Vazamento de dados é incidente de segurança que causa acesso, divulgação, alteração ou perda não autorizada de dados pessoais, nos termos dos arts. 46 e 48 da LGPD (Lei 13.709/2018). Na prática, a empresa deve prevenir riscos, avaliar danos e comunicar a ANPD e titulares quando houver risco relevante.
A Lei Geral de Proteção de Dados está em vigor desde setembro de 2020, e suas sanções administrativas passaram a valer em 1º de agosto de 2021, conforme a Lei 14.010/2020. Mesmo assim, incidentes envolvendo dados pessoais continuam a expor falhas de governança, segurança da informação e gestão contratual.
Em entrevista ao Tecnoblog, Nicolo Zingales, professor da FGV Direito Rio e membro do Centro de Tecnologia e Sociedade, explicou que a pandemia dificultou a adaptação de muitas empresas. Parte do mercado tratou a adequação como custo, e não como requisito jurídico e operacional.
Apesar das dificuldades, a não adequação à LGPD pode gerar prejuízos administrativos, civis, reputacionais e comerciais. Clientes, fornecedores e parceiros exigem controles mínimos antes de compartilhar informações, contratar serviços digitais ou integrar sistemas corporativos.
Este artigo explica por que os vazamentos reforçam a necessidade de adequação, quais punições a LGPD prevê, como a ANPD regulamentou a comunicação de incidentes até 2025 e quais passos ajudam empresas a reduzir riscos jurídicos de forma documentada.
Por que o Brasil aparece em alertas sobre vazamento de dados?
O Brasil aparece com frequência em levantamentos sobre vazamento de dados porque concentra grande volume de cadastros digitais, uso intenso de serviços financeiros online e bases públicas e privadas integradas. A LGPD exige que empresas tratem dados com finalidade, necessidade, segurança e transparência, mas muitos processos ainda operam sem inventário completo.
A LGPD concedeu aos titulares mais controle sobre seus dados pessoais. O art. 18 da Lei 13.709/2018 permite solicitar confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade e informações sobre compartilhamento. Para cumprir esses direitos, a empresa precisa saber quais dados coleta, onde armazena e com quem compartilha.
A lei também exige que agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais. O art. 46 da LGPD não lista uma tecnologia específica, mas impõe dever de segurança compatível com riscos, natureza dos dados, porte da operação e impacto potencial para os titulares.
Segundo o perito em crimes digitais Wanderson Castilho, em entrevista à CNN Brasil, em 2021 houve mais de 227 milhões de dados de brasileiros expostos. O dado ilustra a escala do problema, embora qualquer análise atual de risco deva usar também indicadores internos e relatórios mais recentes.
Pesquisa divulgada pela Surfshark, empresa de serviços de VPN, apontou que o Brasil ocupou posição de destaque no ranking global de vazamentos em 2021. Esses levantamentos ajudam departamentos jurídicos a justificar orçamento para prevenção, auditorias, gestão de fornecedores e treinamento de equipes.
Quais dados costumam aparecer em incidentes?
Incidentes podem envolver nome, CPF, endereço, telefone, e-mail, credenciais de acesso, dados bancários, chaves Pix, dados de saúde, biometria e informações de crianças ou adolescentes. A gravidade aumenta quando o vazamento inclui dados sensíveis, definidos no art. 5º, II, da LGPD, como origem racial, convicção religiosa, saúde e dado biométrico.
Um cadastro simples também pode causar dano. Golpistas combinam CPF, telefone e instituição financeira para fraudes de engenharia social, abertura de contas, pedidos de empréstimo e ataques direcionados. Por isso, o jurídico deve avaliar o risco real para o titular, não apenas a classificação formal do dado.
Como incidentes envolvendo Pix mostram a repetição do problema?
Incidentes envolvendo Pix demonstram que vazamento de dados não ocorre apenas em empresas de tecnologia. Bancos, fintechs, varejistas, escritórios, clínicas, condomínios e prestadores de serviço tratam dados diariamente. Quando um processo falha, a exposição pode atingir titulares, gerar reclamações e acionar órgãos reguladores diferentes.
Em janeiro de 2022, o Banco Central comunicou incidente que envolveu cerca de 160 mil chaves Pix. De acordo com publicação da Folha de São Paulo, os dados potencialmente expostos incluíam nome do usuário, CPF, instituição de relacionamento, agência e conta.
Esse tipo de exposição não envolve necessariamente saldo, senha ou movimentação financeira. Ainda assim, a combinação de dados cadastrais pode facilitar abordagens fraudulentas, simulações de atendimento bancário, tentativas de phishing e golpes por telefone ou aplicativos de mensagem.
Para empresas, a repetição desses eventos indica que a adequação não termina com uma política de privacidade publicada no site. A organização precisa testar controles, revisar permissões, restringir acessos, registrar operações críticas e manter plano de resposta a incidentes com responsáveis definidos.
Quando a empresa deve comunicar um incidente?
O art. 48 da LGPD determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 regulamentou a comunicação de incidente de segurança e consolidou critérios operacionais para avaliação, conteúdo mínimo e prazos.
