Edmée Capovilla Froz, advogada e encarregada de dados
Sua empresa sofreu um vazamento de dados. E agora?
O cenário é mais comum, e mais grave, do que muitos empresários imaginam.
Um acesso indevido, um e-mail comprometido, um sistema vulnerável. Em poucas horas, dados de clientes podem estar expostos, sendo utilizados em fraudes, golpes ou até revendidos.
A questão não é apenas técnica. É jurídica, reputacional e financeira.
E o que a maioria das empresas ainda não compreende é:
as primeiras 24 horas após o vazamento são decisivas para reduzir riscos e responsabilidades.
O que caracteriza um vazamento de dados?
De forma objetiva, ocorre vazamento quando há:
- acesso não autorizado a dados pessoais
- perda, destruição ou alteração indevida de informações
- divulgação acidental ou ilícita
Nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD), trata-se de um incidente de segurança com dados pessoais.
Isso inclui desde ataques hackers até erros internos, como envio de informações para destinatário errado.
Por que as primeiras 24 horas são críticas?
Porque é nesse período que a empresa:
- define a dimensão do incidente
- evita a propagação do dano
- organiza provas e registros
- toma decisões que impactam diretamente sua responsabilidade
Uma resposta inadequada pode resultar em:
- sanções administrativas
- ações judiciais de indenização
- perda de confiança de clientes
- danos à imagem da empresa
Passo a passo: o que fazer nas primeiras 24 horas
1. Conter o incidente imediatamente
O primeiro movimento deve ser técnico:
- bloquear acessos comprometidos
- suspender sistemas afetados, se necessário
- alterar credenciais e senhas
- isolar a origem do problema
Aqui, o erro mais comum é tentar “resolver internamente” sem registro formal, o que fragiliza a defesa futura.
2. Identificar quais dados foram afetados
Nem todo vazamento tem o mesmo impacto.
É essencial verificar:
- quais tipos de dados foram expostos (simples ou sensíveis)
- quantidade de titulares afetados
- possibilidade de identificação dos titulares
- risco de fraude ou discriminação
Esse diagnóstico influencia diretamente na necessidade de comunicação às autoridades e aos titulares.
3. Registrar o incidente (prova é essencial)
Toda ação deve ser documentada:
- data e hora do ocorrido
- forma de detecção
- medidas adotadas
- equipes envolvidas
Esse registro será fundamental para demonstrar boa-fé e diligência, caso haja fiscalização ou processo judicial.
4. Avaliar a necessidade de comunicação à ANPD
A Agência Nacional de Proteção de Dados exige comunicação quando o incidente pode gerar:
- risco relevante aos titulares
- danos significativos
A análise deve considerar:
- natureza dos dados
- facilidade de identificação
- consequências potenciais
A omissão pode agravar penalidades.
5. Definir se os titulares devem ser comunicados
Em determinados casos, a empresa deve informar diretamente os titulares dos dados.
Essa comunicação deve ser:
- clara
- transparente
- orientativa
Não se trata apenas de informar, mas de mitigar danos.
6. Avaliar riscos jurídicos e responsabilidade civil
O vazamento pode gerar:
- indenizações por danos morais e materiais
- responsabilização objetiva ou subjetiva (a depender do caso)
- atuação de órgãos reguladores
A análise jurídica deve considerar:
- existência de medidas preventivas
- nível de segurança adotado
- conduta da empresa após o incidente
7. Revisar falhas e evitar novos incidentes
Após o controle inicial, é indispensável:
- identificar a causa raiz
- revisar políticas internas
- reavaliar contratos com fornecedores
- implementar medidas de segurança da informação
Empresas que sofrem um incidente e não corrigem falhas tendem a sofrer novos — com consequências mais graves.
O erro mais comum das empresas
A maioria das empresas acredita que o problema é apenas tecnológico.
Mas, na prática, o maior risco está na ausência de estrutura jurídica e de governança.
Sem isso, a empresa:
- não sabe como reagir
- não consegue comprovar diligência
- amplia sua exposição a sanções
Como prevenir (antes que o problema aconteça)
A prevenção passa por:
- programa de governança em proteção de dados
- políticas internas claras
- treinamento de colaboradores
- gestão de riscos
- plano de resposta a incidentes
Empresas que estruturam esses elementos não apenas reduzem riscos — mas também fortalecem sua posição no mercado.
Conclusão
O vazamento de dados não é mais uma hipótese distante.
É um risco concreto, crescente e inevitável em muitos setores.
A diferença entre um incidente controlado e uma crise jurídica está na forma como a empresa reage — especialmente nas primeiras horas.
Não se trata apenas de evitar multas, mas de proteger a própria continuidade do negócio.
Palavras-chave
vazamento de dados, LGPD empresas, incidente de segurança, proteção de dados, ANPD, responsabilidade civil dados, ataque hacker empresa, segurança da informação
