Vazamento de Dados na Empresa: Responsabilidade, Multas e Como Agir em 72 Horas

Um vazamento de dados não avisa quando vai acontecer. Mas a LGPD exige que a empresa saiba exatamente o que fazer quando ele acontece. Desde julho de 2024, a Resolução nº 15 da ANPD estabelece prazo de 3 dias úteis para notificação de incidentes de segurança. Em 2025, o STJ firmou entendimento de que vazamento de dados sensíveis gera dano moral presumido. Em 2026, com a ANPD operando como autarquia independente, as consequências de uma resposta inadequada podem incluir multas de até R$ 50 milhões, ações coletivas de indenização e dano reputacional irreversível. Este guia detalha o que a lei exige, quem responde e como agir nas primeiras 72 horas.

O Cenário Atual: Por Que Vazamentos se Tornaram Risco Existencial

Sua empresa pode estar sofrendo um vazamento de dados agora — e pode levar meses até descobrir. Quando a descoberta vier, o prazo para notificar a ANPD já terá expirado, as multas estarão em curso e as ações judiciais dos titulares estarão se formando. Em 2024, o Brasil registrou mais de 100 bilhões de tentativas de ataques cibernéticos. Nenhum setor está imune: saúde, varejo, financeiro, educação e governo lideram as estatísticas de incidentes.

A transformação da ANPD em autarquia de natureza especial, consolidada em 2025, mudou radicalmente o cenário regulatório. A autoridade ganhou autonomia técnica, decisória e financeira. Contratou mais de 200 servidores. E passou a fiscalizar ativamente, com foco em empresas que sofrem incidentes e não cumprem os protocolos de notificação.

Ao mesmo tempo, o Judiciário evoluiu. O STJ consolidou em 2025 o entendimento de que o vazamento de dados sensíveis gera dano moral presumido -- ou seja, o titular não precisa provar que sofreu prejuízo concreto. Basta demonstrar que seus dados sensíveis foram expostos. Isso transformou cada incidente de segurança em potencial passivo judicial massivo.

A empresa que sofre um vazamento em 2026 enfrenta, portanto, três frentes simultâneas: a administrativa (ANPD), a judicial (ações de titulares) e a reputacional (mercado e mídia). As primeiras horas após o incidente determinam o resultado em todas elas.

Os 4 Tipos Mais Comuns de Incidentes de Segurança

Nem todo vazamento é igual. O tipo de incidente determina a gravidade, as medidas de contenção e a estratégia de comunicação. A empresa precisa identificar rapidamente o vetor de ataque para calibrar sua resposta.

O ransomware lidera em gravidade porque compromete simultaneamente a confidencialidade, a integridade e a disponibilidade dos dados. A empresa perde acesso aos seus próprios sistemas e precisa decidir, sob pressão, se paga o resgate ou reconstrói o ambiente a partir de backups. Em ambos os cenários, dados pessoais podem já ter sido exfiltrados.

A exposição de API é o vetor mais subestimado. Muitas empresas mantêm interfaces abertas sem autenticação ou com tokens fixos, expondo dados de milhares de titulares sem que ninguém perceba. Esses vazamentos podem persistir por meses antes de serem detectados.

Responsabilidade Legal: Quem Responde Pelo Vazamento

A LGPD estabelece dois papéis centrais no tratamento de dados: o controlador, que decide sobre o tratamento, e o operador, que executa o tratamento em nome do controlador. A responsabilidade pelo vazamento recai sobre ambos, de formas distintas.

O controlador responde diretamente perante os titulares e a ANPD. É dele a obrigação de notificar o incidente, comunicar os titulares afetados e adotar medidas corretivas. Mesmo que o vazamento tenha ocorrido em sistema de fornecedor (operador), o controlador responde solidariamente.

O operador responde quando descumpre as instruções lícitas do controlador ou quando viola a LGPD diretamente. Na prática, se o fornecedor de cloud ou o desenvolvedor do sistema causou a vulnerabilidade, ele compartilha a responsabilidade. Mas isso não exime o controlador perante os titulares.

A responsabilidade civil pelo vazamento de dados segue o regime do Art. 42 da LGPD. O controlador ou operador que causar dano patrimonial, moral, individual ou coletivo em razão do tratamento de dados é obrigado a repará-lo. O parágrafo único prevê a inversão do ônus da prova a favor do titular quando verossímil a alegação ou quando a produção de prova for excessivamente onerosa.