Como regra regulatória, a comunicação à ANPD deve ocorrer em até três dias úteis, contados do conhecimento pelo controlador, quando houver risco ou dano relevante aos titulares. A empresa também deve preservar evidências, registrar a linha do tempo, indicar medidas adotadas e demonstrar como reduziu ou pretende reduzir os impactos.
Quais punições a LGPD prevê para empresas sem adequação?
A LGPD prevê sanções administrativas no art. 52 da Lei 13.709/2018, aplicáveis pela ANPD após processo administrativo. As penalidades incluem advertência, multa simples, multa diária, publicização da infração, bloqueio, eliminação, suspensão e proibição parcial do tratamento de dados pessoais.
As sanções administrativas passaram a valer em 2021, mas a dosimetria ganhou critérios específicos com a Resolução CD/ANPD nº 4/2023. Essa norma regulamentou parâmetros para calcular penalidades, avaliar gravidade, reincidência, vantagem obtida, cooperação do infrator, adoção de mecanismos de governança e pronta correção da irregularidade.
Entre as sanções previstas no art. 52 da LGPD, a empresa pode sofrer:
- advertência, com indicação de prazo para adoção de medidas corretivas;
- multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração;
- multa diária, também limitada ao teto legal;
- publicização da infração após apuração e confirmação;
- bloqueio dos dados pessoais relacionados à infração até regularização;
- eliminação dos dados pessoais relacionados à infração;
- suspensão parcial do funcionamento do banco de dados por até seis meses, prorrogável por igual período;
- suspensão do exercício da atividade de tratamento por até seis meses, prorrogável por igual período;
- proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
Além da esfera administrativa, a empresa pode responder civilmente. Os arts. 42 a 45 da LGPD tratam da responsabilidade e da reparação de danos patrimoniais, morais, individuais ou coletivos. O Código de Defesa do Consumidor, Lei 8.078/1990, também pode incidir quando houver relação de consumo.
A jurisprudência brasileira ainda analisa caso a caso. Em precedente amplamente citado, o STJ decidiu no AREsp 2.130.619/SP, julgado em 7 de março de 2023, que vazamento de dados cadastrais comuns não gera dano moral presumido automaticamente. O titular deve demonstrar dano concreto, sem prejuízo de conclusões diferentes quando houver dados sensíveis ou prova de fraude.
Esse entendimento não elimina riscos para empresas. A ausência de dano moral presumido em um caso específico não impede fiscalização da ANPD, inversão do ônus da prova em relações de consumo, ações coletivas, pedidos de obrigação de fazer e danos materiais comprovados.
Para quem é a LGPD e como se adaptar?
A LGPD se aplica a pessoas físicas ou jurídicas, públicas ou privadas, que tratem dados pessoais no Brasil, ofereçam bens ou serviços a pessoas localizadas no país ou coletem dados em território nacional, conforme o art. 3º da Lei 13.709/2018. Porte e setor não excluem deveres de adequação.
Quase toda operação empresarial envolve dados pessoais: cadastro de clientes, folha de pagamento, controle de acesso, marketing, contratos, atendimento, cobrança, suporte, recrutamento e gestão de fornecedores. Por isso, pequenas empresas, escritórios de advocacia, clínicas, escolas, associações e startups precisam revisar processos, ainda que com controles proporcionais ao risco.
A Resolução CD/ANPD nº 2/2022 criou regras diferenciadas para agentes de tratamento de pequeno porte. A norma simplifica algumas obrigações, mas não dispensa bases legais, segurança, atendimento a titulares, prevenção de incidentes e cooperação com a autoridade.
A consultoria Get Privacy recomenda práticas objetivas para adequação. Em uma rotina jurídica, essas medidas podem ser organizadas em um plano de trabalho com responsáveis, prazos, evidências e revisão periódica.
- Criar um comitê de adequação à LGPD com jurídico, tecnologia, segurança, recursos humanos, marketing e áreas de negócio.
- Mapear o fluxo de dados na empresa, indicando origem, finalidade, sistemas, compartilhamentos, operadores e prazos de retenção.
- Revisar quais dados a empresa coleta e identificar a base legal aplicável em cada atividade, conforme arts. 7º, 11 e 14 da LGPD.
- Garantir comunicação transparente com titulares por avisos de privacidade claros, canais de atendimento e registro das solicitações.
- Revisar contratos, políticas de privacidade, termos de uso, cláusulas com operadores e documentos trabalhistas.
- Avaliar e reforçar a política de segurança da informação, incluindo controle de acesso, autenticação, criptografia, backup e gestão de vulnerabilidades.
- Definir quem atuará como encarregado pelo tratamento de dados pessoais, conhecido como DPO.
- Investir em treinamento periódico para colaboradores, terceirizados e gestores que acessam dados pessoais.
- Estabelecer medidas de governança, indicadores, auditorias, relatórios de impacto quando cabíveis e plano de resposta a incidentes.
- Contar com apoio especializado quando houver alto volume de dados, operações sensíveis, integrações complexas ou exposição regulatória.
