Sua empresa teve um vazamento de dados? Veja o que fazer nos primeiros 3 dias úteis
Revisado por Lucas Karam, advogado (OAB/BA 56.878), em .
Quando a empresa sofre um vazamento de dados, a LGPD manda comunicar à ANPD e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante a eles (art. 48). Pelo regulamento da ANPD, o prazo dessa comunicação de incidente é de 3 dias úteis. As primeiras horas são para conter o problema, avaliar o risco e registrar tudo.
Descobriu agora? Não apague registros (logs) nem reinstale os sistemas afetados antes de preservar as provas: eles mostram o que aconteceu e o que a empresa fez. Veja o passo a passo
Resposta no mesmo dia útil, pela equipe do escritório, sob a responsabilidade do advogado Lucas Karam (OAB/BA 56.878). Atendimento online em todo o Brasil, com sigilo profissional. Prefere e-mail? Escreva para contato@lucaskaram.com.br.
O que fazer agora, passo a passo
-
Contenha e preserve
Isole os sistemas afetados, troque senhas e credenciais de acesso e guarde os registros (logs). Eles mostram o que aconteceu e o que a empresa fez.
-
Avalie o risco aos titulares
Veja quais dados vazaram, de quantas pessoas e se há dado sensível, como saúde, vida sexual ou biometria (LGPD, art. 5º, II). Conta também se os dados estavam ininteligíveis para terceiros, por exemplo com criptografia (art. 48, § 3º).
-
Comunique a ANPD e os titulares
Se o incidente puder acarretar risco ou dano relevante aos titulares, comunique em 3 dias úteis. À ANPD, a comunicação é feita no SEI!ANPD pelo encarregado ou por um representante legal da empresa.
-
Documente tudo
Registre o que foi feito e por quê, inclusive a decisão de não comunicar, se for o caso. Esse registro mostra como a empresa avaliou o risco.
Ainda faltam informações sobre o incidente? Segundo a página oficial da ANPD, a comunicação pode ser feita em duas etapas, uma preliminar e outra complementar, desde que a empresa justifique. Para adequar a empresa à LGPD, veja o artigo advogado de proteção de dados e LGPD. Se quem teve os dados vazados foi você, como cliente ou pessoa física, veja o guia seus dados pessoais vazaram?
O que a comunicação precisa ter
Pela LGPD (art. 48, § 1º), a comunicação à ANPD e aos titulares deve mencionar, no mínimo:
- Natureza dos dadosA descrição da natureza dos dados pessoais afetados.
- Titulares envolvidosAs informações sobre as pessoas cujos dados foram afetados.
- Medidas de segurançaAs medidas técnicas e de segurança usadas para proteger os dados, observados os segredos comercial e industrial.
- Riscos do incidenteOs riscos relacionados ao incidente para as pessoas afetadas.
- Motivos da demoraOs motivos da demora, se a comunicação não foi imediata.
- Medidas adotadasAs medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
O que diz a lei
LGPD, art. 48, § 2º
A ANPD pode exigir divulgação
Conforme a gravidade, a Agência Nacional de Proteção de Dados (ANPD) pode determinar a ampla divulgação do fato em meios de comunicação e medidas para reverter ou mitigar os efeitos do incidente.
LGPD, art. 42
Dever de reparar o dano
O controlador ou o operador que, ao tratar dados pessoais em violação à lei, causar dano patrimonial ou moral a alguém é obrigado a repará-lo.
LGPD, art. 52, I e II
Sanções administrativas
Entre as sanções estão a advertência, com prazo para medidas corretivas, e a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.
Como funciona o atendimento
Cada etapa depende da anterior. Nem todo caso passa por todas elas.
-
Análise jurídica do incidente
Leitura do que se sabe do incidente e avaliação do risco aos titulares, para decidir se a comunicação é obrigatória.
-
Redação da comunicação
Redação da comunicação à ANPD e do aviso aos titulares, com as informações que a lei exige.
-
Resposta à ANPD e aos titulares
Resposta a ofícios da ANPD e a pedidos de titulares afetados.
-
Prevenção
Revisão dos contratos com operadores e do plano de resposta a incidentes (LGPD, art. 50, § 2º, I, g).
Advogado responsável
Lucas Karam é advogado especialista em Direito Digital, com MBA em Data Protection Officer (IESB) e as certificações CIPM e CDPO/BR (IAPP) e DPO (EXIN), ligadas ao trabalho do encarregado de dados.
