Vazamento de dados pessoais: o que fazer e quando existe indenização?

Uma empresa informa que sofreu um ataque, um arquivo foi enviado à pessoa errada ou dados de clientes apareceram em ambiente não autorizado. A primeira reação costuma ser perguntar se haverá fraude e se o vazamento gera indenização.

A prioridade é reduzir os riscos, entender o alcance do incidente e guardar as evidências. Nem toda falha exige as mesmas providências e nem todo incidente produz automaticamente dano indenizável.

A resposta depende dos dados envolvidos, da possibilidade de uso indevido, das medidas adotadas pelo controlador e das consequências comprovadas para o titular.

O que é um incidente de segurança com dados pessoais?

A Autoridade Nacional de Proteção de Dados, ou ANPD, define o incidente como um evento adverso confirmado que compromete a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais.

Isso inclui situações diferentes, como:

1. acesso não autorizado a uma base de clientes;
2. envio de documento ao destinatário errado;
3. publicação acidental de cadastro;
4. perda ou furto de equipamento com dados desprotegidos;
5. alteração indevida ou indisponibilidade de informações pessoais;
6. ataque que copie credenciais, documentos ou dados financeiros.

A mera existência de uma vulnerabilidade não significa que houve incidente. É necessário distinguir uma falha potencial de um evento confirmado que efetivamente alcançou dados pessoais.

O que fazer assim que receber a comunicação?

Não clique imediatamente nos links da mensagem. Golpistas podem aproveitar notícias de vazamentos para enviar comunicações falsas. Entre no aplicativo, site ou canal oficial da organização e confirme o aviso.

Depois, procure identificar:

1. a data em que a empresa tomou conhecimento do incidente;
2. quais categorias de dados foram afetadas;
3. se senhas, documentos, dados bancários ou informações sensíveis estavam envolvidos;
4. quais riscos foram apontados;
5. quais medidas a empresa já adotou;
6. qual é o canal para obter esclarecimentos.

Guarde o comunicado completo, inclusive cabeçalhos de e-mail, data, remetente e anexos. Se houver movimentação indevida, preserve também extratos, alertas, protocolos e conversas. O artigo sobre provas digitais e registros de WhatsApp explica cuidados úteis para conservar evidências eletrônicas.

Preciso trocar todas as senhas?

Troque imediatamente a senha do serviço afetado se houver suspeita de exposição de credenciais. Se a mesma senha foi reutilizada em outros sites, altere-a também nesses serviços, começando pelo e-mail principal e pelas contas financeiras.

Use senhas diferentes e ative a autenticação em dois fatores. Quando possível, prefira um aplicativo autenticador ou chave de segurança. Códigos recebidos por mensagem nunca devem ser informados a terceiros.

Se documentos, dados bancários ou informações de cartão foram expostos, monitore contas e faturas. Avise a instituição financeira pelos canais oficiais ao identificar transação desconhecida. Não instale aplicativos nem permita acesso remoto a pedido de quem telefona dizendo que precisa “proteger” sua conta.

Todo incidente deve ser comunicado ao titular?

Não. O art. 48 da Lei Geral de Proteção de Dados Pessoais determina a comunicação quando o incidente puder acarretar risco ou dano relevante aos titulares.

Segundo o regulamento da ANPD, a obrigação ocorre quando três condições estão presentes ao mesmo tempo:

1. o incidente foi confirmado;
2. envolve dados pessoais sujeitos à LGPD;
3. pode causar risco ou dano relevante aos titulares.

A avaliação considera o contexto do tratamento, a natureza e a quantidade dos dados, o número e as características dos titulares, os possíveis danos, as proteções aplicadas e as medidas de mitigação.

Dados sensíveis, credenciais, documentos de identificação, informações protegidas por sigilo e dados de crianças, adolescentes ou outros grupos vulneráveis podem elevar o risco. A conclusão, porém, depende do conjunto de circunstâncias, e não apenas do nome dado ao evento.

Qual é o prazo para a empresa comunicar?

A Resolução CD/ANPD nº 15/2024 estabelece que o controlador comunique o incidente à ANPD e aos titulares afetados em três dias úteis, ressalvado prazo específico previsto em outra legislação.

O prazo está ligado ao conhecimento de que o incidente afetou dados pessoais e pode causar risco ou dano relevante. Se ainda não tiver todas as informações, o controlador pode apresentar comunicação preliminar e complementar a ANPD de forma fundamentada no prazo regulamentar.

A obrigação de comunicar é do controlador, que decide sobre o tratamento dos dados. O operador, como um prestador que trata dados em nome do controlador, deve informar o incidente sem demora injustificada e fornecer os elementos necessários.

O que deve constar no aviso ao titular?

A comunicação deve usar linguagem simples e, sempre que possível, ser individual e direta. O regulamento prevê informações como:

1. natureza e categorias dos dados afetados;
2. medidas técnicas e de segurança empregadas, preservados os segredos comercial e industrial;
3. riscos e possíveis impactos;
4. medidas adotadas ou planejadas para reduzir os efeitos;
5. data em que a organização tomou conhecimento do incidente;
6. contato para esclarecimentos, inclusive do encarregado quando aplicável;
7. motivo de eventual atraso.

Um aviso genérico que apenas menciona “atividade suspeita” pode não permitir que o titular adote medidas adequadas. É possível pedir esclarecimentos pelo canal de privacidade da empresa e guardar o protocolo.

Para conhecer outras informações mantidas pela organização, veja como exercer o direito de acesso aos dados pessoais. O pedido de eliminação tem requisitos próprios e não substitui a apuração do incidente; consulte também quando é possível pedir a exclusão de dados.

Vazamento gera indenização automaticamente?

Não. A ocorrência de uma falha de segurança e o direito a indenização são questões relacionadas, mas não idênticas.

No AREsp 2.130.619/SP, a Segunda Turma do Superior Tribunal de Justiça analisou a exposição de dados comuns de cadastro. O Tribunal concluiu que o vazamento, por si só, não gera dano moral presumido e que o titular deve comprovar o dano decorrente da exposição.

Essa decisão não autoriza concluir que nenhum vazamento possa ser indenizado. A própria análise deve distinguir dados comuns de dados sensíveis e considerar o que efetivamente ocorreu. Fraude, uso de identidade, perda financeira, exposição íntima, discriminação, cobrança indevida ou outras consequências podem alterar o enquadramento, desde que demonstradas e relacionadas ao incidente.

Também devem ser avaliadas as medidas de segurança aplicáveis, a conduta da empresa depois do evento, a clareza da comunicação e a redução dos prejuízos. A responsabilidade civil prevista nos arts. 42 a 45 da LGPD exige exame dos fatos e das hipóteses legais de exclusão.

Quais provas devem ser preservadas?

Organize uma linha do tempo com documentos verificáveis:

Elemento	O que guardar
Comunicação	E-mail, carta, aviso no aplicativo e página oficial
Dados afetados	Descrição fornecida pela empresa e pedidos de esclarecimento
Providências	Protocolos de troca, bloqueio, contestação e atendimento
Uso indevido	Alertas de acesso, cadastros desconhecidos, mensagens e boletim de ocorrência
Prejuízo financeiro	Extratos, faturas, comprovantes e respostas das instituições
Outros impactos	Documentos que demonstrem consequências concretas e sua relação temporal

Não publique documentos pessoais em redes sociais para provar o ocorrido. O compartilhamento pode ampliar a exposição. Se precisar enviar material para análise, oculte dados desnecessários e use um canal seguro.

Quando registrar boletim de ocorrência?

Se houver indício de fraude, uso de identidade, invasão de conta, contratação desconhecida, ameaça ou tentativa de extorsão, o registro perante a autoridade policial ajuda a documentar o fato e permite relatar os elementos disponíveis.

O boletim não prova sozinho a autoria nem garante indenização. Ele registra a narrativa e deve ser acompanhado dos demais documentos. A ANPD orienta a formalização de denúncia policial quando existirem indícios de fraude no tratamento dos dados.

Posso reclamar diretamente à ANPD?

Para exercer direitos sobre seus dados, a orientação da ANPD é procurar primeiro o controlador pelos canais oficiais. Se a solicitação não for atendida, o titular pode apresentar petição à Autoridade e deve comprovar o contato anterior.

Guarde o pedido, o protocolo e a resposta. A petição não significa que a ANPD resolverá individualmente uma indenização. A Autoridade informa que as demandas podem ser analisadas de forma agregada e usadas na fiscalização e na regulamentação.

Se a questão envolver uma relação de consumo, outros canais administrativos também podem ser aplicáveis. A escolha depende do serviço, do problema concreto e da providência pretendida.

Quando buscar análise individual?

Uma avaliação específica é recomendável quando o incidente envolve dados sensíveis, documentos, credenciais ou informações financeiras, quando já existe uso indevido, quando a empresa não esclarece o alcance do evento ou quando há prejuízo que precisa ser relacionado ao vazamento.

Reúna o aviso, a política de privacidade vigente, os protocolos, as provas do dano e as providências adotadas. A análise jurídica deve separar o dever de segurança, a comunicação regulatória e a eventual responsabilidade civil, sem promessa de resultado.

Outros conteúdos sobre privacidade, fraudes e plataformas estão em Direito Digital.

Fontes consultadas

Referências conferidas em 29 de outubro de 2026.

• Lei Geral de Proteção de Dados Pessoais, texto compilado no Planalto, especialmente arts. 5º, 42 a 48 e 55-J.
• ANPD: comunicação de incidente de segurança, sobre conceito, avaliação de risco, prazo e conteúdo da comunicação.
• ANPD: regulamentações vigentes, incluindo a Resolução CD/ANPD nº 15/2024.
• ANPD: fluxo da petição do titular, sobre contato prévio com o controlador, comprovação do pedido e indícios de fraude.
• STJ: Informativo 766, AREsp 2.130.619/SP, sobre vazamento de dados comuns e necessidade de comprovação do dano.
• Provimento nº 205/2021 do Conselho Federal da OAB, sobre publicidade informativa na advocacia.