--- title: "Como redigir e enviar o comunicado de vazamento de dados aos clientes" description: "Conteúdo mínimo, tom e canal do aviso de incidente aos clientes afetados, com o que a LGPD exige e o que costuma virar prova contra a empresa." url: "https://wikijuridica.com.br/lgpd/empresa-redigir-comunicado-vazamento-titulares/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:776ec0e9b207eaf199c91944f15dc0919889b454c9dad35b2551a4cb4c154d49" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "LGPD, art. 48" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-08-04" claim: "o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Como redigir e enviar o comunicado de vazamento de dados aos clientes Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 O relatório do time de segurança fecha às onze da noite e uma frase muda o dia seguinte: a base de clientes foi acessada. A partir dali, a empresa tem duas obrigações separadas — avisar a Agência Nacional de Proteção de Dados e avisar as pessoas atingidas. Este roteiro trata da segunda, que é a mais difícil de escrever, porque o texto vai ser lido por quem está com medo e, depois, por quem vai cobrar. Comunicar bem não é atenuar o incidente. É dar à pessoa informação suficiente para ela se defender: saber o que vazou, o que isso permite a um fraudador e o que ela deve fazer nas próximas horas. ## O conteúdo mínimo que o art. 48 impõe ao aviso Quando o incidente puder acarretar risco ou dano relevante, é o [art. 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art48) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) que obriga o controlador a comunicar a autoridade e o titular. O §1º desse artigo lista o que a comunicação precisa mencionar, no mínimo: a natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas de segurança adotadas (respeitados segredo comercial e industrial), os riscos ligados ao incidente, os motivos da demora quando o aviso não foi imediato e as providências já tomadas ou programadas para reverter ou mitigar o prejuízo. Esse rol é piso, não teto. Um comunicado que diz apenas "houve um acesso indevido a parte de nossos sistemas" não cumpre nenhum dos seis itens e tende a ser lido como tentativa de reduzir o problema. Quanto ao prazo, o próprio §1º remete a definição à autoridade nacional, que a fixou em regulamento próprio sobre comunicação de incidentes. Antes de calcular a contagem interna, confirme o prazo em vigor na regulamentação da ANPD, porque ele já mudou desde a edição da lei. ## Como transformar a lista legal em texto que a pessoa entende Escreva em blocos curtos e na ordem em que o leitor pensa. Primeiro o que aconteceu e quando. Depois, qual dado dele especificamente foi exposto — nome e e-mail é uma coisa, número de cartão e documento de identidade é outra, e misturar as duas hipóteses num aviso único gera pânico desnecessário em metade da base e desconfiança na outra metade. Em seguida, o risco concreto: se vazaram e-mail e telefone, o risco imediato é golpe por mensagem se passando pela empresa; diga isso com todas as letras e avise que a empresa não vai pedir senha nem código por telefone. Por fim, o que a empresa fez (bloqueio do acesso, troca de credenciais, comunicação à ANPD, registro policial quando houver) e o canal para dúvidas, que deve ser atendido por gente e não por formulário sem resposta. Evite três coisas: adjetivo que minimiza ("pequeno incidente"), promessa que você não controla ("nenhum dado será usado") e juridiquês. O aviso é informativo, não é peça de defesa. ## Escolher o canal e guardar a prova de que o aviso saiu O canal deve ser aquele pelo qual a empresa normalmente fala com aquele titular: e-mail cadastrado, aplicativo, mensagem, correspondência. Quando parte da base não tem contato válido, ou quando a extensão do incidente é ampla, entra a divulgação pública em site e imprensa — providência que a autoridade também pode determinar, conforme o art. 48, §2º. Guarde, desde o primeiro envio: o texto exato de cada versão do comunicado, a lista de destinatários por lote, os registros de entrega e falha do disparo, a data e a hora de publicação no site e o protocolo da comunicação à ANPD. Meses depois, em uma ação individual, a discussão raramente é se a empresa avisou — é quando avisou e o que exatamente disse. Sem esse acervo, a empresa discute de memória contra um print do titular. ## Um cenário: a loja virtual que descobriu o acesso pelo suporte Uma loja on-line percebe, por reclamações de clientes recebendo mensagens de cobrança falsas, que a base de pedidos foi copiada. Vazaram nome, e-mail, telefone e endereço de entrega — nada de cartão, porque o pagamento roda em um provedor externo. O comunicado correto aqui não fala em "dados sigilosos". Ele diz que endereço e telefone foram expostos, explica que isso permite ao golpista simular uma entrega e pedir taxa de reenvio, orienta a nunca