Quem procura "vazamento de dados LGPD" encontra, na primeira página, textos jurídicos que envelheceram mal. Um deles, de 2021, diz que a comunicação de incidentes "ainda precisa ser regulamentada". Outro recomenda avisar em dois dias úteis. Nenhum dos mais bem colocados cita a regra que está em vigor desde abril de 2024, e quase nenhum trata do que o vazamento vira para a empresa no dia seguinte: uma crise de comunicação.
A diferença em relação a outras crises é que esta tem roteiro escrito. A lei define em quantos dias a empresa fala, com quem, por qual canal, em que linguagem, com quais informações e por quanto tempo o aviso fica no ar. O texto que muita empresa trata como formalidade jurídica é, na verdade, a primeira versão pública do incidente e, como toda primeira versão, tende a ser a que fica.
O que é vazamento de dados pela LGPD?
A palavra "vazamento" quase não aparece na lei. A LGPD e a regulamentação da ANPD falam em incidente de segurança, que a Resolução CD/ANPD nº 15/2024 define como qualquer evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. O vazamento é o caso mais conhecido: dado exposto a quem não deveria ver, por invasão, erro de configuração, envio para o destinatário errado ou planilha esquecida em pasta pública.
Mas o conceito é mais largo do que a manchete. Um ataque que sequestra o banco de clientes e impede o acesso também é incidente, ainda que nenhum dado tenha sido publicado em lugar algum: o que se perdeu foi a disponibilidade. Uma alteração indevida em cadastros afeta a integridade. Para efeito de comunicação, a pergunta não é "vazou?", e sim "o incidente confirmado atingiu dados pessoais?".
Essa distinção pesa porque o prazo começa a correr justamente no momento em que a empresa sabe que dados pessoais foram afetados. Equipe técnica que trata o episódio como "instabilidade" durante dias, sem acionar quem decide a comunicação, consome o prazo sem perceber.
Quando a empresa é obrigada a comunicar o vazamento?
Nem todo incidente precisa ser comunicado. O art. 48 da LGPD obriga o controlador a avisar a autoridade nacional e o titular quando o incidente "possa acarretar risco ou dano relevante". A Resolução 15/2024 transformou essa expressão em teste com duas condições que precisam valer ao mesmo tempo.
A primeira: o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares, por exemplo impedindo o uso de um serviço ou causando dano material ou moral, como discriminação, fraude financeira, roubo de identidade ou dano à imagem e à reputação. A segunda: ele envolve pelo menos um destes tipos de dado:
- dados pessoais sensíveis, como saúde, biometria, religião ou origem racial;
- dados de crianças, de adolescentes ou de idosos;
- dados financeiros, inclusive os ligados à compra de produtos e serviços;
- dados de autenticação, como login, senha e tokens;
- dados protegidos por sigilo legal, judicial ou profissional;
- dados em larga escala, considerando número de titulares, volume, duração e extensão geográfica.
Para quem cuida da comunicação, a consequência prática é que a avaliação de risco não é só técnica. Saber se a base tinha idosos, se havia senha junto com o e-mail ou se o arquivo exposto continha histórico de compra muda a obrigação legal e muda o texto do aviso. Essa leitura precisa estar pronta antes, num inventário de dados como o que descrevemos no artigo sobre LGPD nas empresas e o inventário que falta.
Incidente que não passa no teste não é comunicado, mas também não desaparece: ele precisa ser registrado, com os motivos da ausência de comunicação, e esse registro fica guardado por no mínimo cinco anos.
Qual o prazo para comunicar um vazamento à ANPD e ao titular?
Aqui está a regra que a maior parte da primeira página do Google não traz. A Resolução 15/2024 fixou o mesmo prazo para os dois destinatários.
Três dias úteis é pouco. Um incidente descoberto na quinta-feira antes de um feriado tem o prazo encerrado no meio da semana seguinte, e nesse intervalo a empresa precisa conter o problema, entender o escopo, decidir se o risco é relevante, preencher o formulário da ANPD e redigir e disparar o aviso a cada pessoa afetada. Se o texto do aviso começar a ser escrito no primeiro dia, ele será escrito às pressas, por quem estiver disponível, e aprovado por quem atender o telefone.
O relógio não para no terceiro dia. Há uma sequência de marcos que costuma ser ignorada:
Depois de avisar os titulares, a empresa tem mais três dias úteis para juntar ao processo uma declaração de que fez a comunicação, indicando os meios usados. As informações enviadas à ANPD podem ser complementadas, com fundamento, em até vinte dias úteis da comunicação. E existe um item específico para quem não conseguiu cumprir o prazo: os motivos da demora. A norma prevê o atraso, mas exige que ele seja explicado, à autoridade e ao próprio titular.
Por que o vazamento vira uma crise de comunicação?
