Vazamento de dados na empresa: o que fazer em 3 dias úteis

Resposta direta: se a sua empresa sofreu um vazamento de dados (ou qualquer incidente de segurança — invasão, ransomware, e-mail enviado ao destinatário errado, pen drive perdido, funcionário que copiou a base), o roteiro legal é: conter o incidente, avaliar se há risco relevante aos titulares e, havendo, comunicar a ANPD e os próprios titulares em até 3 dias úteis, contados de quando a empresa soube que dados pessoais foram afetados (Resolução CD/ANPD 15/2024). O formulário é eletrônico, no site da ANPD, e as informações podem ser complementadas em até 20 dias úteis.

O erro mais comum não é técnico, é de postura: esconder ou adiar. A comunicação tempestiva e a boa-fé são critérios que a ANPD considera na dosimetria da sanção — a empresa que documenta, comunica e corrige sai melhor do que a que silencia e é descoberta (por reclamação de cliente, pela imprensa ou pelo próprio vazamento circulando). Vamos ao passo a passo.

Primeiro: o que conta como incidente de segurança

Incidente não é só "hacker". É qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais:

• Invasão de sistemas, ransomware, phishing que capturou credenciais;
• Planilha ou relatório com dados de clientes enviado a quem não devia;
• Equipamento ou mídia perdidos ou furtados com dados sem criptografia;
• Acesso indevido por funcionário, ou ex-funcionário que levou a base;
• Exposição pública acidental (bucket de nuvem aberto, link sem senha);
• Vazamento no fornecedor que opera seus dados — a responsabilidade de comunicar é do controlador (a sua empresa), por isso o contrato precisa garantir que o fornecedor avise imediatamente (veja as cláusulas essenciais).

Passo a passo das primeiras 72 horas

1. Contenha e preserve (imediato): isole sistemas afetados, revogue credenciais expostas, corrija a falha — e preserve as evidências (logs, e-mails, prints com data), que serão a base do relatório;
2. Monte o comitê do incidente (dia 0): responsável técnico, encarregado de dados (DPO), direção e jurídico. Uma pessoa coordena; ninguém dá declarações fora do combinado;
3. Avalie o alcance (dias 0–1): quais dados, de quantos titulares, por quanto tempo expostos, quem teve acesso. Essa avaliação define o passo 4;
4. Decida se há dever de comunicar (dias 1–2): o critério legal está abaixo;
5. Comunique a ANPD e os titulares (até o 3º dia útil): formulário eletrônico no site da ANPD; aos titulares, comunicação direta e em linguagem clara — o que aconteceu, quais dados, o que a empresa fez e o que a pessoa deve fazer (trocar senhas, atenção a golpes);
6. Complemente e corrija (até 20 dias úteis): aprofunde a investigação, complete o formulário e implemente as correções definitivas;
7. Documente tudo — inclusive se concluir que não havia dever de comunicar: o registro fundamentado é a sua defesa se a ANPD questionar a avaliação depois.

Quando é obrigatório comunicar (e quando não é)

Nem todo incidente exige comunicação. A Resolução CD/ANPD 15/2024 manda comunicar quando o incidente puder acarretar risco ou dano relevante aos titulares — o que se caracteriza quando ele pode afetar significativamente interesses e direitos (impedir o exercício de direitos ou o uso de um serviço, causar dano material ou moral, discriminação, fraude financeira, roubo de identidade) e, cumulativamente, envolve pelo menos um destes elementos:

• Dados sensíveis (saúde, biometria, origem racial, religião, vida sexual, opinião política);
• Dados de crianças, adolescentes ou idosos;
• Dados financeiros;
• Credenciais de autenticação (logins, senhas);
• Dados protegidos por sigilo legal, judicial ou profissional;
• Dados em larga escala (número significativo de titulares, volume, duração e extensão geográfica).

Exemplo prático: um e-mail com a lista de nomes e telefones de 12 clientes enviado ao destinatário errado, que confirmou a exclusão, dificilmente exige comunicação — mas deve ser registrado. Já a exposição do cadastro completo (CPF, dados financeiros) ou de qualquer dado de saúde entra em regra no dever de comunicar.

O que acontece depois de comunicar

A ANPD pode arquivar, pedir esclarecimentos, determinar medidas (inclusive a divulgação ampliada do incidente) ou instaurar processo sancionador. As sanções vão de advertência a multa de até 2% do faturamento (teto de R$ 50 milhões por infração) — e a conduta da empresa depois do incidente pesa na dosimetria: rapidez, transparência, correção efetiva e cooperação contam a favor; ocultação e reincidência, contra.

Em paralelo, prepare-se para os desdobramentos civis: titulares podem pedir indenização (individual ou coletivamente — mapeamos os direitos de quem teve os dados vazados em guia próprio), e a comunicação bem-feita — clara, com orientações úteis — reduz tanto o dano real quanto o contencioso. Quem já passou pela versão pessoa física desse problema sabe o valor da reação rápida — como no caso de conta de Instagram hackeada, a janela das primeiras horas vale mais que qualquer providência tardia.

Antes do próximo incidente: o que deixar pronto

A diferença entre 3 dias úteis confortáveis e 3 dias úteis de pânico é a preparação:

1. Plano de resposta escrito (1 página já ajuda): quem faz o quê, em que ordem, com telefones e substitutos;
2. Encarregado (DPO) designado e cadastrado como contato — é ele quem assina a comunicação à ANPD;
3. Inventário de dados atualizado — sem saber o que se tem, não há como avaliar alcance em 48 horas;
4. Contratos com fornecedores com cláusula de notificação imediata de incidente;
5. Modelos prontos de comunicação à ANPD e aos titulares, para adaptar em vez de redigir do zero sob pressão;
6. Simulação anual: um exercício de mesa de 2 horas revela as lacunas do plano antes que o incidente real revele.

O escritório atua nas duas pontas — prevenção (plano de resposta, governança, contratos, tema do nosso guia sobre uso de IA e dados de clientes) e resposta (condução do incidente, comunicações à ANPD e aos titulares, defesa em processo sancionador) — pela área de Direito Digital, com atendimento em todo o Brasil nos casos que tramitam eletronicamente.

Se a sua empresa está diante de um incidente agora, ou quer deixar o plano pronto antes que ele aconteça, fale com o escritório: analisamos o seu caso e explicamos, em linguagem clara, o que fazer — e em que ordem.

---

Este artigo tem caráter exclusivamente informativo e educativo, nos termos do Provimento 205/2021 da OAB, e não substitui a análise individual do seu caso. Regras da Resolução CD/ANPD 15/2024 (comunicação de incidentes de segurança) conferidas em julho de 2026.