Vazamento de dados pessoais: quais são os seus direitos pela LGPD

Em resumo

A Lei Geral de Proteção de Dados (LGPD) obriga empresas e órgãos a proteger seus dados e a comunicar vazamentos relevantes à ANPD e às pessoas afetadas.
Você pode pedir à empresa a confirmação do tratamento, o acesso, a correção e informações sobre com quem seus dados foram compartilhados.
Quem causa dano por tratamento irregular de dados deve repará-lo, mas o STJ já decidiu que o vazamento de dados comuns não gera dano moral automático: é preciso demonstrar o prejuízo.
Depois de um vazamento, redobre a atenção com golpes, confira seu CPF no Registrato e guarde as comunicações recebidas.

Você recebe um e-mail de uma empresa informando um “incidente de segurança”. Ou descobre que seu nome, CPF e telefone aparecem em uma lista que circula na internet. Logo depois, começam as ligações de falsas centrais de banco e as mensagens com seus dados corretos, tentando parecer confiáveis.

Vazamentos de dados se tornaram frequentes e preocupam com razão: dados expostos alimentam golpes. Este artigo explica quais são as obrigações das empresas pela Lei Geral de Proteção de Dados (LGPD), quais são os seus direitos, quando cabe indenização e o que fazer na prática.

O que é vazamento de dados e por que importa

Vazamento é a exposição, o acesso ou a divulgação não autorizada de dados pessoais, por ataque de hackers, falha de sistema, erro de funcionário ou venda ilegal de informações. A LGPD (Lei nº 13.709/2018) chama essas situações de incidentes de segurança.

Os dados podem ser de dois tipos:

Dados pessoais comuns: nome, CPF, RG, endereço, telefone, e-mail, dados de contrato;
Dados pessoais sensíveis: saúde, biometria, dados genéticos, origem racial ou étnica, religião, opinião política, filiação sindical e vida sexual (art. 5º, II).

A distinção importa porque os dados sensíveis têm proteção reforçada e porque ela influencia a discussão sobre indenização.

O que a empresa é obrigada a fazer

A LGPD impõe deveres claros a quem trata dados pessoais (o “controlador”):

Adotar medidas de segurança técnicas e administrativas para proteger os dados contra acessos não autorizados e vazamentos (art. 46);
Comunicar à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, informando os dados afetados, os riscos e as medidas adotadas (art. 48). O procedimento e os prazos estão no regulamento da ANPD (Resolução CD/ANPD nº 15/2024);
Responder pelos danos causados por tratamento irregular de dados (art. 42). O tratamento é irregular quando a empresa não fornece a segurança que o titular pode esperar (art. 44).

A empresa só se livra da responsabilidade em hipóteses específicas, como provar que não realizou o tratamento, que não violou a lei ou que o dano decorreu de culpa exclusiva do titular ou de terceiro (art. 43). Nas relações de consumo, também se aplicam as regras do Código de Defesa do Consumidor (art. 45 da LGPD).

Quais são os seus direitos como titular

O art. 18 da LGPD garante ao titular, mediante requisição, uma série de direitos. Os mais úteis depois de um vazamento são:

Direito	O que você pode pedir
Confirmação e acesso	Saber se a empresa trata seus dados e quais são
Correção	Atualizar dados incompletos ou errados
Anonimização, bloqueio ou eliminação	Excluir dados desnecessários ou tratados em desconformidade com a lei
Informação sobre compartilhamento	Saber com quais entidades seus dados foram compartilhados
Revogação do consentimento	Retirar a autorização dada antes, quando o tratamento se baseava nela

O pedido é feito ao encarregado de dados da empresa, cujo contato deve estar disponível, em regra na política de privacidade do site ou do aplicativo.

Vazamento de dados gera indenização?

Esse é o ponto que mais gera dúvida. A LGPD prevê o dever de reparar o dano (art. 42), mas o Superior Tribunal de Justiça, no AREsp 2.130.619/SP (2ª Turma, 2023), decidiu que o vazamento de dados pessoais comuns não gera dano moral presumido. No caso, foram expostos dados como nome, endereço e telefone, e o tribunal exigiu que a pessoa demonstrasse o prejuízo efetivo.

