A responsabilidade não se decide pelo tamanho do vazamento nem pela rapidez da reação. Ela se decide olhando para trás. O parágrafo único do art. 44 da LGPD responsabiliza pelos danos quem deixou de adotar as medidas do art. 46, e essas medidas precisavam existir antes do incidente. Nenhum plano de resposta, por melhor que seja, conserta ausência anterior. E há um detalhe que decide muitos casos: vazamento não gera responsabilidade automática.
Terceirizar a folha não terceiriza a responsabilidade. O §1º do art. 42 estabelece que o operador responde solidariamente quando descumpre obrigações da lei ou não segue as instruções lícitas do controlador, e que os controladores diretamente envolvidos também respondem solidariamente. A contabilidade externa e o sistema de folha entram na cadeia, e a empresa não sai dela.
Três colaboradores relatam, na mesma semana, abordagens em que o interlocutor sabia cargo, matrícula e o banco em que recebem. A empresa investiga e não encontra invasão nenhuma nos seus servidores. Só que a folha é processada por um escritório externo, que por sua vez usa um sistema de terceiro, e ninguém nunca perguntou o que cada um deles guarda, por quanto tempo e com qual proteção. O incidente não aconteceu dentro de casa, e mesmo assim a primeira pergunta que a empresa vai precisar responder é sobre o que ela exigiu de quem contratou.
Suspeita de vazamento de dados da folha?
A primeira coisa não é achar o culpado: é levantar o que existia de proteção antes, porque é sobre isso que a lei pergunta. Vale saber a ordem antes de comunicar.
Por que a folha é o alvo mais valioso da empresa
Não é o cadastro de clientes. É a folha, e por uma razão específica: ela reúne, num único lugar, exatamente o conjunto de que a fraude financeira precisa.
Nome completo, CPF, matrícula, cargo, quanto a pessoa ganha, em qual banco recebe, o que já está descontado e, por consequência, quanto de margem ainda resta. Com isso monta-se uma abordagem que soa legítima porque de fato já sabe quase tudo.
É por isso que abordagem de golpe com informação precisa de folha não é coincidência: é indício. E é por isso que o setor pessoal precisa tratar segurança de dados como assunto próprio, e não como tema de tecnologia da informação.
Como a lei mede se houve irregularidade
Aqui está o ponto que evita tanto o pânico quanto a negligência.
O art. 44 da Lei 13.709/2018 define o tratamento irregular como aquele que não observa a legislação ou que não fornece a segurança que o titular dele pode esperar. E manda considerar três circunstâncias:
| Circunstância | O que significa na prática |
|---|---|
| O modo pelo qual o tratamento é realizado | Como a folha circula: por e-mail, em planilha, em sistema com controle de acesso |
| O resultado e os riscos que razoavelmente se esperam | Dado de folha tem risco previsível de fraude financeira. Não é risco exótico |
| As técnicas de tratamento disponíveis à época | Mede-se pelo padrão daquele momento, e não pelo estado da arte de hoje |
E o parágrafo único fecha: responde pelos danos decorrentes da violação da segurança quem deixar de adotar as medidas do art. 46.
O art. 46, por sua vez, exige medidas de segurança técnicas e administrativas aptas a proteger de acessos não autorizados e de situações acidentais ou ilícitas. E o §2º diz que devem ser observadas desde a concepção do produto ou serviço até a execução.
Duas palavras merecem grifo. Administrativas: procedimento, regra de acesso, treinamento, contrato com fornecedor. Não é só tecnologia. E aptas: a medida é avaliada pela adequação ao risco, não pela existência formal de um documento.
Vazamento não gera responsabilidade automática
Vale dizer com clareza, porque é um dos dois erros mais comuns, sendo o outro o oposto.
O art. 43 prevê três excludentes, com ônus do agente:
| Inciso | Excludente | Observação |
|---|---|---|
| I | Não realizou o tratamento que lhe é atribuído | Discussão de fato |
| II | Realizou o tratamento sem violação à legislação | É aqui que a documentação anterior vale ouro |
| III | Culpa exclusiva do titular ou de terceiro | ⚠️ Exclusiva significa única. Falha própria que tenha contribuído desfaz a exclusividade |
O inciso III é o mais invocado e o que mais falha, e sempre pela mesma razão: houve um criminoso, mas houve também uma porta aberta, e a existência da porta afasta a exclusividade.
Note ainda o §2º do art. 42: o juiz pode inverter o ônus da prova em favor do titular. Somando com o inciso II do art. 43, a conclusão prática é uma só: a empresa será chamada a demonstrar o que tinha. Quem não documentou antes não tem o que apresentar depois.
A cadeia: quem mais está dentro
Raramente a folha é processada só pela empresa. E o §1º do art. 42 desenha a cadeia.
O operador, que trata dados em nome do controlador, responde solidariamente quando descumprir as obrigações da legislação de proteção de dados ou quando não seguir as instruções lícitas do controlador. E os controladores diretamente envolvidos no tratamento também respondem solidariamente.
Traduzindo para a realidade de quem opera folha:
| Quem | Papel típico | O que a empresa precisa ter dele |
|---|---|---|
| Escritório de contabilidade | Operador | Contrato com cláusulas de proteção e instruções por escrito |
| Sistema ou software de folha | Operador | Registro de acessos, política de retenção e de eliminação |
| Instituição consignatária | Recebe dados por força de lei | Delimitação da finalidade e do que pode ser compartilhado |
| Colaboradores com acesso à folha | Dentro da empresa | Acesso restrito por necessidade, com registro de quem vê o quê |
A frase que resume: a empresa não pode delegar o dado sem delegar a instrução, e não pode delegar a instrução sem registrar que delegou.
A comunicação do art. 48 e os seis itens que a denunciam
O art. 48 obriga o controlador a comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.
O §1º lista o conteúdo mínimo, e é aqui que a comunicação vira autodiagnóstico:
| Item exigido | O que ele revela |
|---|---|
| Descrição da natureza dos dados afetados | Se a empresa sabe o que guarda |
| Informações sobre os titulares envolvidos | Se ela sabe de quem são |
| Medidas técnicas e de segurança utilizadas | ⚠️ É o item que denuncia. Quem não tem o que escrever aqui achou a fragilidade |
| Os riscos relacionados ao incidente | Se houve avaliação, ou só reação |
| Os motivos da demora, quando a comunicação não foi imediata | A demora precisa ser justificada, não escondida |
| As medidas adotadas para reverter ou mitigar | O que foi feito depois |
E o §2º registra que a autoridade avalia a gravidade e pode determinar ampla divulgação do fato ou outras medidas para mitigar os efeitos.
O prazo da comunicação é fixado em regulamentação da autoridade nacional, e por isso não indico número aqui: quem precisa comunicar deve conferir o prazo vigente na fonte, e não em texto de terceiro.
Para citar. O parágrafo único do art. 44 da LGPD responsabiliza pelos danos da violação de segurança quem deixou de adotar as medidas do art. 46, que precisam ser técnicas e administrativas, aptas ao risco, e observadas desde a concepção. Por isso a responsabilidade por vazamento se decide pelo que existia antes do incidente, e não pela qualidade da reação posterior.
As sanções, para dimensionar
O art. 52 prevê, entre outras: advertência com prazo para adoção de medidas corretivas; multa simples de até 2% do faturamento, limitada a cinquenta milhões de reais por infração; multa diária; publicização da infração; bloqueio e eliminação dos dados; e suspensão parcial ou total, com proibição do exercício da atividade.
Vale reparar na publicização, que costuma ser subestimada. Para uma empresa cujo ativo é a confiança de quem trabalha nela e de quem compra dela, ela pesa mais do que o valor.
O que documentar hoje, antes de precisar
Como a lei pergunta sobre o passado, o trabalho útil é o de agora. Nenhum item abaixo depende de orçamento grande.
| Item | Por que ele responde ao art. 46 |
|---|---|
| Lista de quem, dentro da empresa, acessa a folha e com qual justificativa | Demonstra restrição por necessidade, que é medida administrativa |
| Registro de que os acessos são revistos periodicamente | Mostra medida viva, não documento de gaveta |
| Contrato e instruções por escrito ao escritório de contabilidade e ao sistema de folha | É o que a empresa apresenta diante do §1º do art. 42 |
| Regra escrita de que dado de colaborador não se confirma por telefone | Fecha o vetor de engenharia social mais usado |
| Política de retenção: por quanto tempo cada arquivo fica e quando é eliminado | Reduz a superfície. Arquivo que não existe não vaza |
| Encarregado de dados designado e conhecido internamente | Evita que a descoberta ande dias antes de chegar a quem decide |
| Procedimento de resposta com quem aciona quem, escrito antes | O §1º do art. 48 pede motivos da demora. Procedimento evita demora |
Três frases que não se deve dizer
Se foi hacker, a empresa não responde. Só com culpa exclusiva de terceiro, e falha própria que tenha contribuído desfaz a exclusividade.
Estamos adequados à LGPD, temos a documentação. O art. 44 mede a aptidão da medida diante do risco, não a existência de papel.
Melhor não comunicar para não chamar atenção. O descumprimento agrava, e o §1º do art. 48 ainda exige justificar a demora quando ela ocorre.
Perguntas frequentes
Todo vazamento gera responsabilidade da empresa?
Não gera automaticamente. O art. 44 da LGPD mede se o tratamento observou a legislação e se forneceu a segurança que o titular podia esperar, consideradas o modo, os riscos esperados e as técnicas disponíveis à época.
Se o ataque veio de fora, isso afasta a responsabilidade?
Só se a culpa for exclusiva de terceiro. O inciso III do art. 43 exige exclusividade, e falha própria que tenha contribuído para o resultado a desfaz.
A folha é processada por contabilidade externa. A responsabilidade é dela?
É dos dois, na forma do §1º do art. 42. O operador responde solidariamente quando descumpre a lei ou não segue as instruções lícitas do controlador, e os controladores diretamente envolvidos também respondem solidariamente.
O que a empresa precisa provar?
O que existia antes. O parágrafo único do art. 44 responsabiliza quem deixou de adotar as medidas do art. 46, e o §2º do art. 42 permite ao juiz inverter o ônus da prova em favor do titular.
Basta ter antivírus e senha forte?
Não basta. O art. 46 exige medidas técnicas e administrativas: regra de acesso, instrução a fornecedor, política de retenção e procedimento interno também são medidas exigidas.
O que a comunicação de incidente precisa conter?
Seis itens, pelo §1º do art. 48: natureza dos dados afetados, informações sobre os titulares, medidas de segurança utilizadas, riscos, motivos da demora quando houver, e medidas de reversão ou mitigação.
Quais são as sanções possíveis?
Estão no art. 52. Advertência, multa simples de até 2% do faturamento limitada a cinquenta milhões por infração, multa diária, publicização da infração, bloqueio e eliminação de dados, e suspensão ou proibição da atividade de tratamento.
Quer saber o que a sua empresa teria para apresentar?
Alguém do escritório pode olhar como a folha circula hoje e dizer, sem rodeio, quais dos itens do art. 46 a empresa consegue demonstrar e quais ainda não existem.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
Estado normativo em 20/08/2026. Lei 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais, art. 42, caput e §§1º e 2º, art. 43, incisos I a III, art. 44, caput e parágrafo único, art. 46, caput e §2º, art. 48, caput e §§1º e 2º, e art. 52. Textos conferidos no Planalto nesta data. Pendência declarada: esta página não indica o prazo de comunicação de incidente à autoridade nacional, por ser fixado em regulamentação da própria autoridade e não ter sido conferido nesta data. Quem precisar comunicar deve verificar o prazo vigente na fonte oficial.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir de textos normativos conferidos na fonte oficial na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. Cada caso depende das medidas efetivamente adotadas antes do incidente, da cadeia de tratamento envolvida e da extensão dos dados afetados.