prazos importantes em vazamento de dados pessoais

Prazos importantes em vazamento de dados pessoais

O tratamento de vazamento de dados pessoais exige atenção a prazos legais e procedimentos estabelecidos pela Lei Geral de Proteção de Dados (LGPD) no Brasil. O respeito a esses prazos é essencial tanto para titulares prejudicados quanto para organizações responsáveis. A seguir, conheça os principais prazos envolvidos, suas consequências e orientações práticas.

O que caracteriza um vazamento de dados pessoais?

Todo episódio em que dados pessoais são acessados, divulgados, alterados ou destruídos de maneira não autorizada pode ser enquadrado como vazamento. Isso inclui incidentes causados por ataques cibernéticos, falhas internas, descuidos operacionais e erros humanos. Os impactos podem ser significativos para os titulares, afetando privacidade, segurança e até reputação.

De acordo com a LGPD (Lei nº 13.709/2018), dados pessoais abrangem qualquer informação relacionada à pessoa natural identificada ou identificável, enquanto dados sensíveis referem-se a informações de perfil biométrico, origem étnica, saúde, opinião política, entre outros.

Quais são os principais prazos definidos pela LGPD em caso de vazamento?

Prazo para notificação à Autoridade Nacional de Proteção de Dados (ANPD)

A empresa ou responsável pelo tratamento dos dados deve comunicar à ANPD e, quando necessário, ao titular, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável, conforme previsto no artigo 48 da LGPD.

Answer Capsule

A notificação à ANPD sobre vazamento de dados pela empresa deve ser feita em prazo razoável, imediatamente após a identificação do incidente, detalhando a natureza, as consequências e as medidas tomadas.

Detalhamento e melhores práticas

A legislação utiliza o termo “prazo razoável” e não especifica prazo em horas ou dias corridos. Entretanto, o entendimento em linha com práticas internacionais recomenda que a comunicação ocorra sem demora injustificada, normalmente em até 72 horas após a ciência do incidente. O comunicado deve descrever:

– A natureza dos dados afetados.
– As consequências do vazamento.
– As medidas técnicas e de segurança adotadas.

Prazo para notificação ao titular dos dados

Se houver risco ou dano relevante ao titular, ele deve ser informado sobre o incidente segundo os mesmos critérios previstos para a ANPD.

Answer Capsule

O titular deve ser notificado sobre incidentes de vazamento que envolvam risco ou dano relevante, em prazo razoável, assim que identificado o impacto sobre seus dados pessoais.

Orientações para titulares

A comunicação ao titular precisa ser clara e transparente, apresentando o que ocorreu, os dados afetados e as medidas para mitigação. Essa obrigação visa garantir que a pessoa possa adotar precauções para minimizar eventuais prejuízos.

Prazos diante de requisições de titulares de dados

Além dos vazamentos em si, outras situações de prazo importante envolvem respostas a titulares que buscam saber sobre tratamento de seus dados, solicitar correções ou exclusão após um incidente.

Answer Capsule

A organização deve responder a requisições de titulares sobre tratamento ou vazamento de seus dados em até 15 dias após o recebimento do pedido.

Aspectos práticos destas respostas

O artigo 19 da LGPD determina o prazo máximo de 15 dias para que o controlador forneça resposta ao titular quanto à existência ou não de tratamento de seus dados, assim como para atender solicitações de esclarecimento sobre incidentes, atualizações ou exclusão.

Tabela: principais prazos em caso de vazamento de dados pessoais

| Situação | Prazo segundo a LGPD |
|—————————————————–|——————————————————————-|
| Notificação à ANPD de vazamento | Prazo razoável (recomendado: até 72 horas após ciência) |
| Notificação ao titular de dados | Prazo razoável (assim que for identificado o risco ou dano) |
| Resposta a requisição do titular | Até 15 dias (art. 19, LGPD) |

Quais as consequências do descumprimento dos prazos legais?

Descumprir os prazos estabelecidos pode gerar sanções administrativas pela ANPD. As sanções vão desde advertência formal até aplicações de multas, bloqueio e eliminação dos dados pessoais envolvidos, além de danos reputacionais.

Riscos adicionais para empresas

Além das sanções administrativas, a demora ou falha nas notificações pode resultar em:

– Perda de credibilidade junto a clientes e parceiros.
– Ações indenizatórias propostas por titulares.
– Aumento do impacto em eventuais auditorias de conformidade.

Como agir diante de um vazamento de dados: passo a passo

Adotar uma abordagem estruturada facilita o atendimento dos prazos e minimiza riscos. Veja um roteiro recomendado:

1. Identifique e registre imediatamente o incidente.
2. Avalie a extensão do vazamento e possíveis impactos.
3. Implemente medidas de contenção e investigação.
4. Comunique rapidamente a ANPD, detalhando os pontos exigidos na lei.
5. Notifique os titulares afetados, se houver risco relevante.
6. Documente todas as ações e comunicações.
7. Responda aos titulares dentro do prazo legal.
8. Ajuste procedimentos internos para prevenir novos incidentes.

Perguntas frequentes sobre prazos em vazamentos de dados

O prazo de 72 horas para notificação do vazamento está previsto na lei?

Não. A LGPD usa a expressão “prazo razoável”, sem fixar prazo objetivo. O entendimento de até 72 horas decorre de recomendações da ANPD e práticas referenciais internacionais, como o Regulamento Geral de Proteção de Dados (GDPR) europeu.

A empresa deve notificar todos os titulares sempre que houver vazamento?

Não necessariamente. A obrigação de notificação recai quando há risco ou dano relevante aos titulares. Cabe ao controlador avaliar o caso concreto.

O que acontece se a empresa demorar para comunicar um vazamento?

Pode ser penalizada pela ANPD e por titulares prejudicados, incluindo advertência, multa ou, em casos mais graves, bloqueio ou exclusão dos dados vazados.

Dados pessoais sensíveis têm tratamento diferenciado em relação ao prazo?

Não há prazo diferente para dados sensíveis. Todavia, o potencial impacto de um vazamento desse tipo exige avaliação rigorosa e comunicação clara tanto à ANPD quanto ao titular.

A comunicação deve ser feita mesmo quando se trata de vazamento de dados anonimizados?

Dados totalmente anonimizados não são considerados pessoais segundo a LGPD. Nesses casos, não é obrigatória a notificação, exceto se houver possibilidade de reidentificação.

Considerações finais

A gestão rápida e adequada de incidentes de vazamento de dados depende de controle interno eficiente dos prazos e atenção às exigências legais. Tomar providências sem demora, cumprir obrigações junto à ANPD e aos titulares, e manter práticas transparentes são essenciais para mitigar riscos. Para orientações específicas sobre situações ou procedimentos, consulte sempre um profissional especializado.

O Blog RDM Advogados está à disposição para esclarecer dúvidas sobre proteção de dados e processos internos. Se você enfrenta situação de vazamento ou busca aprimorar sua conformidade, clique em “O que aconteceu e qual decisão você precisa tomar?” ou entre em contato pelo WhatsApp: +55 11 95173-0074.

O que aconteceu e qual decisão você precisa tomar?

Instagram · LinkedIn · YouTube · TikTok · X · Google Meu Negócio