Vazamento de dados: incidente, risco e dano não são sinônimos

Vazamento de dados, incidente de segurança e dano indenizável não são sinônimos. O primeiro passo é descobrir quais dados foram afetados, como ocorreu o incidente, quem tinha obrigação de protegê-los e quais riscos ou consequências surgiram.

A LGPD estabelece deveres de segurança e regras de responsabilidade relacionadas ao tratamento de dados pessoais. A ANPD mantém procedimento específico para comunicação de incidentes de segurança e informa a aplicação da Resolução CD/ANPD nº 15/2024 ao tema.

A gravidade depende dos dados e do contexto

Exposição de nome e e-mail não possui necessariamente o mesmo risco de vazamento de senha, documento, dado financeiro, dado de saúde ou informação capaz de facilitar fraude. Volume, duração, acessibilidade, possibilidade de associação e medidas de contenção mudam a avaliação.

A organização deve preservar logs, cronologia de detecção, sistemas afetados, categorias de titulares e medidas tomadas. O titular, por sua vez, deve guardar comunicações recebidas, evidências de uso indevido e eventuais fraudes posteriores.

Comunicação regulatória e indenização são perguntas diferentes

A obrigação de comunicar incidente à ANPD e aos titulares segue critérios regulatórios próprios. Já a reparação civil exige examinar dano e nexo causal. Não é correto presumir que toda comunicação de incidente gera automaticamente dano moral, nem concluir que ausência de comunicação elimina qualquer prejuízo.

Se houve golpe posterior, a conexão temporal e técnica precisa ser demonstrada; veja como identificar a cadeia de um golpe digital. Se o problema envolve conduta de provedor, responsabilidade de plataforma tem critérios próprios.

O dossiê deve separar quatro camadas: incidente → dados expostos → risco criado → dano efetivamente ocorrido. Essa separação melhora tanto a resposta regulatória quanto a análise de responsabilidade.

Para a organização, a resposta técnica também produz prova jurídica. Horário da detecção, contenção, restauração, análise de causa e registro das decisões mostram se houve governança do incidente. Para o titular, a comunicação recebida deve ser guardada integralmente, porque pode indicar categorias de dados, período afetado e medidas recomendadas.

Quando há fraude posterior, evite inferir causalidade apenas porque ocorreu depois do vazamento. Compare quais dados seriam necessários para o golpe e quais dados efetivamente foram expostos. Essa ponte técnica é central para discutir nexo.

A comunicação ao titular também deve ser lida pelo que ela efetivamente informa. Mensagem genérica de “possível incidente” não prova quais dados de determinada pessoa foram acessados; por outro lado, confirmação de categorias específicas pode orientar medidas de contenção, como troca de credenciais e monitoramento de contas.

Se credenciais foram afetadas, registre quando a senha foi alterada e quais contas reutilizavam a mesma combinação. Isso ajuda a delimitar risco e medidas de contenção.