Porque a lei obriga a empresa a falar antes de ter todas as respostas. Em quase toda crise existe a tentação de esperar a apuração terminar para se pronunciar. No incidente com dados pessoais essa opção foi retirada: o prazo é curto, o destinatário é o próprio cliente e o canal é o mais pessoal que a empresa tem, o e-mail ou o telefone dele.
Isso cria três riscos de comunicação que um parecer jurídico sozinho não resolve. O primeiro é o tom: um aviso escrito para se defender de processo soa evasivo para quem o recebe, e aviso evasivo vira print. O segundo é a inconsistência: o formulário da ANPD diz uma coisa, o e-mail diz outra, o atendente do SAC improvisa uma terceira e o porta-voz, entrevistado à tarde, apresenta um número que ninguém tinha aprovado. O terceiro é o silêncio parcial: avisar só uma parte da base e deixar o restante descobrir pela imprensa.
Os três aparecem em qualquer crise de reputação, como explicamos no texto sobre por que a primeira versão de uma crise é a que fica. A diferença é que aqui o aviso também é prova. A resolução manda manter no registro do incidente "a forma e o conteúdo da comunicação" por no mínimo cinco anos. O texto enviado ao cliente às pressas é o mesmo que será lido depois pela autoridade, por um juiz ou por um jornalista.
No vazamento de dados, a primeira versão pública não sai de uma coletiva. Sai da caixa de entrada do cliente, assinada pela empresa, e fica arquivada por cinco anos.
O que o aviso ao titular precisa dizer?
O art. 9º da Resolução 15/2024 lista sete informações obrigatórias. Elas funcionam como esqueleto do texto, e cada uma traz uma decisão de comunicação embutida.
| Item obrigatório (art. 9º) | O que a lei pede | A decisão de comunicação por trás |
|---|---|---|
| I. Natureza e categoria dos dados | Que tipo de dado foi afetado: gerais ou sensíveis; identificação, financeiros, autenticação | Dizer exatamente o que foi exposto. "Alguns dados cadastrais" não informa ninguém e gera suspeita de que há mais |
| II. Medidas de segurança | As medidas técnicas e de segurança usadas para proteger os dados, preservado o segredo comercial | Explicar sem jargão. Se a senha estava protegida por criptografia, isso muda o risco e deve aparecer com palavras simples |
| III. Riscos e impactos | Os riscos do incidente e os possíveis impactos aos titulares | É o item que o leitor procura. Fraude, golpe por telefone, uso de cadastro: nomear o risco concreto |
| IV. Motivos da demora | Por que a comunicação saiu fora do prazo, se saiu | Assumir o atraso em uma frase. Omitir é pior do que explicar |
| V. Medidas de mitigação | O que foi ou será feito para reverter ou reduzir os efeitos | Separar o que já foi feito do que ainda será, com verbos e, se possível, datas |
| VI. Data do conhecimento | Quando a empresa soube do incidente | Uma data, não "recentemente". O leitor vai fazer a conta |
| VII. Contato | Canal para informações e, quando aplicável, os dados do encarregado | Um canal que funcione e que esteja preparado para o volume que o próprio aviso vai gerar |
Há ainda dois critérios de forma. O aviso deve usar linguagem simples e de fácil entendimento e chegar de forma direta e individualizada, pelos meios que a empresa já usa para falar com aquela pessoa: telefone, e-mail, mensagem eletrônica ou carta. Um comunicado genérico no blog corporativo não cumpre a regra quando a empresa tem o contato do cliente.
E há uma recomendação que vale ouro para a reputação. A resolução diz que incluir, no aviso, orientações que ajudem o titular a reverter ou mitigar os efeitos do incidente pode ser considerado boa prática para fins de dosimetria de sanção. Ou seja, o parágrafo que diz ao cliente "troque a senha", "desconfie de ligações pedindo código" ou "acompanhe o extrato" é útil para quem lê e também conta a favor da empresa.
Como escrever o aviso de vazamento sem piorar a crise?
Cumprir os sete itens é o mínimo. O que define se o aviso acalma ou inflama é a ordem e a escolha das palavras. Um roteiro que funciona:
1. Comece pelo fato, não pela empresa
A primeira frase diz o que aconteceu e que os dados daquela pessoa foram afetados. Parágrafo sobre o compromisso histórico da empresa com a privacidade, antes do fato, é lido como manobra. Se o leitor precisa chegar ao terceiro parágrafo para descobrir se foi atingido, o aviso falhou.
2. Diga o que se sabe e o que ainda não se sabe
Em três dias úteis, raramente o escopo está fechado. A norma admite isso: a ANPD pode receber complemento em vinte dias úteis. No aviso ao titular, a saída honesta é separar o que está confirmado do que está em apuração e dizer quando haverá atualização. Arredondar para baixo um número incerto é o erro que mais cobra juros: a segunda versão, maior, vira a notícia.