pagar cobrança recebida por mensagem, informa que a empresa comunicou a autoridade e que o acesso foi encerrado, e abre um canal com pessoa do outro lado. Esse texto reduz dano real; o texto genérico apenas adia o problema. Se a apuração indicar que também houve exposição de dados de pagamento, o correto é enviar novo comunicado específico para o grupo atingido, e não reescrever o primeiro. ## O que costuma dar errado depois do envio Três falhas se repetem. A primeira é avisar o titular e não avisar a autoridade, ou o contrário — o art. 48 exige as duas comunicações. A segunda é enviar o aviso antes de conter o incidente, o que gera uma segunda onda de exposição e um segundo comunicado contraditório. A terceira é deixar o canal de dúvidas sem operação: cada mensagem sem resposta vira petição à ANPD ou pedido judicial de indenização. Vale lembrar o contrapeso: comunicar não é admitir responsabilidade automática. A lei valoriza, no juízo de gravidade do incidente, a comprovação de que os dados afetados estavam protegidos por medidas técnicas que os tornassem ininteligíveis a terceiros não autorizados. Empresa que criptografou e documentou isso chega ao processo em posição bem diferente daquela que só reagiu. Escrever esse comunicado sob pressão, coordenando prazo regulatório, texto público e defesa futura, é trabalho de advogado — e a redação costuma ser conduzida a distância, com o time de segurança e o jurídico trocando versões pelo mesmo canal digital. ## Perguntas frequentes ### A empresa precisa comunicar incidente que não expôs dado sensível? O critério do art. 48 não é a natureza sensível do dado, e sim o risco ou dano relevante ao titular. Um vazamento de endereço e telefone pode gerar risco relevante de fraude e atrair o dever de comunicar; um extravio de dado já anonimizado, não. ### Dá para enviar um comunicado único para toda a base de clientes? Só quando todos foram atingidos da mesma forma. Se grupos diferentes tiveram dados diferentes expostos, o aviso genérico descumpre o dever de informar a natureza dos dados afetados em relação a cada titular. ## Proveniência - [LGPD, art. 48](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-08-04 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: o controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Ransomware na empresa: quando comunicar à ANPD](https://wikijuridica.com.br/lgpd/empresa-ransomware-notificar-anpd-titulares/index.md) - [Gravação do atendimento vazou com sua voz? Veja o que fazer](https://wikijuridica.com.br/lgpd/gravacao-atendimento-vazou/index.md) - [Vazou nome e e-mail: dá para pedir indenização?](https://wikijuridica.com.br/lgpd/vazamento-dado-nao-sensivel-indenizacao/index.md) - [Plano de resposta a incidentes de dados: como montar](https://wikijuridica.com.br/lgpd/empresa-plano-resposta-incidentes/index.md) - [Incidente de baixo risco também precisa ser registrado?](https://wikijuridica.com.br/lgpd/registro-interno-incidentes/index.md) - [Enviar oferta para cliente antigo sem consentimento?](https://wikijuridica.com.br/lgpd/marketing-clientes-sem-consentimento/index.md) - [Transferência internacional de dados: enviar dado para fora](https://wikijuridica.com.br/glossario/transferencia-internacional-dados/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/empresa-redigir-comunicado-vazamento-titulares/index.md) ## Percursos por fundamento legal Outras páginas deste acervo que se apoiam nos mesmos dispositivos legais. **Lei Geral de Proteção de Dados, art. 48** — `urn:lex:br:federal:lei:2018-08-14;13709!art48` - [Conta invadida e plataforma não recupera acesso: passos e provas](https://wikijuridica.com.br/consumidor/conta-plataforma-invadida-nao-recupero-acesso/index.md) - [E-mail invadido: como retomar o controle e proteger contas](https://wikijuridica.com.br/digital/email-invadido-acesso-indevido/index.md) - [Caí em phishing: o que fazer com os dados vazados](https://wikijuridica.com.br/digital/phishing-link-falso-dados/index.md) - [Incidente de segurança: o que fazer quando há vazamento](https://wikijuridica.com.br/glossario/incidente-de-seguranca/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Como redigir e enviar o comunicado de vazamento de dados aos clientes. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/empresa-redigir-comunicado-vazamento-titulares/ Versão do conteúdo: sha256:776ec0e9b207eaf199c91944f15dc0919889b454c9dad35b2551a4cb4c154d49 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-empresa-redigir-comunicado-vazamento-titulares", "type": "webpage", "title": "Como redigir e enviar o comunicado de vazamento de dados aos clientes", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/empresa-redigir-comunicado-vazamento-titulares/", "language": "pt-BR", "version": "sha256:776ec0e9b207eaf199c91944f15dc0919889b454c9dad35b2551a4cb4c154d49", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: