Seus dados pessoais vazaram? Veja o que fazer
Revisado por Lucas Karam, advogado (OAB/BA 56.878), em .
Se o seu CPF, telefone, e-mail ou dados bancários aparecem num vazamento de dados, os primeiros passos são seus e não dependem de advogado: trocar as senhas, ligar a verificação em duas etapas, conferir no Registrato do Banco Central se abriram conta ou fizeram empréstimo no seu nome e desconfiar de quem entrar em contato usando esses dados. Pela LGPD, a Lei Geral de Proteção de Dados (Lei 13.709/2018), você também pode exigir da empresa explicações sobre o que ela faz com os seus dados e, se houver dano, pedir a reparação.
Ligaram ou mandaram mensagem com os seus dados? Não confirme nada, não passe códigos e não faça Pix. Desligue e procure o banco ou a empresa pelo canal oficial. Veja o que fazer agora
Resposta no mesmo dia útil, pela equipe do escritório, sob a responsabilidade do advogado Lucas Karam (OAB/BA 56.878). Atendimento online em todo o Brasil, com sigilo profissional. Prefere e-mail? Escreva para contato@lucaskaram.com.br.
Como saber se foi vazamento e de onde veio
Vazamento de dados é quando informações sobre você saem do controle de quem as guardava, como uma loja, um banco ou um aplicativo. A LGPD chama isso de incidente de segurança.
-
Aviso da empresa
Se o vazamento pode trazer risco ou dano relevante, a empresa tem de avisar você em 3 dias úteis, em linguagem simples, dizendo quais dados foram afetados, os riscos e o que fez. Confira o aviso no site oficial antes de clicar em qualquer link: golpistas também mandam falsos avisos de vazamento.
-
Notícia de vazamento
Viu uma notícia de vazamento numa empresa de que você é cliente? Procure o comunicado no site oficial. Se não puder avisar cada pessoa, a empresa deve divulgar o incidente no site, no aplicativo e nas redes sociais por, no mínimo, três meses.
-
Registrato do Banco Central
Mostra os empréstimos no seu CPF, as contas abertas em bancos e as chaves Pix cadastradas. O acesso é pelo Meu BC, com a conta gov.br nível prata ou ouro e a verificação em duas etapas ativada.
-
Sinais no dia a dia
Mensagens de quem sabe o seu CPF e endereço, códigos que você não pediu e cobranças desconhecidas. Não provam de onde veio o vazamento, mas pedem atenção.
Por que o Registrato vem primeiro
O Registrato reúne o que os bancos informam ao Banco Central sobre o seu CPF: empréstimos e financiamentos (SCR), contas e relacionamentos em bancos (CCS) e chaves Pix. Um empréstimo ou uma conta que você não conhece mostra que os dados já foram usados, e não só expostos. Repita a consulta de tempos em tempos.
Nem todo vazamento tem o mesmo peso
Nome e telefone facilitam golpes por mensagem; CPF com endereço ajuda o golpista a se passar por você; senhas e dados bancários pedem ação imediata. Leia o aviso da empresa para saber quais dados saíram. A LGPD protege mais o dado pessoal sensível (art. 5º, II), como saúde, vida sexual, religião e biometria.
O que fazer agora, nesta ordem
São medidas simples, que você toma pelo celular. Anote o protocolo de cada contato: ele mostra quando você agiu.
-
Troque as senhas
Comece pelo e-mail, porque é por ele que se recuperam as outras contas. Depois, banco, redes sociais e conta gov.br. Use uma senha diferente em cada serviço.
-
Ligue a verificação em duas etapas
É o código extra pedido além da senha. Ative no e-mail, no WhatsApp, nas redes sociais e na conta gov.br.
-
Avise o seu banco
Se vazaram dados do cartão ou da conta, ligue para a central do banco, peça a troca do cartão, ative os alertas de compra e de Pix e anote o protocolo.
-
Desconfie de contatos que usam os seus dados
O golpista fala o seu nome e o CPF para parecer o banco ou a loja. Desconfie de quem pede senha, código, Pix ou instalação de aplicativo. Desligue e ligue você para o canal oficial.
