--- title: "Toda empresa precisa avisar o titular quando os dados vazam?" description: "Saiba quando a lei obriga a empresa a comunicar o titular sobre incidente com seus dados e o que essa comunicação precisa conter." url: "https://wikijuridica.com.br/lgpd/empresa-obrigada-avisar-vazamento/" lang: "pt-BR" page_type: "pergunta" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:da6f563074a3f56b2d88366098eff365173c5175aca4eedfdf7cb49cfa09970d" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei 13.709/2018 (LGPD)" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-07-15" claim: "dever do controlador de comunicar incidente de segurança com risco ou dano relevante e conteúdo mínimo da comunicação (art. 48)" - name: "ANPD - Comunicado de Incidente de Segurança" url: "https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis" verified_at: "2026-07-14" claim: "prazo de três dias úteis fixado pela Resolução CD/ANPD nº 15/2024 e critério de risco ou dano relevante" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Toda empresa precisa avisar o titular quando os dados vazam? Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Quem descobre um vazamento por reportagem, e não por comunicado da própria empresa, costuma se perguntar se aquilo é normal. Não é sempre a regra: a lei obriga a comunicação em determinadas condições, e conhecer esse gatilho ajuda o titular a saber se tem algo a cobrar. ## O dever de comunicar existe quando há risco ou dano relevante O [art. 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art48) da [Lei 13.709/2018](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024, que regulamenta esse dever, fixa o prazo de três dias úteis, contados do conhecimento do incidente pelo controlador, para essa comunicação, ressalvado prazo diferente previsto em legislação específica do setor. ## Nem todo incidente exige aviso ao titular Incidentes considerados de baixo risco — por exemplo, exposição breve e já contida, sem indício de acesso indevido por terceiros — podem não atingir o patamar de risco relevante que dispara a obrigação de comunicação externa. Nesses casos, a empresa ainda precisa manter registro interno do ocorrido, mas a comunicação ao titular pode não ser exigida. ## O que o aviso, quando devido, precisa conter O § 1º do [art. 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art48) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) exige que a comunicação mencione, no mínimo, a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança adotadas para proteção dos dados e os riscos relacionados ao incidente. Comunicado vago, sem essas informações, não cumpre integralmente o que a lei exige. ## Se o incidente aconteceu num fornecedor, quem avisa? Quando o vazamento ocorre na infraestrutura de um operador contratado pela empresa com quem você se relaciona diretamente, o dever de comunicar ao titular continua sendo do controlador, e não do fornecedor. O operador tem a obrigação de informar o controlador assim que tomar conhecimento do incidente, para que o prazo de três dias úteis seja cumprido em relação a você, titular final. ## Perguntas frequentes ### Quem fiscaliza se a empresa cumpriu esse dever de comunicação? A ANPD é a autoridade responsável por apurar incidentes não comunicados e determinar a comunicação quando constatar a ocorrência. O titular também pode registrar reclamação diretamente aos canais da ANPD quando suspeitar que a empresa deveria ter avisado e não avisou. ## Proveniência - [Lei 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-07-15 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: dever do controlador de comunicar incidente de segurança com risco ou dano relevante e conteúdo mínimo da comunicação (art. 48) - [ANPD - Comunicado de Incidente de Segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — verificado em 2026-07-14 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: prazo de três dias úteis fixado pela Resolução CD/ANPD nº 15/2024 e critério de risco ou dano relevante --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Recebeu aviso de vazamento? O que o comunicado deve trazer](https://wikijuridica.com.br/lgpd/recebi-aviso-incidente-o-que-exigir/index.md) - [Incidente de baixo risco também precisa ser registrado?](https://wikijuridica.com.br/lgpd/registro-interno-incidentes/index.md) - [Como saber se seus dados já apareceram em vazamentos](https://wikijuridica.com.br/lgpd/saber-se-dados-vazaram/index.md) - [Vazamento no fornecedor: de quem é o dever de comunicar?](https://wikijuridica.com.br/lgpd/incidente-no-operador-quem-comunica/index.md) - [Comunicado de vazamento aos titulares: o que escrever](https://wikijuridica.com.br/lgpd/empresa-redigir-comunicado-vazamento-titulares/index.md) - [Cadastro no e-commerce: quais dados a loja pode exigir](https://wikijuridica.com.br/lgpd/dados-minimos-checkout-ecommerce/index.md) - [Encarregado (DPO): o canal entre empresa e titulares](https://wikijuridica.com.br/glossario/encarregado-dpo/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/empresa-obrigada-avisar-vazamento/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 48** — `urn:lex:br:federal:lei:2018-08-14;13709!art48` - [Vazamento de dados virou consignado no meu nome](https://wikijuridica.com.br/bancario/vazamento-dados-pessoais-usado-consignado-fraudulento/index.md) - [Conta invadida e plataforma não recupera acesso: passos e provas](https://wikijuridica.com.br/consumidor/conta-plataforma-invadida-nao-recupero-acesso/index.md) - [E-mail invadido: como retomar o controle e proteger contas](https://wikijuridica.com.br/digital/email-invadido-acesso-indevido/index.md) - [Caí em phishing: o que fazer com os dados vazados](https://wikijuridica.com.br/digital/phishing-link-falso-dados/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Toda empresa precisa avisar o titular quando os dados vazam?. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/empresa-obrigada-avisar-vazamento/ Versão do conteúdo: sha256:da6f563074a3f56b2d88366098eff365173c5175aca4eedfdf7cb49cfa09970d Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-empresa-obrigada-avisar-vazamento", "type": "webpage", "title": "Toda empresa precisa avisar o titular quando os dados vazam?", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/empresa-obrigada-avisar-vazamento/", "language": "pt-BR", "version": "sha256:da6f563074a3f56b2d88366098eff365173c5175aca4eedfdf7cb49cfa09970d", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: