O tratamento de vazamento de dados pessoais exige aten\u00e7\u00e3o a prazos legais e procedimentos estabelecidos pela Lei Geral de Prote\u00e7\u00e3o de Dados (LGPD) no Brasil. O respeito a esses prazos \u00e9 essencial tanto para titulares prejudicados quanto para organiza\u00e7\u00f5es respons\u00e1veis. A seguir, conhe\u00e7a os principais prazos envolvidos, suas consequ\u00eancias e orienta\u00e7\u00f5es pr\u00e1ticas.<\/p>\n
Todo epis\u00f3dio em que dados pessoais s\u00e3o acessados, divulgados, alterados ou destru\u00eddos de maneira n\u00e3o autorizada pode ser enquadrado como vazamento. Isso inclui incidentes causados por ataques cibern\u00e9ticos, falhas internas, descuidos operacionais e erros humanos. Os impactos podem ser significativos para os titulares, afetando privacidade, seguran\u00e7a e at\u00e9 reputa\u00e7\u00e3o.<\/p>\n
De acordo com a LGPD (Lei n\u00ba 13.709\/2018), dados pessoais abrangem qualquer informa\u00e7\u00e3o relacionada \u00e0 pessoa natural identificada ou identific\u00e1vel, enquanto dados sens\u00edveis referem-se a informa\u00e7\u00f5es de perfil biom\u00e9trico, origem \u00e9tnica, sa\u00fade, opini\u00e3o pol\u00edtica, entre outros.<\/p>\n
A empresa ou respons\u00e1vel pelo tratamento dos dados deve comunicar \u00e0 ANPD e, quando necess\u00e1rio, ao titular, a ocorr\u00eancia de incidente de seguran\u00e7a que possa acarretar risco ou dano relevante, em prazo razo\u00e1vel, conforme previsto no artigo 48 da LGPD.<\/p>\n
A notifica\u00e7\u00e3o \u00e0 ANPD sobre vazamento de dados pela empresa deve ser feita em prazo razo\u00e1vel, imediatamente ap\u00f3s a identifica\u00e7\u00e3o do incidente, detalhando a natureza, as consequ\u00eancias e as medidas tomadas.<\/p>\n
A legisla\u00e7\u00e3o utiliza o termo \u201cprazo razo\u00e1vel\u201d e n\u00e3o especifica prazo em horas ou dias corridos. Entretanto, o entendimento em linha com pr\u00e1ticas internacionais recomenda que a comunica\u00e7\u00e3o ocorra sem demora injustificada, normalmente em at\u00e9 72 horas ap\u00f3s a ci\u00eancia do incidente. O comunicado deve descrever:<\/p>\n
– A natureza dos dados afetados.
\n– As consequ\u00eancias do vazamento.
\n– As medidas t\u00e9cnicas e de seguran\u00e7a adotadas.<\/p>\n
Se houver risco ou dano relevante ao titular, ele deve ser informado sobre o incidente segundo os mesmos crit\u00e9rios previstos para a ANPD.<\/p>\n
O titular deve ser notificado sobre incidentes de vazamento que envolvam risco ou dano relevante, em prazo razo\u00e1vel, assim que identificado o impacto sobre seus dados pessoais.<\/p>\n
A comunica\u00e7\u00e3o ao titular precisa ser clara e transparente, apresentando o que ocorreu, os dados afetados e as medidas para mitiga\u00e7\u00e3o. Essa obriga\u00e7\u00e3o visa garantir que a pessoa possa adotar precau\u00e7\u00f5es para minimizar eventuais preju\u00edzos.<\/p>\n
Al\u00e9m dos vazamentos em si, outras situa\u00e7\u00f5es de prazo importante envolvem respostas a titulares que buscam saber sobre tratamento de seus dados, solicitar corre\u00e7\u00f5es ou exclus\u00e3o ap\u00f3s um incidente.<\/p>\n
A organiza\u00e7\u00e3o deve responder a requisi\u00e7\u00f5es de titulares sobre tratamento ou vazamento de seus dados em at\u00e9 15 dias ap\u00f3s o recebimento do pedido.<\/p>\n
O artigo 19 da LGPD determina o prazo m\u00e1ximo de 15 dias para que o controlador forne\u00e7a resposta ao titular quanto \u00e0 exist\u00eancia ou n\u00e3o de tratamento de seus dados, assim como para atender solicita\u00e7\u00f5es de esclarecimento sobre incidentes, atualiza\u00e7\u00f5es ou exclus\u00e3o.<\/p>\n
| Situa\u00e7\u00e3o | Prazo segundo a LGPD |
\n|—————————————————–|——————————————————————-|
\n| Notifica\u00e7\u00e3o \u00e0 ANPD de vazamento | Prazo razo\u00e1vel (recomendado: at\u00e9 72 horas ap\u00f3s ci\u00eancia) |
\n| Notifica\u00e7\u00e3o ao titular de dados | Prazo razo\u00e1vel (assim que for identificado o risco ou dano) |
\n| Resposta a requisi\u00e7\u00e3o do titular | At\u00e9 15 dias (art. 19, LGPD) |<\/p>\n
Descumprir os prazos estabelecidos pode gerar san\u00e7\u00f5es administrativas pela ANPD. As san\u00e7\u00f5es v\u00e3o desde advert\u00eancia formal at\u00e9 aplica\u00e7\u00f5es de multas, bloqueio e elimina\u00e7\u00e3o dos dados pessoais envolvidos, al\u00e9m de danos reputacionais.<\/p>\n
Al\u00e9m das san\u00e7\u00f5es administrativas, a demora ou falha nas notifica\u00e7\u00f5es pode resultar em:<\/p>\n
– Perda de credibilidade junto a clientes e parceiros.
