Radar do Direito
Guia

Dados vazados: empresa tem 3 dias úteis para avisar, e pedido de acesso sai em até 15 dias

Atualizado em 6 de novembro de 20267 min de leituraRevisão: Matheus Lorenzen do Amaral
Resposta rápidaQuem teve dados expostos deve proteger as contas, desconfiar de contatos que citem esses dados e pedir informações à empresa responsável. A Resolução 15 da ANPD dá 3 dias úteis para o controlador avisar, quando há risco ou dano relevante. O pedido de confirmação ou acesso tem resposta completa em até 15 dias. Sem retorno, cabe petição à ANPD. Indenização não é automática e depende do tipo de dado e das provas.
Neste artigoPor que esse assunto voltou agoraPrimeiro, confirme se o aviso é verdadeiroQuando a empresa é obrigada a avisarO que o aviso precisa dizerPasso a passo para quem teve dados expostosO que você pode exigir da empresaSe a empresa não responderIndenização: regra e entendimento dos tribunaisErros comunsPerguntas frequentesFontes

Por que esse assunto voltou agora

Em 5 de novembro de 2026, o Fundo Garantidor de Créditos atualizou um comunicado sobre acesso não autorizado a dados de pessoas ligadas ao pagamento de garantias. O texto cita nome, CPF, e-mail e data de nascimento, além de dados do pagamento da garantia, e diz que, até aquele momento, não havia evidência de divulgação ou de uso indevido.

O caso serve de exemplo, mas este guia vale para qualquer empresa ou órgão: loja, operadora, clínica, escola ou plataforma. Duas perguntas organizam tudo. O que você deve fazer para se proteger? E o que pode exigir de quem guardava os seus dados?

Primeiro, confirme se o aviso é verdadeiro

Mensagem sobre vazamento também pode ser golpe. O próprio FGC orienta a desconfiar de contatos que peçam pagamento, senha, código de autenticação ou instalação de aplicativo, mesmo quando trazem informações corretas sobre a pessoa.

Três cuidados ajudam:

  • não clique no link da mensagem; entre pelo site ou aplicativo oficial que você já conhece;
  • não pague nada para "proteger" ou "limpar" os dados;
  • desconfie de sites desconhecidos que oferecem consulta gratuita de vazamento, alerta que aparece no material da Serasa, porque eles podem capturar ainda mais dados.

Quando a empresa é obrigada a avisar

A LGPD, no art. 48, manda o controlador comunicar à ANPD e ao titular o incidente de segurança que possa causar risco ou dano relevante. Controlador é quem decide como os dados são tratados, em geral a empresa ou o órgão com quem você se relacionou.

A Resolução CD/ANPD 15/2024 detalhou esse dever. O incidente entra na regra quando pode afetar significativamente interesses e direitos fundamentais e, ao mesmo tempo, envolve ao menos um destes itens:

  • dados pessoais sensíveis;
  • dados de crianças, adolescentes ou idosos;
  • dados financeiros;
  • dados de autenticação em sistemas, como login e senha;
  • dados protegidos por sigilo legal, judicial ou profissional;
  • dados em larga escala.

A resolução cita como exemplos a discriminação, as fraudes financeiras e o roubo de identidade.

O que o aviso precisa dizer

O prazo é de três dias úteis, contados de quando o controlador soube que o incidente afetou dados pessoais. Para agentes de pequeno porte, conta em dobro.

Pelo art. 9º do regulamento aprovado pela resolução, a comunicação ao titular deve trazer:

  • a natureza e a categoria dos dados afetados;
  • as medidas de segurança usadas;
  • os riscos e os possíveis impactos;
  • os motivos da demora, se o prazo não foi cumprido;
  • as medidas adotadas para reverter ou reduzir os efeitos;
  • a data em que o incidente foi conhecido;
  • um contato para informações.

A linguagem precisa ser simples, e o aviso deve ser direto e individual, por telefone, e-mail, mensagem ou carta, quando for possível identificar os atingidos. Se não for, a empresa deve divulgar o incidente em seus canais, como site e redes sociais, por pelo menos três meses.

Passo a passo para quem teve dados expostos

1. Guarde as provas. Salve o aviso recebido, anote a data e faça capturas de tela. Esse material sustenta os pedidos seguintes.

2. Proteja as contas. A Serasa recomenda trocar as senhas, usar uma diferente para cada serviço e ativar a verificação em duas etapas.

3. Confira os seus vínculos financeiros. O Banco Central oferece gratuitamente o Relatório de Contas e Relacionamentos em Bancos, pelo Meu BC, com conta gov.br prata ou ouro e verificação em duas etapas ativada. Ele mostra os bancos e instituições em que você tem ou teve conta ou relacionamento. Não mostra saldo nem movimentação.

4. Acompanhe extratos e faturas. Se aparecer transação estranha, conteste no banco logo. Dívida que você não reconhece também pode indicar uso indevido da identidade. Nesse caso, os guias inscrição indevida no SPC e Serasa e golpe da falsa negociação de dívida podem ajudar.

5. Avise quem convive com você. Golpistas podem usar os dados para criar perfis falsos ou pedir dinheiro em seu nome.

6. Registre boletim de ocorrência se houver fraude ou tentativa. A Serasa recomenda o registro já na confirmação do vazamento. Ele serve de prova, junto com mensagens e comprovantes.

O que você pode exigir da empresa

O art. 18 da LGPD lista os direitos do titular. Em caso de vazamento, os mais úteis costumam ser:

  • confirmação de que a empresa trata os seus dados;
  • acesso a esses dados;
  • correção do que estiver incompleto, inexato ou desatualizado;
  • anonimização, bloqueio ou eliminação do que for desnecessário ou excessivo ou estiver em desacordo com a lei;
  • informação sobre com quem os dados foram compartilhados.

