A LGPD dá ao titular o direito de saber quais dados a empresa tem, de corrigir e eliminar o que for indevido, e de ser informado sobre o incidente. Quem trata os dados responde pelos danos causados quando não cumpre os deveres de segurança da lei.
O que conta como vazamento
Não é só invasão de servidor. A lei fala em incidente de segurança, e isso alcança situações banais: uma planilha de clientes enviada ao destinatário errado, um sistema aberto sem senha, um funcionário que copia a base ao sair, um parceiro que recebeu mais dados do que precisava.
O que define o problema não é o tamanho do incidente, e sim o fato de dados pessoais terem chegado a quem não deveria ter acesso.
Como saber se os seus dados vazaram
- A empresa comunicou. A LGPD prevê a comunicação ao titular e à autoridade quando o incidente pode gerar risco relevante. Guarde o e-mail ou o aviso.
- Sinais indiretos. Ligações de vendas com dados que você só deu a uma empresa, tentativas de login, cobranças de serviços que você não contratou, cadastro feito no seu nome.
- Pedido direto. Você pode pedir à empresa a confirmação do tratamento e o acesso aos seus dados. Ela tem prazo para responder.
Os direitos que a lei dá ao titular
Estão no artigo 18 da LGPD e podem ser exercidos diretamente com a empresa, por escrito:
- confirmação de que existe tratamento dos seus dados;
- acesso aos dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados fora da lei;
- portabilidade a outro fornecedor;
- eliminação dos dados tratados com base no consentimento;
- informação sobre com quem a empresa compartilhou os dados;
- revogação do consentimento.
O pedido deve ser feito pelo canal do encarregado (DPO), que a empresa é obrigada a divulgar. Guarde o protocolo e a data.
O que reunir antes de procurar orientação
- o aviso de incidente, se houver;
- o pedido que você fez à empresa e a resposta dela, com datas;
- prints e comprovantes do uso indevido: cadastro feito no seu nome, cobrança, ligação, tentativa de login;
- o registro de eventual reclamação em órgão de defesa do consumidor ou na ANPD.
A documentação do uso indevido é o que separa o incidente genérico do prejuízo concreto. É ela que costuma sustentar o pedido de reparação.
O que diz a lei
- Lei Geral de Proteção de Dados (Lei 13.709/2018)
- Define os direitos do titular (art. 18), os deveres de segurança e a responsabilidade de quem trata os dados.
- ANPD
- Autoridade Nacional de Proteção de Dados, órgão que recebe comunicações de incidente e reclamações.
- Código de Defesa do Consumidor
- Aplica-se quando o tratamento se dá em relação de consumo, somando-se à LGPD.
- Código Civil
- Trata da reparação de dano e do uso não autorizado de nome e imagem.
Perguntas frequentes
A empresa é obrigada a me avisar que meus dados vazaram?
A LGPD prevê a comunicação ao titular e à autoridade quando o incidente puder acarretar risco ou dano relevante, em prazo razoável.
Todo vazamento gera indenização?
Não automaticamente. A análise passa pelo dano concreto e pela conduta de quem tratava os dados. Por isso a documentação do uso indevido importa tanto.
Posso pedir para a empresa apagar meus dados?
Pode, nas hipóteses do artigo 18. Há casos em que a empresa precisa manter registros por obrigação legal, e isso deve ser justificado a você.
Quanto tempo a empresa tem para responder ao meu pedido?
A lei prevê resposta imediata para a confirmação simples e prazo de até quinze dias para a resposta completa, conforme o tipo de pedido.
Preciso reclamar na ANPD antes de procurar um advogado?
Não é obrigatório. São caminhos independentes e podem ser usados juntos.
Este texto é informativo e não substitui a análise de um caso concreto. Cada situação tem detalhes próprios que mudam o caminho adequado. Conteúdo publicado conforme o Provimento nº 205/2021 da OAB.