Quando os dados da empresa vazam, ela ocupa dois lugares ao mesmo tempo: é vítima do crime e é agente de tratamento perante os titulares. Pela LGPD, o tratamento é considerado irregular quando não fornece a segurança que o titular dele pode esperar, e o controlador responde pelos danos quando deixa de adotar as medidas de segurança do art. 46. Ou seja: o que decide a responsabilidade não é o ataque, é o que existia antes dele.
Culpa exclusiva de terceiro é excludente prevista em lei, mas ela precisa ser exclusiva. Se faltavam medidas de segurança, a exclusividade se desfaz, e o invasor deixa de ser a única causa do dano.
A empresa descobriu o vazamento pelo lado errado: um cliente ligou perguntando por que tinham mandado um boleto com outro banco. Semanas antes, a base de contatos e de contratos tinha saído por um acesso antigo de um ex-funcionário que ninguém revogou. O ataque foi de terceiro, sim. Mas a pergunta que apareceu depois não era sobre o invasor: era por que a credencial continuava ativa oito meses após o desligamento.
Descobriu um vazamento agora?
As primeiras decisões contam prazo e definem prova. Mande o que já se sabe do incidente e organizamos a comunicação e o registro na ordem certa.
Dúvidas que aparecem primeiro
| Pergunta | Resposta curta |
|---|---|
| Fomos atacados. Ainda assim respondemos? | Depende das medidas de segurança que existiam antes. |
| Quando o tratamento é irregular? | Quando não fornece a segurança que o titular pode esperar. |
| Preciso comunicar alguém? | Sim. A autoridade nacional e os titulares, havendo risco relevante. |
| Qual o tamanho da multa? | Até 2% do faturamento, limitada a R$ 50 milhões por infração. |
| O ônus da prova é sempre meu? | Não, mas o juiz pode invertê-lo em favor do titular. |
Os dois lugares que a empresa ocupa
É a parte mais difícil de aceitar e a mais importante de entender. Sofrer o ataque não retira da empresa a condição de controladora dos dados que ela coletou de clientes, fornecedores e empregados.
O art. 42 da LGPD estabelece que o controlador ou o operador que, em razão do exercício de atividade de tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo.
O §1º trata da solidariedade: o operador responde solidariamente quando descumprir obrigações da legislação ou não seguir as instruções lícitas do controlador, e os controladores diretamente envolvidos também respondem solidariamente.
E o §2º traz o que muda a dinâmica probatória: o juiz pode inverter o ônus da prova em favor do titular.
O critério que decide tudo
O art. 44 define quando o tratamento é irregular: quando deixa de observar a legislação, ou quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre elas o modo pelo qual é realizado, o resultado e os riscos que dele razoavelmente se esperam, e as técnicas de tratamento disponíveis à época.
E o parágrafo único fecha o raciocínio: o controlador ou o operador responde pelos danos decorrentes de violação da segurança quando deixar de adotar as medidas previstas no art. 46.
Repare no tempo verbal. A responsabilidade se decide olhando para trás, para o que existia antes do incidente. Nenhuma reação depois do ataque conserta ausência de medida anterior.
O que o art. 46 exige
O art. 46 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
Duas palavras merecem atenção. Administrativas, porque a lei não fala só de tecnologia: política de acesso, revogação de credencial no desligamento e alçada são medidas administrativas. E aptas, porque a medida existe para funcionar, não para constar de um documento.
O §2º acrescenta que essas medidas devem ser observadas desde a concepção do produto ou serviço até a sua execução.
As três saídas que a lei admite
O art. 43 lista as hipóteses em que os agentes não são responsabilizados, e o ônus de provar é deles:
- que não realizaram o tratamento que lhes é atribuído
- que, embora tenham realizado o tratamento, não houve violação à legislação de proteção de dados
- que o dano decorre de culpa exclusiva do titular ou de terceiro
A terceira é a mais invocada e a mais frágil quando faltam medidas. Exclusiva significa única. Havendo falha própria que contribuiu para o resultado, o invasor deixa de ser a causa isolada.
O dever que muitos descobrem tarde
O art. 48 obriga o controlador a comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.
E o §1º define o conteúdo mínimo dessa comunicação: a descrição da natureza dos dados pessoais afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas para proteção dos dados, os riscos relacionados ao incidente, os motivos da demora quando a comunicação não for imediata, e as medidas adotadas para reverter ou mitigar os efeitos do prejuízo.
Vale notar o terceiro item: a própria comunicação exige dizer quais medidas de proteção existiam. Quem não tem o que descrever ali já sabe onde está a fragilidade.
O §2º prevê que a autoridade nacional avalie a gravidade e possa determinar ampla divulgação do fato ou medidas para reverter ou mitigar os efeitos.
O que está em jogo em sanção
O art. 52 lista as sanções administrativas aplicáveis pela autoridade nacional. Entre elas: advertência com prazo para adoção de medidas corretivas; multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração; multa diária; publicização da infração; bloqueio e eliminação dos dados a que se refere a infração; e, nos casos mais graves, suspensão parcial ou total e proibição de atividades de tratamento.
A publicização merece um parágrafo próprio: para muitas empresas, ela custa mais do que a multa.
A ligação com as fraudes que vêm depois
Vazamento raramente termina no vazamento. Base de contatos, valores de contrato e calendário de pagamento são exatamente o insumo do golpe do falso fornecedor e da abordagem de crédito com taxa antecipada.
Por isso o plano de resposta precisa ter um capítulo comercial, e não só jurídico: avisar clientes e fornecedores de que qualquer alteração de dados bancários será confirmada por canal já cadastrado, e nunca pelo canal que trouxer o pedido.
