Vazamento de dados e LGPD: o que fazer antes e depois

Quando se fala em vazamento de dados, a imagem é de um ataque: alguém de fora invadindo o sistema. Isso acontece, mas é só parte da história. Uma parcela grande dos incidentes começa dentro da empresa, sem má-fé nenhuma: a planilha de clientes que foi para o e-mail errado, o link de documento compartilhado como "qualquer pessoa com o link", o acesso do ex-funcionário que ninguém tirou.

A LGPD não diferencia uma coisa da outra. Para a lei, o que importa é que dados pessoais ficaram expostos — e o que a empresa fez antes e depois.

Este artigo explica o que a lei exige e o que precisa existir na operação. Não substitui a orientação do jurídico ou do encarregado de dados da sua empresa, que deve participar desde o primeiro minuto de qualquer incidente.

O que conta como vazamento

A LGPD usa o termo incidente de segurança: qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais. Na prática do dia a dia, isso inclui:

Acesso indevido por ataque: invasão, senha roubada, sequestro de dados por ransomware.

Envio errado: planilha, relatório ou contrato com dados de clientes mandado para quem não deveria receber.

Exposição acidental: documento, pasta ou sistema publicado num endereço aberto — inclusive os criados pela equipe com ferramentas de IA, um caso que tratamos em Sistema interno feito com IA: como a equipe expõe dados sem perceber.

Acesso que não deveria existir: ex-funcionário, fornecedor antigo ou estagiário com permissão de administrador.

Perda ou indisponibilidade: notebook ou celular perdido sem criptografia, banco apagado sem cópia de segurança.

O prazo: três dias úteis

Quando o incidente pode causar risco ou dano relevante às pessoas, a empresa precisa comunicar a ANPD e os titulares afetados. O Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024) fixou o prazo em três dias úteis, contados a partir de quando a empresa toma conhecimento de que o incidente afetou dados pessoais. Para agentes de tratamento de pequeno porte, o prazo é em dobro.

Três dias úteis é pouco tempo para quem não tem nada preparado. Nesse intervalo a empresa precisa descobrir que dados foram afetados, de quantas pessoas, por quanto tempo ficaram expostos e o que já foi feito para conter. Se ainda faltar informação no fim do prazo, é possível fazer uma comunicação preliminar e complementar depois — mas a preliminar precisa sair no prazo.

O risco é considerado relevante quando o incidente pode afetar significativamente os direitos das pessoas, e a avaliação leva em conta, entre outros fatores, o tipo de dado e o volume. Dados sensíveis — saúde, biometria, origem racial, religião —, dados financeiros, dados de crianças e adolescentes e incidentes com muita gente pesam mais.

Mesmo o incidente que não precisa ser comunicado precisa ser registrado internamente: o que aconteceu, o que foi afetado, o que foi feito. Esse registro é o que a empresa mostra se a ANPD perguntar depois.

O que está em jogo

A LGPD prevê, para quem descumpre a lei, sanções que vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração. Há também sanções que costumam doer mais que a multa: a publicização da infração, o bloqueio e a eliminação dos dados e a suspensão do tratamento — que, para muitas empresas, significa parar a operação.

Em fevereiro de 2026, a ANPD foi transformada em agência reguladora pela Lei nº 15.352/2026, com autonomia administrativa e financeira e uma carreira própria de regulação e fiscalização. A tendência é de mais capacidade de fiscalizar, não de menos.

E há o custo que não depende da ANPD. Segundo o relatório Cost of a Data Breach 2025, da IBM, o custo médio de um vazamento no Brasil chegou a R$ 7,19 milhões — somando investigação, resposta, interrupção do negócio e clientes perdidos. A cobrança do titular na Justiça e a do cliente corporativo no contrato vêm à parte.

Na dosimetria da sanção, a ANPD considera se a empresa tinha medidas de segurança e boas práticas adotadas. O que foi feito antes do incidente conta a favor — ou contra — depois dele.

O que fazer quando acontece

A ordem importa, porque cada passo depende do anterior:

Conter. Fechar o acesso, tirar o link do ar, revogar senhas, chaves e sessões envolvidas. Sem conter, o incidente continua acontecendo enquanto a empresa investiga.

Preservar. Guardar os registros de acesso e o estado dos sistemas antes de mexer em tudo. São eles que dizem o que aconteceu — e apagá-los na pressa de corrigir é um erro comum.

Acionar o jurídico e o encarregado de dados. No primeiro dia, não no terceiro. A decisão de comunicar, e o conteúdo da comunicação, são decisões jurídicas apoiadas em fatos técnicos.

Dimensionar. Que dados, de quantas pessoas, por quanto tempo, com que evidência de acesso. É isso que define se há risco relevante.

Comunicar, se for o caso. À ANPD e aos titulares, dentro do prazo, em linguagem clara, dizendo o que aconteceu e o que a pessoa pode fazer para se proteger.

Corrigir a causa. Não só o sintoma: por que aquele acesso existia, por que aquele link estava aberto, por que ninguém percebeu antes.

O que precisa existir antes

Quem tenta fazer tudo isso a partir do zero, no meio de um incidente, raramente cumpre o prazo. As empresas que respondem bem têm cinco coisas prontas:

Mapa dos dados. Em quais sistemas, planilhas e ferramentas estão os dados pessoais, de quem são e para que servem. Sem isso, não há como responder "o que vazou".

Acesso mínimo. Cada pessoa acessa só o que precisa para o trabalho dela, e o acesso sai no dia em que ela sai da empresa ou muda de função.

Registro de acesso. Os sistemas guardam quem acessou o quê e quando. É o que permite dizer "foram 300 registros, não 30 mil" — e essa diferença muda tudo.

Cópias de segurança testadas. Cópia que nunca foi restaurada não é cópia: é esperança.

Plano de resposta escrito. Quem é acionado, quem decide, quem fala com quem, onde estão os modelos de comunicação. Uma página bem feita vale mais que um manual que ninguém leu.

Onde o sistema da empresa entra nisso

Boa parte desses cuidados não depende de política, e sim de como os sistemas foram construídos. Registro de acesso, permissão por perfil, criptografia, separação entre ambiente de teste e de produção e cópias automáticas são decisões de arquitetura — fáceis de ter desde o começo, caras de acrescentar depois.

É também por isso que dados de clientes espalhados em dezenas de planilhas são um risco em si: planilha não registra quem abriu, não tem permissão por linha e é copiada sem deixar rastro. Trocar a planilha por um sistema com controle de acesso costuma ser a medida de segurança de maior impacto que uma empresa média pode tomar. Discutimos como decidir entre construir e comprar esse sistema em Software sob medida ou sistema pronto: como decidir, e por que a segurança depende de quem o desenvolve em Por que o sistema da empresa precisa de um time, e não de uma pessoa só.

Resumo

Vazamento, para a LGPD, é qualquer incidente que exponha dados pessoais — inclusive o erro interno, sem ataque. Com risco ou dano relevante, a empresa tem três dias úteis para comunicar a ANPD e precisa comunicar os titulares. As sanções chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração, e a ANPD agora é agência reguladora. O que define o desfecho é o que existia antes: mapa dos dados, acesso mínimo, registro de acesso, cópias testadas e plano de resposta.