\n– A\u00e7\u00f5es indenizat\u00f3rias propostas por titulares.
\n– Aumento do impacto em eventuais auditorias de conformidade.<\/p>\n
Adotar uma abordagem estruturada facilita o atendimento dos prazos e minimiza riscos. Veja um roteiro recomendado:<\/p>\n
1. Identifique e registre imediatamente o incidente.<\/strong> N\u00e3o. A LGPD usa a express\u00e3o \u201cprazo razo\u00e1vel\u201d, sem fixar prazo objetivo. O entendimento de at\u00e9 72 horas decorre de recomenda\u00e7\u00f5es da ANPD e pr\u00e1ticas referenciais internacionais, como o Regulamento Geral de Prote\u00e7\u00e3o de Dados (GDPR) europeu.<\/p>\n N\u00e3o necessariamente. A obriga\u00e7\u00e3o de notifica\u00e7\u00e3o recai quando h\u00e1 risco ou dano relevante aos titulares. Cabe ao controlador avaliar o caso concreto.<\/p>\n Pode ser penalizada pela ANPD e por titulares prejudicados, incluindo advert\u00eancia, multa ou, em casos mais graves, bloqueio ou exclus\u00e3o dos dados vazados.<\/p>\n N\u00e3o h\u00e1 prazo diferente para dados sens\u00edveis. Todavia, o potencial impacto de um vazamento desse tipo exige avalia\u00e7\u00e3o rigorosa e comunica\u00e7\u00e3o clara tanto \u00e0 ANPD quanto ao titular.<\/p>\n Dados totalmente anonimizados n\u00e3o s\u00e3o considerados pessoais segundo a LGPD. Nesses casos, n\u00e3o \u00e9 obrigat\u00f3ria a notifica\u00e7\u00e3o, exceto se houver possibilidade de reidentifica\u00e7\u00e3o.<\/p>\n A gest\u00e3o r\u00e1pida e adequada de incidentes de vazamento de dados depende de controle interno eficiente dos prazos e aten\u00e7\u00e3o \u00e0s exig\u00eancias legais. Tomar provid\u00eancias sem demora, cumprir obriga\u00e7\u00f5es junto \u00e0 ANPD e aos titulares, e manter pr\u00e1ticas transparentes s\u00e3o essenciais para mitigar riscos. Para orienta\u00e7\u00f5es espec\u00edficas sobre situa\u00e7\u00f5es ou procedimentos, consulte sempre um profissional especializado.<\/p>\n O Blog RDM Advogados est\u00e1 \u00e0 disposi\u00e7\u00e3o para esclarecer d\u00favidas sobre prote\u00e7\u00e3o de dados e processos internos. Se voc\u00ea enfrenta situa\u00e7\u00e3o de vazamento ou busca aprimorar sua conformidade, clique em \u201cO que aconteceu e qual decis\u00e3o voc\u00ea precisa tomar?\u201d ou entre em contato pelo canal seguro do site<\/a>.<\/p>\n O que aconteceu e qual decis\u00e3o voc\u00ea precisa tomar?<\/strong><\/p>\n Instagram<\/a> \u00b7 LinkedIn<\/a> \u00b7 YouTube<\/a> \u00b7 TikTok<\/a> \u00b7 X<\/a> \u00b7 Google Meu Neg\u00f3cio<\/a><\/p>\n
\n2. Avalie a extens\u00e3o do vazamento e poss\u00edveis impactos.<\/strong>
\n3. Implemente medidas de conten\u00e7\u00e3o e investiga\u00e7\u00e3o.<\/strong>
\n4. Comunique rapidamente a ANPD, detalhando os pontos exigidos na lei.<\/strong>
\n5. Notifique os titulares afetados, se houver risco relevante.<\/strong>
\n6. Documente todas as a\u00e7\u00f5es e comunica\u00e7\u00f5es.<\/strong>
\n7. Responda aos titulares dentro do prazo legal.<\/strong>
\n8. Ajuste procedimentos internos para prevenir novos incidentes.<\/strong><\/p>\nPerguntas frequentes sobre prazos em vazamentos de dados<\/h2>\n
O prazo de 72 horas para notifica\u00e7\u00e3o do vazamento est\u00e1 previsto na lei?<\/h3>\n
A empresa deve notificar todos os titulares sempre que houver vazamento?<\/h3>\n
O que acontece se a empresa demorar para comunicar um vazamento?<\/h3>\n
Dados pessoais sens\u00edveis t\u00eam tratamento diferenciado em rela\u00e7\u00e3o ao prazo?<\/h3>\n
A comunica\u00e7\u00e3o deve ser feita mesmo quando se trata de vazamento de dados anonimizados?<\/h3>\n
Considera\u00e7\u00f5es finais<\/h2>\n