Na Lei Geral de Proteção de Dados, o controlador ou operador que causar dano em violação à legislação é obrigado a repará-lo (art. 42), e o tratamento é considerado irregular quando não fornece a segurança que o titular dele pode esperar, respondendo o agente pelos danos decorrentes de violação da segurança quando deixar de adotar as medidas previstas no art. 46 (art. 44). São excludentes a prova de que não se realizou o tratamento, de que não houve violação à legislação, ou de culpa exclusiva do titular ou de terceiro (art. 43). Havendo incidente com risco ou dano relevante, o controlador deve comunicar a autoridade nacional e o titular, com o conteúdo mínimo do art. 48, §1º. As sanções do art. 52 incluem multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
Observatório João Coelho
A LGPD do incidente, em quatro números
Lei 13.709, de 14 de agosto de 2018, conferida no Planalto em 19/08/2026.
As primeiras 48 horas
1. Contenha antes de investigar: revogue acessos, troque credenciais e isole o que foi comprometido.
2. Preserve registros e logs. Eles são a prova das medidas que existiam e do que aconteceu.
3. Levante quais dados foram afetados e quais titulares estão envolvidos. É o que a comunicação exige.
4. Prepare a comunicação à autoridade nacional e aos titulares com os seis itens do §1º do art. 48.
5. Avise clientes e fornecedores sobre a regra de confirmação de dados bancários, para cortar a fraude seguinte.
O que esperar, com honestidade
Nenhum advogado pode garantir resultado. Vazamento não gera responsabilidade automática: a lei admite excludentes e mede a conduta pelas técnicas disponíveis à época. Empresa que adotava medidas adequadas e foi atacada está em posição bem diferente daquela que não adotava.
Por outro lado, é ilusão achar que o crime de terceiro resolve tudo sozinho. A pergunta que a autoridade e o juiz vão fazer não é se houve invasor. É o que existia para impedi-lo.
Como reconhecer golpe nesse assunto
Pagamento de resgate resolve e ninguém fica sabendo. Pagar não elimina o dever de comunicar nem garante que os dados não circulem.
Adequação à LGPD em três dias por um preço fixo. Documento comprado não é medida apta, e o art. 44 mede aptidão, não papelada.
Se foi hacker, a empresa não responde. Só se a culpa de terceiro for exclusiva, e falta de medida de segurança afasta a exclusividade.
Não comunique, para não chamar atenção da fiscalização. O descumprimento do dever de comunicar agrava a posição, não protege.
Perguntas frequentes
Fomos atacados por criminosos. Mesmo assim podemos responder?
Podemos, e o critério é anterior ao ataque. O art. 44 da LGPD considera irregular o tratamento que não fornece a segurança que o titular dele pode esperar, e o parágrafo único responsabiliza quem deixou de adotar as medidas do art. 46.
Culpa exclusiva de terceiro não nos protege?
Protege, se for exclusiva. O art. 43 admite essa excludente, com ônus de prova do agente. Falha própria que contribuiu para o resultado retira a exclusividade.
Que medidas a lei exige?
Técnicas e administrativas, e aptas. O art. 46 fala em medidas de segurança aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas, observadas desde a concepção do produto ou serviço até a execução.
Somos obrigados a comunicar o incidente?
Sim, havendo risco ou dano relevante. O art. 48 obriga o controlador a comunicar à autoridade nacional e ao titular, com o conteúdo mínimo listado no §1º.
O que precisa constar dessa comunicação?
Seis pontos. Natureza dos dados afetados, informações sobre os titulares envolvidos, medidas técnicas e de segurança utilizadas, riscos relacionados, motivos da demora quando houver, e medidas adotadas para reverter ou mitigar os efeitos.
Quais sanções podem ser aplicadas?
Vão da advertência à suspensão. O art. 52 prevê advertência com prazo para correção, multa simples de até 2% do faturamento limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação de dados e, nos casos graves, suspensão ou proibição de atividades de tratamento.
O ônus da prova é sempre da empresa?
Não é automático, mas pode ser invertido. O §2º do art. 42 permite ao juiz inverter o ônus da prova em favor do titular, quando presentes os requisitos legais.
Quer organizar a resposta na ordem certa?
Alguém do escritório pode avaliar o incidente, apoiar a comunicação exigida pela lei e mapear as medidas que sustentam a posição da empresa.
Quero entender meu casoAtendimento humano. Você decide depois de entender.
Leia também
- Falso fornecedor: o e-mail que muda a conta de pagamento
- Crédito empresarial com taxa antecipada: o golpe de quem precisa de caixa
- Boleto de fornecedor adulterado: quem responde pelo pagamento
- Comprovante de Pix agendado: por que o dinheiro não entra
- Revisar o contrato PJ ou renegociar: como a decisão se toma
Estado normativo em 19/08/2026. Lei 13.709, de 14 de agosto de 2018, arts. 42, 43, 44, 46, 48 e 52, em vigor, texto conferido no Planalto nesta data, sem marcação de revogação nos dispositivos citados. Não há, nesta página, citação de dispositivo revogado.
Quem escreveu esta página
João Vitor Chaves Coelho, advogado inscrito na OAB/SP sob o nº 366.776, na OAB/PA sob o nº 19.692 e na OAB/DF sob o nº 72.931, atuante em Direito Bancário e Defesa do Consumidor, com certificação CS50 Cybersecurity pela Harvard University. Escritório João Coelho Advocacia. Conteúdo produzido a partir do texto legal conferido na fonte oficial na data indicada.
Conteúdo informativo, sem promessa de resultado e sem captação de causa, em conformidade com o Código de Ética e Disciplina da OAB e com o Provimento 205/2021 do Conselho Federal da OAB. Cada caso depende das medidas efetivamente adotadas antes do incidente e dos registros preservados.