O próprio julgamento indicou que a situação pode ser diferente quando há vazamento de dados sensíveis. Na prática, a indenização tende a ser discutida com mais força quando:

os dados vazados são sensíveis, como informações de saúde;
o vazamento resultou em golpe, empréstimo fraudulento ou prejuízo financeiro;
houve exposição pública que causou constrangimento comprovado;
a empresa demorou a comunicar ou não adotou medidas para reduzir os danos.

A jurisprudência sobre o tema ainda está em formação, e a aplicação depende do caso concreto. Danos materiais, como valores perdidos em fraude, também podem ser cobrados, desde que comprovados.

O que fazer depois de um vazamento

Siga este passo a passo:

Guarde a comunicação recebida da empresa ou as evidências do vazamento (prints, links, datas);
Peça informações ao encarregado de dados: quais dados foram expostos, quando, e quais medidas foram tomadas;
Troque senhas e ative a verificação em duas etapas, sobretudo no e-mail e no WhatsApp;
Consulte o Registrato, serviço do Banco Central, para conferir contas e empréstimos em seu nome;
Desconfie de contatos que usam seus dados para parecer legítimos: banco, INSS ou advogado de verdade não pedem senha nem Pix por mensagem;
Registre reclamação à ANPD, se a empresa não responder adequadamente, e aos órgãos de defesa do consumidor, quando houver relação de consumo;
Registre boletim de ocorrência se os dados forem usados em fraude.

Dados vazados alimentam golpes como o golpe do falso advogado e os golpes com inteligência artificial e deepfake. Se houve prejuízo bancário, veja a nossa página sobre golpe do Pix e fraude bancária.

Qual é o papel da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por fiscalizar o cumprimento da LGPD. Ela recebe comunicações de incidentes, analisa reclamações de titulares e pode aplicar sanções administrativas às empresas, como advertência, multa simples de até 2% do faturamento limitada a R$ 50 milhões por infração, publicização da infração e bloqueio ou eliminação dos dados (art. 52).

As sanções da ANPD não indenizam diretamente o titular. A reparação individual, quando cabível, é buscada junto à empresa ou na Justiça.

Quando procurar um advogado

A orientação jurídica é recomendável quando o vazamento envolve dados sensíveis, quando os dados foram usados em fraude ou golpe, quando a empresa se recusa a informar o que aconteceu e quando há prejuízo financeiro ou exposição que precise ser comprovada.

O escritório atua em proteção de dados, direito do consumidor e questões de direito e tecnologia, em Natal e em todo o Rio Grande do Norte. Conheça nossas áreas de atuação ou fale conosco pela página de contato.

Perguntas frequentes

Recebi aviso de que meus dados vazaram. Tenho direito a indenização?

Não automaticamente. Em julgamento de 2023, o STJ entendeu que o vazamento de dados pessoais comuns, como nome, endereço e telefone, não gera dano moral presumido, sendo necessário demonstrar o prejuízo concreto. A situação pode ser diferente com dados sensíveis ou quando o vazamento resulta em fraude, golpe ou exposição indevida.

Onde reclamar de um vazamento de dados?

Primeiro, contate o encarregado de dados da empresa (o canal costuma estar na política de privacidade). Sem resposta adequada, é possível peticionar à Autoridade Nacional de Proteção de Dados (ANPD) e, nas relações de consumo, também aos órgãos de defesa do consumidor, como o Procon e o Consumidor.gov.br.

Quais são os dados sensíveis pela LGPD?

São os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização religiosa, filosófica ou política, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos (art. 5º, II, da LGPD). Eles têm proteção reforçada.

Base legal

Lei nº 13.709/2018 (LGPD), arts. 5º, II, 18, 42 a 48 e 52
Resolução CD/ANPD nº 15/2024 (comunicação de incidente de segurança)
STJ, 2ª Turma, AREsp 2.130.619/SP (julgado em 07/03/2023)
Código de Defesa do Consumidor (Lei nº 8.078/1990), art. 14

Dr. Diego Guimarães — OAB/RN 14.321

Advogado titular do escritório, responsável pelas áreas de Direito do Consumidor e Bancário, Saúde, Servidor Público, Trabalhista, Tributário, Família, Cível e Empresarial, e pela coordenação técnica e revisão dos conteúdos publicados neste site.