Vazamento de dados pessoais: seus direitos e o que exigir da empresa
Atualizado em 31 de Agosto de 2026
Descobrir que os seus dados vazaram raramente acontece por aviso da empresa. Costuma vir de outro jeito: uma tentativa de golpe em que o interlocutor sabe demais sobre você, uma conta aberta em seu nome, uma cobrança de algo que você nunca contratou.
A Lei Geral de Proteção de Dados mudou a posição do titular nessa conversa. Você deixou de depender da boa vontade da empresa para saber o que ela tem sobre você — passou a ter pedidos que ela é obrigada a responder, em prazo, e consequências quando não responde.
Os pedidos que a empresa é obrigada a atender
A LGPD dá ao titular um conjunto de direitos que se exercem por pedido direto, sem processo. Você pode pedir confirmação de que existe tratamento dos seus dados, acesso ao que a empresa guarda, correção do que está errado, e informação sobre com quem os dados foram compartilhados.
Pode também pedir a eliminação dos dados tratados com base no seu consentimento, e a revogação desse consentimento. Há limites: dados que a empresa é obrigada a guardar por lei — registros fiscais, por exemplo — não são apagados a pedido.
O prazo é o ponto prático. O pedido de confirmação e acesso deve ser respondido em formato simplificado imediatamente, ou de forma completa em até quinze dias. Para os demais direitos, a resposta deve vir em prazo razoável, e a ausência de resposta é em si um descumprimento.
Faça o pedido por escrito e guarde o comprovante de envio. O canal é o encarregado de proteção de dados, cuja identidade a empresa deve divulgar publicamente. Não encontrar esse canal já é um indício relevante de que a empresa não se estruturou.
O que a empresa deve fazer quando ocorre um incidente
A obrigação não é apenas evitar o vazamento: é comunicar quando ele acontece. A empresa deve informar a Autoridade Nacional de Proteção de Dados e os titulares afetados quando o incidente puder acarretar risco ou dano relevante.
A comunicação precisa dizer quais dados foram atingidos, quais titulares, quais medidas técnicas de proteção existiam, os riscos envolvidos e o que está sendo feito para reverter ou mitigar o efeito. Aviso vago, do tipo "houve um acesso não autorizado", não cumpre a obrigação.
O prazo fixado pela ANPD é de três dias úteis contados do conhecimento do incidente. Descobrir por terceiros um vazamento que a empresa já conhecia e não comunicou agrava a situação dela consideravelmente.
A empresa também deve manter registro do incidente e das providências, ainda quando conclui que não havia risco relevante. Esse registro é o que ela vai precisar apresentar se for questionada depois.
O papel da ANPD e o que esperar dela
A Autoridade Nacional de Proteção de Dados fiscaliza e pode aplicar sanções: advertência, publicização da infração, bloqueio ou eliminação dos dados, e multa de até 2% do faturamento da empresa no Brasil, limitada a cinquenta milhões de reais por infração.
Vale entender o que a ANPD não faz: ela não paga indenização a você. As sanções vão para o poder público. A reparação individual corre por caminho próprio, na esfera judicial, e uma coisa não substitui a outra.
Ainda assim, registrar o caso na ANPD tem utilidade concreta. A decisão administrativa que reconhece a falha de segurança vira elemento de prova em favor de todos os titulares atingidos, e a fiscalização é o que efetivamente muda o comportamento das empresas.
A autoridade vem atuando de forma crescente sobre vazamentos de grande escala e sobre tratamento de dados sem base legal, o que tornou o tema menos teórico do que era nos primeiros anos da lei.
Quando o vazamento gera indenização
Aqui está o ponto mais disputado. A jurisprudência não trata todo vazamento como dano moral automático: o Superior Tribunal de Justiça firmou que o vazamento de dados pessoais comuns, sem consequência concreta demonstrada, não gera por si dano moral presumido.
A situação muda quando há dado sensível envolvido — saúde, biometria, origem racial, convicção religiosa, dado de criança — ou quando o vazamento produziu efeito concreto: conta aberta em seu nome, empréstimo contratado, cobrança indevida, tentativa de golpe usando informação que só a empresa tinha.
Por isso a reunião de prova define o caso. Registre as tentativas de golpe recebidas, as ligações em que o interlocutor demonstrava conhecer dados seus, as contas e cobranças surgidas depois, e a data em que você tomou conhecimento do vazamento.
