Seus dados pessoais vazaram: o que fazer a partir de agora
Um e-mail de aviso, uma reportagem sobre a empresa ou um golpe recebido logo depois de um cadastro são os três jeitos mais comuns de alguém descobrir que seus dados vazaram. Nos três casos, a primeira reação costuma ser a mesma: raiva e a sensação de que não há nada a fazer além de esperar. Existe, sim, um roteiro. A Lei Geral de Proteção de Dados criou obrigações concretas para quem trata seus dados e direitos que você pode exercer sozinho antes mesmo de pensar em ação judicial. Este guia segue essa ordem: preservar o que aconteceu, cobrar informação do controlador e só depois avaliar se cabe reparação.
Preserve provas antes de fazer qualquer reclamação
Antes de mandar e-mail ou ligar para a empresa, salve tudo que comprova o incidente: prints do aviso recebido, data e hora em que percebeu o problema, mensagens de golpe ou cobrança indevida que vieram depois, e o extrato de qualquer prejuízo financeiro associado. Esse material vira a base tanto de uma reclamação administrativa quanto de uma eventual ação.
Se o vazamento veio à tona por notícia e não por aviso direto da empresa, guarde a reportagem e a data de publicação. Isso ajuda a demonstrar quando você tomou conhecimento do fato, o que importa para contar prazos mais à frente.
O direito de pedir explicações ao controlador (art. 18 da LGPD)
O art. 18 da Lei 13.709/2018 garante ao titular o direito de exigir do controlador, a qualquer momento, confirmação de que o tratamento existe, acesso aos dados envolvidos e informação sobre com quem eles foram compartilhados. Use esse direito de forma objetiva: peça por escrito, com protocolo, que a empresa confirme se seus dados constam do incidente relatado e quais categorias foram afetadas.
A resposta formal do controlador, ou o silêncio dele diante de um pedido documentado, vira parte do conjunto de provas. Empresa que se recusa a responder um pedido de acesso já comete uma infração autônoma à LGPD, independente do vazamento em si.
Quando cabe indenização e o que muda o valor
O art. 42 da LGPD responsabiliza o controlador pelo dano causado ao titular sempre que o tratamento de dados violar a legislação de proteção de dados, impondo o dever de repará-lo. Na prática, isso não significa que todo vazamento gera indenização automática: o tipo de dado exposto, a existência de prejuízo concreto e a conduta da empresa depois do incidente pesam na análise.
Vazamento de CPF e nome sozinho tende a ser tratado de forma distinta de vazamento com dado sensível, como saúde ou biometria, ou de um caso em que o vazamento resultou em fraude documentada contra você. Reunir essas circunstâncias é o que torna o caso concreto, e não apenas uma alegação genérica de exposição.
Caminho administrativo e caminho judicial
Antes da ação, vale registrar reclamação formal junto à própria empresa e, se o atendimento não resolver, levar o caso à ANPD ou ao Procon, conforme o setor envolvido. Esses canais não substituem a Justiça, mas produzem documentação e, em alguns casos, resultam em correção rápida.
Se a resposta administrativa não for suficiente, a via judicial cabível costuma ser o Juizado Especial Cível para valores até 40 salários mínimos, sem necessidade de advogado até 20 salários mínimos, ou a Justiça Comum para casos mais complexos, com produção de prova pericial sobre a falha de segurança.
O que reduz a chance de indenização no vazamento comum
Nem todo vazamento vira condenação. Se a empresa demonstrar que adotou as medidas de segurança exigidas pelo art. 46 da LGPD e que o incidente decorreu de ataque sofisticado e imprevisível, o argumento de responsabilidade enfraquece. Também pesa contra o pedido a ausência de qualquer prejuízo concreto além do desconforto de saber que os dados circularam.
Um exemplo hipotético ajuda a situar isso: alguém descobre, por notícia, que uma rede de varejo sofreu invasão e que seu CPF constava da base, mas não recebe nenhuma tentativa de golpe, nem consegue apontar prejuízo. Esse caso tende a ser mais frágil do que o de quem recebeu cobranças em nome próprio logo após o incidente.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.