Vazamento de dados pessoais: o que costuma ser feito

1. 1

   Confirmar o aviso e a origem da informação

   O primeiro passo é saber de onde veio a informação: um comunicado da própria empresa, uma notícia ou um alerta de banco ou de aplicativo. Convém verificar se o aviso é autêntico, acessando o site ou o aplicativo oficial pelo endereço digitado, sem usar links recebidos por mensagem.

   O que costuma acontecer

   Guardam-se o aviso, a data em que foi recebido e o canal usado. Mensagens que pedem senhas, códigos de verificação ou pagamentos em nome de um suposto vazamento podem ser tentativas de golpe, e senhas e códigos não devem ser informados.

   Atenção

   Quando o incidente puder acarretar risco ou dano relevante, o controlador deve comunicá-lo ao titular e à ANPD (LGPD, art. 48). A comunicação ao titular costuma indicar a natureza dos dados afetados, os riscos e as medidas adotadas.

2. 2

   Identificar quais dados foram expostos

   As providências variam conforme o tipo de dado: nome e e-mail, CPF e endereço, dados bancários, senhas, dados de saúde ou biometria. Alguns dados, como os de saúde e os biométricos, são considerados sensíveis pela LGPD.

   O que costuma acontecer

   Anota-se quais dados constam do aviso ou foram divulgados, em qual serviço e em que período. Se o aviso não detalha isso, a informação pode ser pedida à empresa na etapa do pedido formal.

   Atenção

   Os dados pessoais sensíveis estão definidos no art. 5º, II, e têm regras próprias de tratamento (arts. 11 e seguintes).

3. 3

   Adotar medidas práticas de proteção

   Em paralelo, costumam-se adotar cuidados para reduzir o uso indevido dos dados: trocar as senhas das contas afetadas e de outras que usem a mesma senha, ativar a verificação em duas etapas, acompanhar e-mails e extratos e estranhar contatos inesperados.

   O que costuma acontecer

   Quando há dados bancários ou de cartão, costuma-se avisar a instituição financeira pelos canais oficiais e pedir o bloqueio ou a troca do cartão. Se houver uso de documentos por terceiros, registra-se boletim de ocorrência na polícia civil e acompanha-se o nome e o CPF nos cadastros de crédito.

   Atenção

   Essas medidas não dependem da apuração de responsabilidade da empresa. A investigação de crimes cabe às autoridades policiais.

4. 4

   Fazer o pedido formal à empresa

   O titular pode enviar à empresa um requerimento expresso, pelo canal de privacidade ou ao encarregado, pedindo a confirmação de que seus dados foram tratados, o acesso a eles e informações sobre o incidente: quais dados, quando ocorreu, com quem foram compartilhados e quais medidas foram tomadas.

   O que costuma acontecer

   O pedido é feito por escrito, com o número de protocolo anotado. A empresa pode responder em formato simplificado, de imediato, ou por declaração completa em até 15 dias (art. 19), ou indicar as razões de fato ou de direito que impedem a providência (art. 18, § 4º).

   Atenção

   A identidade e os contatos do encarregado devem ser divulgados publicamente, de preferência no site do controlador (art. 41, § 1º). Convém enviar só o necessário para identificar o titular, sem anexar documentos além do pedido.

5. 5

   Reclamar à ANPD e ao Procon

   Se a empresa não responde ou a resposta não resolve, o titular pode registrar petição na ANPD, com o comprovante do pedido feito à empresa, ou denúncia, e reclamar ao Procon quando há relação de consumo.

   O que costuma acontecer

   A ANPD recebe petições e denúncias pelo serviço do gov.br e, quando os requisitos de admissibilidade estão presentes, pode pedir manifestação da empresa. O prazo de análise varia, e os números de protocolo devem ser guardados.

   Atenção

   A comunicação do incidente pelo controlador à ANPD e aos titulares segue, em regra, o prazo de três dias úteis a partir do conhecimento do incidente (Resolução CD/ANPD 15/2024, arts. 6º e 9º). Registrar reclamação não impede de procurar a Justiça (Constituição Federal, art. 5º, XXXV).

6. 6

   Via judicial

   Se as vias anteriores não resolvem ou se houve prejuízo, é possível levar o caso à Justiça para discutir, por exemplo, a obrigação de informar, de corrigir ou de eliminar dados e, quando houver dano, a reparação (LGPD, arts. 22 e 42).

   O que costuma acontecer

   O juiz examina os documentos, a origem do vazamento, as medidas de segurança adotadas pela empresa (art. 46) e o dano alegado. O entendimento dos tribunais sobre a necessidade de comprovar o dano em casos de vazamento tem variado, e o resultado não pode ser previsto.

   Atenção

   Em relação de consumo, também se aplica o Código de Defesa do Consumidor (art. 14). Conforme o valor e a complexidade, a competência pode ser do Juizado Especial Cível. Os prazos de prescrição dependem do pedido e da base legal, por isso convém verificar as datas com antecedência.

Cada caso pode ter etapas a mais, a menos ou em outra ordem.