O Entendimento do STJ: Dano Moral Presumido em Dados Sensíveis

O Superior Tribunal de Justiça consolidou em 2025 um entendimento que mudou o cálculo de risco dos vazamentos de dados. Para dados sensíveis -- definidos pelo Art. 5º, II da LGPD como dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, dados genéticos ou biométricos -- o dano moral é presumido.

Isso significa que o titular cujos dados sensíveis foram expostos não precisa provar constrangimento, sofrimento ou prejuízo concreto. A mera exposição configura violação à dignidade e gera direito à indenização. A empresa não pode se defender argumentando que o titular não sofreu dano efetivo.

Para dados pessoais comuns -- nome, CPF, e-mail, telefone, endereço -- o entendimento majoritário ainda exige prova do dano. O titular precisa demonstrar que a exposição causou prejuízo concreto: fraude, assédio, discriminação ou outro dano verificável.

A distinção é relevante para o cálculo do passivo. Uma clínica médica que sofre vazamento de prontuários enfrenta cenário muito mais grave do que um e-commerce que expõe uma lista de e-mails. O tipo de dado afetado determina a magnitude da responsabilidade judicial.

Na prática, empresas que tratam dados sensíveis em larga escala -- saúde, recursos humanos, seguros, instituições financeiras -- precisam de medidas de segurança proporcionalmente mais robustas. E de planos de resposta a incidentes mais detalhados.

As Multas da ANPD: Escala e Critérios de Dosimetria

O Art. 52 da LGPD prevê um rol gradativo de sanções administrativas. No contexto de vazamento de dados, as sanções mais comuns são a multa simples, a multa diária e a publicização da infração.

A multa simples pode atingir 2% do faturamento bruto da pessoa jurídica no último exercício fiscal, limitada a R$ 50 milhões por infração. Uma empresa com faturamento anual de R$ 200 milhões pode receber multa de até R$ 4 milhões por um único vazamento. Se houver infrações múltiplas -- por exemplo, vazamento mais notificação tardia mais ausência de DPO -- cada uma gera sanção independente.

A multa diária é aplicada enquanto a empresa não regularizar a situação. Se a ANPD determina medidas corretivas e a empresa não cumpre, a multa se acumula dia a dia até o teto de R$ 50 milhões.

A publicização da infração obriga a empresa a divulgar publicamente que violou a LGPD. O dano reputacional costuma superar o valor da multa, especialmente para empresas que dependem da confiança do consumidor.

Em casos extremos, a ANPD pode determinar o bloqueio dos dados pessoais afetados, a eliminação dos dados e até a suspensão parcial ou total da atividade de tratamento de dados por até 6 meses.

Como Agir nas Primeiras 72 Horas: Protocolo Passo a Passo

As primeiras 72 horas após a identificação de um vazamento de dados são decisivas. A Resolução CD/ANPD nº 15/2024 estabelece o prazo de 3 dias úteis para notificação. Cada hora perdida reduz as opções de defesa e aumenta o risco de sanções.

O protocolo a seguir deve ser tratado como procedimento de emergência. Todas as ações devem ser documentadas com data, hora e responsável.

Hora 0 a 4: Contenção imediata. Isolar o sistema comprometido. Revogar credenciais de acesso possivelmente vazadas. Bloquear vetores de ataque identificados. Preservar logs e evidências forenses. A prioridade é impedir que o vazamento se amplie. Não reformatar, não desligar servidores, não destruir evidências.

Hora 4 a 12: Avaliação de impacto. Identificar quais dados foram afetados. Determinar o número de titulares envolvidos. Classificar os dados (comuns ou sensíveis). Avaliar se houve exfiltração ou apenas acesso indevido. Essa avaliação determina a gravidade do incidente e as obrigações de comunicação.

Hora 12 a 24: Acionamento do DPO e do jurídico. O Encarregado de Dados deve ser informado formalmente. O departamento jurídico ou escritório de advocacia deve ser acionado para orientar a estratégia de comunicação e defesa. Iniciar a elaboração do formulário de comunicação de incidente à ANPD.

Hora 24 a 48: Comunicação à ANPD. Preparar e protocolar a comunicação de incidente de segurança conforme modelo da Resolução 15/2024. A comunicação deve conter: descrição da natureza dos dados afetados, categorias e número aproximado de titulares, medidas técnicas e de segurança utilizadas antes e depois do incidente, riscos relacionados e medidas adotadas para mitigar os efeitos.

Hora 48 a 72: Comunicação aos titulares e remediação. Notificar os titulares afetados com linguagem clara e acessível, informando o que aconteceu, quais dados foram comprometidos e o que a empresa está fazendo. Iniciar o plano de remediação: reforço de controles, atualização de sistemas, contratação de perícia forense se necessário.

