Seus dados circulam, mas a empresa afirma que não houve incidente

Monte uma linha do tempo antes de apontar a origem

Registre quando e onde cada informação foi entregue, quem tinha acesso legítimo e quando surgiu o uso suspeito. Preserve mensagem original, cabeçalhos de e-mail, número chamador, endereço da página, boletim e prova de transação. Anote quais detalhes eram exclusivos: valor exato, produto, protocolo ou trecho de conversa têm força diferente de nome e CPF amplamente circulados.

Não interaja com criminoso para obter confissão nem instale aplicativo de investigação. Guarde evidência em formato original e entregue cópia minimizada pelos canais oficiais. Se houver fraude em andamento, avise imediatamente banco, plataforma e polícia, sem esperar a conclusão de uma apuração de LGPD.

O controlador deve investigar, não apenas negar por ausência de alarme

Os arts. 46 a 49 exigem medidas técnicas e administrativas e sistemas estruturados para segurança. A Resolução CD/ANPD 15/2024 disciplina registro e comunicação de incidentes. Uma empresa pode concluir legitimamente que o evento não ocorreu em seus sistemas, mas precisa basear a conclusão em análise compatível com os indícios, e não apenas dizer que “não encontrou vazamento divulgado”.

Envie protocolo com datas, categorias e vínculo com o serviço. Pergunte se houve incidente conhecido, quais agentes receberam os dados e se seu relato foi encaminhado à equipe responsável. Não exija relatório de vulnerabilidade completo; peça uma resposta que enfrente os fatos pessoais apresentados.

Peça que a análise alcance fornecedores relevantes, como hospedagem, atendimento, logística e disparo de mensagens. A ausência de invasão no servidor principal não exclui erro de configuração, credencial comprometida ou exposição por operador. O controlador continua responsável por coordenar a apuração do fluxo que decidiu utilizar, ainda que outro agente execute parte técnica.

Comunicação depende de risco relevante

O art. 48 não obriga comunicar todo evento indistintamente. O controlador comunica à ANPD e ao titular quando o incidente puder acarretar risco ou dano relevante, considerando dados, contexto, titulares afetados e medidas de proteção. A ausência de comunicado público, portanto, não prova que nada aconteceu; também não prova ocultação.

A organização deve manter registro mesmo dos incidentes não comunicados pelo período regulatório. Na petição, destaque por que o risco parece relevante: dado sensível, autenticação, financeiro, grande escala, grupo vulnerável ou possibilidade de fraude.

Petição à ANPD e reparação têm provas diferentes

Se a resposta permanecer evasiva, apresente à ANPD o requerimento prévio e os indícios preservados. A Autoridade pode fiscalizar o cumprimento, mas a petição não substitui bloqueio bancário, reclamação criminal ou ação individual. Em consumo, Procon e consumidor.gov.br podem cobrar informação e segurança do serviço.

Para indenização, os arts. 42 e 43 exigem dano e nexo com violação. Um advogado particular pode comparar digitalmente os registros de todas as empresas envolvidas e avaliar produção de prova; não deve prometer descobrir a origem apenas porque o golpista conhecia um dado.

Exemplo de indício forte, ainda não conclusivo

Horas depois de uma compra, o consumidor recebe mensagem que reproduz produto, preço, endereço parcial e código interno exibido apenas no pedido. Esse conjunto justifica apuração dirigida pela loja e plataforma. Ainda assim, transportadora ou conta de e-mail comprometida podem ser a origem. A resposta responsável preserva logs dos agentes, confronta horários e evita anunciar culpado antes da evidência.

Revise também suas próprias credenciais: troque senhas reutilizadas, ative autenticação em dois fatores e encerre sessões desconhecidas. Essas providências reduzem dano, mas não equivalem a admitir culpa pelo incidente. Registre a data das mudanças para mostrar mitigação. Se a empresa sugerir que toda circulação veio do titular, peça os elementos concretos dessa conclusão; uma hipótese alternativa precisa ser testada, não apenas mencionada. O cuidado com as próprias contas deve ocorrer em paralelo à cobrança de explicações de cada agente envolvido. Esse método reduz acusações precipitadas e melhora a utilidade dos registros técnicos obtidos depois.