusiva do titular ou de terceiro (art. 43).

No STJ, a resposta sobre o dano moral depende do tipo de dado:

para dados comuns, o vazamento, por si só, não gera dano moral indenizável, e o titular deve comprovar o dano (AREsp 2.130.619/SP, Segunda Turma, julgado em 07/03/2023);
para dados sensíveis fornecidos para contratar seguro de vida, a Terceira Turma reconheceu dano moral presumido e responsabilidade objetiva da empresa, cabendo a ela provar que protegeu os dados (REsp 2.121.904/SP, julgado em 11/02/2025).

O que fazer nos primeiros 3 dias úteis

Contenha o incidente e preserve as evidências: registros de acesso, logs e comunicações.
Registre a data e a hora em que a empresa soube que dados pessoais foram afetados. É dela que corre o prazo.
Avalie o risco pelos critérios do art. 5º: que dados, de quantos titulares, de que tipo.
Decida sobre a comunicação e documente a decisão no registro do incidente, comunicando ou não.
Comunique a ANPD e os titulares no prazo, com as informações disponíveis, e complemente depois, se necessário.
Adote e documente as medidas de mitigação. Elas contam como atenuante em eventual processo sancionador.
Revise os contratos com operadores envolvidos e as responsabilidades de cada um (LGPD, art. 42, § 1º).

Perguntas frequentes

Qual é o prazo para comunicar um vazamento de dados à ANPD?

Três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais. As informações podem ser complementadas, de forma fundamentada, em até 20 dias úteis. Para agentes de pequeno porte, os prazos são contados em dobro (Resolução CD/ANPD nº 15/2024, art. 6º, §§ 1º, 3º e 8º).

Todo vazamento precisa ser comunicado?

Não. A comunicação é obrigatória quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e envolve ao menos um destes critérios: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação, como senhas; dados protegidos por sigilo; ou dados em larga escala (Resolução CD/ANPD nº 15/2024, art. 5º). Mas todo incidente deve ser registrado (art. 10).

A empresa precisa avisar os clientes afetados?

Sim, quando o incidente for comunicável. A comunicação ao titular tem o mesmo prazo de 3 dias úteis, em linguagem simples, de forma direta e individualizada quando possível; se não for, por divulgação no site, aplicativos, redes sociais e canais de atendimento por no mínimo três meses (Resolução CD/ANPD nº 15/2024, art. 9º).

Por quanto tempo a empresa deve guardar o registro do incidente?

Por no mínimo cinco anos, inclusive dos incidentes que não foram comunicados, com a data de conhecimento, as circunstâncias, os dados e titulares afetados, a avaliação de risco, as medidas adotadas e, se for o caso, os motivos da não comunicação (Resolução CD/ANPD nº 15/2024, art. 10).

O vazamento de dados gera indenização por dano moral?

Depende dos dados. Para dados comuns, o STJ decidiu que o vazamento, por si só, não gera dano moral, e o titular deve comprovar o dano (AREsp 2.130.619/SP, Segunda Turma, 2023). Para dados sensíveis fornecidos em contrato de seguro de vida, reconheceu dano moral presumido e responsabilidade objetiva da empresa (REsp 2.121.904/SP, Terceira Turma, 2025).