-
Guarde as provas
Salve o aviso da empresa, a notícia, prints de mensagens suspeitas, extratos e protocolos.
-
Registre o boletim de ocorrência se houver uso
Se usaram os seus dados para abrir conta, pegar empréstimo ou fazer compra, registre o boletim de ocorrência, em muitos estados pela internet.
Se os seus dados já foram usados
Achou no Registrato um empréstimo ou uma conta que não é sua? Conteste no banco por escrito e veja o passo a passo no guia sobre empréstimo ou conta no seu nome. Se o golpista tomou a sua conta de WhatsApp ou de rede social, veja como recuperar e avisar os contatos no guia sobre WhatsApp clonado ou Instagram hackeado. Se você caiu num golpe e fez um Pix, peça logo o MED ao seu banco, como explica o guia sobre o que fazer depois de um golpe do Pix.
A própria ANPD orienta que fraudes, como cartão clonado ou empréstimo que você não pediu, sejam informadas à instituição responsável e à polícia, com boletim de ocorrência.
O que a LGPD garante a quem teve os dados vazados
Quem decide como os seus dados são usados é o controlador; quem trata os dados em nome dele é o operador. Os dois têm deveres com você, o titular.
- Saber o que a empresa tem (art. 18)Você pode pedir, a qualquer momento, a confirmação da existência de tratamento, o acesso aos dados e a informação sobre as entidades públicas e privadas com as quais a empresa fez uso compartilhado dos seus dados (art. 18, I, II e VII). O pedido é atendido sem custos para você (§ 5º).
- Resposta em até 15 dias (art. 19)O acesso vem na hora, de forma simplificada, ou por declaração completa, com a origem dos dados e a finalidade do tratamento, em até 15 dias do pedido.
- Segurança e aviso (arts. 46 a 48)A empresa deve adotar medidas de segurança para proteger os dados de acessos não autorizados (art. 46) e comunicar a ANPD e você quando o incidente puder acarretar risco ou dano relevante (art. 48).
O prazo do aviso: 3 dias úteis
A LGPD deixa o prazo para a autoridade (art. 48, § 1º). A Resolução CD/ANPD nº 15/2024 fixou 3 dias úteis, contados de quando a empresa soube que o incidente afetou dados pessoais, para avisar o titular (art. 9º). O prazo é em dobro para o agente de pequeno porte.
Responsabilidade e reparação (arts. 42 a 45)
Pelo art. 42, o controlador ou o operador que, ao tratar dados pessoais em violação à lei, causar a alguém dano patrimonial, moral, individual ou coletivo é obrigado a repará-lo. O art. 42, § 2º, permite ao juiz inverter o ônus da prova a favor do titular, quando a alegação parecer verdadeira, quando o titular tiver dificuldade para produzir a prova ou quando produzi-la for caro demais para ele. Inverter o ônus da prova quer dizer que a empresa passa a ter de provar que agiu certo.
Pelo art. 43, a empresa só deixa de responder se provar que não fez o tratamento, que não violou a lei ou que o dano veio de culpa exclusiva do titular ou de terceiro. O art. 44 responsabiliza quem causou o dano por não adotar as medidas de segurança. Se você é consumidor da empresa, o art. 45 manda aplicar também o Código de Defesa do Consumidor, que faz o fornecedor responder pelos defeitos do serviço independentemente de culpa (art. 14).
Quem fiscaliza
A Agência Nacional de Proteção de Dados (ANPD) fiscaliza o cumprimento da LGPD. Com a Lei 15.352/2026, ela passou a se chamar Agência Nacional de Proteção de Dados e a seguir a lei das agências reguladoras (Lei 13.848/2019), como autarquia de natureza especial. O titular pode peticionar contra a empresa perante a ANPD (art. 18, § 1º) e também perante os órgãos de defesa do consumidor, como o Procon (art. 18, § 8º).