Coordena a pós-graduação Inteligência Artificial para Advogados na EBPOS, é coautor de livros sobre LGPD pela Saraiva Jur e membro da Comissão Especial de Direito Digital da OAB/BA.
- Inscrição
- OAB/BA 56.878
- Formação
- Direito (UCSAL), pós-graduação em Direito Digital e Compliance, MBA em Data Protection Officer (IESB) e Gestão de TI (Estácio)
- Certificações
- CIPM e CDPO/BR (IAPP), DPO (EXIN), Lead Implementer e Auditor Líder ISO/IEC 27701 (ABNT)
- Sigilo
- Sigilo profissional previsto no Estatuto da Advocacia e, nos processos que envolvem a intimidade, segredo de justiça
Outras entrevistas na imprensa
Entrevistas sobre ataques digitais, crimes cibernéticos e regulação das redes.
-
TV Brasil, Repórter Brasil
Crimes digitais: punições previstas em lei para hackers
-
TV Senado, Senado Notícias
Robôs e ataques automatizados nas redes
-
SBT Brasil
Regulação das redes: julgamento do Marco Civil da Internet no STF
Ver mais 1 entrevista
-
CNJ
Entrevista como professor e advogado de Direito Digital
Perguntas frequentes
Qual o prazo para comunicar um incidente à ANPD?
São 3 dias úteis, contados de quando a empresa soube que o incidente afetou dados pessoais. O mesmo prazo vale para avisar os titulares (Resolução CD/ANPD nº 15/2024). A comunicação à ANPD é feita pelo SEI!ANPD.
Todo vazamento precisa ser comunicado?
Não. A LGPD exige comunicar o incidente que possa acarretar risco ou dano relevante aos titulares (art. 48). Por isso, a empresa precisa avaliar o risco e documentar essa avaliação, inclusive quando decidir não comunicar.
O que a comunicação precisa informar?
No mínimo: a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança usadas, os riscos do incidente, os motivos da demora, se a comunicação não foi imediata, e as medidas adotadas para reverter ou mitigar os efeitos (LGPD, art. 48, § 1º).
Preciso avisar os clientes afetados?
Sim, quando houver risco ou dano relevante. A LGPD manda comunicar a ANPD e também o titular dos dados (art. 48). Além disso, a ANPD pode determinar a ampla divulgação do fato (art. 48, § 2º).
A empresa pode ser multada?
A LGPD prevê sanções administrativas aplicadas pela ANPD (art. 52). Entre elas estão a advertência e a multa simples de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.
Os dados estavam criptografados. Muda alguma coisa?
Pode mudar. Ao avaliar a gravidade do incidente, a ANPD considera se a empresa adotou medidas técnicas que tornem os dados ininteligíveis para quem não tem autorização de acesso, como a criptografia (LGPD, art. 48, § 3º).
Quem faz a comunicação à ANPD?
Segundo a página oficial da ANPD, a comunicação é feita pelo encarregado pela proteção de dados ou por um representante legal da empresa, por peticionamento eletrônico no SEI!ANPD. A obrigação de comunicar é do controlador, isto é, da empresa que decide sobre o uso dos dados (LGPD, art. 48).
Informações atualizadas em outubro de 2026.
Precisa comunicar a ANPD?
Se a empresa está dentro do prazo, ou se ele já passou, a equipe ajuda a avaliar o risco e a redigir a comunicação.
Tenha à mão o que se sabe do incidente: quando foi descoberto, quais sistemas e quais dados. No primeiro contato, não mande senhas nem cópias dos dados vazados.
Resposta no mesmo dia útil, pela equipe do escritório, sob a responsabilidade do advogado Lucas Karam (OAB/BA 56.878). Atendimento online em todo o Brasil, com sigilo profissional. Prefere e-mail? Escreva para contato@lucaskaram.com.br.
Quer saber como o escritório atua nesse tipo de caso? Veja a página do advogado de LGPD e proteção de dados.
Guias do mesmo tema
Ver os guias de empresas e proteção de dados
Ver todos os 90 guias, por tema
Leia também
- Advogado de Proteção de Dados e LGPD
- Advogado para Sites e Aplicativos
- Advogado para Startups e Direito Empresarial
As informações desta página são gerais e não substituem a análise de um caso concreto.