Toda empresa precisa avisar o titular quando os dados vazam?
Quem descobre um vazamento por reportagem, e não por comunicado da própria empresa, costuma se perguntar se aquilo é normal. Não é sempre a regra: a lei obriga a comunicação em determinadas condições, e conhecer esse gatilho ajuda o titular a saber se tem algo a cobrar.
O dever de comunicar existe quando há risco ou dano relevante
O art. 48 da Lei 13.709/2018 obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024, que regulamenta esse dever, fixa o prazo de três dias úteis, contados do conhecimento do incidente pelo controlador, para essa comunicação, ressalvado prazo diferente previsto em legislação específica do setor.
Nem todo incidente exige aviso ao titular
Incidentes considerados de baixo risco — por exemplo, exposição breve e já contida, sem indício de acesso indevido por terceiros — podem não atingir o patamar de risco relevante que dispara a obrigação de comunicação externa. Nesses casos, a empresa ainda precisa manter registro interno do ocorrido, mas a comunicação ao titular pode não ser exigida.
O que o aviso, quando devido, precisa conter
O § 1º do art. 48 da LGPD exige que a comunicação mencione, no mínimo, a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança adotadas para proteção dos dados e os riscos relacionados ao incidente. Comunicado vago, sem essas informações, não cumpre integralmente o que a lei exige.
Se o incidente aconteceu num fornecedor, quem avisa?
Quando o vazamento ocorre na infraestrutura de um operador contratado pela empresa com quem você se relaciona diretamente, o dever de comunicar ao titular continua sendo do controlador, e não do fornecedor. O operador tem a obrigação de informar o controlador assim que tomar conhecimento do incidente, para que o prazo de três dias úteis seja cumprido em relação a você, titular final.
Perguntas frequentes
Quem fiscaliza se a empresa cumpriu esse dever de comunicação?
A ANPD é a autoridade responsável por apurar incidentes não comunicados e determinar a comunicação quando constatar a ocorrência. O titular também pode registrar reclamação diretamente aos canais da ANPD quando suspeitar que a empresa deveria ter avisado e não avisou.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
- O encarregado de dados (DPO) da própria empresa e, se não houver resposta, a ANPD pelos canais oficiais de petição.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.