Como reclamar à ANPD
Desde 1º de janeiro de 2025, a ANPD recebe pedidos de cidadãos só pelo Sistema de Requerimentos, no serviço Abrir requerimento relacionado à LGPD. O caminho tem uma regra: pedir primeiro à empresa.
-
Peça primeiro à empresa
Use o canal de privacidade ou o contato do encarregado de dados, que costuma estar na política de privacidade do site. Peça por escrito e guarde o protocolo.
-
Sem resposta? Faça a petição de titular
No serviço Abrir requerimento relacionado à LGPD, entre com a sua conta gov.br, escolha Petição e junte a prova do pedido feito à empresa. A petição de titular não pode ser anônima.
-
Falha que atinge muita gente? Faça uma denúncia
Para falhas que não são só suas, como falta de medidas de segurança ou site expondo dados. Pode ser anônima, desde que venha com provas.
Pela LGPD, a ANPD aprecia a petição do titular depois que ele comprova ter reclamado à empresa sem solução (art. 55-J, V). Por isso o protocolo do pedido feito antes é tão importante. Segundo a página oficial da ANPD, os pedidos são, em regra, analisados de forma agregada: entram no planejamento da fiscalização e não recebem resposta individual. A ANPD não investiga crimes; ela apura infrações à LGPD.
A reclamação na ANPD ajuda a fiscalização, mas as sanções que ela aplica, como advertência e multa, não são indenização para você. O pedido de reparação, se não houver acordo com a empresa, vai à Justiça.
Quando cabe indenização
A LGPD liga a reparação ao dano (art. 42). Por isso, saber se cabe indenização depende do que vazou, do que aconteceu depois e das provas. Um empréstimo no seu nome ou um golpe feito com os dados vazados é bem diferente de um vazamento sem uso conhecido.
Ajudam a provar o caso: o aviso da empresa, os relatórios do Registrato, os extratos, os prints dos golpistas, o boletim de ocorrência e as respostas da empresa. Cada caso depende das provas e de como a empresa agiu, e não há resultado garantido.
Guias relacionados
- Sua empresa teve um vazamento de dados?O guia para empresas: conter o incidente, avaliar o risco e comunicar a ANPD e os titulares.
- Empréstimo ou conta no seu nome?Como confirmar no Banco Central, contestar no banco e pedir a devolução do que foi descontado.
- WhatsApp clonado ou Instagram hackeado?Como recuperar a conta e avisar os contatos antes que peçam dinheiro em seu nome.
Se a empresa não responder: como funciona o atendimento
Cada etapa depende da anterior. Nem todo caso passa por todas elas, e não há resultado garantido.
-
Análise do caso
Leitura do aviso da empresa, dos relatórios do Registrato, dos protocolos e das provas do que aconteceu depois.
-
Pedido formal à empresa
Requerimento com base na LGPD pedindo acesso aos dados, informação sobre o compartilhamento e medidas para reduzir o dano.
-
Reclamação à ANPD ou ao Procon
Petição de titular na ANPD ou reclamação no órgão de defesa do consumidor, quando a empresa não responde.
-
Ação na Justiça
Quando cabível, ação para pedir a reparação do dano e o cumprimento dos seus direitos de titular.
Advogado responsável
Lucas Karam é advogado especialista em Direito Digital, com MBA em Data Protection Officer (IESB) e as certificações CIPM e CDPO/BR (IAPP) e DPO (EXIN), ligadas ao trabalho do encarregado de dados.
Coordena a pós-graduação Inteligência Artificial para Advogados na EBPOS, é coautor de livros sobre LGPD pela Saraiva Jur e membro da Comissão Especial de Direito Digital da OAB/BA.
- Inscrição
- OAB/BA 56.878
- Formação
- Direito (UCSAL), pós-graduação em Direito Digital e Compliance, MBA em Data Protection Officer (IESB) e Gestão de TI (Estácio)
- Certificações
- CIPM e CDPO/BR (IAPP), DPO (EXIN), Lead Implementer e Auditor Líder ISO/IEC 27701 (ABNT)
- Sigilo
- Sigilo profissional previsto no Estatuto da Advocacia e, nos processos que envolvem a intimidade, segredo de justiça
Outras entrevistas na imprensa
Entrevistas sobre vazamento de dados, crimes cibernéticos e privacidade.
