Como redigir e enviar o comunicado de vazamento de dados aos clientes

O conteúdo mínimo que o art. 48 impõe ao aviso

Quando o incidente puder acarretar risco ou dano relevante, é o art. 48 da LGPD que obriga o controlador a comunicar a autoridade e o titular. O §1º desse artigo lista o que a comunicação precisa mencionar, no mínimo: a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas de segurança adotadas (respeitados segredo comercial e industrial), os riscos ligados ao incidente, os motivos da demora quando o aviso não foi imediato e as providências já tomadas ou programadas para reverter ou mitigar o prejuízo.

Esse rol é piso, não teto. Um comunicado que diz apenas "houve um acesso indevido a parte de nossos sistemas" não cumpre nenhum dos seis itens e tende a ser lido como tentativa de reduzir o problema.

Quanto ao prazo, o próprio §1º remete a definição à autoridade nacional, que a fixou em regulamento próprio sobre comunicação de incidentes. Antes de calcular a contagem interna, confirme o prazo em vigor na regulamentação da ANPD, porque ele já mudou desde a edição da lei.

Como transformar a lista legal em texto que a pessoa entende

Escreva em blocos curtos e na ordem em que o leitor pensa. Primeiro o que aconteceu e quando. Depois, qual dado dele especificamente foi exposto — nome e e-mail é uma coisa, número de cartão e documento de identidade é outra, e misturar as duas hipóteses num aviso único gera pânico desnecessário em metade da base e desconfiança na outra metade.

Em seguida, o risco concreto: se vazaram e-mail e telefone, o risco imediato é golpe por mensagem se passando pela empresa; diga isso com todas as letras e avise que a empresa não vai pedir senha nem código por telefone. Por fim, o que a empresa fez (bloqueio do acesso, troca de credenciais, comunicação à ANPD, registro policial quando houver) e o canal para dúvidas, que deve ser atendido por gente e não por formulário sem resposta.

Evite três coisas: adjetivo que minimiza ("pequeno incidente"), promessa que você não controla ("nenhum dado será usado") e juridiquês. O aviso é informativo, não é peça de defesa.

Escolher o canal e guardar a prova de que o aviso saiu

O canal deve ser aquele pelo qual a empresa normalmente fala com aquele titular: e-mail cadastrado, aplicativo, mensagem, correspondência. Quando parte da base não tem contato válido, ou quando a extensão do incidente é ampla, entra a divulgação pública em site e imprensa — providência que a autoridade também pode determinar, conforme o art. 48, §2º.

Guarde, desde o primeiro envio: o texto exato de cada versão do comunicado, a lista de destinatários por lote, os registros de entrega e falha do disparo, a data e a hora de publicação no site e o protocolo da comunicação à ANPD. Meses depois, em uma ação individual, a discussão raramente é se a empresa avisou — é quando avisou e o que exatamente disse. Sem esse acervo, a empresa discute de memória contra um print do titular.

Um cenário: a loja virtual que descobriu o acesso pelo suporte

Uma loja on-line percebe, por reclamações de clientes recebendo mensagens de cobrança falsas, que a base de pedidos foi copiada. Vazaram nome, e-mail, telefone e endereço de entrega — nada de cartão, porque o pagamento roda em um provedor externo.

O comunicado correto aqui não fala em "dados sigilosos". Ele diz que endereço e telefone foram expostos, explica que isso permite ao golpista simular uma entrega e pedir taxa de reenvio, orienta a nunca pagar cobrança recebida por mensagem, informa que a empresa comunicou a autoridade e que o acesso foi encerrado, e abre um canal com pessoa do outro lado. Esse texto reduz dano real; o texto genérico apenas adia o problema.

Se a apuração indicar que também houve exposição de dados de pagamento, o correto é enviar novo comunicado específico para o grupo atingido, e não reescrever o primeiro.

O que costuma dar errado depois do envio

Três falhas se repetem. A primeira é avisar o titular e não avisar a autoridade, ou o contrário — o art. 48 exige as duas comunicações. A segunda é enviar o aviso antes de conter o incidente, o que gera uma segunda onda de exposição e um segundo comunicado contraditório. A terceira é deixar o canal de dúvidas sem operação: cada mensagem sem resposta vira petição à ANPD ou pedido judicial de indenização.

Vale lembrar o contrapeso: comunicar não é admitir responsabilidade automática. A lei valoriza, no juízo de gravidade do incidente, a comprovação de que os dados afetados estavam protegidos por medidas técnicas que os tornassem ininteligíveis a terceiros não autorizados. Empresa que criptografou e documentou isso chega ao processo em posição bem diferente daquela que só reagiu.

Escrever esse comunicado sob pressão, coordenando prazo regulatório, texto público e defesa futura, é trabalho de advogado — e a redação costuma ser conduzida a distância, com o time de segurança e o jurídico trocando versões pelo mesmo canal digital.