Se seus dados pessoais vazaram, a LGPD obriga a empresa a comunicar o incidente a você e à ANPD sempre que houver risco relevante, e garante oito direitos exigíveis por escrito, sem processo e sem custo — entre eles acesso, correção e eliminação. A denúncia à ANPD é gratuita e sem advogado, mas serve para sancionar a empresa: indenização é assunto do Judiciário e depende de demonstrar o prejuízo.
- O artigo 48 da LGPD obriga a comunicação do incidente à ANPD e ao titular quando houver risco ou dano relevante.
- Não ter recebido comunicação da empresa já é, em si, uma irregularidade que pode ser denunciada.
- O artigo 18 lista os direitos exigíveis a qualquer momento, independentemente de ter havido vazamento.
- A ANPD fiscaliza e sanciona, mas não paga indenização ao titular.
- Guardar prova do dano é o que separa um aborrecimento de um caso com chance de reparação.
Você recebe uma mensagem estranha com seu nome completo e CPF corretos. Ou descobre pela imprensa que uma empresa onde você comprou algo teve o banco de dados exposto. A primeira reação costuma ser a mesma: um mal-estar, seguido da sensação de que não há nada a fazer.
Há. Desde 2018 o Brasil tem uma lei específica sobre isso, e ela não é decorativa: cria obrigações para quem guarda seus dados e direitos que você pode exercer a qualquer momento, sem advogado e sem processo. Este texto explica quais são esses direitos, o que a empresa é obrigada a fazer quando vaza um banco de dados e como registrar uma denúncia no órgão federal responsável.
O que a lei chama de vazamento
A Lei Geral de Proteção de Dados — a Lei nº 13.709/2018, conhecida como LGPD — usa a expressão incidente de segurança. É um termo mais amplo do que o vazamento que costumamos imaginar.
Cabem aí três situações diferentes: o acesso indevido, quando alguém entra onde não deveria; a divulgação acidental, quando a própria empresa expõe os dados por descuido, como uma planilha deixada aberta na internet; e a perda, quando a informação simplesmente some. Em todos os casos, a lei olha para o mesmo ponto: houve risco relevante para as pessoas cujos dados estavam ali?
Essa distinção importa porque define a obrigação da empresa. Nem todo incidente precisa ser comunicado — mas todo incidente com risco ou dano relevante precisa.
A empresa é obrigada a avisar você
Este é o ponto que mais surpreende quem lê a lei pela primeira vez. O artigo 48 da LGPD é direto:
“O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.”
Repare em duas coisas. A comunicação é dupla: vai para a ANPD, o órgão federal que fiscaliza, e para você. E o verbo é “deverá” — não é uma cortesia da empresa, é uma obrigação legal.
A lei manda ainda que essa comunicação seja feita em prazo razoável e diga, no mínimo, quais dados foram afetados, quem são as pessoas envolvidas, quais medidas de segurança existiam, quais os riscos e o que a empresa está fazendo para reverter o problema.
Se você soube do vazamento pelo jornal e nunca recebeu comunicação da empresa, isso por si só já é um descumprimento que pode ser levado à ANPD.
Os direitos que você pode exigir
O artigo 18 da LGPD lista o que o titular dos dados — você — pode pedir a qualquer empresa que trate suas informações. A lei é expressa: esses direitos valem a qualquer momento e mediante requisição, e não dependem de ter havido vazamento.
- Confirmação de que existe tratamento — saber se a empresa tem dados seus.
- Acesso aos dados — saber exatamente quais são.
- Correção de dados incompletos, inexatos ou desatualizados.
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados fora do que a lei permite.
- Portabilidade para outro fornecedor de serviço ou produto.
- Eliminação dos dados tratados com base no seu consentimento.
- Informação sobre com quem a empresa compartilhou seus dados.
- Revogação do consentimento que você havia dado.
Na prática, os mais úteis depois de um vazamento são o acesso — para entender a extensão do que estava armazenado — e a eliminação, para que o problema não se repita com a mesma base.
Passo a passo depois de descobrir o vazamento
A ordem abaixo importa: cada etapa produz a prova que sustenta a seguinte.
1. Registre o que você viu
Antes de qualquer coisa, guarde evidência. Print da notícia, da mensagem suspeita, do e-mail que a empresa mandou. Se houve cobrança indevida ou conta aberta em seu nome, guarde o comprovante. Sem registro, a reclamação vira sua palavra contra a da empresa.