O Que Comunicar à ANPD: Conteúdo Obrigatório da Notificação

A Resolução CD/ANPD nº 15/2024 detalha o conteúdo mínimo da comunicação de incidente de segurança. A notificação incompleta é tratada como insuficiente e pode gerar requisição de complementação, consumindo tempo que a empresa não tem.

A comunicação deve incluir: a descrição da natureza dos dados pessoais afetados, as categorias e o número aproximado de titulares atingidos, a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados (antes do incidente), os riscos relacionados ao incidente com identificação dos possíveis impactos aos titulares, os motivos de eventual demora na comunicação (se ultrapassado o prazo de 3 dias úteis), as medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo, e a data em que o controlador tomou conhecimento do incidente.

A ANPD pode solicitar informações complementares a qualquer momento. A empresa deve estar preparada para fornecer relatórios técnicos, laudos de perícia forense, logs de acesso e documentação do programa de governança em privacidade.

A notificação é feita por meio de formulário eletrônico disponível no site da ANPD. A empresa deve ter previamente cadastrado seus dados no sistema da autoridade. Fazer o cadastro durante o incidente consome horas que poderiam ser usadas na contenção.

Comunicação aos Titulares: Como Fazer Sem Ampliar o Dano

A comunicação aos titulares é uma das etapas mais delicadas. Feita de forma inadequada, pode ampliar o dano reputacional. Feita de forma genérica, pode configurar descumprimento da obrigação legal. O equilíbrio exige cuidado técnico e jurídico.

A LGPD exige que a comunicação seja feita em linguagem clara e acessível. Deve informar a natureza dos dados pessoais afetados, as medidas técnicas e de segurança adotadas, os riscos relacionados ao incidente e as medidas para mitigar os efeitos do prejuízo.

Recomendações práticas: ser direto e objetivo, sem minimizar o incidente nem gerar pânico desnecessário. Informar exatamente quais dados foram comprometidos. Orientar os titulares sobre medidas protetivas que podem adotar (trocar senhas, monitorar extratos, ativar alertas de crédito). Disponibilizar canal de atendimento específico para o incidente.

Evitar linguagem excessivamente jurídica ou corporativa. O titular deve entender, em termos simples, o que aconteceu e o que fazer. A transparência nesse momento preserva a confiança e reduz o risco de ações judiciais movidas por desinformação.

Defesa Administrativa: Estratégia Perante a ANPD

Após a comunicação do incidente, a ANPD pode instaurar processo administrativo sancionador. A empresa tem direito ao contraditório e à ampla defesa. A estratégia de defesa deve ser construída desde o primeiro momento do incidente.

O primeiro pilar é a comprovação de medidas preventivas. A empresa que demonstra ter investido em segurança da informação antes do incidente recebe tratamento mais favorável. Firewalls, criptografia, controle de acesso, treinamentos, auditorias periódicas -- tudo documentado e com evidências.

O segundo pilar é a resposta adequada ao incidente. Cumprir o prazo de 3 dias úteis, comunicar os titulares, adotar medidas de contenção, contratar perícia forense e implementar correções demonstram boa-fé e diligência. A ANPD avalia não apenas se o vazamento ocorreu, mas como a empresa reagiu.

O terceiro pilar é o programa de governança em privacidade. Empresas que possuem DPO designado, registros de tratamento atualizados, Relatório de Impacto elaborado e políticas internas implementadas têm argumentos concretos de defesa. A ausência total desses elementos é interpretada como negligência.

A cooperação com a ANPD é fator expressamente previsto como atenuante no Art. 52 da LGPD. Responder dentro dos prazos, fornecer documentos solicitados e adotar postura colaborativa reduz significativamente a sanção. A postura adversarial, ao contrário, tende a agravar o resultado.

Plano de Resposta a Incidentes: A Defesa Que Começa Antes do Ataque

A empresa que descobre um vazamento sem ter um plano de resposta documentado vai tomar as decisões erradas sob pressão — e a ANPD verá isso na notificação. Empresas com plano testado agem com velocidade, preservam evidências e constroem a defesa enquanto contêm o incidente; sem plano, cometem erros que se tornam infrações autônomas adicionadas à multa original.

O plano deve definir: a equipe de resposta a incidentes (quem lidera, quem executa, quem comunica), os procedimentos de contenção para cada tipo de incidente, os critérios de classificação de gravidade, os fluxos de comunicação interna e externa, os modelos de notificação à ANPD e aos titulares, e a cadeia de escalação para decisões críticas.

