Vazamento de dados pessoais: o que exigir da empresa e quando há indenização?

Uma empresa avisa que sofreu ataque e que dados de seus clientes podem ter sido expostos. A comunicação genérica deixa perguntas: quais informações saíram, alguém teve acesso, foram usados para fraude e quais medidas foram tomadas? A ocorrência de incidente de segurança, a obrigação de comunicar e a indenização individual são questões distintas. Tratá-las como equivalentes prejudica tanto a proteção do titular quanto a análise da responsabilidade.

O controlador deve avisar todos os titulares?

O art. 48 da LGPD exige comunicação à ANPD e ao titular quando o incidente de segurança possa acarretar risco ou dano relevante. A regulamentação da ANPD, especialmente a Resolução CD/ANPD nº 15/2024, detalha critérios, conteúdo e prazo, em regra de três dias úteis para a comunicação inicial quando presentes os requisitos, ressalvadas hipóteses regulamentares. A empresa deve investigar o incidente, conter acessos indevidos, avaliar a natureza dos dados e registrar as medidas adotadas. Um evento técnico sem acesso a dados pessoais pode ter tratamento diferente de um banco de dados copiado e publicado.

O titular pode pedir informação clara sobre categorias de dados afetados, período, medidas de contenção, riscos identificados e canal de contato. O direito de acesso e outros direitos do art. 18 da LGPD não dão acesso irrestrito a segredos comerciais ou dados de terceiros. Se a empresa não responde, o protocolo e a negativa documentada ajudam em reclamação à ANPD ou ação judicial. A falta de comunicação, quando obrigatória, é fato a ser examinado de forma independente do montante do dano.

Há diferença relevante entre dados cadastrais comuns, credenciais de login, documentos de identidade, informações financeiras e dados sensíveis. A combinação de dados pode elevar o risco mesmo que cada elemento isolado pareça banal. É preciso verificar se a senha foi comprometida, se estava protegida adequadamente, se havia autenticação adicional e se a empresa revogou tokens e sessões. Esse diagnóstico orienta tanto a resposta técnica quanto a prova jurídica.

Todo vazamento gera dano moral presumido?

Não existe regra geral que converta qualquer incidente em indenização automática. O art. 42 da LGPD relaciona tratamento em violação à legislação, dano e dever de reparar; o art. 43 prevê hipóteses de exclusão, cuja incidência depende da prova. A jurisprudência do STJ diferencia natureza do dado, exposição efetiva e circunstâncias concretas. Uma simples notícia de acesso potencial sem repercussão demonstrada tem quadro probatório distinto de fraude subsequente, divulgação pública de dados íntimos ou uso reiterado de identidade.

Para apurar o prejuízo, organize linha do tempo entre o incidente, a primeira comunicação, tentativas de login não reconhecidas, abertura de contas, cobranças e gastos para conter a fraude. A coincidência temporal é indício, mas não prova, sozinha, que determinado ataque causou um golpe. Podem ser necessários dados técnicos sobre origem dos registros usados pelo fraudador. Se a empresa oferece monitoramento ou reparação, guarde os termos dessa oferta sem presumir quitação ampla.

O CDC pode incidir quando houver relação de consumo e defeito do serviço; a LGPD e o CDC não se excluem automaticamente. É necessário identificar quem era controlador, quem operava os dados por instrução e quem efetivamente adotou ou deixou de adotar medida exigível. Contratos internos de terceirização não impedem o titular de exercer direitos legais. A responsabilidade solidária na LGPD segue hipóteses específicas, não decorre apenas de dois nomes aparecerem no contrato.

Como reduzir risco e preservar o direito de ação?

Troque senhas afetadas e reutilizadas, habilite autenticação adicional, monitore comunicações bancárias, conteste operações não reconhecidas e registre protocolos. Mensagens recebidas depois do incidente devem ser preservadas, com remetente, link e horário, sem acessar páginas suspeitas. Não há razão para divulgar número de documento ou uma captura de vazamento nas redes para “provar” que ocorreu; isso pode ampliar a exposição.

Se há indícios de venda de dados em fóruns, a prova deve ser colhida sem adquirir material ilícito nem redistribuir informações de terceiros. Uma tutela urgente pode pedir cessação de divulgação, contenção de acesso e preservação de registros. A ANPD recebe comunicações e pode investigar a conformidade administrativa, mas não substitui o pedido individual de reparação em juízo. O titular pode acompanhar ambos conforme o objetivo de cada procedimento.

No cálculo da pretensão, separe dano patrimonial comprovado, tempo e gastos necessários à resposta, eventual dano extrapatrimonial e medidas de cessação. Essa separação permite discutir responsabilidade com base em conduta e consequência, em vez de prometer indenização padronizada a todos os integrantes de uma base comprometida.

O comunicado da empresa pode ser insuficiente

Expressões como “detectamos atividade incomum” não explicam, por si, se houve acesso não autorizado a dados pessoais. O titular pode solicitar esclarecimentos sobre sistemas envolvidos, categorias atingidas e medidas de proteção. A empresa, por sua vez, pode ainda estar investigando a extensão da exposição; a comunicação inicial e complementações posteriores precisam ser lidas em conjunto. A ausência de certeza técnica no primeiro dia não autoriza afirmar que todos os dados foram vendidos nem justificar silêncio indefinido.

Se a pessoa identifica crédito contratado em seu nome, deve contestar a operação específica e pedir documento de contratação, autenticação, registros e destino do dinheiro. A demanda contra o banco tem fundamento próprio em segurança da operação; o vazamento anterior pode ser um elemento da cronologia, não prova automática do nexo. Se o dado exposto era e-mail, a fraude posterior pode ter usado fonte diferente. A prova técnica sobre origem é relevante para atribuir reparação à empresa certa.

Também cabe distinguir incidente individual de risco coletivo. A ANPD pode examinar comunicação, segurança e deveres administrativos, enquanto o titular busca cessação de uso ou reparação particular. Uma ação coletiva pode tratar de falha sistêmica e proteção de grupo; a liquidação de danos individuais demanda elementos próprios. A natureza sensível de dados de saúde, biometria ou crianças pesa na análise do risco e das providências urgentes.

Na comunicação com o controlador, evite enviar mais dados do que os necessários para confirmar identidade e localizar cadastro. Se o canal de atendimento pedir fotografia de documento por e-mail não seguro, solicite alternativa protegida e documente. A resposta a um incidente não deve criar outro vetor de exposição.

Um relatório técnico pode indicar que uma base foi acessada, mas não que cada registro nela foi extraído. Outro pode confirmar extração sem identificar quem recebeu os dados depois. Ao formular pedido de reparação, distinga esses níveis de certeza. A transparência sobre limitações da investigação é parte de uma resposta responsável; prometer “nenhum impacto” sem evidência também pode ser problemático. Se a empresa não disponibiliza informação bastante, a exibição de documentos sob sigilo judicial pode equilibrar proteção de sistemas e direito de prova. O juiz pode delimitar categorias, período e acesso por perito, sem publicar arquitetura de segurança ou dados de outros clientes. A medida deve visar fatos relevantes ao incidente, não auditoria irrestrita de toda a empresa.

Notas e referências

1. BRASIL. LGPD, arts. 18, 42, 43, 44, 46 e 48. 2. ANPD. Resolução CD/ANPD nº 15/2024 e orientações sobre comunicação de incidentes. 3. BRASIL. Código de Defesa do Consumidor, arts. 6º e 14. 4. BRASIL. Código de Processo Civil, arts. 300, 373, 381 e 497.