Vazamento de dados: como a empresa deve agir?

Primeiras horas

Isole sistemas comprometidos sem destruir logs, troque credenciais, suspenda acessos e acione responsáveis técnicos, jurídicos e de gestão. Não espere certeza absoluta para iniciar a resposta.

Registre horários, decisões e pessoas envolvidas.

Avaliação de risco

Considere natureza dos dados, quantidade, facilidade de identificação, biometria, saúde, finanças, crianças, possibilidade de fraude e medidas de proteção.

A decisão de comunicar ou não deve ser justificada por escrito.

Comunicação clara

Titulares precisam receber informação objetiva sobre o que ocorreu, possíveis consequências, medidas adotadas e canais de apoio. Linguagem evasiva pode agravar a confiança.

Não se deve atribuir culpa antes da investigação ou minimizar fatos confirmados.

Relação com operadores

Fornecedor que identifica incidente deve avisar o controlador sem demora e fornecer dados para avaliação. Contratos devem prever prazos, evidências e cooperação.

Ter terceirizado o sistema não elimina a governança do controlador.

Depois da contenção

Corrija vulnerabilidade, redefina controles, treine equipe, revise fornecedores e acompanhe fraudes. O relatório pós-incidente deve registrar causa, alcance e melhorias.

A documentação demonstra responsabilidade e prestação de contas.

Como a análise jurídica deve ser construída

Uma avaliação segura de vazamento de dados como agir não pode partir apenas do título do problema. É necessário organizar a sequência dos acontecimentos, identificar todas as pessoas e instituições envolvidas e separar o que está comprovado do que ainda depende de confirmação. Na área de Digital e LGPD, costumam ter especial importância origem dos dados ou do conteúdo, logs, versões, cadeia de compartilhamento, papéis de controlador e operador e medidas de segurança.

Os documentos precisam ser lidos em conjunto. Logs, linha do tempo, relatório técnico, inventário de dados, contratos podem revelar datas, obrigações, contradições e providências já tentadas. Uma mensagem isolada ou um documento sem contexto raramente responde a todas as questões. A força da prova aumenta quando diferentes fontes confirmam a mesma cronologia.

Também é preciso comparar a versão da outra parte e antecipar as objeções mais prováveis. Isso permite formular pedidos proporcionais, evitar alegações que não podem ser demonstradas e distinguir uma irregularidade efetiva de uma situação apenas desagradável. O objetivo da análise não é prometer um resultado, mas identificar riscos, alternativas e a estratégia compatível com as provas disponíveis.

Cenários que podem mudar o resultado

Casos aparentemente semelhantes podem terminar de forma diferente. O resultado depende da combinação entre regra jurídica, prova e comportamento das partes. Entre os pontos que merecem conferência estão:

• A data e a forma como ocorreu primeiras horas podem alterar a regra aplicável.
• A data e a forma como ocorreu avaliação de risco podem alterar a regra aplicável.
• A data e a forma como ocorreu comunicação clara podem alterar a regra aplicável.
• A data e a forma como ocorreu relação com operadores podem alterar a regra aplicável.
• A existência de acordo, aviso prévio ou tentativa documentada de solução pode influenciar a avaliação.
• Fatos novos posteriores ao primeiro pedido ou à primeira notificação podem exigir mudança de estratégia.

Também devem ser verificados pagamentos, benefícios já recebidos, medidas adotadas para reduzir o prejuízo e eventual contribuição da própria parte para o agravamento. Essa conferência evita pedidos duplicados e ajuda a calcular corretamente valores, períodos e responsabilidades.

Caminhos extrajudiciais, administrativos e judiciais

A resposta pode combinar preservação técnica, notificação, canal da plataforma, comunicação regulatória, revisão contratual e ação judicial. Em ambiente digital, remover o conteúdo sem guardar os registros pode dificultar a identificação do responsável e a prova do alcance.

Uma comunicação extrajudicial eficiente deve ser objetiva, indicar o fato, a prova disponível, a providência solicitada e um prazo razoável. Ela não precisa conter ameaças ou extensa argumentação. Sua função é registrar a controvérsia, permitir resposta e demonstrar que houve tentativa de solução.

Quando o processo se torna necessário, a petição deve relacionar cada pedido a um fato e a uma prova. Tutela de urgência, indenização, cancelamento, obrigação de fazer, prestação de contas ou reconhecimento de direito possuem requisitos distintos. Pedir todas as medidas possíveis sem demonstrar sua necessidade pode enfraquecer a apresentação do caso.

Prazos, urgência e organização antes de decidir

Fraude ativa, exposição de dados sensíveis, deepfake, clonagem de voz e acesso indevido exigem contenção imediata. A rapidez deve ser acompanhada de registro das decisões, para que a organização demonstre o que sabia e quais medidas adotou.

Os prazos variam conforme a natureza do direito, a data em que o problema foi conhecido, o tipo de procedimento e a existência de decisão anterior. Por isso, não é recomendável aguardar o último momento. Com o passar do tempo, arquivos podem ser apagados, testemunhas podem se afastar e registros eletrônicos podem deixar de estar disponíveis.

Uma organização inicial pode seguir esta sequência: Ativar plano de resposta.; Conter sem apagar evidências.; Classificar dados e titulares.; Avaliar risco e prazo de comunicação.. Paralelamente, evite condutas como desligar tudo sem preservar prova, demorar para envolver responsáveis, ocultar incidente relevante, enviar mensagem genérica, porque elas podem dificultar a prova ou criar responsabilidade adicional. A decisão entre negociar, recorrer ou ajuizar deve ser tomada depois de estimar benefícios, custos, tempo e risco.

Documentos e provas que podem ser relevantes

• logs
• linha do tempo
• relatório técnico
• inventário de dados
• contratos
• decisão de comunicação
• mensagens a titulares
• plano corretivo

Erros comuns que podem prejudicar o caso

• desligar tudo sem preservar prova
• demorar para envolver responsáveis
• ocultar incidente relevante
• enviar mensagem genérica
• atribuir toda responsabilidade ao fornecedor

Perguntas frequentes