O que aconteceu e o que a lei estabelece?
A LGPD exige medidas de segurança aptas a proteger os dados pessoais e assegura ao titular direitos de confirmação, acesso, correção, informação sobre compartilhamentos e outras providências previstas no artigo 18. Pelo artigo 48 e pela Resolução CD/ANPD nº 15/2024, cabe ao controlador comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante. A regulamentação estabelece, em regra, prazo de três dias úteis após o conhecimento de que o incidente afetou dados pessoais; esse dever é da organização, e não do titular.
Como descobrir se meus dados foram vazados?
Não existe uma consulta única que revele todos os vazamentos. A fonte mais segura é a organização responsável, quando identificada. O titular pode solicitar confirmação do tratamento, acesso às informações e esclarecimentos sobre as entidades com as quais houve compartilhamento. Alertas de segurança e movimentações desconhecidas ajudam a identificar risco, mas não demonstram automaticamente quem causou a exposição.
O que perguntar à empresa ou ao órgão?
- quais categorias de dados foram afetadas;
- quando o incidente foi identificado;
- quais riscos foram avaliados;
- se os dados foram acessados, copiados, alterados ou apenas ficaram indisponíveis;
- quais medidas foram adotadas para conter o incidente;
- que providências o titular deve tomar;
- qual é o canal do encarregado ou responsável pelo atendimento.
Onde reclamar?
O primeiro contato deve ser feito com o controlador, preferencialmente por canal que gere protocolo. Se o exercício de um direito não for atendido ou a resposta for insatisfatória, pode ser cabível uma petição de titular à ANPD. Nas relações de consumo, também podem ser avaliados Consumidor.gov.br e Procon. Fraudes e crimes devem ser comunicados à instituição envolvida e à autoridade policial, pois a ANPD apura infrações administrativas à LGPD e não substitui a investigação criminal.
Vazamento de dados sempre dá direito a indenização?
Não há uma resposta automática. Em fevereiro de 2026, a Quarta Turma do STJ decidiu que a disponibilização não autorizada de dados não sensíveis em caso de cadastro positivo não gerava, por si só, dano moral presumido, exigindo demonstração de abalo significativo. Em outro contexto, a Terceira Turma reconheceu, em 2025, dano presumido pela disponibilização indevida a terceiros de informações cadastrais e de adimplemento por gestor de banco de dados, sem autorização. Os julgados tratam de situações específicas e não autorizam concluir que todo vazamento gera — ou jamais gera — reparação. A análise deve considerar a natureza dos dados, a prova da exposição, o uso indevido, as consequências e o regime jurídico aplicável.
Fontes oficiais
- ANPD — Meus dados vazaram, e agora?
- ANPD — Direitos do titular de dados
- ANPD — Denúncia e petição de titular
- ANPD — Comunicação de incidente de segurança
- Lei nº 13.709/2018 — LGPD
- STJ — REsp 2.221.650
- STJ — REsp 2.201.694
Exemplo prático
Uma pessoa recebe da clínica onde é atendida um aviso de que nomes, contatos e informações de saúde foram acessados por terceiro. Ela deve guardar o comunicado, pedir a identificação das categorias atingidas, revisar senhas e contas relacionadas e observar tentativas de fraude. Como há dados de saúde, a natureza das informações e as consequências concretas merecem análise cuidadosa; o aviso, isoladamente, não permite concluir que haverá indenização.
Documentos e registros que devem ser preservados
- comunicado recebido da empresa ou do órgão
- e-mails, mensagens e capturas de tela com data e endereço do remetente
- protocolos e respostas do controlador ou do encarregado
- indicação dos dados atingidos, quando informada
- alertas de acesso, troca de senha ou autenticação
- extratos, contratos ou cadastros abertos sem autorização
- comprovantes de despesas ou prejuízos relacionados
- boletim de ocorrência, quando houver fraude ou uso criminoso
- cronologia objetiva dos fatos e providências adotadas
Providências recomendadas
- confirme a autenticidade do aviso pelos canais oficiais da organização
- não forneça novos dados a sites que prometam verificar vazamentos sem segurança conhecida
- troque senhas reutilizadas e encerre sessões desconhecidas
- ative autenticação em dois fatores nos serviços disponíveis
- peça ao controlador informações sobre dados afetados, riscos, destinatários e medidas adotadas
- acompanhe contas bancárias, chaves Pix, crédito e serviços vinculados ao seu CPF
- conteste rapidamente operações, contas ou contratos que não reconheça
- se o pedido não for atendido, avalie reclamação ao consumidor e petição de titular à ANPD
As providências administrativas e extrajudiciais devem ser adotadas conforme o risco identificado. A medida judicial pode ser considerada quando houver conflito concreto, uso indevido, dano demonstrável, urgência ou negativa injustificada, após análise dos documentos e da proporcionalidade. Não é necessário nem recomendável ajuizar ação de forma automática diante de qualquer notícia de vazamento.
Quando buscar orientação jurídica?
Pode ser útil buscar análise individual quando houver dados de saúde, biometria, informações financeiras, documentos, credenciais, dados de crianças, ameaça, extorsão, conta ou empréstimo desconhecido, prejuízo econômico, negativa de informação ou dificuldade para relacionar o incidente aos danos sofridos.
Perguntas frequentes
Como saber se meus dados foram vazados?
A confirmação mais segura costuma vir do controlador responsável. Alertas de senha exposta, acessos desconhecidos ou contatos com dados corretos são sinais de atenção, mas não provam, sozinhos, a origem do incidente. Peça informações pelos canais oficiais e evite fornecer CPF ou senha em páginas suspeitas.
A empresa é obrigada a me avisar?
Quando o incidente puder acarretar risco ou dano relevante, o controlador deve comunicar os titulares afetados e a ANPD, observados os critérios da LGPD e da Resolução CD/ANPD nº 15/2024. Nem todo evento técnico exige comunicação ao público.
Vazamento de dados gera indenização automática?
Não. A existência de indenização depende do tipo de dado, da conduta, da efetiva exposição, das consequências e das provas. Decisões do STJ mostram que resultados distintos podem ocorrer conforme o contexto jurídico e fático.
Posso pedir que todos os meus dados sejam apagados?
O titular pode formular pedido de eliminação nas hipóteses legais, mas a organização pode conservar informações necessárias ao cumprimento de obrigação legal, regulatória ou ao exercício regular de direitos. A resposta deve explicar a providência adotada.
Quando devo registrar boletim de ocorrência?
Quando houver uso fraudulento, invasão de conta, ameaça, extorsão, abertura de cadastro ou operação não reconhecida. O boletim ajuda a documentar os fatos, mas não substitui a comunicação imediata ao banco ou à empresa envolvida.
Existe garantia de resultado?
Não. A orientação depende dos fatos e documentos e não representa promessa de resultado.
Conclusão
Ao suspeitar de vazamento, a prioridade é reduzir o risco, preservar provas e buscar informações na fonte responsável. A existência de violação, eventual responsabilidade e medidas cabíveis dependem dos dados atingidos, das providências adotadas e das consequências concretas.
Leia também
- A empresa recebeu um pedido de titular pela LGPD: como responder?
- Ocorreu um vazamento de dados na empresa: o que fazer nas primeiras horas?
- O banco usou meus dados sem autorização: isso viola a LGPD?
- Empresa recebeu multa ou sanção da ANPD: o que fazer e como recorrer?
Solicitar análise do caso
Uma consulta pode examinar o comunicado recebido, os dados possivelmente afetados, as respostas da organização e as providências compatíveis com a situação.
Solicitar consulta jurídica