A equipe de resposta deve incluir, no mínimo: o DPO, o responsável de TI ou segurança da informação, o jurídico (interno ou externo) e o responsável pela comunicação. Em empresas maiores, a equipe pode incluir diretoria executiva e compliance.

O plano não serve apenas para orientar a resposta. Ele é prova documental perante a ANPD. A existência de um plano de resposta testado e atualizado é considerada atenuante na dosimetria de sanções. A ANPD considera que a empresa que se preparou demonstra comprometimento com a proteção de dados.

Tão importante quanto ter o plano é testá-lo. Simulações periódicas de incidentes -- conhecidas como tabletop exercises -- revelam falhas no procedimento antes que elas apareçam em um incidente real. A empresa que testa seu plano anualmente está em posição muito mais forte do que a que apenas redigiu o documento.

Responsabilidade do DPO e dos Gestores

O Encarregado de Dados (DPO) é o ponto focal em qualquer incidente de segurança. É dele a responsabilidade de coordenar a comunicação com a ANPD e orientar a empresa sobre as obrigações legais. A LGPD não prevê responsabilidade pessoal direta do DPO, mas a negligência no exercício da função pode gerar consequências trabalhistas e contratuais.

Os gestores da empresa, por sua vez, respondem pelas decisões que tomam durante e após o incidente. A decisão de não notificar a ANPD, de ocultar o vazamento ou de destruir evidências configura agravante e pode gerar responsabilidade pessoal dos administradores, inclusive na esfera penal em casos de dados sigilosos.

O Art. 48 da LGPD é claro: o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Não comunicar é infração autônoma, independente da gravidade do vazamento em si.

Prevenção: 8 Medidas Que Reduzem o Risco de Vazamento

A prevenção é sempre mais barata que a remediação. Estas oito medidas, quando implementadas em conjunto, reduzem significativamente o risco de incidentes e posicionam a empresa favoravelmente perante a ANPD em caso de fiscalização.

1. Classificação de dados. Identificar e classificar todos os dados pessoais tratados pela empresa. Dados sensíveis exigem proteções adicionais. Sem saber o que tem, a empresa não pode proteger adequadamente.

2. Controle de acesso granular. Princípio do menor privilégio: cada colaborador acessa apenas os dados necessários para sua função. Revisão periódica de permissões. Revogação imediata em desligamentos.

3. Criptografia em repouso e em trânsito. Dados armazenados devem ser criptografados. Dados transmitidos entre sistemas devem usar protocolos seguros (TLS/SSL). Mesmo em caso de vazamento, dados criptografados reduzem o impacto.

4. Autenticação multifator (MFA). Todos os acessos a sistemas com dados pessoais devem exigir pelo menos dois fatores de autenticação. MFA neutraliza a maioria dos ataques baseados em credenciais roubadas.

5. Monitoramento contínuo e detecção de anomalias. Sistemas de detecção de intrusão, análise de logs e alertas automatizados permitem identificar incidentes em tempo real. Quanto mais rápida a detecção, menor o dano.

6. Backup e teste de restauração. Backups regulares, em ambiente segregado, testados periodicamente. Em caso de ransomware, backups íntegros são a diferença entre recuperação rápida e paralisia total.

7. Treinamento de colaboradores. O elo mais fraco da segurança é o humano. Phishing, engenharia social e erros operacionais são os vetores mais explorados. Treinamentos periódicos e simulações de phishing reduzem o risco significativamente.

8. Gestão de fornecedores. Mapear todos os operadores que tratam dados em nome da empresa. Incluir cláusulas de segurança e responsabilidade nos contratos. Auditar periodicamente. A cadeia de tratamento é tão forte quanto seu elo mais fraco.

Consequências Além da Multa: Dano Reputacional e Perda de Negócios

A multa da ANPD é quantificável. O dano reputacional, não. Empresas que sofrem vazamentos públicos enfrentam perda de clientes, queda em receita, dificuldade de atração de talentos e desvalorização de marca. Estudos internacionais estimam que o custo reputacional de um vazamento supera em 3 a 5 vezes o valor das sanções regulatórias.

A publicização da infração pela ANPD amplifica o dano. A notícia de que a empresa foi sancionada por violar a LGPD se espalha rapidamente. Clientes corporativos revisam contratos. Consumidores buscam alternativas. Investidores reavaliaram o risco.

A transparência na gestão do incidente é o único antídoto eficaz. Empresas que comunicam o vazamento de forma rápida, clara e responsável preservam mais confiança do que aquelas que tentam esconder ou minimizar. O mercado penaliza a ocultação mais do que o incidente em si.