O art. 19 define os prazos para confirmação e acesso: formato simplificado, imediatamente, ou declaração clara e completa em até 15 dias, contados do pedido. Essa declaração indica a origem dos dados, os critérios e a finalidade do tratamento.

O pedido é gratuito. Um modelo curto, para adaptar:

> Sou titular dos dados vinculados ao CPF [número]. Com base nos arts. 18 e 19 da Lei 13.709/2018, peço confirmação e acesso aos meus dados, com declaração clara e completa sobre a origem deles e a finalidade do tratamento, em até 15 dias. Peço também que informem quais dados foram afetados no incidente de [data ou referência], com quais entidades foram compartilhados e o número de protocolo deste pedido.

Envie pelo canal indicado no aviso ou ao encarregado de dados da empresa. Guarde o protocolo. Evite enviar cópia de documento por canal cuja autenticidade você não conferiu.

Se a empresa não responder

Existem dois caminhos na ANPD, pelo serviço "Abrir requerimento relacionado à LGPD", no gov.br, usado com exclusividade desde 1º de janeiro de 2025.

PetiçãoDenúncia
Para quêQuando você não conseguiu exercer um direito ou a resposta foi insatisfatóriaPara comunicar possível infração à lei
Contato prévio com a empresaObrigatório, com provaA página não exige
AnonimatoNão podePode, com elementos que comprovem o alegado

Há um limite importante. A ANPD avisa que, em regra, analisa os pedidos de forma agregada e não envia resposta individual. Ou seja, a reclamação ajuda na fiscalização, mas pode não resolver o seu caso concreto.

A LGPD também permite levar a reclamação aos órgãos de defesa do consumidor (art. 18, § 8º), como o Procon.

As multas aplicadas pela ANPD podem chegar a 2 por cento do faturamento, limitadas a R$ 50 milhões por infração (art. 52), mas o valor vai para o Fundo de Defesa de Direitos Difusos, não para quem teve os dados expostos.

Indenização: regra e entendimento dos tribunais

O que é regra. O art. 42 da LGPD obriga a reparar o dano patrimonial ou moral causado em violação à legislação de proteção de dados. O art. 43 só livra o agente se ele provar que não fez o tratamento, que não violou a lei ou que a culpa foi exclusiva do titular ou de terceiro. O juiz também pode inverter o ônus da prova a favor do titular (art. 42, § 2º).

O que é entendimento de tribunal. Dois julgados do STJ ajudam a entender o cenário:

  • Dados comuns (AREsp 2.130.619, Segunda Turma, 2023). Vazaram nome, data de nascimento, endereço e documento de identificação de uma cliente da Eletropaulo. O STJ derrubou a indenização de R$ 5 mil e disse que a titular precisa provar dano efetivo.
  • Seguro de vida (REsp 2.121.904, Terceira Turma, 2025). Vazaram dados como saúde, bens, beneficiários e conta bancária. A relatora apontou que os dados eram sensíveis e citou riscos ligados aos de saúde e aos bancários e fiscais. A indenização de R$ 15 mil foi mantida.

O que ainda é debatido. Até onde vai a ideia de dano presumido, e como classificar cada tipo de dado. São decisões de turmas, em casos diferentes, e não uma regra única para todo vazamento.

Na prática, quem sofreu prejuízo deve reunir o aviso, extratos, boletim de ocorrência e mensagens de golpe. Causas menores podem ser levadas ao Juizado Especial, e a Defensoria Pública atende quem não pode pagar advogado.

Erros comuns

  • Achar que vazamento garante dinheiro. O resultado depende do dado exposto, do dano e das provas.
  • Responder ao primeiro contato. Um golpista pode citar dados corretos justamente porque eles vazaram.
  • Pular o pedido à empresa. Sem essa tentativa e a prova dela, a petição à ANPD fica incompleta.
  • Não guardar nada. Mensagens apagadas e aviso perdido dificultam qualquer reclamação futura.

Prazos e canais citados têm como referência novembro de 2026. Confira a página oficial antes de agir, porque os serviços digitais podem mudar.

Perguntas frequentes

Toda empresa que sofre vazamento precisa me avisar?

Não em qualquer incidente. A obrigação vale quando ele pode causar risco ou dano relevante, conforme os critérios da Resolução CD/ANPD 15/2024, como dados sensíveis, financeiros, de autenticação ou em larga escala.

Em quanto tempo a empresa deve avisar?

Em três dias úteis, contados de quando soube que o incidente afetou dados pessoais. Para agentes de pequeno porte, o prazo é contado em dobro.

Posso reclamar direto na ANPD?

A petição do titular exige prova de que você tentou resolver antes com o controlador. A denúncia de infração não traz essa exigência na página da ANPD e pode ser anônima, desde que acompanhada de elementos que comprovem o alegado.

A ANPD vai resolver meu caso individualmente?

Em regra, não. A autoridade informa que analisa os requerimentos de forma agregada e não envia resposta individual, salvo situações graves que afetem muitas pessoas.

Vazamento dá direito a indenização?

Não automaticamente. Em caso de dados comuns, a Segunda Turma do STJ exigiu prova de dano efetivo. Em caso de seguro de vida com dados de saúde e bancários, a Terceira Turma manteve indenização de R$ 15 mil.

Pedir meus dados à empresa custa alguma coisa?

Não. O art. 18, § 5º, da LGPD diz que o requerimento será atendido sem custos para o titular.

Fontes

Revisão jurídica: Matheus Lorenzen do Amaral, advogado (OAB/RS 90.061 e OAB/SC 74.552), Araranguá/SC.
Atualizado em 6 de novembro de 2026. Conteúdo informativo, sem consultoria individual e sem oferta de serviços.

Continue lendo