O nexo entre o vazamento e o prejuízo é o elemento decisivo. Demonstrar que a informação usada no golpe era exatamente aquela que a empresa guardava, e que você nunca a forneceu em outro lugar, é o que sustenta o pedido.
Golpe aplicado com os seus dados vazados
O uso mais comum dos dados vazados é o golpe em que o criminoso já sabe o seu nome completo, o banco onde você tem conta, os últimos dígitos do cartão e às vezes uma compra recente. É esse conhecimento que quebra a desconfiança.
Se houve transferência ou pagamento, o caminho começa no banco: Mecanismo Especial de Devolução do Pix, contestação da transação e registro formal da fraude. Depois vem a discussão sobre a responsabilidade da instituição, especialmente quando a operação foge do seu padrão de uso e nenhum bloqueio preventivo foi acionado.
Havendo conta, empréstimo ou cartão contratado em seu nome, o pedido é de declaração de inexistência do contrato, com baixa de qualquer negativação e devolução do que foi cobrado. Nesses casos, a fraude de terceiro não afasta a responsabilidade da instituição que contratou sem verificar adequadamente.
Guarde o histórico completo: gravação ou transcrição da abordagem, número usado, horário, e a informação que o criminoso demonstrou saber. É esse detalhe que liga o golpe ao vazamento e não a um chute genérico.
O lado da empresa: o que reduz o risco
Para quem está do outro lado, o custo de um incidente raramente é a multa: é a soma de investigação, comunicação, ações individuais e desgaste com clientes. A adequação prévia é mais barata que a resposta a um incidente.
O mínimo estruturante é conhecido: mapear quais dados a empresa coleta e por quê, definir a base legal de cada tratamento, limitar o acesso interno ao necessário, estabelecer prazo de descarte, formalizar contratos com fornecedores que tratam dados, e indicar o encarregado com canal de atendimento funcionando.
Também é preciso um plano de resposta a incidente escrito antes de precisar dele — quem decide, quem comunica, em quanto tempo. O prazo de três dias úteis não permite improviso.
Documentar cada etapa é o que permite demonstrar diligência. A empresa que comprova ter adotado medidas adequadas de segurança tem posição substancialmente melhor do que a que apenas afirma ter adotado.
Erros que enfraquecem o caso do titular
O primeiro é demorar. A prova digital desaparece, os registros de acesso têm prazo de guarda, e a memória do que exatamente aconteceu se desfaz. Registrar tudo na semana em que se descobre vale mais que qualquer providência tardia.
O segundo é aceitar acordo antes de saber a extensão do dano. Alguns vazamentos produzem efeito meses depois, quando os dados chegam a outro comprador. Quitação ampla assinada cedo pode fechar a porta para o prejuízo que ainda vai aparecer.
O terceiro é ajuizar sem demonstrar consequência concreta, apoiado apenas no fato do vazamento. Diante do entendimento atual, é o caminho mais provável para uma sentença desfavorável — e uma decisão negativa dificulta reabrir a discussão depois.
O quarto é ignorar a via administrativa. O pedido de acesso à empresa e o registro na ANPD custam pouco, produzem documento e frequentemente resolvem o problema sem processo algum.
Perguntas frequentes
Pelo pedido de acesso à empresa, por comunicação dela sobre o incidente, por consulta a serviços que verificam e-mails em vazamentos conhecidos, e pelos sinais indiretos — golpes em que o interlocutor sabe informações que só aquela empresa tinha.
Não. O entendimento atual é que o vazamento de dados comuns, sem consequência demonstrada, não gera dano moral automático. Com dado sensível envolvido ou prejuízo concreto — conta aberta, empréstimo, cobrança, golpe — a situação é outra.
O pedido de confirmação e acesso tem resposta imediata em formato simplificado, ou completa em até quinze dias. A comunicação de incidente à ANPD e aos titulares deve ocorrer em três dias úteis do conhecimento do fato.
Não diretamente. As sanções aplicadas pela ANPD não são revertidas ao titular. Mas a decisão que reconhece a falha vira prova útil, e a reparação individual segue por ação própria.
Pode pedir a eliminação dos dados tratados com base no seu consentimento. Dados que a empresa precisa manter por obrigação legal, ou para exercício de direito em processo, permanecem.
A reparação civil prescreve em três anos. Envolvendo relação de consumo, discute-se o prazo de cinco anos. Independentemente disso, a prova se deteriora rápido e a demora costuma custar mais que o prazo.
O pedido é de declaração de inexistência do contrato, baixa de qualquer negativação e devolução dos valores cobrados. A fraude praticada por terceiro não afasta a responsabilidade da instituição que contratou sem verificação adequada.
A LGPD alcança quem trata dados pessoais, independentemente do porte. Há tratamento simplificado para pequenos negócios em algumas obrigações, mas os deveres essenciais — base legal, segurança, atendimento ao titular — continuam valendo.
Dra. Silvania Santos
Responsável por Direito Digital — segunda a sexta, das 8h às 17h.
Continue lendo
- 01 Benefício do INSS negado: o que fazer depois do indeferimentoDireito Previdenciário Motivos comuns de indeferimento, prazo para recurso, diferença entre a via administrativa e a judicial e os documentos que sustentam o pedido.
- 02 CNIS com erro: por que conferir antes de pedir a aposentadoriaDireito Previdenciário O extrato que define tempo de contribuição e valor do benefício. Erros frequentes, como consultar no Meu INSS e o que corrigir antes do requerimento.
- 03 Divórcio consensual e litigioso: qual caminho serve para o seu casoDireito Cível Diferença entre as duas formas, quando cabe cartório, o que precisa ser decidido sobre filhos e bens e os documentos que agilizam o processo.
- 04 Usucapião: como regularizar o imóvel que não está no seu nomeDireito Cível Requisitos da posse, prazos por modalidade, provas que sustentam o pedido e a diferença entre a via judicial e a extrajudicial em cartório.
- 05 Golpe do Pix: o que fazer nas primeiras horas para tentar recuperar o valorDireito Bancário O Mecanismo Especial de Devolução, os prazos que correm contra você, as provas que sustentam a reclamação e quando cabe responsabilizar o banco.
- 06 Desconto de empréstimo que você não fez no benefício do INSSDireito Bancário Como identificar o desconto no extrato, bloquear novos empréstimos no Meu INSS, contestar formalmente e discutir a devolução dos valores.
- 07 Verbas rescisórias não pagas: prazos, multa e o que reunirDireito Trabalhista O prazo legal de pagamento, a multa por atraso, tudo o que compõe a rescisão e a documentação necessária para cobrar.
- 08 Horas extras não pagas: como comprovar e o que é devidoDireito Trabalhista Limite de jornada, percentual do adicional, reflexos nas outras verbas e as provas aceitas quando não existe registro de ponto.
- 09 Nome negativado por dívida que não é sua: como resolverDireito do Consumidor Consulta gratuita nos birôs, como contestar, prazo para baixa do registro e quando a negativação indevida gera direito a indenização.
- 10 Plano de saúde negou o procedimento: o que fazerDireito do Consumidor Como exigir a negativa por escrito, prazos máximos de atendimento, recusas consideradas abusivas e o caminho da liminar em casos urgentes.
- 11 Conta invadida no Instagram ou WhatsApp: o que fazer nas primeiras horasDireito Digital Passo a passo das primeiras horas, recuperação junto à plataforma, aviso aos contatos, prova a preservar e responsabilidade de quem falhou.
- 12 Execução fiscal: o que fazer ao ser citadoDireito Tributário Prazo de 5 dias, formas de defesa, risco de penhora e bloqueio, e as alternativas de negociação e parcelamento do débito.
- 13 Tributo pago a mais: como recuperar valores da sua empresaDireito Tributário Prazo de cinco anos, teses já consolidadas nos tribunais, diferença entre restituição e compensação e os documentos que a revisão exige.
- 14 Acordo de sócios: o documento que evita a briga futuraDireito Empresarial O que prever sobre saída de sócio, morte, empate na divisão 50/50, entrada de novos sócios e apuração de haveres.
- 15 Cliente não pagou: como cobrar e quais caminhos existemDireito Empresarial Diferença entre execução e ação monitória, prazos de prescrição por tipo de dívida, protesto e os limites legais da cobrança.
Ficou com dúvida sobre o seu caso?
Fale direto com Dra. Silvania Santos, responsável por direito digital.