Segurança e golpes
Vazamento de dados e LGPD: o que fazer quando acontece
Saiba quem avisar, os prazos e o que registrar, de forma direta.
Uma planilha de clientes enviada para o e-mail errado, um notebook roubado, o sistema invadido ou um backup que ficou aberto na internet. Pela LGPD, todas essas situações são consideradas incidentes de segurança com dados pessoais, e a lei define como a empresa deve agir.
Este texto serve como um ponto de partida. Para avaliar o seu caso específico, converse com um advogado ou com o encarregado de dados (DPO) do seu negócio.
Primeiro passo: estancar o problema e levantar o cenário
Antes de soltar qualquer comunicado, você precisa parar o vazamento. Troque senhas, tire o arquivo do ar ou desconecte o equipamento da rede. Só depois disso faça o levantamento do que houve: descubra quais dados vazaram, quantas pessoas foram atingidas, quando tudo começou e quem pode ter tido acesso a essas informações.
Quando o aviso é obrigatório
O artigo 48 da LGPD exige que a empresa comunique a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares dos dados sempre que o incidente puder gerar risco ou dano relevante para essas pessoas. Vazamentos grandes ou que envolvam senhas, documentos, histórico financeiro, informações de saúde e dados de crianças geralmente entram nessa regra.
Qual é o prazo
O Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) define o prazo de 3 dias úteis. Essa contagem começa no momento em que a empresa descobre que o incidente afetou dados pessoais. As pessoas atingidas precisam ser avisadas dentro desse mesmo prazo, de preferência por um contato direto.
O que colocar no comunicado
O texto precisa ser fácil de entender. Explique o que aconteceu, quais dados foram expostos, quais são os riscos para a pessoa, o que a sua empresa já fez para resolver a falha e o que o titular pode fazer para se proteger. Informe também um canal de contato para tirar dúvidas.
Documente o que aconteceu
A regra exige que a empresa documente todos os incidentes de segurança, até mesmo aqueles que não precisaram ser comunicados à ANPD. Esse histórico deve ficar guardado por no mínimo 5 anos.
Como reduzir os riscos no dia a dia
Boa parte dos problemas pode ser evitada com o básico bem feito: senhas fortes com verificação em duas etapas, acesso restrito apenas a quem precisa da informação, backups testados com frequência e atenção redobrada com planilhas soltas. Aqui na EP Sistemas, por exemplo, os agentes de IA que desenvolvemos guardam apenas os dados necessários para a operação e deixam cada ação registrada. Assim, a empresa consegue rastrear exatamente o que aconteceu caso dê algum problema.