3. Nomeie o risco e dê a ação
"Seus dados podem ser usados em tentativas de golpe por telefone; a empresa nunca pede código de verificação" é mais útil do que três parágrafos sobre investigação forense. Limite as orientações a poucas, em verbos, na ordem de importância. Sob estresse, ninguém segue uma lista de dez itens.
4. Assine com alguém e com um canal que responda
O aviso precisa de contato. Se o canal indicado for o SAC, o SAC precisa saber do aviso antes do disparo, com roteiro, respostas aprovadas e reforço de equipe. Um e-mail enviado a milhares de clientes às dez da manhã gera ligações às dez e cinco.
5. Revise com o jurídico, não pelo jurídico
O texto precisa estar correto juridicamente, e o jurídico deve validar cada afirmação. Mas o rascunho escrito para limitar responsabilidade costuma esconder justamente o que a norma manda mostrar: riscos, impactos, demora. A divisão que funciona é a comunicação redigir para o titular entender e o jurídico conferir se cada frase é verdadeira e suficiente.
E quando não dá para avisar cada titular?
Acontece com mais frequência do que se imagina: base antiga sem contato, dado de pessoas que nunca foram clientes diretos, arquivo exposto cujo conteúdo ainda não foi mapeado nome a nome. Para esses casos a resolução prevê uma alternativa, e ela é pública por definição.
Três meses de aviso visível no site e nas redes é uma decisão de reputação de primeira grandeza, tomada em poucos dias. Nesse período o aviso será lido por clientes, concorrentes, candidatos a emprego e jornalistas. Ele precisa estar escrito para todos eles: fato, risco, orientação e canal, sem eufemismo e sem alarme.
Existe ainda um degrau acima. Pelo art. 48, § 2º, da LGPD, a ANPD avalia a gravidade do incidente e pode determinar providências como a "ampla divulgação do fato em meios de comunicação". A Resolução 15/2024 detalha: a autoridade pode exigir essa divulgação, às custas da empresa, quando a comunicação feita por ela se mostrar insuficiente para alcançar parcela significativa dos afetados, em mídia impressa, rádio, TV ou internet, compatível com a área de atuação da empresa e a localização dos titulares.
Dois detalhes importam aqui. A norma diz que essa providência não é sanção, e que não se confunde com a publicização da infração prevista no art. 52 da LGPD. Mas para quem está do lado da marca, a leitura é simples: se o aviso da empresa for fraco, a autoridade pode mandar fazer outro, maior e mais visível. Avisar bem na primeira vez é também a forma de manter o controle do texto.
Como manter a mesma versão para ANPD, cliente, imprensa e SAC?
Um vazamento produz pelo menos quatro textos em poucos dias: o formulário eletrônico da ANPD, o aviso ao titular, a resposta à imprensa e o roteiro do atendimento. Se cada área escreve o seu, os números divergem, e a divergência é o que transforma incidente em escândalo.
A solução é uma ficha única do incidente, mantida por uma pessoa só, de onde todas as peças saem. Ela segue os sete itens do aviso ao titular e acrescenta o que o formulário da ANPD pede a mais. A comunicação à autoridade tem doze itens: além dos sete do aviso, inclui o número de titulares afetados (separando crianças, adolescentes e idosos, quando houver), a descrição do incidente e sua causa principal, a identificação do controlador e do operador e o total de titulares tratados nas atividades atingidas.
| Peça | Para quem | Regra que não pode quebrar |
|---|---|---|
| Formulário da ANPD | Autoridade | Mesmos fatos da ficha, com os cinco itens adicionais; complemento fundamentado em até 20 dias úteis |
| Aviso ao titular | Cada pessoa afetada | Sete itens, linguagem simples, canal direto; mesmos números do formulário |
| Aviso público | Todos, quando não dá para avisar um a um | Site, app, redes e atendimento, em lugar visível, por no mínimo três meses |
| Resposta à imprensa | Jornalistas | Nenhum dado que não esteja na ficha; o porta-voz não estima número ao vivo |
| Roteiro do SAC | Quem liga ou escreve | Respostas aprovadas a partir do aviso; o atendente sabe o que não sabe e para onde encaminhar |
Quando o escopo muda, muda primeiro a ficha, e todas as peças são atualizadas a partir dela no mesmo dia. É a mesma disciplina de versão única que vale para uma nota de esclarecimento, com uma diferença: aqui o histórico das versões fica no registro que a autoridade pode pedir a qualquer momento.
Quais são os erros mais comuns na comunicação de um vazamento?
- Contar o prazo a partir da data errada. O prazo corre desde que a empresa soube que dados pessoais foram afetados, não desde que o comitê se reuniu ou que a perícia entregou o laudo.
- Tratar o aviso como peça jurídica. Texto escrito para limitar responsabilidade tende a esconder o risco, e risco escondido é exatamente o item que a norma manda explicitar.