2. Procure a empresa formalmente
Toda empresa que trata dados em volume relevante deve ter um encarregado de proteção de dados — o DPO — e divulgar um canal de contato, normalmente na política de privacidade do site. Escreva por esse canal, por escrito, pedindo o que o artigo 18 lhe garante: confirmação, acesso e, se for o caso, eliminação.
3. Proteja o que ainda dá para proteger
Troque senhas reutilizadas, ative a verificação em duas etapas nas contas importantes e acompanhe seu CPF nos serviços de consulta de crédito. Vazamento de dados costuma ser o primeiro passo de uma tentativa de fraude, não o último.
4. Leve à ANPD se a empresa não responder
A Autoridade Nacional de Proteção de Dados mantém um canal específico para o cidadão. A denúncia é gratuita e não exige advogado.
Como registrar a denúncia na ANPD
A ANPD disponibiliza a área de atendimento ao cidadão titular de dados, onde ficam as orientações e o caminho para registrar a petição. Há também uma página dedicada a incidentes de segurança, que é onde as próprias empresas fazem a comunicação prevista no artigo 48.
Vale entender o que a ANPD faz e o que ela não faz. Ela fiscaliza, orienta e pode aplicar sanções à empresa — advertência, multa, bloqueio e até eliminação dos dados. O que ela não faz é lhe pagar indenização. Reparação individual é assunto do Judiciário.
Cabe indenização?
Aqui é preciso ser honesto, porque a internet está cheia de promessa fácil sobre isso.
O vazamento em si não gera automaticamente direito a uma quantia em dinheiro. A discussão nos tribunais gira em torno de uma distinção: uma coisa é a exposição de dados cadastrais comuns, como nome e telefone; outra, bem diferente, é a exposição de dados sensíveis — saúde, biometria, convicção religiosa, opinião política, vida sexual — ou a ocorrência de um dano concreto, como uma fraude financeira feita a partir daquele vazamento.
No primeiro caso, a tendência tem sido exigir que a pessoa demonstre o prejuízo sofrido. No segundo, a situação muda de figura. Por isso a etapa 1 do passo a passo é guardar prova: é ela que separa um aborrecimento de um dano demonstrável.
Se houve prejuízo financeiro, negativação indevida ou uso dos seus dados para abrir conta ou contratar crédito, vale procurar um advogado para avaliar o caso concreto. Se quiser entender melhor o terreno, escrevemos sobre o que caracteriza dano moral e como ele é calculado.
O que fica
Três ideias práticas. A empresa tem obrigação legal de comunicar o vazamento a você e à ANPD, e o silêncio dela já é uma irregularidade. Você tem oito direitos exigíveis por escrito, sem processo e sem custo. E a denúncia à ANPD é gratuita, mas serve para punir a empresa, não para indenizar você — o que não impede que as duas coisas caminhem juntas.
Perguntas frequentes
A empresa é obrigada a me avisar que meus dados vazaram?
Sim, quando o incidente puder acarretar risco ou dano relevante. O artigo 48 da LGPD determina que o controlador comunique tanto a ANPD quanto o titular dos dados, em prazo razoável, informando quais dados foram afetados, os riscos envolvidos e as medidas adotadas.
Preciso de advogado para reclamar na ANPD?
Não. A denúncia no canal do cidadão titular de dados é gratuita e pode ser feita diretamente por você. Advogado passa a ser recomendável quando o objetivo é buscar indenização, que é assunto do Judiciário e não da ANPD.
Todo vazamento de dados dá direito a indenização?
Não automaticamente. A discussão judicial distingue a exposição de dados cadastrais comuns, em que se costuma exigir demonstração do prejuízo, da exposição de dados sensíveis ou da ocorrência de dano concreto, como uma fraude financeira. Por isso guardar provas é decisivo.
Posso exigir que a empresa apague meus dados?
O artigo 18 da LGPD garante a eliminação dos dados tratados com base no seu consentimento, e também a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei. Nem todo dado pode ser apagado: alguns a empresa é obrigada a manter por outras leis, como as fiscais.
Quanto tempo a empresa tem para comunicar o incidente?
A LGPD fala em prazo razoável, conforme definido pela autoridade nacional. Na dúvida sobre o prazo aplicável ao seu caso, a página de incidente de segurança da ANPD é a referência oficial.