Um programa de adequação eficiente também precisa documentar decisões. Se a empresa mantém logs, atas de comitê, inventário de dados, matriz de risco, relatórios de testes e evidências de treinamento, ela consegue demonstrar boa-fé, cooperação e diligência em eventual fiscalização.
Qual é o papel do DPO na prevenção de vazamento de dados?
O DPO, chamado pela LGPD de encarregado pelo tratamento de dados pessoais, atua como canal entre controlador, titulares e ANPD. A função ajuda a prevenir vazamento de dados porque coordena governança, orienta equipes, acompanha incidentes e organiza respostas documentadas.
O DPO corresponde ao Data Protection Officer. A LGPD usa a expressão encarregado e prevê suas atribuições no art. 41 da Lei 13.709/2018. Entre elas estão aceitar reclamações, prestar esclarecimentos, receber comunicações da ANPD, orientar colaboradores e executar atribuições determinadas pelo controlador.
A Resolução CD/ANPD nº 18/2024 regulamentou a atuação do encarregado, reforçando deveres de transparência, acesso adequado à alta administração e ausência de conflito de interesses. A empresa deve divulgar a identidade e os dados de contato do encarregado de forma clara e acessível.
Na prática, o encarregado não trabalha sozinho. Ele depende de apoio jurídico, segurança da informação, compliance, tecnologia e lideranças operacionais. Quando um incidente ocorre, o DPO ajuda a classificar o evento, acionar o plano de resposta, centralizar informações e preparar comunicações sem prometer conclusões antes da investigação técnica.
Perguntas frequentes sobre vazamento de dados
Vazamento de dados é incidente de segurança que expõe, altera, destrói ou permite acesso não autorizado a dados pessoais. A LGPD trata o tema nos arts. 46 e 48 da Lei 13.709/2018, exigindo prevenção, avaliação de risco, comunicação quando houver dano relevante e medidas para reduzir impactos aos titulares.
Vazamento de dados pode atingir qualquer empresa que trate dados pessoais, e a LGPD se aplica a organizações públicas e privadas nas hipóteses do art. 3º da Lei 13.709/2018. Pequenos negócios podem ter regras simplificadas pela Resolução CD/ANPD nº 2/2022, mas continuam obrigados a proteger dados.
Vazamento de dados pode levar a multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, conforme art. 52 da LGPD. A ANPD calcula a penalidade conforme gravidade, reincidência, cooperação, vantagem obtida e critérios da Resolução CD/ANPD nº 4/2023.
Vazamento de dados deve ser comunicado à ANPD quando puder acarretar risco ou dano relevante aos titulares, conforme art. 48 da LGPD. A Resolução CD/ANPD nº 15/2024 prevê comunicação em até três dias úteis, contados do conhecimento pelo controlador, com informações sobre natureza, titulares afetados e medidas adotadas.
Vazamento de dados não gera dano moral automático em todos os casos. No AREsp 2.130.619/SP, julgado em 2023, o STJ exigiu demonstração de dano concreto para dados cadastrais comuns. A conclusão pode mudar quando houver dados sensíveis, fraude comprovada, relação de consumo ou impacto relevante ao titular.
Vazamento de dados se previne com inventário de dados, bases legais revisadas, controle de acesso, treinamento, contratos com operadores, backup, gestão de vulnerabilidades e plano de resposta a incidentes. A empresa deve registrar evidências dessas medidas para demonstrar diligência perante titulares, clientes, parceiros e ANPD.
Como reduzir riscos jurídicos após adequar a empresa à LGPD?
Reduzir riscos jurídicos exige transformar a adequação à LGPD em rotina de governança. A empresa deve revisar periodicamente dados tratados, contratos, fornecedores, incidentes, treinamentos e solicitações de titulares. Esse acompanhamento evita que documentos fiquem desatualizados e fortalece a resposta diante de auditorias ou fiscalizações.
O tratamento de dados pessoais seguirá relevante para empresas porque modelos digitais dependem de informação confiável, segura e usada com finalidade legítima. Estar em conformidade com a LGPD ajuda a evitar vazamento de dados, reduz litígios, melhora a transparência e organiza responsabilidades entre áreas internas e prestadores.
Departamentos jurídicos podem liderar esse processo criando políticas, revisando cláusulas, orientando bases legais e acompanhando a evolução regulatória da ANPD. Já as áreas técnicas devem implementar controles de segurança e fornecer evidências. A integração entre jurídico, tecnologia e negócio torna a proteção de dados uma prática verificável.
*Este texto foi produzido originalmente em parceria com a upLexis, empresa de software que desenvolve soluções de busca e estruturação de informações extraídas de grandes volumes de dados, Big Data, da internet e de outras bases de conhecimento.
Como receber artigos jurídicos por email?
Para acompanhar novas análises sobre LGPD, tecnologia, gestão jurídica e compliance, leitores podem assinar comunicações editoriais da Projuris e receber conteúdos jurídicos periódicos por email, conforme suas preferências e regras de privacidade aplicáveis.
Leia também:
![[Guia completo] Transação penal: o que é, quando vale a pena e como funciona na prática](https://www.projuris.com.br/wp-content/uploads/2026/10/transacao-penal-150x150.jpg)