- Dar o número cedo demais. O total que aparece no primeiro dia raramente é o final. Melhor uma faixa honesta e a promessa de atualização do que um número que dobra na semana seguinte.
- Avisar o cliente sem avisar o atendimento. O SAC descobre o incidente pela primeira ligação e responde com improviso.
- Publicar o aviso público escondido. A norma pede "direta e fácil visualização". Um link no rodapé do site não é isso.
- Esquecer o registro. A forma e o conteúdo de cada comunicação, e os motivos de não comunicar quando for o caso, precisam ser guardados por no mínimo cinco anos.
- Achar que pequeno porte dispensa o aviso. O prazo dobra; a obrigação continua.
Quase todos esses erros têm a mesma raiz: decisões que deveriam estar tomadas antes e ficaram para a hora. É o mesmo diagnóstico do artigo sobre o relógio de sete dias da gestão de crise, que trata do prazo do SAC. No incidente com dados o relógio é ainda mais curto, e o texto vai direto para a caixa de entrada do cliente.
Qual a multa e a responsabilidade da empresa por vazamento de dados?
A LGPD separa duas esferas. Na administrativa, a ANPD pode aplicar sanções após processo com direito de defesa, entre elas advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração e bloqueio ou eliminação dos dados envolvidos. A Resolução 15/2024 prevê ainda que a falta de comunicação nos termos dos arts. 6º e 9º pode levar a processo administrativo sancionador.
Na esfera civil, o art. 42 da LGPD obriga quem causar dano patrimonial ou moral, individual ou coletivo, em violação à legislação de proteção de dados, a repará-lo, e o juiz pode inverter o ônus da prova a favor do titular. Nas relações de consumo valem também as regras do Código de Defesa do Consumidor.
Para a comunicação, o ponto que interessa está no art. 52, § 1º: na hora de aplicar sanção, a autoridade considera, entre outros critérios, a boa-fé, a cooperação, a pronta adoção de medidas corretivas e a existência de política de boas práticas. Um aviso bem feito, no prazo, com orientação útil ao titular, é parte da demonstração de boa-fé. Não elimina responsabilidade, mas documenta conduta.
O que muda por tipo de empresa?
A regra é a mesma para todos os controladores; o desenho da comunicação muda conforme o negócio.
- Varejo e serviços com grande base de consumidores: o risco é o volume. O aviso precisa de canal de disparo em massa já testado e de reforço no atendimento no mesmo dia; e, se a base tem muito contato desatualizado, o aviso público de três meses é provável.
- Saúde, educação e serviços para famílias: dados sensíveis e de crianças, adolescentes ou idosos tornam o risco relevante com mais facilidade. O tom pede cuidado redobrado e orientação concreta para responsáveis.
- Empresas B2B: o titular muitas vezes é o funcionário do cliente. O aviso individual segue obrigatório, e o cliente corporativo vai querer saber antes, por um canal próprio, o que será dito aos seus colaboradores.
- Agentes de pequeno porte: o prazo de comunicação e de complemento dobra, mas a estrutura costuma ser mínima. Ter o modelo de aviso pronto vale mais do que os dias extras.
Em todos os casos, se a empresa usa um operador, como uma plataforma de e-mail, um sistema de gestão ou uma agência, vale fixar em contrato em quanto tempo ele avisa o controlador de um incidente. O prazo do controlador começa quando ele toma conhecimento, e cada dia que o fornecedor demora para avisar é um dia a menos para escrever.
Por onde começar hoje
Não é preciso esperar o incidente para preparar a comunicação dele. Quatro entregas resolvem a maior parte do problema:
- Um modelo de aviso ao titular com os sete itens do art. 9º, escrito em linguagem simples e já validado pelo jurídico, com lacunas a preencher, não parágrafos a inventar.
- Uma matriz de decisão de três perguntas: o incidente atingiu dados pessoais? Envolve algum dos seis tipos de dado do art. 5º? Pode afetar significativamente os titulares? Com os nomes de quem responde a cada uma.
- Um fluxo de aprovação com alçada definida para dias úteis e não úteis, incluindo quem assina o aviso, quem fala com a imprensa e quem atualiza a ficha do incidente.
- Um roteiro de atendimento e um modelo de aviso público, prontos para ir ao ar no site, no app e nas redes no mesmo dia do disparo.
É o tipo de preparação que a área de gestão de crise da Alliance monta com as empresas: plano, peças pré-aprovadas, porta-voz treinado e simulação do incidente antes que ele aconteça, em conjunto com o trabalho de adequação à LGPD. Se você quer saber onde a comunicação da sua empresa está mais exposta, o diagnóstico de marketing gratuito avalia a maturidade em reputação e relacionamento junto com as outras dimensões do negócio.