-
TV Brasil, Repórter Brasil
Crimes digitais: punições previstas em lei para hackers
-
TV Senado, Senado Notícias
Robôs e ataques automatizados nas redes
-
CNJ
Entrevista como professor e advogado de Direito Digital
Perguntas frequentes
Como saber se meu CPF vazou?
Fique atento ao aviso da empresa e às notícias, sempre conferindo no site oficial. Para saber se alguém já usou o seu CPF, consulte o Registrato do Banco Central, que mostra empréstimos, contas e chaves Pix no seu nome.
A empresa é obrigada a me avisar do vazamento?
Sim, quando o incidente pode acarretar risco ou dano relevante (LGPD, art. 48). A Resolução CD/ANPD nº 15/2024 fixa 3 dias úteis para avisar o titular, contados de quando a empresa soube do incidente.
Posso pedir à empresa que diga quais dados meus ela tem?
Pode. Pelo art. 18 da LGPD, você pode pedir a confirmação do tratamento, o acesso aos dados e a lista de com quem eles foram compartilhados. A declaração completa sai em até 15 dias (art. 19).
Como reclamar à ANPD?
Peça primeiro à empresa e guarde o protocolo. Se ela não resolver, faça uma petição de titular no Sistema de Requerimentos da ANPD, com login da conta gov.br, juntando a prova do pedido feito antes.
Tenho direito a indenização?
Depende. A LGPD obriga a reparar o dano causado por tratamento de dados que viola a lei (art. 42). Saber se cabe indenização depende do que vazou, do prejuízo que veio depois e das provas. Não há resultado garantido.
Preciso de advogado?
Não para os primeiros passos: trocar senhas, conferir o Registrato, avisar o banco, pedir explicações à empresa e reclamar na ANPD você faz sozinho. O advogado entra quando a empresa não responde ou o vazamento já causou prejuízo.
Moro em outro estado. Vocês podem me atender?
Sim. O atendimento é online, para pessoas de todo o Brasil, e os processos na Justiça são eletrônicos. Lucas Karam é inscrito na OAB da Bahia, e a forma de atuar em processos de outros estados é explicada na análise de cada caso.
Informações atualizadas em outubro de 2026.
Onde conferir
- Lei Geral de Proteção de Dados, Lei 13.709/2018 (Planalto)
- ANPD: Denúncia / Petição de Titular referente à LGPD
- gov.br, Abrir requerimento relacionado à LGPD
- Resolução CD/ANPD nº 15/2024, Regulamento de Comunicação de Incidente de Segurança (Diário Oficial da União)
- Banco Central, Registrato
- Código de Defesa do Consumidor (Planalto)
A empresa não respondeu ou o vazamento já causou prejuízo?
Se a empresa não respondeu ao seu pedido, se os seus dados foram usados num golpe ou num empréstimo, ou se um dado sensível foi exposto, a equipe avalia os caminhos possíveis.
Tenha à mão o aviso da empresa ou a notícia do vazamento, os relatórios do Registrato e os protocolos. No primeiro contato, não mande senhas, códigos nem cópias de documentos.
Resposta no mesmo dia útil, pela equipe do escritório, sob a responsabilidade do advogado Lucas Karam (OAB/BA 56.878). Atendimento online em todo o Brasil, com sigilo profissional. Prefere e-mail? Escreva para contato@lucaskaram.com.br.
Quer saber como o escritório atua nesse tipo de caso? Veja a página do advogado de LGPD e proteção de dados.
Guias do mesmo tema
Ver os guias de empresas e proteção de dados
Ver todos os 90 guias, por tema
Leia também
- Advogado de Proteção de Dados e LGPD
- Advogado para Sites e Aplicativos
- Advogado para Startups e Direito Empresarial
As informações desta página são gerais e não substituem a análise de um caso concreto.